Windows 10 : PUP.Optional.DownloadProtect (fügt zapmeta und izito Werbung in Google Ergebnisse ein)
 

Guten Tag und frohe Ostern,

Walwarebytes findet immer die gleichen 18 Elemente. Nach Verschiebung in Quarantäne und Löschen sind diese beseitigt. Alle paar Tage startet dann FireFox neu und der Schädling ist wieder da. Ich habe mit diesem Forumsbeitrag gewartet bis es gerade wieder passiert ist, und den Malwarebytes Report mit angehängt. Die FireFox Updatefunktion fragt vor Installation und Neustart nach und danach sind keine PUP nachgeladen. Habe audacity installiert, weiß aber nicht mehr ob von der de Domain.

Ich würde mich sehr über eure qualifizierte Hilfe freuen.

FRST.txt :
weitere Logs folgen ...

Addition.txt und Malwarebytes Log
 

Addition.txt :

Malwarebytes Report :

Bezüglich MBAM: Bitte mal sorgfältig durchlesen und den Müll dann auch in die Quarantäne verschieben.
Anleitung

Hallo felix1,

Vielen Dank. Ich hab die Teile in die Quarantäne verschoben, wo sie auf die Löschung warten. Firefox läuft nach der Bereinigung wieder ohne Werbeeinschübe, aber eben nur bis er das nächste Mal von selbst Neustart macht.

neues MBAM Log :

Erkläre doch bitte mal, was es damit auf sich hat:
C:\Users\*****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Anaconda3 (64-bit)\Anaconda Prompt (anaconda3).lnk -> C:\Windows\System32\cmd.exe (Microsoft Corporation) -> "/K" C:\Users\*****\anaconda3\Scripts\activate.bat C:\Users\*****\anaconda3

Es handelt sich zunächst um den Startmenü Eintrag um eine Shell für Anaconda (Python) aufzumachen. Die activate batch setzt glaube ich nötige Umgebungsvariablen :

Das ganze wird standardmäßig mit dem Anaconda Packet installiert und sollte unbedenklich sein.

In der conda.sh steht das drin :

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Hallo felix1,

Der AdwCLeaner Log von heute ist dieser hier :

Die Elemente, die Malwarebytes letztens gefunden hatte, sind noch in Quarantäne. Können die gelöscht werden?

Da ich das Problem schon länger habe (Wie gesagt DownloadProtect kommt immer wieder mit zufälligen Dateinamen zurück), hier noch zwei relevante Logs vom 31.03.21

und vom 09.10.20

mit freundlichen Grüßen
R.

Die Quarantäne kann gelöscht werden.
Lasse FRST nochmals laufen und poste beide Log-Files.

Malwarebytes Quarantäne ist gelöscht.

FRST Log :
Additio.txt folgt...

und Addition.txt :
Einen guten Abend,
R.

Du hättest aber schon mal zu Beginn posten können, was Du schon unternommen hattest.
Ich brauche noch die Logs von RogueKiller

Ich übernehme ab hier. :daumenhoc

Du bist scheinbar mit einer neuen Version von DownloadProtect infiziert.

Bitte die folgenden Schritte abarbeiten.






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
VirusTotal: C:\Windows\Installer\{F399CA1E-392C-4310-96AC-4069F6733020}\{4E7538D5-F4E1-4AC8-9503-B45D5CB105F2}
Task: {6089FEA9-16CF-40B3-835C-4F7ACCB62233} - System32\Tasks\MicrosoftApp-VAppvStrm => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> C:\Windows\Installer\{F399CA1E-392C-4310-96AC-4069F6733020}\{4E7538D5-F4E1-4AC8-9503-B45D5CB105F2} <==== ACHTUNG
C:\Windows\Installer\{F399CA1E-392C-4310-96AC-4069F6733020}
VirusTotal: C:\ProgramData\Package Cache\{0D91B47C-F629-4456-A99A-81A423793AC5}\{77CCF6E1-8C44-45C4-8E6A-61CC4521E837}
Task: {813D161E-0872-44DD-BB96-BA49A6F7E5C2} - System32\Tasks\Konfiguration HTTP-Dienst Hypervisor_Virtual => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> "C:\ProgramData\Package Cache\{0D91B47C-F629-4456-A99A-81A423793AC5}\{77CCF6E1-8C44-45C4-8E6A-61CC4521E837}" <==== ACHTUNG
C:\ProgramData\Package Cache\{0D91B47C-F629-4456-A99A-81A423793AC5}
FF user.js: detected! => C:\Users\AllUserName\AppData\Roaming\Mozilla\Firefox\Profiles\3qkeyckv.default\user.js [2021-04-04]
FF NewTab: Mozilla\Firefox\Profiles\3qkeyckv.default -> hxxps://defaultsearch.co/homepage?hp=1&pId=AC191101&iDate=2020-06-19 01:31:07&bName=&bitmask=0600
FF user.js: detected! => C:\Users\AllUserName\AppData\Roaming\Mozilla\Firefox\Profiles\sfd7l58d.default-release-1608282116481\user.js [2021-04-04]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [490]
C:\ProgramData\ntuser.pol
C:\WINDOWS\system32\GroupPolicy\Machine
C:\WINDOWS\system32\GroupPolicy\GPT.ini
C:\WINDOWS\SysWOW64\GroupPolicy\Machine
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini
DeleteKey: HKLM\SOFTWARE\Policies\Google
DeleteKey: HKLM\SOFTWARE\Policies\Mozilla
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Edge
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
C:\Users\AllUserName\AppData\Roaming\npm
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Node.js
C:\Program Files (x86)\nodejs
DeleteKey: HKLM\SOFTWARE\Node.js
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Node.js
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKU\.DEFAULT\Software\Node.js
DeleteKey: HKCU\SOFTWARE\Node.js
DeleteKey: HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{E39954D4-8121-44FC-A3D3-DF66254DB891}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{77754e9b-264b-4d8d-b981-e4135c1ecb0c}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
Zip: C:\FRST\Quarantine\C\ProgramData\Package Cache;C:\FRST\Quarantine\C\Windows\Installer;C:\FRST\Quarantine\C\Windows\System32\Tasks
CMD: dir "%windir%\installer\*.xpi" /S
CMD: dir "%windir%\installer\c*rx" /S
CMD: dir "%windir%\installer\x*ml" /S
CMD: dir "%windir%\installer\{*-*-*-*-*}" /S
CMD: dir "%ProgramData%\Package Cache\{*-*-*-*-*}" /S
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
powershell: Set-MpPreference -DisableScanningNetworkFiles 0
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Mit Schritt 1 wurde ein .zip Archiv mit dem Schema < Datum_Uhrzeit.zip > (z. B. 20.02.2021_11.33.52.zip) auf deinem Desktop erstellt.

• Besuche die Seite Submit a Malware Sample auf BleepingComputer.
• Klicke auf Durchsuchen.
• Wähle das erstellte .zip Archiv aus und klicke auf Öffnen.
• Schreibe in das untere, leere Textfeld for M-K-D-B hinein und klicke auf den darunter liegenden Button Daten absenden.
• Vielen Dank für deine Mitarbeit. Die hochgeladenen Dateien dienen zur Verbesserung der verwendeten Programme.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• eine Rückmeldung bezüglich des Hochladens des .zip Archivs
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Vielen Dank Felix,

Die ältere RogueKiller Log poste ich weiter unten (da war tatsächlich was drin)

Guten Tag M-K-D-B,

Ich habe die Schritte der Anleitung genau so ausgeführt. Der PC mußte nicht neu gestartet werden. Mach ich aber gleich nach diesem Post.

FRST Fixlog.txt :
Die ZIP Datei habe ich gefunden und bei BleepingComputer hochgeladen mit einem Link zu diesem Thread und for M-K-D-B in der Beschreibung. Kann die Datei gelöscht werden?

als nächstes die neuen FRST.txt und Addition.txt ...

Hier der letzte FRST.txt Log :

und die Addition.txt :

Der RogueKiller Log von vor einer Woche :

und die Löschung :