Win 10 Start dauert sehr lange
 

Hallo in die Runde,

der Start meines Rechners dauert seit einiger Zeit sehr lange, daher habe ich nach der hier geposteten Anleitung Malwarebytes sein Werk tun lassen. Die drei Funde habe ich in die Quarantäne verfrachtet. Bin ich dann fertig und muss woanders nach einer Lösung suchen (z.B. Win neu aufsetzen)?

Vielen Dank für einen kurzen Kommentar!

Gruß, Rufuz

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.





Es wäre ein guter Anfang, wenn du die Logdateien von FRST posten könntest. Mehr dazu im verlinkten Thema hier: Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?

Dann kann man mehr sagen.

Hallo Matthias,

vorab möchte ich dir noch einmal danken, dass du dich hier engagierst.

Hier die FRST Dateien.

Darüber hinaus habe ich gerade festgestellt, dass der Defender offenbar schon fündig geworden ist. Dazu habe ich zwei Screenshots gemacht.

Ein großes Problem bei dir sind deine Downloadquellen.
Sowas wie "OpenCandy" oder "DownloadSponsor" sagt eigentlich schon alles aus.

Auch solche Downloads zeugen von unsicheren Quellen:
:kloppen:



Ich sehe aktuell nur etwas Adware/PUP auf dem System, nichts Schlimmes. Wir kümmern uns darum. ;)





Schritt 1
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe RogueKiller Anti-Malware gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 3

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei von AdwCleaner
• die Logdatei von RogueKiller
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Da war wohl aber auch mal gecrackte Adobe-Software drauf :balla:

Ja, habe ich auch gesehen. :D
Aktuell ist aber kein Adobe auf dem System.

Sind getarnte Urlaubsfilme. ;) Und längst bin ich zu Gimp bekehrt worden.
Ja, dass ich hier die Hosen runter lasse war mir irgendwie klar.

Hie die log vom AdwCleaner

Hier der RogueKiller

Und hier die neue FRST.txt


FRST Logfile:
--- --- ---

Und die Addition.txt

Gut gemacht. :)

Wir entfernen letzte Reste und kontrollieren nochmal alles.






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
DeleteKey: HKCU\Software\Lavasoft
DeleteKey: HKLM\Software\Wow6432Node\Lavasoft
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
BootExecute: autocheck autochk * bddel.exe
GroupPolicy: Beschränkung ? <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
Task: {260F3033-CD8A-42E1-A91A-A45373D426C0} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
Task: {7E0254FE-CE84-4F15-B74B-FFA47916E868} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> Keine Datei <==== ACHTUNG
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
FF HKLM\...\Firefox\Extensions: [bdwtwe@bitdefender.com] - C:\Program Files\Bitdefender\Bitdefender Security\bdwteff.xpi => nicht gefunden
FF HKLM-x32\...\Firefox\Extensions: [bdwtwe@bitdefender.com] - C:\Program Files\Bitdefender\Bitdefender Security\bdwteff.xpi => nicht gefunden
S2 SRanipalService; "C:\Program Files (x86)\VIVE\SRanipal\SRanipalService.exe" [X]
S1 UimBus; \SystemRoot\System32\drivers\uimbus.sys [X]
S1 Uim_DEVIM; \SystemRoot\System32\drivers\uimdevim.sys [X]
S3 VBAudioVMVAIOMME; \SystemRoot\System32\drivers\vbaudio_vmvaio64_win10.sys [X]
AS: Bitdefender Spyware-Schutz (Enabled - Up to date) {B5763A99-8435-6D40-83EB-2CA97758A9A5}
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Keine Datei
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} => -> Keine Datei
AlternateDataStreams: C:\Users\Public\AppData:CSM [464]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [476]
BHO: Kein Name -> {1DAC0C53-7D23-4AB3-856A-B04D98CD982A} -> Keine Datei
IE trusted site: HKU\S-1-5-21-1354302738-180291989-3184307785-1001\...\webcompanion.com -> hxxp://webcompanion.com
Unlock: C:\WINDOWS\system32\drivers\etc\hosts
C:\WINDOWS\system32\drivers\etc\hosts
 HKLM\...\StartupApproved\Run32: => "Redirector"
CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
powershell: Set-MpPreference -PUAProtection Enabled
powershell: Set-MpPreference -DisableScanningNetworkFiles 0
StartRegedit:
Windows Registry Editor Version 5.00
   
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
"AutoReboot"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=-

[SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection]
"DisableBehaviorMonitoring"=-
"DisableOnAccessProtection"=-
"DisableScanOnRealtimeEnable"=-
EndRegedit:
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo,

leider hat der Durchlauf etwas... länger gedauert. Nachdem in 5h von 60 GB ca. 50 GB in AppData/Local/Temp gelöscht waren brauchte ich dringend den Rechner. Da sich der Vorgang nicht unterbrechen ließ, musste ich booten und habe keine log Datei.

Leider meckert defender immer noch wegen OpenCandy und DownloadSponsor. Kann aber auch sein dass es sich dabei unm eine alte Meldung handelt, man kann den Status da nicht so recht herauslesen.

Macht es Sinn, den Code einfach noch einmal auszuführen? Würde ich diesmal die Nacht über laufen lassen.

:rofl: Wieso hast du auch 60 GB als temporäre Dateien unter %temp%? Da stimmt auf deinem System aber etwas nicht. ;)
So etwas hatte ich echt noch nie.



Macht Sinn. Wobei ich nicht glaube, dass es nochmal so lange dauert. :D

Guten Morgen,

FRST hat seine Arbeit beendet, hier die Logdatei. Der Ordner AppData/Local/Temp beinhaltet jetzt 14,8 GB.

Dass dieser Ordner so groß war (und immer noch ist?) liegt vermutlich daran, dass ich das System schon länger nicht neu aufgesetzt habe.


Die Windows Sicherheit zeigt mir immer noch ein gelbes Ausrufezeichen:
"App- & Browsersteuerung: Es wurde eine potentiell unerwünschte App gefunden. Möglicherweise reagiert ihr Gerät langsam."

DownloadSponsor wurde blockiert, aber bei OpenCandy zeigt der Schutzverlauf immer noch

"Bedrohung gefunden - Aktion erforderlich"
Erkannt: PUA:Win32/OpenCandy
Status: Aktiv
Betroffene Elemente:
file: C:\$Recycle.Bin\S-1-5-21-1354302738-180291989-3184307785-1001\$R7AEKJK.exe
file: C:\$Recycle.Bin\S-1-5-21-1354302738-180291989-3184307785-1001\$RAPT9JD.exe

Als Aktion steht "Entfernen" zur Auswahl.

Mach mal wenn ihr hier fertig seid, eine Datenträgerbereinigung (cleanmgr.exe), das sollte eigentlich alles in deinem tmp löschen.

Du kannst auf "Entfernen" drücken beim Windows Defender für diesen Fund.

Bitte dann zuerst (wie von cosinus erwähnt) in die Suchleiste "cleanmgr.exe" eingeben und damit die Datenträgerbereinigung starten. Laufwerk C: auswählen.
Überall ein Häkchen setzen und mit "Ok" bestätigen. Die Sicherheitsabfrage mit "Dateien löschen" bestätigen.

Bitte abschließend noch die neuen Logdateien von FRST (Schritt 2) posten.

Der Hinweis vom Defender bleibt, der streikt anscheinend. Oder ich mache etwas falsch:
https://youtu.be/KwSKf2ujapg

Die Datenträgerbereinigung ist durch.

Hier noch die beiden Dateien FRST.txt und Addition.txt