Popup Fenster mit unerwünschter Werbung auf dem PC Desktop
 

Guten Tag,

es öffnet sich beim Hochfahren des PC ein Pop-Up Fenster auf dem Desktop, mit unerwünschter Werbung.
Das bemerkte ich seit der Libre Office Installation. Die Installations Datei stammt direkt von de.libreoffice.org

Adware, Malware Bytes und Windows 10 Viren Programm haben nichts verdächtiges gefunden.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.





Gib Bescheid, ob das Popup-Fenster nach den beiden Schritten immer noch auftritt oder nicht.








Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
Task: {F8335119-3B91-410D-B12B-A70906BDBECA} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
Edge Notifications: Default -> hxxps://my.jdownloader.org; hxxps://www.immobilienscout24.de; hxxps://www.motor-talk.de; hxxps://www.youtube.com
CHR Notifications: Default -> hxxps://mail.google.com
S3 dg_ssudbus; \SystemRoot\system32\DRIVERS\ssudbus2.sys [X]
CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Das habe ich oben nicht beschrieben, aber: zum jetzigen Zeitpunkt kann ich leider nicht sagen, ob das Popup Fenster wieder auftauchen wird. Das ist nicht reproduzierbar. Ein paar Tage ist Ruhe, dann erscheint es willkührlich beim Start von Libre Office, oder nach Windows Start.

Die Logdateien sehen gut aus. :)



Schritt 1
Führe RogueKiller Anti-Malware gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Nach erneutem Start des PC ist auch das Werbe Popup da.

Program : RogueKiller Anti-Malware
Version : 15.1.5.0
x64 : Yes
Program Date : Dec 15 2021
Location : C:\Users\Micha\OneDrive\Desktop\Trojan Board\RogueKiller_portable64.exe
Premium : No
Company : Adlice Software
Website : https://www.adlice.com/
Contact : https://adlice.com/contact/
Website : https://adlice.com/download/roguekiller/
Operating System : Windows 10 (10.0.19044) 64-bit
64-bit OS : Yes
Startup : 0
WindowsPE : No
User : Micha Lokales Konto
User is Admin : Yes
Date : 2021/12/23 22:04:57
Type : Scan
Aborted : No
Scan Mode : Standard
Duration : 467
Found items : 0
Total scanned : 95984
Signatures Version : 20211220_131139
Truesight Driver : Yes
Updates Count : 3

************************* Warnings *************************

************************* Updates *************************
iTunes (64-bit), version 12.7.4.80
[+] Available Version : 12.12.2.2
[+] Size : 400 MB
[+] Wow6432 : No
[+] Portable : No
[+] update_location : C:\Program Files\iTunes\

TeamViewer 11 (32-bit), version 11.0.76421
[+] Available Version : 15.25.8
[+] Size : 68,3 MB
[+] Wow6432 : Yes
[+] Portable : No
[+] update_location : C:\Program Files (x86)\TeamViewer

VLC media player (32-bit), version 2.2.6
[+] Available Version : 3.0.16
[+] Size : 123 MB
[+] Wow6432 : Yes
[+] Portable : No
[+] update_location : C:\Program Files (x86)\VideoLAN\VLC


************************* Processes *************************

************************* Modules *************************

************************* Services *************************

************************* Scheduled Tasks *************************

************************* Registry *************************

************************* WMI *************************

************************* Hosts File *************************
is_too_big : No
hosts_file_path : C:\Windows\System32\drivers\etc\hosts


************************* Filesystem *************************

************************* Web Browsers *************************

************************* Antirootkit *************************

Mach mal bitte einen Screenshot von diesem Pop-up und füge das Bild mit deiner nächsten Antwort mit ein.

Kannst du mir bitte das genau Datum nennen, seitdem du diese Probleme hast? Kann nur LibreOffice dafür in Frage kommen oder gibt es theoretisch noch andere Software, die du im gleichen Zeitfenster installiert hast?

Frohe Weihnachten!

Dito, das wünsche ich auch.
Ich habe so um den 28.11.21 Libre Office installiert. Genau weiß ich das nicht mehr.
Installiert habe ich höchstens noch 2 Pakete, aber aus seriösen Quellen und weitaus früher als Libre Office.

Ich vermute, dass die Werbung von WPS Office erzeut wird, weil in einer der beiden Werbungen das Logo von WPS dabei ist:
Beides über "Start > Einstellungen > Apps" deinstallieren und den Rechner neu starten.



Danach neue Logdateien von FRST und beobachten, ob die Werbung erneut auftritt.

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Vorsichtig wage ich zu sagen, das nach der Deinstallation von WPS Office kein Popup Fenster mehr aufgetaucht ist.
Dennoch wundert es mich sehr, da ich den PC schon seit 3 Jahren besitze. WPS Office war vorinstalliert, ich habe es nie benutzt. Nie ist ein Popup Fenster aufgetaucht, bis auf den letzten Monat.

Das klingt doch schon mal gut. :daumenhoc

Bitte beobachte das Ganze bis morgen Nachmittag weiter und gib mir dann noch einmal Bescheid, ob noch mal Pop-ups aufgetaucht sind.

Trotz deiner Deinstallation sind noch einige inaktive Komponenten von WPS Office auf deinem System vorhanden, d. h. die Deinstallationsroutine ist richtig schlecht... das liegt nicht an dir, sondern am Hersteller "Kingsoft", deren "Programmierung" des Uninstallers ist miserabel.
Diese "Reste" würde ich dann morgen Abend (wenn ich wieder zu Hause bin) in einen letzten Bereinigungsschritt mit aufnehmen und dann könnten wir das Ganze abschließen.
Ich hoffe, das ist ok für dich? ;)



WPS Office lief aktiv im Hintergrund, evtl. wurden bestimmte Dienste oder Tasks aktualisiert/geändert, als du LibreOffice installiert/verwendest hast... ganz nach dem Motto:
Da ist Konkurrenz, machen wir jetzt mal Werbung für unser Produkt.

Ein ähnliches "Verhalten" habe ich schon mal bei PDF-Software gesehen.

Generell gilt:
Nicht (mehr) benötigte Software solltest du immer deinstallieren.



Einen schönen 2. Weihnachtsfeiertag und dann bis morgen. :)

Ja, sehr gerne :singsing:

Ist das mies ! :mad:

Ich gehe jetzt mal davon aus, dass keine Werbung mehr erschienen ist. :)





Schritt 1

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
Task: {E39B04FB-3166-494E-B519-06F60D7B1BBC} - System32\Tasks\WpsExternal_20161111081738 => C:\Program Files (x86)\Kingsoft\WPS Office\ksolaunch.exe /wpscloudlaunch /wpsexternal /from=task (Keine Datei)
C:\Program Files (x86)\Kingsoft
Task: C:\WINDOWS\Tasks\WpsExternal_20161111081738.job => C:\Program Files (x86)\Kingsoft\WPS Office\ksolaunch.exe
S3 wpscloudsvr; C:\Program Files (x86)\Kingsoft\office6\wpscloudsvr.exe [1054920 2021-12-24] (Zhuhai Kingsoft Office Software Co., Ltd. -> Zhuhai Kingsoft Office Software Co.,Ltd)
C:\Users\AllUserName\AppData\Local\kingsoft
C:\Users\AllUserName\AppData\Roaming\Kingsoft
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{28A80003-18FD-411D-B0A3-3C81F618E22B}\InprocServer32 -> C:\Program Files (x86)\Kingsoft\WPS Office\11.2.0.10426\office6\kwpsmenushellext64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{46406D82-6EC0-47CC-8A75-1F33C6DEDBBE}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.35.442\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{540C17A8-04F2-4B66-95D7-B2FEF9A19B54}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.35.422\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{62634D95-960B-4834-8E71-A70408AD8FD9}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.34.7\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{84EB3779-151B-4C71-AEF0-A0FEE9481401}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.35.342\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{86508D42-E5D7-4D10-9C6F-D427AEEB85B5}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.34.11\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{91A41FCC-BC02-42D8-A36E-0D27FF9BFFC8}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.33.7\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{A804CF1A-91E5-4F0C-9E8C-DB39E74056DD}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.33.23\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{E9E7529D-7F09-410B-AF2A-CC154473B19C}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.35.452\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{EA724FD3-844D-43A9-A8C9-A5BC35FC20E4}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.33.17\psuser_64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-1964240791-1021083906-1959058547-1001_Classes\CLSID\{EF076C91-DC9E-43E3-84ED-3D219E065A4F}\InprocServer32 -> C:\Users\Micha\AppData\Local\Google\Update\1.3.35.302\psuser_64.dll => Keine Datei
ContextMenuHandlers1: [ELO Archive Transfer] -> {68CD4C17-E66B-4F1E-A0D8-A8F810134B1B} => C:\Program Files (x86)\ELOoffice\ELOShlx64.dll -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
ContextMenuHandlers1_S-1-5-21-1964240791-1021083906-1959058547-1001: [          kwpsshellext] -> {28A80003-18FD-411D-B0A3-3C81F618E22B} => C:\Program Files (x86)\Kingsoft\WPS Office\11.2.0.10426\office6\kwpsmenushellext64.dll -> Keine Datei
ContextMenuHandlers4_S-1-5-21-1964240791-1021083906-1959058547-1001: [          kwpsshellext] -> {28A80003-18FD-411D-B0A3-3C81F618E22B} => C:\Program Files (x86)\Kingsoft\WPS Office\11.2.0.10426\office6\kwpsmenushellext64.dll -> Keine Datei
BHO: Kein Name -> {B164E929-A1B6-4A06-B104-2CD0E90A88FF} -> Keine Datei
BHO-x32: Kein Name -> {B164E929-A1B6-4A06-B104-2CD0E90A88FF} -> Keine Datei
Filter: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} -  Keine Datei
StartBatch:
RD /S /Q "%SYSTEMDRIVE%\AdwCleaner" >nul 2>&1
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Desktop\*AdwCleaner*.*") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Downloads\*AdwCleaner*.*") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Documents\*AdwCleaner*.*") DO ( DEL /F /Q "%%b" >nul 2>&1 )
DEL /F /S /Q "%Windir%\Tasks\AdwCleaner_onReboot.job" >nul 2>&1
DEL /F /S /Q "%Windir%\System32\Tasks\AdwCleaner_onReboot" >nul 2>&1
DEL /F /S /Q "%Windir%\System32\Tasks_Migrated\AdwCleaner_onReboot" >nul 2>&1
DEL /F /S /Q "%Windir%\SysWOW64\Tasks\AdwCleaner_onReboot" >nul 2>&1
DEL /F /S /Q "%Windir%\SysWOW64\Tasks_Migrated\AdwCleaner_onReboot" >nul 2>&1
SCHTASKS /end /TN "AdwCleaner_onReboot" >nul 2>&1
SCHTASKS /delete /TN "AdwCleaner_onReboot" /F >nul 2>&1
reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AdwCleaner_onReboot" /f /reg:64 >nul 2>&1
reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\AdwCleaner_onReboot" /f /reg:32 >nul 2>&1
reg delete "HKLM\SOFTWARE\AdwCleaner" /f /reg:64 >nul 2>&1
reg delete "HKLM\SOFTWARE\AdwCleaner" /f /reg:32 >nul 2>&1
sc stop TrueSight >nul 2>&1
sc config TrueSight start= disabled >nul 2>&1
sc delete TrueSight >nul 2>&1
reg delete "HKLM\SYSTEM\CurrentControlSet\services\TrueSight" /f >nul 2>&1
reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\TrueSight" /f /reg:64 >nul 2>&1
reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\Services\TrueSight" /f /reg:32 >nul 2>&1
reg delete "HKLM\SYSTEM\Setup\FirstBoot\Services\TrueSight" /f >nul 2>&1
RD /S /Q "%PROGRAMDATA%\RogueKiller" >nul 2>&1
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Desktop\*RogueKiller*.*") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Desktop\??_????.tmp.txt") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Downloads\*RogueKiller*.*") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Downloads\??_????.tmp.txt") DO ( DEL /F /S /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Documents\*RogueKiller*.*") DO ( DEL /F /Q "%%b" >nul 2>&1 )
FOR /D %%a IN ("%SYSTEMDRIVE%\Users\*") DO FOR %%b IN ("%%a\Documents\??_????.tmp.txt") DO ( DEL /F /Q "%%b" >nul 2>&1 )
reg delete "HKCU\SOFTWARE\Adlice Software" /f >nul 2>&1
EndBatch:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Rechtsklicke auf FRST und wähle Umbenennen.
• Benenne FRST in Uninstall um.
• Starte Uninstall.
• FRST und die dazugehörigen Dateien/Odner werden entfernt.
• Zum Abschluss wird der Rechner neu gestartet.

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc


Abschließend bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:




Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:


Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Bis jetzt ist kein Popup Fenster aufgetaucht, super !
Danke für die Hilfe, ich werde eine Spende zukommen lassen.

Vielen Dank für die Spende. Sie dient zur Erhaltung des Forums. :)



Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.