Windows 10: PUADlManager:Win32/DownloadSponsor, lässt sich nicht entfernen
 

Hallo,
Ich habe Seit kurzen Probleme mit dem rechner. das machte sich am anfang lediglich bemerkbar dadurch das im taskmanager keine Netzwerkauslastung angezeigt hat.

-am 09.01 habe ich eine meldung von Windows Sicherheit bekommrn das eine Bedrohung gefunden wurde, die habe ich blockiert, eine direkte schnellprüfung im anschluss hat nichts gefunden, dann nochmal vollständig geprüft da wurde etwas gefunden.
Das habe ich unter Quarantiane gestellt.
-seit dem wurde nichts mehr gefunden weder mit defender offline noch mit mrt.

-ich wollte die Malware oder was das ist löschen und auch den Dateipfad einsehen das geht nicht. Das einsehen des Pfades ging nur über die Ereignisanzeige.

das ganze finde ich etwas seltsam und brauche hilfe um die den schmutz zu beseitigen,
so das ich demnächst auch ggf. eine sicherung der daten anfertigen kann. und ein sauberes system habe, bzw alles neu aufsetzen kann und die alten daten mitnehmen kann.


Dateipfad/e:

Pfad: file:_C:\Users\*****\Downloads\gimp-2.10.14-setup - CHIP-Installer.exe; file:_C:\Users\*****\Downloads\VLC media player 64 Bit - CHIP-Installer.exe

Pfad: file:_C:\Users\*****\Downloads\VLC media player 64 Bit - CHIP-Installer.exe


bei beiden handelt es sich um: PUADlManager:Win32/DownloadSponsor
und dazu finde ich im netzt keine richtigen angaben.


meine Starke Vermutung bzgl. der Fehlenden Netzwerkauslastung, war das es an Ocam (download von Chip ) liegt Instaliert ca. anfang Oktober. 2021.
Immer nach dem Schließen von Ocam ist im Hintergrund ein fenster geöffnet und nach dem schließen von dem fenster, öffneten sich im browser tabs.
Ich habe versucht durch entziehen von berechtigungen usw. zu erreichen das dieses hintergundfesnter nicht mehr funktioniert. nun lässt die app sich nicht mehr deinstalliern.
(Muss natürlich nicht an Ocam liegen)



sollten noch log daten benötigt werden vom defender bitte kurz erwähnen wie das geht. Dann mach ich es.

MfG




bedauerlicherweise waren es zu viele Zeichen, ich habe entsprechen einen RAR datei erstellt

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.


Und was genau verstehst du bei den Funden von Windows Defender nicht?

"PUA" bedeutet "Potentially Unwanted Application", was soviel wie "Potentiell Unerwünschte Software" bedeutet.

Wir warnen schon seit Jahren davor, Software bei Chip.de zu laden, bitte den folgenden Abschnitt lesen:




Bitte gib mir kurz eine Rückmeldung, sobald du alle Informationen gelesen und verstanden hast.
Sollen wir dein System auf weitere PUAs hin überprüfen?

mein verständnisproblem war nur das ich explizit nach PUADl gesucht habe, mir aber nur PUA agezeigt wurde

ja, lass uns weiter prüfen

Dann beginnen wir mit den ersten beiden Schritten:



Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von AdwCleaner

MBMA.txt


Adw Cleaner

Gut gemacht. :party:


Bitte FRST zur Kontrolle erneu ausführen:

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

sind beide in der RAR

Du verwendest zwei Adblocker gleichzeitig, dazu bitte beachten:
Die gleichzeitige Verwendung von "uBlock Origin" (uBO) und "Adblock Plus" (ABP) ist sinnfrei, weil uBO bereits mehr blockiert als ABP. Folglich kannst du ABP deinstallieren. :)

Das wäre wie wenn du zwei Schmutzfilter für das Regenwasser verwenden würdest und der 1. Filter (uBO) Schmutz bis zu einer Größe von 0,5 mm filtert, während der 2. Filter (ABP) Schmutz nur bis zu einer Größe von 0,8 mm filtert. ;)







Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
Task: {09C1813C-EA23-45A2-9FEB-7BDDD890084F} - System32\Tasks\Microsoft\Windows\Setup\EOSNotify => C:\WINDOWS\system32\EOSNotify.exe (Keine Datei)
Task: {7FD84C3A-AE65-44AF-A9BF-673E1E2AD8D1} - System32\Tasks\DolbySelectorTask => C:\Program Files\Dolby Digital Plus\ddp.exe -autostart (Keine Datei)
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
CustomCLSID: HKU\S-1-5-21-1525069-697410214-457011714-1001_Classes\CLSID\{CB965DF1-B8EA-49C7-BDAD-5457FDC1BF92}\InprocServer32 -> C:\Users\AllUserName\AppData\Local\Microsoft\TeamsMeetingAddin\1.0.19350.3\x64\Microsoft.Teams.AddinLoader.dll => Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: bcdedit.exe /set {bootmgr} displaybootmenu yes
CMD: bcdedit.exe /set {default} recoveryenabled yes
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Danke, für den hinweis bzgl der Addblocker, ABP habe ich gleich entfernt.

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:



Schritt 1

• Wir empfehlen die regelmäßige Verwendung (z. B. alle zwei Wochen) von AdwCleaner und MBAM. Sie stören den Betrieb deines Antivirenprogramms nicht.
• Wenn du die Tools dennoch entfernen möchtest, geht das ganz einfach.
  • MBAM:
  • Über Start > Einstellungen > Apps kannst du das Programm deinstallieren.
  • AdwCleaner:
  • Starte AdwCleaner und klicke in der linken Menüleiste auf Einstellungen.
  • Scrolle ganz nach unten und klicke unter dem Menüpunkt AdwCleaner entfernen auf Entfernen.

Schritt 2

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Rechtsklicke auf FRST64 und wähle Umbenennen.
• Benenne FRST64 in Uninstall um.
• Starte Uninstall.
• FRST und die dazugehörigen Dateien/Odner werden entfernt.
• Klicke auf Ok, um den Rechner zum Abschluss neu zu starten.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

wenn ich auf win. sicherheit gehe steht dort Malwarebytes ist aktiviert. und das keine aktivitäten erforderlich sind.
Kann ich den Scanner von Windows verwenden und Trotzdem alle zwei wochen AdwCleaner und MBAM durchlaufen lassen, wenn ja wie?


ich würde aufjedenfall einen backup machen wie am anfang erwähnt, muss mich nur nochmal etwas genauer damt befassen.




was hat die PUA auf meinem PC eigentlich gemacht ?

eben hat sich nochmal defender firewall gemeldet während ich VLC mediaplayer benutzt habe und hat folgendes blockiert :
Name: VLC media player,
Herrausgeber:VideoLAN
Pfad: C:\program files\videolan\vlc\vlc.exe

sollte man sich da gedanken machen, oder ist alles ok?

Du kannst MBAM ganz einfach wieder deaktivieren:

• Starte MBAM und klicke rechts oben auf Einstellungen (Zahnradsymbol).
• Wähle den Tab Konto aus und klicke auf Lizenz deaktivieren, bestätige die Nachfrage mit Ja.
• Windows Defender wird sich automatisch wieder aktivieren.
• Du kannst nun Adwcleaner und MBAM zur regelmäßigen Kontrolle auf dem Computer belassen und verwenden. Sie stören den Windows Defender nicht.

Das ist eine gute Idee. Regelmäßige Backups sind sehr wichtig. :daumenhoc




Nichts schlimmes... das System verlangsamt und ggf. Werbung angezeigt.



VLC ist ja legitim, also ist das Ok. Den Zugriff kannst du also zulassen.




Sonst ist alles ok? :)

habe ich gemacht und im schutzverlauf befinden sich immer noch die beiden PUA.
wenn ich drauf klicke werde ich gefragt ob ich möchte das durch diese App änderungen am gerät vorgenommen werden. (so wie am anfang)

Schutzverlauf heißt ja nur, dass dir dort angezeigt wird, "wann" der Windows Defender in der Vergangenheit "was auch immer" gefunden/blockiert/gelöscht hat.

Das heißt aber nicht, dass die PUA noch auf dem Gerät vorhanden ist. ;)

Jedes Sicherheitsprogramm listet dem Nutzer im Verlauf alle bisher gefundenen "schädlichen Elemente" auf.

:abklatsch:

Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.