Firefox stürzt ab und leitet links falsch weiter
 

Seit längerer Zeit stürzt Firefox etwa 1 mal am Tag ab, ohne einen Crash-log zu hinterlassen. Häufig kommt kurz nach dem ersten Crash, ein Zweiter und dann ist wieder alles ok. Zudem leitet es Links manchmal zu einer google Suche des Links (Bsp.:https://www.smart-rechner.de/kalenderwochen/ratgeber/wochen_je_jahr.php zu der google suche:wie viele wochen hat ein jahr?) um. Dies passiert wenn ich Links von Ecosia (meiner Standard Suchmaschine) folge oder wenn ich sie direkt verfolge (von E-Mail, Discord etc.). Da von Firefox keine crash-log Dateien enstehen und Windows Defender nichts findet, kann ich, nach meinem Wissenstand, keine weiteren Log Dateien angeben. Übrigends, wie genau soll ich addition.txt angeben? Die Datei ist zu lang um sie in diesen Post zu tun, zu groß um sie anzuhängen, und in der Anleitung steht, dass sich nicht selbst antworten soll.
FRST.txt:

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.



Rechtsklicke auf die Addition.txt und wähle Senden an > Zip-komprimierter Ordner.
Füge die .zip Datei als Anhang deiner nächsten Antwort hinzu.

Was heißt bei dir "seit längerer Zeit"?

Vielleicht zufällig seit Sommer 2023? :D

Anhang teil 1
 

Guten Tag Matthias,
das würde ich wirklich sehr gerne machen, aber ich bekomme folgenden Fehler:
Dieser wiederholt sich durchgängig.
Ich kopiere die Addition.txt Datei als text hier und in die Nächste Antwort rein:

Anhang teil 2
 

Nein, das Problem besteht seit über einem Jahr. Bisher bin ich bei der Fehlersuche immer auf Sackgassen gestoßen, bis ich von diesem Forum gehört habe.

Vielen Dank für die Logdateien und die Informationen.


Ich bereite eine Reparatur vor.

Auf deinem System befindet sich sowohl Malware (Schadsoftware) als auch PUP (Potentiell Unerwünschte Programme).
Zudem sind diverse schädliche Einstellungen vorhanden und es finden sich zahlreiche verwaiste Einträge. Die Internetbrowser sind auch infiziert.

Eine Bereinigung ist, so denke ich, möglich.
Aber es geht nicht mit einem einzigen Schritt. Es sind mehrere Schritte erforderlich.

Wir beginnen zuerst mit MBAM und ADW.
Später mehr.





Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.




Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Log Datein der Programme
 

Ich habe erstmal nur gescannt und nichts in die Quarantäne verschoben.

Da ich keine Datein hochladen kann, gebe ich hier pastebin links. Ich hoffe, das ist akzeptabel.

AdwCleaner:
https://pastebin.com/uyEz5gpB

Malewarebytes (Zu groß für ein pastebin):
Zeile 1-2000: https://pastebin.com/dDj9EVPp
Zeile 2001-3000: https://pastebin.com/Q2xch6bq
Zeile 3001-3964: https://pastebin.com/pxCi0JJG

Ich habe vergessen bei Malewarebytes die Einstellung "nach rootkits suchen" zu aktivieren. Hier die Ergebnisse mit der Einstellung aktiviert:

Zeile 1-2000: https://pastebin.com/95TPMgnb
Zeile 2001-3000: https://pastebin.com/Rcekp2uJ
Zeile 3001-3960: https://pastebin.com/DXGnDsqR

Gut gemacht. :)


Dann bitte nun folgendes machen:

1)
Alle Funde von MBAM entfernen lassen.

2)
Rechner neu starten.

3)
Alle Funde von ADW entfernen lassen.

4)
Rechner neu starten.

5)
FRST neu ausführen und beide Logdateien posten:

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Danach sehen wir weiter.

FRST.txt
 

FRST.txt:

Addition.txt bis zeile 652
 

Zeile 652 bis 1275:

Gut gemacht.

Als Nächstes führen wir eine Reparatur mit FRST aus.
Bitte lies dir dazu die folgende Anleitung genau durch.
Wir entfernen schädliche und verwaiste Einträge und überprüfen die Systemdateien auf Fehler. Dies kann einige Minuten (>> 15) dauern.
Bitte gedulde dich.

Dein System wird am Ende neu gestartet.





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box (mit der Maus markieren und mit "STRG+C" kopieren):
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
AV: 360 Total Security (Disabled - Up to date) {FFDC234A-CE9B-08F9-406B-F876951CE066}
AlternateDataStreams: C:\ProgramData\TEMP:05E9FFE5 [145]
AlternateDataStreams: C:\Users\Timo\Downloads\adwcleaner.exe:MBAM.Zone.Identifier [141]
HKLM\...\Run: [tvncontrol] => "C:\Program Files\TightVNC\tvnserver.exe" -controlservice -slave (Keine Datei)
HKLM-x32\...\Run: [Joysticktray] => 0 (Keine Datei)
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-103185979-406979973-1091277451-1003\...\Run: [ASRock A-Tuning] => [X]
HKU\S-1-5-21-103185979-406979973-1091277451-1003\...\MountPoints2: {6dbf2b73-388f-11ee-9c1a-a8a15967ab57} - "G:\PMCsetup.exe"
HKU\S-1-5-21-103185979-406979973-1091277451-1003\...\MountPoints2: {ad3715f8-8ddd-11ec-9b81-806e6f6e6963} - "D:\autorun.exe" "start.htm"
HKU\S-1-5-21-103185979-406979973-1091277451-1004\...\Run: [MicrosoftEdgeAutoLaunch_F8971498275CD25740EE5470DE9F00D3] => "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start /prefetch:5 [4187176 2023-10-27] (Microsoft Corporation -> Microsoft Corporation)
HKU\S-1-5-21-103185979-406979973-1091277451-1004\...\RunOnce: [Delete Cached Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\jpaet\AppData\Local\Microsoft\OneDrive\Update\OneDriveSetup.exe" [48827256 2022-01-10] (Microsoft Corporation -> Microsoft Corporation)
HKU\S-1-5-21-103185979-406979973-1091277451-1004\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\jpaet\AppData\Local\Microsoft\OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Keine Datei)
GroupPolicy-Firefox: Beschränkung <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Edge: Beschränkung <==== ACHTUNG
Task: {543BD619-549A-4492-AB6C-3618F906B4C6} - System32\Tasks\GoogleUpdateTaskMachineCore => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe  /c (Keine Datei)
Task: {05558BE2-47A2-45C7-822A-61E32B757D5C} - System32\Tasks\GoogleUpdateTaskMachineUA => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe  /ua /installsource scheduler (Keine Datei)
FF user.js: detected! => C:\Users\Timo\AppData\Roaming\Mozilla\Firefox\Profiles\otq0to9z.default-release-1686081831772\user.js [2024-01-22]
FF Extension: (Kurgzsekseta) - C:\Users\Timo\AppData\Roaming\Mozilla\Firefox\Profiles\otq0to9z.default-release-1686081831772\Extensions\{e8f3b919-d290-4270-b66f-29f3fdbb1986}.xpi [2023-06-06]
S2 CsrBtOBEX-Dienst; "C:\Program Files\CSR\CSR Harmony Wireless Software Stack\CsrBtOBEXService.exe" [X]
S3 cpuz148; \??\C:\WINDOWS\temp\cpuz148\cpuz148_x64.sys [X] <==== ACHTUNG
S3 GPU-Z-v2; \??\C:\Users\Timo\AppData\Local\Temp\GPU-Z-v2.sys [X] <==== ACHTUNG
S3 GPUZ-v2; \??\C:\Users\Timo\AppData\Local\Temp\GPUZ-v2.sys [X] <==== ACHTUNG
C:\Windows\Installer\{FFC2A7AE-7ECC-4848-8A2C-B0D24CD34FD5}
C:\ProgramData\Package Cache\{B8B55679-FABC-48D2-AD18-50A98E84C82E}
C:\Program Files (x86)\Lavasoft
C:\ProgramData\Application Data\Lavasoft
C:\ProgramData\Lavasoft
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
C:\Users\AllUserName\AppData\Local\Lavasoft
C:\Users\AllUserName\AppData\Roaming\Lavasoft
DeleteKey: HKCU\Software\Lavasoft
DeleteKey: HKLM\Software\Wow6432Node\Lavasoft
DeleteKey: HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{defa0c5f-dd0a-4779-b2b1-35b420cbbcec}
C:\ProgramData\ntuser.pol
C:\WINDOWS\system32\GroupPolicy\Machine
C:\WINDOWS\system32\GroupPolicy\GPT.ini
C:\WINDOWS\SysWOW64\GroupPolicy\Machine
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini
DeleteKey: HKLM\SOFTWARE\Policies\Google
DeleteKey: HKLM\SOFTWARE\Policies\Mozilla
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Edge
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
C:\Users\AllUserName\AppData\Roaming\npm
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Node.js
C:\Program Files (x86)\nodejs
DeleteKey: HKLM\SOFTWARE\Node.js
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Node.js
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKU\.DEFAULT\Software\Node.js
DeleteKey: HKCU\SOFTWARE\Node.js
DeleteKey: HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{E39954D4-8121-44FC-A3D3-DF66254DB891}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{77754e9b-264b-4d8d-b981-e4135c1ecb0c}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
CMD: dir "%windir%\installer\*.xpi" /S
CMD: dir "%windir%\installer\c*rx" /S
CMD: dir "%windir%\installer\x*ml" /S
CMD: dir "%windir%\installer\{*-*-*-*-*}" /S
CMD: dir "%ProgramData%\Package Cache\{*-*-*-*-*}" /S
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dlv
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /release
CMD: ipconfig /renew
CMD: ipconfig /registerdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /verifyrepository
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Fixlog
 

Gut gemacht. :)



Wir holen uns nun eine Zweitmeinung mit KVRT ein.



Schritt 1
Führe das Kaspersky Virus Removal Tool (KVRT) gemäß der bebilderten Anleitung aus und poste abschließend die Logdateien.