System Care Antivirus
 

Hallo zusammen,

hoffe hier auf schnelle Hilfe ...
Habe mir wohl den "System Care Antivirus"-Plagegeist eingefangen.
(Durch Download von Software über CDNet?)

Es poppt jedenfalls in unregelmäßigen Abständen rechts unten auf dem Bildschirm ein offensichtlich gefaktes Antivirus-Fenster muit folgendm Text auf:
"Ihr computer ist nicht gesichert [...]" und "Ein kostenloses backup ist verfügbar".

Das OS ist Vista Ultimate SP1.
Laufender Schutz sind AntiVir und OnlineArmor.

Vorinstalliert für Extra-Durchläufe habe ich außerdem SuperAntiSpyware und Mbam.
Erfahrung (unter Anleitung) mit sämtlichen Hardcore-Tools besteht bereits.
Wenn auch nciht bei dieser Bedrohung ...

Bin für jede Hilfe zum Entfernen dankbar.

LG
Molto

Hi,

mach bitte einen FRST-Scan. Wenn dieser blockiert wird, dann führe ihn im abgesicherten Modus durch.


Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hallo Aharonov,

vielen Dank, dass Du dich meines Problems annimmst.

Ich weiß deinen Einsatz sehr zu schätzen und hoffe, dass es den Rechner nicht allzu schlimm erwischt hat ...

Anbei die Textausgaben des FRST-Scans aus den entsprechenden Dateien.

FRST.txt:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---


Addition.txt:

Ok.


Schritt 1

• Gehe zu Start --> Systemsteuerung und öffne Programme und Funktionen.
• Suche und deinstalliere dort der Reihe nach folgende Einträge:

  MyPC Backup
  Wajam
  

• Schliesse das Fenster wieder und führe einen Neustart durch, wenn das gefordert wurde.

Schritt 2

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 3

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schritt 4

Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, werden ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Hallo,

leider kann ich schon den ersten Schritt nicht ausführen ...

Denn "MyPC Backup" lässt sich bei mir auf diese Weise anscheinend nicht deinstallieren:
Wenn ich auf die Schaltfläche "Deinstallieren/ändern" in "Programme und Funktionen" klicke, dann passiert einfach Nichts.

Versuche ich es erneut, erscheint die Meldung:
"Warten Sie, bis die Deinstallation bzw. Änderung des aktuellen Programms abgeschlossen ist."

Was nun?

Dann mach einfach weiter mit dem nächsten Punkt. :)

AntiVirus monierte den Registryzugriff von Combofix... Dachte, es wäre aus...?!

Nach dem automatischen Neustart ist Combofix nun außer Rand und Band:
pev.3xe öffnet etliche DOS-Fester und schließt sie.
Schon seit 20 Minuten...

Was soll ich tun?

Habe den Rechner per Hard Reset nach etlicher Zeit vom endlosen Combofix-Dauereinsatz befreit ...
Was nun?

Würde mich freuen, wenn ich noch weitere Anweisung zur "Rettung" bzw. Bereinigung des Systems bekommen würde.
Gerade nun, da Combofix "abgeschmiert" ist ...

Danke schonmal und Gruß
Molto


Ergänzung:
OK, werde es nochmals versuchen und sicherstellen, dass NICHTS sonst mehr läuft ... :-D

Hi,

lösche die vorhandene combofix.exe, lade sie neu herunter (Link) und führe Combofix nochmals wie angegeben aus. Klappt es dieses Mal besser?

Hallo und danke, dass Du den Faden aufgreifst.

Hatte Combofix nochmals ausgeführt und es lief auch durch (inkl. Erstellung des Logfiles).
Nach dem Neustart hat der Rechner sich aber wohl am Wiederherstellungspunkt orientiert(?), denn es ist kein Logfile mehr zu finden ...
Nach dem Durchlauf von Combofix wurden 75% der auf dem Desktop abgelegten Dateien nicht mehr angezeigt/waren "verschwunden". Nach dem Neustart sind sie allerdings wieder da ...

Nur, um sicher zu gehen:
Soll ich Combofix dennoch neu herunterladen und nochmals ausführen?

Gruß
Molto

AntiVir hat mir gerade den Fiesling gemeldet, der wohl verantwortlich ist: PowerTab Editor
Es handelt sich dabei um einen Download von CDNet, den ich schon im Verdacht hatte.
Ich frage mich nur, warum AntiVir sich nicht bereits VOR der Infektion gemeldet hat ... :-/

Mach mal mit einem frischen FRST-Scan weiter:


Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, werden ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Hallo,

habe FRST ausgeführt.
Das Log-File findest Du am Ende des Beitrags.

Nur noch kurz als "Zwischeninfo":
Während der Installation von PowerTab Editor scheint etwas mit dem Namen "Outobox" mit-installiert worden zu sein.

Der FRST-Log zeigt es in "One Month Created Files and Folders":
C:\Program Files (x86)\outobox

... und auch in "Internet (Whitelisted)":
BHO-x32: outobox - {30f06672-0e95-41a9-80cb-dee386af99ad} - C:\Program Files (x86)\outobox\outoboxBHO.dll

Könnte es sich dabei tatsächlich um eine Variante des Schädlings BrowseFox.F handeln?
Ein Check auf VirusTotal ergibt jedenfalls widersprüchliche Ergebnisse:
42x unbedenklich, aber

AVG sagt: MalSign.Outobox.C42
DrWeb sagt: Adware.Plugin.100
ESET-NOD32 sagt: a variant of Win32/BrowseFox.F
TrendMicro-HouseCall: TROJ_GEN.F47V1122

Auch finden sich im Log Einträge mit chinesischen Schriftzeichen(!?), bspw. der letzte Eintrag in "One Month Modified Files and Folders". Sie machen mich doppelt stutzig, weil es sich stets um den Ordner "C:\Windows\SysWOW64" handelt.

Würde mich freuen, wenn Du mir sagen könntest, wie ich weitermachen kann und auch, ob Du die beiden genannten Punkte (Outobox/chinesische Einträge) für problematisch hältst(?).

Hier noch das Log-File des FRST-Scans:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---



Gruß
Molto

Outobox ist nur ein bisschen Adware. Unerwünschtes lästiges Zeugs aber harmlos.
Die chinesischen Einträge stammen von Avira. Die haben da einen bekannten Bug drin, welcher diese Files produziert.

Mach bitte nochmals einen FRST-Scan, aber dieses Mal mit der Addition.txt.
(Und nimm im Editor bitte die Zeilenumbrüche raus, bevor du das Log hier einfügst!)


Starte noch einmal FRST.

• Setze bei Optional Scan den Haken bei Addition.txt und drücke Scan.
• Wenn der Scan abgeschlossen ist, werden zwei neue Logfiles FRST.txt und Addition.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieser beiden Logfiles bitte hier in deinen Thread.

aharonov, anbei die angeforderten Logs.
Wie schauen die aus?


FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Schritt 1

• Gehe zu Start --> Systemsteuerung und öffne Programme und Funktionen.
• Suche und deinstalliere dort der Reihe nach folgende Einträge:

  outobox 2013.11.12.181539
  

• Schliesse das Fenster wieder und führe einen Neustart durch, wenn das gefordert wurde.

Schritt 2

• Öffne das Programm Malwarebytes Anti-Malware.
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Klicke auf Aktualisierung --> Suche nach Aktualisierung.
• Wenn das Update beendet wurde, aktiviere im Reiter Suchlauf die Option Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan fertig ist, klicke auf Ergebnisse anzeigen.
• Versichere dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter dem Reiter Logdateien finden.

Schritt 3


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4

Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, werden ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Hallo aharonov,

bitte entschuldige, in den letzten Tagen hatte ich sehr wenig Zeit, deshalb ist der Thread hier leider verwaist.
Das System Care Antivirus-Problem scheint tatsächlich behoben.
Dafür schonmal vielen Dank.

Allerdings hat sich anscheinend ein noch hartnäckigerer Kamerad eingenistet: dwm.exe
Im "Prozesse"-Bereich des Taskmanagers wird er mit der Bezeichnung "Firefox" geführt.
Wenn ich den Prozess über den TM beende, kommt er nach kurzer Zeit wieder.
Dann meist als "Desktopfenster-Manager".

Indikator dafür, dass hier evtl. etwas nicht stimmen kann war für mich Folgendes:
Von Zeit zu Zeit öffnet sich eine Firefox-Instanz mit "schmutzigen" Seiten und verschwindet auch von selbst wieder.
Außerdem kommt mir der PC manches mal fast wie ferngesteuert vor (oder ist das schon Paranoia?). ;-)
So verlieren etwa von Zeit zu Zeit Fenster, die im Vordergund aktiv sind, ihren "Fokus" und werden inaktiv ...

MBAM, AntiVir und SpyBot finden Nichts.

Wie kann ich ab diesem Punkt fortfahren?!?

Lohnt es trotz der "neuen" Infizierung noch, wenn ich die von Dir zuletzt angesprochenen Logs hier nachreiche?


Gruß
Molto

Hallo,

dann mach bitte mit den Schritten weiter, wie ich sie im letzten Post angegeben habe.

Hallo Leo,

zunächst einmal Danke, dass Du diesen Pfad nocheinmal aufgreifst.

Nach meinem laienhaften Verständnis sehen die Logfiles der Programme "sauber" aus.
Ich bin gespannt auf deine Einschätzung.

Anbei die Logfiles der verschiedenen Analysetools:


FRST Logfile:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---

Hallo,

ja das sieht gut aus.
Welche Probleme bestehen jetzt konkret noch?

Hallo,

tja, nach den letzten Einsätzen von Adware Cleaner und MBAM gibt es eigentlich keine Probleme mehr.
Ich hoffe, dass bleibt jetzt auch mal für ein paar Tage so ...

Auslöser für die letzte "Kompromittierung" war wiederum eine Freeware: Camstudio.
Nach PowerTab schon die zweite Freeware innerhalb von 14 Tagen, die etwas "einschleppt".

Das wird mir eine Lehre sein ...


Vielen Dank für deine kompetente Hilfe
und weiterhin viel Erfolg!


LG
Molto

Alles klar. :)


Überprüfe noch mit diesem Plugin-Check (mit dem Firefox hier), ob alle deine verwendeten Plugin-Versionen aktuell sind und update sie anderenfalls.


Cleanup

Zum Schluss werden wir jetzt noch unsere Tools (inklusive der Quarantäne-Ordner) wegräumen, die verseuchten Systemwiederherstellungspunkte löschen und alle Einstellungen wieder herrichten. Auch diese Schritte sind noch wichtig und sollten in der angegebenen Reihenfolge ausgeführt werden.

1. Deaktiviere jetzt temporär das Antivirenprogramm, benenne bei der auf dem Desktop vorhandenen Combofix.exe das "Combofix" im Dateinamen um in Uninstall und führe sie mit Doppelklick aus.
2. Bei MBAM würd ich dir unbedingt empfehlen, es zu behalten und wöchentlich einen Quick-Scan durchzuführen. Wenn du es nicht weiter verwenden möchtest, kannst du es jetzt normal über die Systemsteuerung deinstallieren.
3. Auch den ESET Online Scanner kannst du behalten, um ab und zu (monatlich) für eine Zweitmeinung dein System damit zu scannen. Falls du ESET deinstallieren möchtest, dann kannst du das ebenfalls über die Systemsteuerung tun.
4. Downloade dir bitte auf jeden Fall DelFix auf deinen Desktop.
   • Schliesse alle offenen Programme.
   • Starte die delfix.exe mit einem Doppelklick.
   • Setze vor jede Funktion ein Häkchen.
   • Klicke auf Start.
   • DelFix entfernt u.a. alle von uns verwendeten Programme und löscht sich anschliessend selbst.
5. Wenn jetzt noch etwas übriggeblieben ist, dann kannst du es einfach manuell löschen.

>> OK <<
Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc

Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst.

Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann.




Epilog: Tipps, Dos & Don'ts





Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen.
Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Danke für die abschließenden Tipps
Hier wird man ja wirklich alles andere als allein gelassen. :-)

Werde demnächst bei Freeware vorsichtiger sein (Sandboxie kannte ich noch garnicht - super Sache).

Danke nochmals.

Gruß
Molto

Danke für die Rückmeldung.


Freut mich, dass wir helfen konnten. :abklatsch:

Falls du dem Forum noch Verbesserungsvorschläge, Kritik oder ein Lob mitgeben möchtest, kannst du das hier tun.

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.