Trojan.Multi.GenAutorunReg.a vermutlich über Java-Script eingefangen
 

Hallo!

Was ist passiert?
1. War leider unvorschtig und habe ein Java-Script aus unbekannter Quelle benutzt
2. Bei der "Installation" erschien eine Meldung, als ob der Virenscanner das Skript gestoppt hätte, es war ABER klar erkennbar, dass diese Meldung NICHT vom Virencanner stammt!!
=> so wurde ich missttrauisch
3. Windows-Defender, Malwarebytes und Adw-Cleander meldeeten keine Probleme.
4. Kapersky meldete dann Anmeldeversuche auf einer bösartigen Website und fand den Trojaner Trojan.Multi.GenAutorunReg.a
5. Kapersky beseitigte den Trojaner und meldete dann keine Probleme mehr.

Warum diesse Meldung?
1.) Nach meiner Einsachätzung handelt es sich um eine raffinierte Schadsoftware, die ja sogar Malwarbytes täusxchen konnte. Ich möchte deshalb sichergehen, dass wirklich alle Malware von meinem Rechner entfernt wurde.
2. Möglicherweise ist eine Meldung dieses Trojaners nützlich.

Anhänge und Informationen:
1.) Abschrift des verdächtigen Javasripts neues_leben_bibel_download_kostenlos.js
2.) Anfang und Ende der Kapersky-Überprüfung: es wurde noch einige Schadsoftware mehr identifiziert. Das ganze Protokoll ist zu groß zum Hochladen.
3.) Leider konnte ich in Kapersky den Log der Meldungen zur bösartigen Website nicht finden, daher kann ich ihnen zu Namen der Seiten keine Angaben machen (vielleicht wissen Sie, wo ich die Meldungen finde?).

Was verstehst du bitte unter JavaScript? JavaScript lädt man sich so nicht manuell runter.

Warum hast du die Hinweise für Hilfesuchende nicht gelesen und umgesetzt?

Hallo! Zunächst mal Danke für die Antwort.

1.) Ich habe auf einer Website einen angeblichen Download aufgerufen, das war eine JS-Datei, mit der vermutloch die Schadsoftware heruntergeladen wurde. Der Inhalt der Datei mit Typ JS ist in Anhang 1, ich habe ich durch führende "x" verändert, so dass die Datei nicht versehentlich ausgeführt wird.

2.) Ich habe ein Problem in Deutsch in ganzen Sätzen beschrieben - so verstehe ich die Anleitung zum Anlegen einer Meldung. Wenn ich zuviel geschrieben habe - bitte Entschuldigung. Ansonsten: Bitte mitteilen, was ich falsch gemacht habe,

1.) Einfach nur runterladen führt aber zu keinem Schaden. Hast du diese Datei auch ausgeführt? Wenn ja wie?

2.) Wir haben hier extra angepinnte Threads siehe unten. Diese bitte auch lesen und umsetzen, die sind ja nicht nur zur Deko da.

https://www.trojaner-board.de/attach...1&d=1604321027

Ich hatte auch schon einen Internetbeitrag zur Verbidnung mit der bösartigen Website gefunden. Weil ich aber die Meldungen von Kapersky nicht finde und meine Firfox-Daten nicht mehr rekonstruieren kann, kann ich leider diesen Internetbeitrag nicht mehr finden.

Der Trojaner wurde bereits beim Trojaner-Board gemeldet: https://www.trojaner-board.de/192746-kaspersky-findet-trojan-multi-genautorunreg-a-system-memory.html

Offensichtlich hast du die Hinweise immer noch nicht gelesen...soll man dir die vorlesen? Oder worauf wartest du? :confused:

Auf der Internetseite war eine Datei zum Herunterladen, womit man angeblich gratis eine Neues-Leben-Übersetzung downloaden konnte. Das war die JS-Datei, die ich dann ausgeführt habe im Glauben, dass ich das gesuchte Dokument damit herunterladen kann.

Es handelt sich vermutlich um einen JS.Downloader-Trojaner (https://www.sicherpc.net/malware/js-downloader-trojaner).

Entschuldigung, ich habe die Anletung zur Eröffnung eines Themas schon gelesen. Anscheinend habe ich was nicht verstanden. Wenn Sie mir den Mangel nennen, helfe ich gerne ab.

Wie finde ich den Thread "Löschen von Logfiles and anderen Anfragen"?

Im Anhang die Ergebnisse des FRST-Scan.

Und der nächste Murks. Du kannst doch nicht mit einer 5 Jahre alten FRST-Version Logs erstellen, das ist doch total sinnfrei.

Und die Logs bitte in CODE-Tags.

Ich habe versucht, die aktuelle Version downzuloaden. Als ich auf den Download-Link geklickt habe, kam die Meldung "404" Nicht gefunden. So habe ich es mit einer älteren Version versucht. Bitte, was soll ich jetzt tun?

Verstehe das Problem nicht. Im erwähnten Thread wird dir FRST64 richtig verlinkt und der Link funktioniert auch.

https://www.bleepingcomputer.com/dow...an-tool/dl/82/

Sorry, ich bin einer veralteten Anleitung gefolgt und habe versucht, das Programm über Filepony zu laden. Jedenfalls vielen Dank für den Link!

Jetzt habe ich die Ergebnisse der aktuellen FRST-Version und möchte sie gerne mit Code-Tag versehen. Welchen Editor brauche ich für die Anleitung "Posten eines Logfiles in Code-Tags"?

FRST.TXT 1. Teil
 

FRST.TXT 2. Teil von 2
 

Addition.txt
 

Störende, veraltete oder unnötige Programme deinstallieren

Bitte über Programme und Features (appwiz.cpl) deinstallieren:

CCleaner
Kaspersky Security Cloud
OpenOffice 4.1.6
PDF-Viewer
Revo Uninstaller 2.0.5

Hallo!
Die aufgeführten Programme sind deinstalliert.

Als Virenschutz habe ich wieder Malwarebytes installiert. Ich hoffe, das ist in ihrem Sinne.
LG

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

# -------------------------------
# Malwarebytes AdwCleaner 8.0.8.0
# -------------------------------
# Build: 10-08-2020
# Database: 2020-09-29.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Clean
# -------------------------------
# Start: 11-03-2020
# Duration: 00:00:03
# OS: Windows 10 Pro
# Cleaned: 13
# Failed: 1


***** [ Services ] *****

No malicious services cleaned.

***** [ Folders ] *****

No malicious folders cleaned.

***** [ Files ] *****

No malicious files cleaned.

***** [ DLL ] *****

No malicious DLLs cleaned.

***** [ WMI ] *****

No malicious WMI cleaned.

***** [ Shortcuts ] *****

No malicious shortcuts cleaned.

***** [ Tasks ] *****

No malicious tasks cleaned.

***** [ Registry ] *****

No malicious registry entries cleaned.

***** [ Chromium (and derivatives) ] *****

No malicious Chromium entries cleaned.

***** [ Chromium URLs ] *****

No malicious Chromium URLs cleaned.

***** [ Firefox (and derivatives) ] *****

No malicious Firefox entries cleaned.

***** [ Firefox URLs ] *****

No malicious Firefox URLs cleaned.

***** [ Hosts File Entries ] *****

No malicious hosts file entries cleaned.

***** [ Preinstalled Software ] *****

Deleted Preinstalled.HPSupportAssistant Folder C:\Program Files (x86)\HEWLETT-PACKARD\HP CUSTOMER FEEDBACK
Deleted Preinstalled.HPSupportAssistant Folder C:\Program Files (x86)\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Deleted Preinstalled.HPSupportAssistant Folder C:\ProgramData\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Deleted Preinstalled.HPSupportAssistant Folder C:\Users\Kalny\AppData\Local\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Deleted Preinstalled.HPSupportAssistant Folder C:\Users\Kalny\AppData\Roaming\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Deleted Preinstalled.HPSupportAssistant Folder C:\Windows\System32\config\systemprofile\AppData\Local\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Deleted Preinstalled.HPSupportAssistant Registry HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKLM\Software\Classes\CLSID\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Classes\CLSID\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Deleted Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\{F322B446-B157-4257-B44F-4F22D41F8EDB}
Not Deleted Preinstalled.HPSupportAssistant Folder C:\Program Files (x86)\HEWLETT-PACKARD\HP SUPPORT SOLUTIONS


*************************

[+] Delete Tracing Keys
[+] Reset Winsock

*************************

AdwCleaner[S00].txt - [3175 octets] - [03/11/2020 13:09:22]

########## EOF - C:\AdwCleaner\Logs\AdwCleaner[C00].txt ##########

CODE-Tags vergessen?

adwCleaner bitte zur Kontrolle wiederholen

ADW Cleaner die 2.
 

Ich brauche neue FRST-Logs . Haken setzen bei addition.txt dann auf Untersuchen klicken.

http://www.trojaner-board.de/picture...&pictureid=611

Wieso installierst du denn jetzt diesen Müll, was soll das? :wtf:

Spybot hab ich nur installiert um zu sehen, ob es eine Berdrohung findet - und zwar gleich nach Kapersky. Ich habe Spybot gerade deinstalliert.

Es kann aber nicht angehen, dass du hier einfach ohne Absprache da dein eigenes Ding durchziehst. Und dann auch noch so einen Schrott wie Spybot. Das Teil ist schon seit Jahren wirklungsloser Unsinn.

Kontrollscans mit MBAM und RK

Wir sind fast fertig. Jetzt ist es an der Zeit für Kontrollscans mit

• Malwarebytes
• RogueKiller

Poste nach Abschluss der beiden Scans die Logs in CODE-Tags.

Pardon, Spybot hatte ich schon VOR meiner Meldung im Trojaner-Board installiert. Ich habe mich immer nach ihren Anweisungen gerichtet. Bitte seien Sie gnädig mit mir. :glaskugel2:

Nö, siehe Log in Beitrag +15 vom 2.11. - da war kein Spybot installiert.

Zum Fund von RK siehe https://www.borncity.com/blog/2017/0...-hp-notebooks/

Wegen Spybot: Stimmt was sie schreiben, ich verstehe es nur nicht ganz. :confused:
Jedenfalls wollte ich mit Spybot kein eigenes Ding machen. Entschuldigung bitte für die Umstände und in Zukunft passe ich besser auf.

Wegen der Treiber: Nach der Bereinigung müsste der Keylogger weg sein. Vermute ich richtig, dass dieser Keylogger mit dem nächsten Update wieder kommt?

An dieser Stelle mal vielen Dank für die bisherige Hilfe :daumenhoc

Dann wären wir durch! :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob Du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:und/oder das Forum mit einer kleinen Spende http://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:

Abschließend bitte noch einen Cleanup mit unserem TB-Cleanup-Script durchführen und unbedingt die Sicherheitsmaßnahmen lesen und umsetzen - beides ist in folgendem Lesestoff verlinkt:

Vielen Dank! :daumenhoc

Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.