Windows 10 - Adware.DownloadProtect lässt sich nicht dauerhaft entfernen
 

Hallo liebe Community,
seit einigen Tagen findet der AdwCleaner immer wieder die o.g. Bedrohung. Nach Löschung und Neustart ist der Computer nach einem neuen Suchlauf direkt nach dem Neustart sauber.
Nach öffnen anderer Programme (Firefox, Chrome) kann ich einige Minuten nochmal arbeiten, dann schließen sich alle Programme und Fenster automatisch und ich muss sie erneut öffnen, was problemlos geht. Ab diesem Moment wird die Bedrohung auch bei einem Scan durch AdwCleaner wieder erkannt.
Neuinstallation von Firefox, Chrome, aller Erweiterungen hat nichts gebracht.
Auffällig - bei den Firefox Addons erscheint immer wieder auch ein Addon, ich habe jedoch keine installiert aktuell, dieses hat keinen Namen und lässt sich nur deaktivieren, nicht entfernen.

Seit ca. 1 Monat nutze ich nur Windows Defender, Avira Antivir davor. Eben in einem Log noch Spuren davon gesehen.
AdwCleaner und Eset Online Scanner lasse ich reglmäßig laufen.

Habe viel gelesen hier im Forum, danke für die vielen Infos und Hinweise. Sehr hilfreich.
Anbei die ersten Logs. Danke im Voraus und einen schönen Sonntag an alle!

FRST Teil 1

FRST Teil 2

Addition
AdwCleaner Log

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Ich analysiere gerade dein System und melde mich in Kürze mit weiteren Anweisungen.

Schritt 1
Google Chrome ist mit Malware infiziert und muss komplett entfernen werden.

• Deinstalliere über Start > Einstellungen > Apps bzw. Start > Systemsteuerung > Programme deinstallieren die folgenden Programme:
  • Google Chrome
• Setze bei der Deinstallation auch einen Haken vor Auch die Browserdaten löschen.
• Starte den Rechner im Anschluss neu auf.
• Gib eine kurze Rückmeldung, ob die Deinstallation erfolgreich war.

Schritt 2

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
AV: Malwarebytes (Enabled - Up to date) {23007AD3-69FE-687C-2629-D584AFFAF72B}
AS: Avira Antivirus (Enabled - Up to date) {33CF8AA2-FA06-4AD4-98AB-332D53DD7FFB}
S3 phantomtap; C:\WINDOWS\System32\drivers\phantomtap.sys [45056 2019-12-04] (Avira Operations GmbH & Co. KG -> The OpenVPN Project)
C:\WINDOWS\System32\drivers\phantomtap.sys
Task: {13257998-11A9-496A-A11A-1AAF10D8239A} - \EOSv3 Scheduler onTime -> Keine Datei <==== ACHTUNG
Task: {6276162C-A688-4DD3-95EB-0E2C0509093F} - \EOSv3 Scheduler onLogOn -> Keine Datei <==== ACHTUNG
C:\Users\AllUserName\AppData\Local\Google\Chrome
DeleteKey: HKLM\SOFTWARE\Google\Chrome
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Google\Chrome
DeleteKey: HKCU\SOFTWARE\Google\Chrome
Task: {71F21C7A-B7A8-4A97-A4B5-D4423661D5D8} - System32\Tasks\CommonLogRAS-Medientreiber => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> C:\WINDOWS\Installer\{493DF0B0-2E91-47FC-8F46-6DB48D8D2B70}\{1F6EBB0B-29ED-4AE6-A0CD-E4D3AC29E54C} <==== ACHTUNG
Task: {F4E930AA-BE41-45A9-B642-96D855C78EA0} - System32\Tasks\Lokaler Distributed WAP-Push-Nachrichten => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> "C:\ProgramData\Package Cache\{5F2DB4C5-1C3C-4B94-933C-E2E6884FD7C3}\{83B6C039-81E4-448D-A415-BCD718DE5FDE}" <==== ACHTUNG
CMD: type "C:\ProgramData\ntuser.pol"
C:\ProgramData\ntuser.pol
C:\WINDOWS\system32\GroupPolicy\Machine
C:\WINDOWS\system32\GroupPolicy\GPT.ini
C:\WINDOWS\SysWOW64\GroupPolicy\Machine
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini
DeleteKey: HKLM\SOFTWARE\Policies\Google
DeleteKey: HKLM\SOFTWARE\Policies\Mozilla
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Edge
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
C:\Users\AllUserName\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\dbchccfceccngbeaacpaegllaaoakjni
FF user.js: detected! => C:\Users\AllUserName\AppData\Roaming\Mozilla\Firefox\Profiles\63u0l9x2.default-release\user.js [2020-11-08]
FF HKLM\...\Firefox\Extensions: [{8D17650F-4B5A-4205-A160-E95609997532}] - C:\WINDOWS\Installer\{3A16BBE0-4FD6-4140-8E12-01B7DC4D76F3}\{8D17650F-4B5A-4205-A160-E95609997532}.xpi
FF HKLM-x32\...\Firefox\Extensions: [{8D17650F-4B5A-4205-A160-E95609997532}] - C:\WINDOWS\Installer\{3A16BBE0-4FD6-4140-8E12-01B7DC4D76F3}\{8D17650F-4B5A-4205-A160-E95609997532}.xpi
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Node.js
C:\Program Files (x86)\nodejs
DeleteKey: HKLM\SOFTWARE\Node.js
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Node.js
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKU\.DEFAULT\Software\Node.js
DeleteKey: HKCU\SOFTWARE\Node.js
DeleteKey: HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{E39954D4-8121-44FC-A3D3-DF66254DB891}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{77754e9b-264b-4d8d-b981-e4135c1ecb0c}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
StartBatch:
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}.xpi" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\c????????????????????????????????rx" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\x????????????????????????????????ml" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
FOR /D %%a IN ("%ProgramData%\Package Cache\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
EndBatch:
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich der Deinstallationen
• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo Matthias und vielen Dank für die Annahme meines Problems.
Danke für die Info zu Audacity.

Google Chrome lies sich problemlos entfernen (incl. Browserdaten), keine Fehlermeldung o.Ä.

Anbei die neuen Logs.

FRST-Fix
FRST Teil 1

FRST Teil 2
Addition

Gut gemacht. :)






Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
C:\Users\AllUserName\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\ondgniaopjjkjajdfglodnlekbciejpc
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Keine Datei
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Keine Datei
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
StartBatch:
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}.xpi" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\c????????????????????????????????rx" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\x????????????????????????????????ml" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
FOR /D %%a IN ("%ProgramData%\Package Cache\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
EndBatch:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: ondgniaopjjkjajdfglodnlekbciejpc;dbchccfceccngbeaacpaegllaaoakjni;nodejs

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Danke :)

FRST-Fix
search Teil 1
search Teil 2

search Teil 3

search Teil 4

Search ewig lang ..
ich habe sie mal als 7z angehängt, ist das ok so?

Ja, passt so.

Fehlen nur noch FRST.txt und Addition.txt. :)