updatepush.com
 

Liebes Trojaner-Board-Team,

ich habe soeben auf dem Desktop "updatepush.com" entdeckt.
Da ich ein supptottool von meinem hp Drucker runtergeladen hatte, dachte ich zunächst, ob das dieses Programm sei und habe das Icon auch doppelt angeklickt :confused:

Da nicht passierte, kam mir das komisch vor und nun bin ich nach kurzer google-Recherche hier.

Ihr habt mir netterweise schon einmal toll geholfen, daher habe ich Malewarebites direkt wirder aktiviert (und werde es, wenn ihr das für eine gute Idee haltet) anschließend wohl auch in der Vollversion für ein Jahr kaufen damit ich zukünftig gewarnt werde, bevor sich soetwas auf den Rechner schleicht.

Gefunden hat ein erster Scan leider auch schon was:

Malwarebytes
www.malwarebytes.com

-Protokolldetails-
Scan-Datum: 18.10.22
Scan-Zeit: 18:09
Protokolldatei: 395ef3be-4eff-11ed-a444-a8a1591a1e3f.json

-Softwaredaten-
Version: 4.5.15.215
Komponentenversion: 1.0.1784
Version des Aktualisierungspakets: 1.0.61232
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 10 (Build 19043.2130)
CPU: x64
Dateisystem: NTFS
Benutzer: KiezPC\KiezPC

-Scan-Übersicht-
Scan-Typ: Bedrohungs-Scan
Scan gestartet von: Manuell
Ergebnis: Abgeschlossen
Gescannte Objekte: 300671
Erkannte Bedrohungen: 2
In die Quarantäne verschobene Bedrohungen: 0
Abgelaufene Zeit: 3 Min., 35 Sek.

-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Erkennung
PUM: Erkennung

-Scan-Details-
Prozess: 0
(keine bösartigen Elemente erkannt)

Modul: 1
Adware.Agent, C:\PROGRAM FILES\MOZILLA FIREFOX\ZLIB1.DLL, Keine Aktion durch Benutzer, 73, 999789, , , , , 5BB4EC148DEAE6858511AD3B277EDAB4, F077A5EAEAE13B8F6D776CF2C3608CE0873C2DECC15B9807E4F9CDA4FC763812

Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)

Registrierungswert: 0
(keine bösartigen Elemente erkannt)

Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)

Daten-Stream: 0
(keine bösartigen Elemente erkannt)

Ordner: 0
(keine bösartigen Elemente erkannt)

Datei: 1
Adware.Agent, C:\PROGRAM FILES\MOZILLA FIREFOX\ZLIB1.DLL, Keine Aktion durch Benutzer, 73, 999789, 1.0.61232, , ame, , 5BB4EC148DEAE6858511AD3B277EDAB4, F077A5EAEAE13B8F6D776CF2C3608CE0873C2DECC15B9807E4F9CDA4FC763812

Physischer Sektor: 0
(keine bösartigen Elemente erkannt)

WMI: 0
(keine bösartigen Elemente erkannt)


(end)

Liebe Grüße
Blue

Achso, wie bei einem Vorgänger hier gelesen, habe ich vor dem Scan den Icon vom Desktop gelöscht und den Papierkorb geleert.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.

Bitte beachte unsere Regeln während der Bereinigung!





Der Fund wurde nicht entfernt bzw. in Quarantäne verschoben, oder?




Schritt 1
Bitte lade dir die passende Version von Farbar Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit

• Starte FRST.
• Solltest du die Meldung "Der Computer wurde durch Windows geschützt" erhalten, klicke auf Weitere Informationen und dann auf Trotzdem ausführen.
• Klicke auf Ja, um fortzufahren.
• Klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach im selben Verzeichnis wie FRST.
• Poste uns die zwei Logdateien ( FRST.txt und Addition.txt ) in deinem Thema.

Hallo Matthias,

tatsächlich habe ich den Fund erst mal so belassen, weil ich auf euer Feedback warten wollte, bevor ich unüberlegt und hektisch etwas lösche?

Hier die beiden Logdateien


Während ich die zweite Log datei überfliege sehe ich da, dass audiograbber auftauscht.
Ich kann mich noch dran erinnern, dass das schon beim letzten Mal das Problem war und ich es erst löschen musste, bevor ihr mir weiter helft.
Ich habe es seitdem soweit ich mich erinnere, nicht mehr verwendet/ runtergeladen - wie kann das sein??

Schon ok, ich wollte mich nur rückversichern. :)




Wenn du das Programm nicht mehr verwendest, dann kannst du es ja über "Start>Einstellungen>Apps" deinstallieren.






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
VirusTotal: C:\Program Files\Mozilla Firefox\zlib1.dll
C:\Program Files\Mozilla Firefox\zlib1.dll
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3: <==== ACHTUNG (Beschränkung - Zones)
Task: {7AAC1D7A-6DD3-4561-A0A7-7F23C3B537A5} - System32\Tasks\GoogleUpdateTaskMachineUA => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (Keine Datei)
Task: {5DF7505F-F92E-4927-AEE2-878869B4C3A7} - System32\Tasks\GoogleUpdateTaskMachineCore => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (Keine Datei)
HKLM\SOFTWARE\Policies\Microsoft\Edge: Beschränkung <==== ACHTUNG

startpowershell:
Set-Service -Name "BITS" -StartupType Manual -Verbose
Set-Service -Name "Dhcp" -StartupType Automatic -Verbose
Set-Service -Name "EventLog" -StartupType Automatic -Verbose
Set-Service -Name "EventSystem" -StartupType Automatic -Verbose
Set-Service -Name "nsi" -StartupType Automatic -Verbose
Set-Service -Name "RasMan" -StartupType Manual -Verbose
Set-Service -Name "SDRSVC" -StartupType Manual -Verbose
Set-Service -Name "SstpSvc" -StartupType Manual -Verbose
Set-Service -Name "TrustedInstaller" -StartupType Manual -Verbose
Set-Service -Name "VSS" -StartupType Manual -Verbose
Set-Service -Name "Winmgmt" -StartupType Automatic -Verbose
Set-Service -Name "wuauserv" -StartupType Manual -Verbose

Set-MpPreference -DisableAutoExclusions $true -Force
set-mppreference -mapsreporting basic -Force
set-mppreference -DisableRealtimeMonitoring $false -Force
set-mppreference -DisablePrivacyMode $true -Force
set-mppreference -DisableIOAVProtection $false -Force
set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
set-mppreference -PUAProtection enabled -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -SignatureScheduleDay Everyday -force
set-mppreference -RealTimeProtectionEnabled $true -force
set-mppreference -OnAccessProtectionEnabled $true -force

Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:

CMD: WMIC SERVICE WHERE Name="dcomlaunch" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="nsi" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="dhcp" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="rpcss" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="rpceptmapper" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="winmgmt" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="sdrsvc" set startmode="manual"
CMD: WMIC SERVICE WHERE Name="vss" set startmode="manual"
CMD: WMIC SERVICE WHERE Name="eventlog" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="bfe" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="eventsystem" set startmode="auto"
CMD: WMIC SERVICE WHERE Name="msiserver" set startmode="manual"
CMD: WMIC SERVICE WHERE Name="sstpsvc" set startmode="manual"
CMD: WMIC SERVICE WHERE Name="rasman" set startmode="manual"
CMD: WMIC SERVICE WHERE Name="trustedinstaller" set startmode="auto"
CMD: net start sdrsvc
CMD: net start vss
CMD: net start rpcss
CMD: net start eventsystem
CMD: net start winmgmt
CMD: net start msiserver
CMD: net start bfe
CMD: net start trustedinstaller
CMD: WMIC SERVICE WHERE Name="windefend" CALL ChangeStartMode "automatic"
CMD: WMIC SERVICE WHERE Name="windefend" CALL startservice
CMD: WMIC SERVICE WHERE Name="securityhealthservice" CALL ChangeStartMode "automatic"
CMD: WMIC SERVICE WHERE Name="securityhealthservice" CALL startservice
CMD: net start windefend
CMD: net start mpssvc
CMD: net start mpsdrv

CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /release
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: ipconfig /registerdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R

Hosts:
RemoveProxy:
C:\WINDOWS\SysWOW64\*.tmp
C:\WINDOWS\System32\*.tmp
C:\Windows\SystemTemp\*.tmp
C:\ProgramData\Temp\*
C:\Program Files (x86)\Temp\*
C:\Windows\ServiceProfiles\NetworkService\AppData\Local\Temp\*
C:\Windows\ServiceProfiles\LocalService\AppData\LocalLow\Temp\*
C:\Windows\ServiceProfiles\LocalService\AppData\Local\Temp\*
C:\Users\AllUserName\AppData\LocalLow\Temp\*
C:\Users\AllUserName\Appdata\Local\Temp\*
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit diesem Fix werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Super Danke schon mal.

Audiograbber habe ich direkt wieder runtergeschmissen und ein Appleprogramm namens "Bonjour" welches mir nichts sagte auch - bevor ich das Reparieren gestertet habe.

Sehr gut gemacht, mein Kompliment.

Der Fund von MBAM war wohl berechtigt, auch wenn nicht viele bei VT angeschlagen haben.



Als Nächstes:
Zwei Kontrollen und ein Check deiner Programme bitte.






Schritt 1
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.




Schritt 2
Führe ESET Online Scanner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.




Schritt 3
Führe SecurityCheck gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von AdwCleaner
• die Logdatei von ESET
• die Logdatei von SecurityCheck

oh, vielen Dank.
Aber was meinst Du denn mit VT?

Macht es einen Unterschied, ob die Programme auf den Desktop oder in meinen Downloadordner runtergeladen werden?
Ich müsste jetzt erst suchen, wo ich das umstellen kann :o

VT = Virustotal
eine Plattform, bei der man verdächtige Datei hochladen kann. Dort werden sie u. a. mit 60+ Anti-Malware-Programmen und ggf. in virtuellen Umgebungen überprüft.

Mit dem FRST-Fix habe ich die verdächtige Datei dort hochgeladen und anschließend entfernen lassen.



Nein, das macht nichts.
Nicht gut wäre ein temporärer Ordner.



Diese Programme bitte aktualisieren, wenn du sie noch verwendest:
Wenn du sie nicht mehr verwendest, gleich über Start>Einstellungen>Apps deinstallieren.




Dann solltest du noch etwas auf deine Downloadquellen achten, daher hier ein kurze Info dazu.








Abschließender Schritt
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.



Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:






Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Noch ein Tipp:

Falls Windows 10 dir kein Update auf 22H2 anbietet, kannst du manuell KB5015684 installieren und hast nach dem Reboot 22H2 bzw. Build 19045.

Hallo Matthias,

Vielen Dank für Deine Erklärungen.
Die von Dir genannten Programme habe ich - bis auf Spotify - deinstalliert.
Dort war zwar kein update zu finden, ich habe dann einfach die alte Version deinstalliert und die Neue Version über den "Microsoft Store" runtergeladen.

Erst danach habe ich von dem Paketmanager gelesen, den werde ich mir die Tage in Ruhe anschauen. Aber die Auflistung von den zu meidenden Seiten habe ich mir direkt gespeichert - tatsächlich war chip bisher immer mein erster Anlaufpunkt und ich habe Warnungen von vorhandenen Programmen oft auch ignoriert, wiel ich chip als total vertrauenswürdig eingestuft hatte :eek:

auch den letzten Schritt habe ich (völlig fasziniert was es alles für Programme gibt) ausgefühhrt. Hier die Logdatei:

Den Lesestoff würde ich in Ruhe in einigen Tagen durchgesehn und umsetzen - den Tipp von cosinus (Vielen Dank :daumenhoc ) habe ich direkt umgesetzt.

Ich danke Dir wirklich sehr für die schnelle und kompetente Hilfe und werde auch noch mal in den verlinkten Thread schreiben und natürlich auch wieder spenden, denn es ist wirklich mega, was ihr hier leistet!

Bist du denn jetzt bei Build 19045? Kannst ruhig nochmal SecurityCheck machen :)

Die Quarantäne hast du von KpRm nicht entfernen lassen, hätte man auch noch machen können (siehe Anleitung, da müssen zwei Häkchen gesetzt werden).



Vielen Dank für die Spende. Sie dient zur Erhaltung des Forums. :)



Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.

Thread ist wieder offen.

Vielen Dank.

Das mit der Quarantäne lässt mir keine Ruhe - ich habe KpRm noch mal durchgeführt und würde gerne die logDatei posten, um zu sehen, ob ich dieses Mal alles richtig entfernt habe
(mein laienhaftes Auge sagt aber 'könnte gut aussehen').

Also ich habe das Update auf 22H2 durchgeführt.
Security Check mache ich gleich noch mal und würde die LOG Datei hier posten

Beide Logdateien sehen gut aus. :abklatsch:

Sonst alles in Ordnung? :)