| Söckchen | 29.10.2022 10:13 |
Hallo Matthias,
danke für die Info und den Post. Ich habe gerade die Reparatur durchgeführt. Gestern hatte ich noch Nachrichten zu dem gleichen Thema angeschaut und mir Malwarebytes herunter geladen. Der Scan ergab dann auch 14 Bedrohungen. Den Inhalt des Scans poste ich dann im Anschluss an die fixlog.txt.
Danke nochmals für die schnelle und kompetente Hilfe! :-)
Viele Grüße
Andrea Code:
Entfernungsergebnis von Farbar Recovery Scan Tool (x64) Version: 27-10-2022
durchgeführt von User (29-10-2022 10:31:13) Run:1
Gestartet von C:\Users\User\Downloads
Geladene Profile: User
Start-Modus: Normal
==============================================
fixlist Inhalt:
*****************
Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
Unlock: C:\Users\User\AppData\Roaming\t1IpxY7Q
Unlock: C:\Users\User\AppData\Roaming\PvRAGdwS
VirusTotal: C:\Users\User\AppData\Roaming\t1IpxY7Q\ctfmon.exe;C:\Windows\System32\Tasks\MicrosoftSystemMetrics_2382;C:\Users\User\AppData\Roaming\PvRAGdwS\SupportTool.exe;C:\Users\User\AppData\Roaming\PvRAGdwS\update.py
HKU\S-1-5-21-130882417-2758672297-939559432-1000\...\Run: [ctfmon_] => C:\Users\User\AppData\Roaming\t1IpxY7Q\ctfmon.exe [112176 2020-05-06] (NetSupport Ltd -> NetSupport Ltd) <==== ACHTUNG
C:\Users\User\AppData\Roaming\t1IpxY7Q
Task: {48B088FF-084D-42AB-A0F3-4B47D70C26B7} - System32\Tasks\MicrosoftSystemMetrics_2382 => C:\Users\User\AppData\Roaming\PvRAGdwS\SupportTool.exe [17408 2020-11-17] (IronPython Team) [Datei ist nicht signiert] -> C:\Users\User\AppData\Roaming\PvRAGdwS\update.py
C:\Users\User\AppData\Roaming\PvRAGdwS
HKU\S-1-5-21-130882417-2758672297-939559432-1000\...\Run: [AdobeBridge] => [X]
Task: {25451324-20ED-43F1-B16D-71AEF8DCDEF0} - System32\Tasks\GoogleUpdateTaskUserS-1-5-21-130882417-2758672297-939559432-1000Core => C:\Users\User\AppData\Local\Google\Update\GoogleUpdate.exe /c (Keine Datei)
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3: <==== ACHTUNG (Beschränkung - Zones)
ProxyServer: [S-1-5-21-130882417-2758672297-939559432-1000] => http=localhost:8811;https=localhost:8811
S3 netprotection_network_filter2; System32\drivers\netprotection_network_filter2.sys [X]
HKU\S-1-5-21-130882417-2758672297-939559432-1000\...\StartupApproved\Run: => "ctfmon_"
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
End::
*****************
SystemRestore: On => abgeschlossen
Wiederherstellungspunkt wurde erfolgreich erstellt.
Prozesse erfolgreich geschlossen.
"C:\Users\User\AppData\Roaming\t1IpxY7Q" => wurde entsperrt
"C:\Users\User\AppData\Roaming\PvRAGdwS" => wurde entsperrt
"VirusTotal: C:\Users\User\AppData\Roaming\t1IpxY7Q\ctfmon.exe" => nicht gefunden
"VirusTotal: C:\Windows\System32\Tasks\MicrosoftSystemMetrics_2382" => nicht gefunden
VirusTotal: C:\Users\User\AppData\Roaming\PvRAGdwS\SupportTool.exe => https://www.virustotal.com/gui/file/3e442cda613415aedf80b8a1cfa4181bf4b85c548c043b88334e4067dd6600a6/detection/f-3e442cda613415aedf80b8a1cfa4181bf4b85c548c043b88334e4067dd6600a6-1666311877
"VirusTotal: C:\Users\User\AppData\Roaming\PvRAGdwS\update.py" => nicht gefunden
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\Software\Microsoft\Windows\CurrentVersion\Run\\ctfmon_" => nicht gefunden
C:\Users\User\AppData\Roaming\t1IpxY7Q => erfolgreich verschoben
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{48B088FF-084D-42AB-A0F3-4B47D70C26B7}" => nicht gefunden
"C:\Windows\System32\Tasks\MicrosoftSystemMetrics_2382" => nicht gefunden
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\MicrosoftSystemMetrics_2382" => nicht gefunden
C:\Users\User\AppData\Roaming\PvRAGdwS => erfolgreich verschoben
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\Software\Microsoft\Windows\CurrentVersion\Run\\AdobeBridge" => erfolgreich entfernt
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{25451324-20ED-43F1-B16D-71AEF8DCDEF0}" => erfolgreich entfernt
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{25451324-20ED-43F1-B16D-71AEF8DCDEF0}" => erfolgreich entfernt
C:\Windows\System32\Tasks\GoogleUpdateTaskUserS-1-5-21-130882417-2758672297-939559432-1000Core => erfolgreich verschoben
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\GoogleUpdateTaskUserS-1-5-21-130882417-2758672297-939559432-1000Core" => erfolgreich entfernt
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3 => erfolgreich entfernt
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer" => erfolgreich entfernt
HKLM\System\CurrentControlSet\Services\netprotection_network_filter2 => konnte nicht entfernt werden. Zugriff verweigert.
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\\ctfmon_" => erfolgreich entfernt
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ctfmon_" => nicht gefunden
========= Powershell: =========
Set-MpPreference : Es ist ein allgemeiner Fehler aufgetreten, für den kein spezifischerer Fehlercode verfügbar ist.
In C:\FRST\tmp000.ps1:9 Zeichen:1
+ Set-MpPreference -DisableAutoExclusions $true -Force
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : NotSpecified: (MSFT_MpPreference:root\Microsoft\...FT_MpPreference) [Set-MpPreference],
CimException
+ FullyQualifiedErrorId : HRESULT 0x800106ba,Set-MpPreference
========= Ende von Powershell: =========
========= netsh winsock reset =========
Der Winsock-Katalog wurde zurckgesetzt.
Sie mssen den Computer neu starten, um den Vorgang abzuschlieáen.
========= Ende von CMD: =========
========= netsh int ip reset =========
Depotweiterleitung wird zurckgesetzt... OK
Depot wird zurckgesetzt... OK
Steuerungsprotokoll wird zurckgesetzt... OK
Echosequenzanforderung wird zurckgesetzt... OK
Global wird zurckgesetzt... OK
Schnittstelle wird zurckgesetzt... OK
Anycastadresse wird zurckgesetzt... OK
Multicastadresse wird zurckgesetzt... OK
Unicastadresse wird zurckgesetzt... OK
Nachbar wird zurckgesetzt... OK
Pfad wird zurckgesetzt... OK
Potentiell wird zurckgesetzt... OK
Pr„fixrichtlinie wird zurckgesetzt... OK
Proxynachbar wird zurckgesetzt... OK
Route wird zurckgesetzt... OK
Standordpr„fix wird zurckgesetzt... OK
Unterschnittstelle wird zurckgesetzt... OK
Reaktivierungsmuster wird zurckgesetzt... OK
Nachbar aufl”sen wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... Fehler
Zugriff verweigert
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
wird zurckgesetzt... OK
Starten Sie den Computer neu, um die Aktion abzuschlieáen.
========= Ende von CMD: =========
========= ipconfig /flushdns =========
Windows-IP-Konfiguration
Der DNS-Aufl”sungscache wurde geleert.
========= Ende von CMD: =========
========= netsh advfirewall reset =========
OK.
========= Ende von CMD: =========
========= netsh advfirewall set allprofiles state ON =========
OK.
========= Ende von CMD: =========
========= netsh winhttp reset proxy =========
Aktuelle WinHTTP-Proxyeinstellungen:
DirectAccess (kein Proxyserver).
========= Ende von CMD: =========
========= Bitsadmin /Reset /Allusers =========
BITSADMIN version 3.0
BITS administration utility.
(C) Copyright Microsoft Corp.
Unable to cancel {91A1EB8C-0A66-4E37-A22F-540BD182457E}.
0 out of 1 jobs canceled.
========= Ende von CMD: =========
========= "%WINDIR%\SYSTEM32\lodctr.exe" /R =========
Info: Die Leistungsindikatoreinstellung konnte erfolgreich aus dem Systemsicherungsspeicher neu erstellt werden.
========= Ende von CMD: =========
========= "%WINDIR%\SysWOW64\lodctr.exe" /R =========
Info: Die Leistungsindikatoreinstellung konnte erfolgreich aus dem Systemsicherungsspeicher neu erstellt werden.
========= Ende von CMD: =========
========= "%WINDIR%\SYSTEM32\lodctr.exe" /R =========
Info: Die Leistungsindikatoreinstellung konnte erfolgreich aus dem Systemsicherungsspeicher neu erstellt werden.
========= Ende von CMD: =========
========= "%WINDIR%\SysWOW64\lodctr.exe" /R =========
Info: Die Leistungsindikatoreinstellung konnte erfolgreich aus dem Systemsicherungsspeicher neu erstellt werden.
========= Ende von CMD: =========
C:\Windows\System32\Drivers\etc\hosts => erfolgreich verschoben
Hosts erfolgreich wiederhergestellt.
========= RemoveProxy: =========
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => erfolgreich entfernt
"HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => erfolgreich entfernt
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => erfolgreich entfernt
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => erfolgreich entfernt
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => erfolgreich entfernt
"HKU\S-1-5-21-130882417-2758672297-939559432-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => erfolgreich entfernt
========= Ende von RemoveProxy: =========
=========== EmptyTemp: ==========
FlushDNS => abgeschlossen
BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 13922095 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 0 B
Windows/system/drivers => 403028835 B
Edge => 0 B
Chrome => 2543904504 B
Firefox => 0 B
Opera => 0 B
Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 193484 B
NetworkService => 204614 B
User => 89621704 B
RecycleBin => 68052024 B
EmptyTemp: => 2.9 GB temporäre Dateien entfernt.
================================
Ergebnis der geplanten Datei-Verschiebungen (Start-Modus: Normal) (Datum&Uhrzeit: 29-10-2022 10:59:46)
Ergebnis der geplanten Schlüssel-Entfernung nach dem Neustart:
HKLM\System\CurrentControlSet\Services\netprotection_network_filter2 => konnte nicht entfernt werden. Zugriff verweigert.
==== Ende vom Fixlog 10:59:46 ====
Hier der Scan von Malwarebytes: Code:
Malwarebytes
www.malwarebytes.com
-Protokolldetails-
Scan-Datum: 28.10.22
Scan-Zeit: 21:20
Protokolldatei: 9a443308-56f5-11ed-ac58-2cf05d06f504.json
-Softwaredaten-
Version: 4.5.16.217
Komponentenversion: 1.0.1792
Version des Aktualisierungspakets: 1.0.61653
Lizenz: Testversion
-Systemdaten-
Betriebssystem: Windows 10 (Build 19044.2130)
CPU: x64
Dateisystem: NTFS
Benutzer: DESKTOP-CM2M8OT\User
-Scan-Übersicht-
Scan-Typ: Bedrohungs-Scan
Scan gestartet von: Manuell
Ergebnis: Abgeschlossen
Gescannte Objekte: 332920
Erkannte Bedrohungen: 14
In die Quarantäne verschobene Bedrohungen: 14
Abgelaufene Zeit: 2 Min., 11 Sek.
-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Erkennung
PUM: Erkennung
-Scan-Details-
Prozess: 0
(keine bösartigen Elemente erkannt)
Modul: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 3
Trojan.Script, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\MicrosoftSystemMetrics_2382, In Quarantäne, 3589, 929704, , , , , ,
Trojan.Script, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{48B088FF-084D-42AB-A0F3-4B47D70C26B7}, In Quarantäne, 3589, 929704, , , , , ,
Trojan.Script, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\LOGON\{48B088FF-084D-42AB-A0F3-4B47D70C26B7}, In Quarantäne, 3589, 929704, , , , , ,
Registrierungswert: 1
Trojan.Agent.E, HKU\S-1-5-21-130882417-2758672297-939559432-1000\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|CTFMON_, In Quarantäne, 1318, 999174, 1.0.61653, , ame, , ,
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Daten-Stream: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Datei: 10
Trojan.Agent.E, C:\USERS\USER\APPDATA\ROAMING\T1IPXY7Q\CTFMON.EXE, In Quarantäne, 1318, 999174, , , , , 252DCE576F9FBB9AAA7114DD7150F320, B6B51F4273420C24EA7DC13EF4CC7615262CCBDF6F5E5A49DAE604EC153055AD
Trojan.Script, C:\WINDOWS\SYSTEM32\TASKS\MicrosoftSystemMetrics_2382, In Quarantäne, 3589, 929704, , , , , 9FC4F95A9C36022DDBA9C19FC5CECE97, 721E6DF48CE3CA048E656155D4ED463723F72F6F43D4192C86ACF12DDE92C847
Trojan.Script, C:\USERS\USER\APPDATA\ROAMING\PVRAGDWS\UPDATE.PY, In Quarantäne, 3589, 929704, 1.0.61653, , ame, , 9664DE1B1B8094F40B82EC66616714BF, 68D089398EEA2F8F4BA5F69899A7B6029348BB0FAF23D3A04B3D19CA9ABB96BE
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\PAINT NET - CHIP-INSTALLER VOM 12.03.2021 158B7915FADD56D34DA2C8217349DD3F.EXE, In Quarantäne, 593, 557991, 1.0.61653, , ame, , 5F5B877DFAC2A4EC5AF890F33D7801C6, 5C3022D3CEDD37473E7FA598742CA27DA5B07C1E658A801CC64686F2E1FCB729
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\VOLLVERSION NIK COLLECTION PHOTOSHOP PLUG INS - CHIP-INSTALLER VOM 27.02.2021 2A10A900C3984A92D7EB727471BECC20.EXE, In Quarantäne, 593, 557991, 1.0.61653, , ame, , 5F5B877DFAC2A4EC5AF890F33D7801C6, 5C3022D3CEDD37473E7FA598742CA27DA5B07C1E658A801CC64686F2E1FCB729
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\IRFANVIEW 64 BIT - CHIP-INSTALLER VOM 28.02.2021 32643BCF311C5D69CC816FD56F3A6CD7.EXE, In Quarantäne, 593, 557991, 1.0.61653, , ame, , 5F5B877DFAC2A4EC5AF890F33D7801C6, 5C3022D3CEDD37473E7FA598742CA27DA5B07C1E658A801CC64686F2E1FCB729
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\TINYPIC - INSTALLER _UQZ8.EXE, In Quarantäne, 593, 562568, 1.0.61653, , ame, , 5FB8DF5575C09C5713C1C540CEA9BB5B, 5E7A81B4848B8481BBEE671473532AC712E66694577243434056E0078257E8A7
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\TINYPIC - INSTALLER _UQZ8 (1).EXE, In Quarantäne, 593, 562568, 1.0.61653, , ame, , 5FB8DF5575C09C5713C1C540CEA9BB5B, 5E7A81B4848B8481BBEE671473532AC712E66694577243434056E0078257E8A7
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\VOLLVERSION NIK COLLECTION PHOTOSHOP PLUG INS - CHIP-INSTALLER VOM 28.02.2021 FF4355065516939B0141FD9B47F539CF.EXE, In Quarantäne, 593, 557991, 1.0.61653, , ame, , 5F5B877DFAC2A4EC5AF890F33D7801C6, 5C3022D3CEDD37473E7FA598742CA27DA5B07C1E658A801CC64686F2E1FCB729
PUP.Optional.ChipDe, C:\USERS\USER\DOWNLOADS\VOLLVERSION GOOGLE EARTH PRO - CHIP-INSTALLER VOM 27.02.2021 B5B1421E4C116A67EA086D32205AFBEB.EXE, In Quarantäne, 593, 557991, 1.0.61653, , ame, , 5F5B877DFAC2A4EC5AF890F33D7801C6, 5C3022D3CEDD37473E7FA598742CA27DA5B07C1E658A801CC64686F2E1FCB729
Physischer Sektor: 0
(keine bösartigen Elemente erkannt)
WMI: 0
(keine bösartigen Elemente erkannt)
(end)
|
Lesestoff: