Avira Sicherheitswarnung "Potenzielle Bedrohung blockiert Dateiname: Memorybuffer........"
 

Hallo,

seit ein paar Tagen bekomme ich beim Start des PCs (Windows 10 Pro, 64 Bit) über Avira die auf Screenshot 1 ersichtliche Warnmeldung angezeigt.

Wenn ich dann in der Quarantäne nachschaue, ist sie leer. Ich habe generell mal nach den Begriffen gegoogelt, aber konnte keine Schlüsse daraus ziehen. Auf Screenshot 2 sind die aufgeklappten Details zu der Warnmeldung ersichtlich. Ebenso habe ich die beiden von FRST erstellten .txt Dateien bereits angehängt.

Welche Bedrohung ist das, könnt ihr mir bei der Beseitung helfen und warum ist nichts in der Quarantäne?

Mit freundlichen Grüßen und vielen Dank im voraus,
Ralph

Zuerst mal: Avira und das alte Java 8 komplett deinstallieren. Dann gehts weiter.
Und Logfiles bitte künftig nur in CODE-Tags posten, nicht in den Anhang!

Hallo Cosinus,

vielen Dank für die schnelle Rückmeldung.

ist erledigt

Was sind "CODE-Tags" und wie geht das?

Grüße, Ralph

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

adwcleaner bitte wiederholen falls es Funde gab.

wie angewiesen, habe ich den Scan wiederholt, hier der neue Log:


Aber auch hier hat er wieder einen Fund gehabt, habe ich wieder in die quarantäne verschoben und den scan zum dritten mal gestartet, dieser Fund taucht aber anscheinend immer wieder auf.

Dann jetzt neue FRST-Logs.

erldigt, hier die Logs:

Ich übernehme ab hier. :daumenhoc


Avira hat die Malware nicht erkannt (daher konnte auch nichts in die Quarantäne verschoben werden), sondern nur einen unerlaubten Zugriff blockiert.
Wir können dir helfen. :)


Der Windows Defender ist ja schon eingeschritten und hat einen Teil der Malware eliminiert:


Aber es gibt noch einiges zu tun.

Bitte erst die gesamte Anleitung lesen, bevor du loslegst!





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:

VirusTotal: C:\ProgramData\Panasonic\nnu.exe;C:\ProgramData\Adobe\udp.exe;C:\ProgramData\Sharp\onn.exe
VirusTotal: C:\ProgramData\Epsonhp\mmi\mme.exe;C:\ProgramData\Sun\Omg\dwm.exe
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Winlogon: [Shell] explorer.exe,"C:\ProgramData\Panasonic\nnu.exe,C:\ProgramData\Adobe\udp.exe,C:\ProgramData\Sharp\onn.exe,C:\ProgramData\Epsonhp\mmi\mme.exe,C:\ProgramData\Sun\Omg\dwm.exe" <==== ACHTUNG
C:\ProgramData\Panasonic\nnu.exe
C:\ProgramData\Adobe\udp.exe
C:\ProgramData\Sharp\onn.exe
C:\ProgramData\Epsonhp\mmi\mme.exe
C:\ProgramData\Sun\Omg\dwm.exe
Folder: C:\ProgramData\Panasonic
Folder: C:\ProgramData\Adobe
Folder: C:\ProgramData\Sharp
Folder: C:\ProgramData\Epsonhp
Folder: C:\ProgramData\Sun
CMD: dir "C:\ProgramData"

HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [Vaweceoo] => C:\Users\schdohni\AppData\Roaming\Tfjxfz\Vaweceoo.exe [314633728 2022-09-23] (Google LLC) [Datei ist nicht signiert]
Folder: C:\Users\schdohni\AppData\Roaming\Tfjxfz
CMD: dir "C:\Users\schdohni\AppData\Roaming"

Unlock: HKCU\SOFTWARE\E830AF50B2B0417819725010A63A71B5
CMD: reg query "HKCU\SOFTWARE\E830AF50B2B0417819725010A63A71B5" /S

HKLM\...\Run: [] => [X]
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [PlariumPlay] => C:\Users\schdohni\AppData\Local\Plarium\PlariumPlay\PlariumPlay --args -run-with-os (Keine Datei)
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Beschränkung <==== ACHTUNG
GroupPolicy: Beschränkung ? <==== ACHTUNG
GroupPolicy-Firefox: Beschränkung <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3: <==== ACHTUNG (Beschränkung - Zones)
FF Extension: (Avira Browser Safety) - C:\Users\schdohni\AppData\Roaming\Mozilla\Firefox\Profiles\q3dnqrki.default\Extensions\abs@avira.com [2021-01-30]
C:\Program Files (x86)\Lavasoft
C:\ProgramData\Application Data\Lavasoft
C:\ProgramData\Lavasoft
C:\Users\AllUserName\AppData\Local\Lavasoft
C:\Users\AllUserName\AppData\Roaming\Lavasoft
DeleteKey: HKCU\Software\Lavasoft
DeleteKey: HKLM\Software\Wow6432Node\Lavasoft
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Avira
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\ProgramData\Avira
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\Program Files (x86)\Avira
C:\Users\AllUserName\AppData\Local\Avira
C:\Users\AllUserName\AppData\Roaming\Avira
ContextMenuHandlers2: [ContextMenu] -> {ee10d625-cc60-30a4-b3df-4b349785be6b} => C:\Program Files (x86)\Avira\Security\Antivirus.ContextMenu\Antivirus.ContextMenu.DLL -> Keine Datei
ContextMenuHandlers3: [ContextMenu] -> {ee10d625-cc60-30a4-b3df-4b349785be6b} => C:\Program Files (x86)\Avira\Security\Antivirus.ContextMenu\Antivirus.ContextMenu.DLL -> Keine Datei
AlternateDataStreams: C:\ProgramData\UpdateLock-D78BF5DD33499EC2:A4C50C4FA2 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access.lnk:A1B76439FE [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FACEIT AC.lnk:550995E265 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Firefox.lnk:980850BA8A [3442]

startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit diesem Fix werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo M-K-D-B,

vielen Dank, allerdings bleibe ich schon am Anfang stecken, wenn ich den Button Reparieren nutzen möchte, kommt folgende Meldung:

"fixlist.txt wurde nicht gefunden.

Die fixlist.txt muss sich im gleichen Ordner/Verzeichnis wie das programm befinden."

Hast du wirklich den gesamten Inhalt der Code-Box markiert und dann kopiert (STRG + C)?
Wirklich alles? Inklusive der Zeilen Start:: und End:: ?
Das ist sehr wichtig.

Hallo,

Problem hat sich kurz nach meinem Post behoben, anscheinend wollte mein Rechner STRG+C nicht nehmen, aber mit rechtsklick kopieren ging es. Da die Aktion aber den Browser geschlossen hat und ich diesen wärend dem Vorgang nicht wieder öffnen wollte, konnte ich nicht Bescheid geben.

nun habe ich allerdings ein anderes Problem, die Seite möchte mir den Code nicht annehmen.

Wer lesen kann ist klar im Vorteil, mein Text ist mit 1,2 Millionen Zeichen wohl zu lang. Diesen nun aber in lauter Teile mit 120000 Zeichen aufzuteilen ist auch nicht unkompliziert, anscheinend ist die Möglichkeit des Uploads einer Datei aber auch nicht mehr gegeben.

Ein Upload ist möglich.

Rechtsklick auf die fixlog.txt > Senden an > Zip-komprimierter Ordner.
Die Zip Datei kannst du dann im nächsten Post als Anhang hochladen.

Eben da liegt das Problem, bei meinem ersten Post hier im Thread hatte ich hier über dem Textfenster noch um einiges mehr Buttons, unter anderem eines um Anhänge hoch zu laden bei dem sich das Fenster dafür öffnete.
Jetzt habe ich in der Leiste nur noch folgende Funktionen:
- Textformatierung entfernen
- Größe
- Fett
- Kursiv
- Unterstrichen
- Textfarbe
- Link einfügen
- Grafik einfügen
- Zitat einfügen
- Youtube code einfügen
- Code einfügen

https://i.ibb.co/vB2xcpR/Unbenannt.jpg

Und was wird dir angezeigt, wenn du darunter auf den Button "Erweitert" klickst? :wtf: