Avira Sicherheitswarnung "Potenzielle Bedrohung blockiert Dateiname: Memorybuffer........"
 

Hallo,

seit ein paar Tagen bekomme ich beim Start des PCs (Windows 10 Pro, 64 Bit) über Avira die auf Screenshot 1 ersichtliche Warnmeldung angezeigt.

Wenn ich dann in der Quarantäne nachschaue, ist sie leer. Ich habe generell mal nach den Begriffen gegoogelt, aber konnte keine Schlüsse daraus ziehen. Auf Screenshot 2 sind die aufgeklappten Details zu der Warnmeldung ersichtlich. Ebenso habe ich die beiden von FRST erstellten .txt Dateien bereits angehängt.

Welche Bedrohung ist das, könnt ihr mir bei der Beseitung helfen und warum ist nichts in der Quarantäne?

Mit freundlichen Grüßen und vielen Dank im voraus,
Ralph

Zuerst mal: Avira und das alte Java 8 komplett deinstallieren. Dann gehts weiter.
Und Logfiles bitte künftig nur in CODE-Tags posten, nicht in den Anhang!

Hallo Cosinus,

vielen Dank für die schnelle Rückmeldung.

ist erledigt

Was sind "CODE-Tags" und wie geht das?

Grüße, Ralph

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

adwcleaner bitte wiederholen falls es Funde gab.

wie angewiesen, habe ich den Scan wiederholt, hier der neue Log:


Aber auch hier hat er wieder einen Fund gehabt, habe ich wieder in die quarantäne verschoben und den scan zum dritten mal gestartet, dieser Fund taucht aber anscheinend immer wieder auf.

Dann jetzt neue FRST-Logs.

erldigt, hier die Logs:

Ich übernehme ab hier. :daumenhoc


Avira hat die Malware nicht erkannt (daher konnte auch nichts in die Quarantäne verschoben werden), sondern nur einen unerlaubten Zugriff blockiert.
Wir können dir helfen. :)


Der Windows Defender ist ja schon eingeschritten und hat einen Teil der Malware eliminiert:


Aber es gibt noch einiges zu tun.

Bitte erst die gesamte Anleitung lesen, bevor du loslegst!





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:

VirusTotal: C:\ProgramData\Panasonic\nnu.exe;C:\ProgramData\Adobe\udp.exe;C:\ProgramData\Sharp\onn.exe
VirusTotal: C:\ProgramData\Epsonhp\mmi\mme.exe;C:\ProgramData\Sun\Omg\dwm.exe
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Winlogon: [Shell] explorer.exe,"C:\ProgramData\Panasonic\nnu.exe,C:\ProgramData\Adobe\udp.exe,C:\ProgramData\Sharp\onn.exe,C:\ProgramData\Epsonhp\mmi\mme.exe,C:\ProgramData\Sun\Omg\dwm.exe" <==== ACHTUNG
C:\ProgramData\Panasonic\nnu.exe
C:\ProgramData\Adobe\udp.exe
C:\ProgramData\Sharp\onn.exe
C:\ProgramData\Epsonhp\mmi\mme.exe
C:\ProgramData\Sun\Omg\dwm.exe
Folder: C:\ProgramData\Panasonic
Folder: C:\ProgramData\Adobe
Folder: C:\ProgramData\Sharp
Folder: C:\ProgramData\Epsonhp
Folder: C:\ProgramData\Sun
CMD: dir "C:\ProgramData"

HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [Vaweceoo] => C:\Users\schdohni\AppData\Roaming\Tfjxfz\Vaweceoo.exe [314633728 2022-09-23] (Google LLC) [Datei ist nicht signiert]
Folder: C:\Users\schdohni\AppData\Roaming\Tfjxfz
CMD: dir "C:\Users\schdohni\AppData\Roaming"

Unlock: HKCU\SOFTWARE\E830AF50B2B0417819725010A63A71B5
CMD: reg query "HKCU\SOFTWARE\E830AF50B2B0417819725010A63A71B5" /S

HKLM\...\Run: [] => [X]
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [PlariumPlay] => C:\Users\schdohni\AppData\Local\Plarium\PlariumPlay\PlariumPlay --args -run-with-os (Keine Datei)
HKU\S-1-5-21-144240348-1158812916-3569957004-1001\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Beschränkung <==== ACHTUNG
GroupPolicy: Beschränkung ? <==== ACHTUNG
GroupPolicy-Firefox: Beschränkung <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3: <==== ACHTUNG (Beschränkung - Zones)
FF Extension: (Avira Browser Safety) - C:\Users\schdohni\AppData\Roaming\Mozilla\Firefox\Profiles\q3dnqrki.default\Extensions\abs@avira.com [2021-01-30]
C:\Program Files (x86)\Lavasoft
C:\ProgramData\Application Data\Lavasoft
C:\ProgramData\Lavasoft
C:\Users\AllUserName\AppData\Local\Lavasoft
C:\Users\AllUserName\AppData\Roaming\Lavasoft
DeleteKey: HKCU\Software\Lavasoft
DeleteKey: HKLM\Software\Wow6432Node\Lavasoft
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Avira
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\ProgramData\Avira
2022-11-07 12:54 - 2021-01-30 12:34 - 000000000 ____D C:\Program Files (x86)\Avira
C:\Users\AllUserName\AppData\Local\Avira
C:\Users\AllUserName\AppData\Roaming\Avira
ContextMenuHandlers2: [ContextMenu] -> {ee10d625-cc60-30a4-b3df-4b349785be6b} => C:\Program Files (x86)\Avira\Security\Antivirus.ContextMenu\Antivirus.ContextMenu.DLL -> Keine Datei
ContextMenuHandlers3: [ContextMenu] -> {ee10d625-cc60-30a4-b3df-4b349785be6b} => C:\Program Files (x86)\Avira\Security\Antivirus.ContextMenu\Antivirus.ContextMenu.DLL -> Keine Datei
AlternateDataStreams: C:\ProgramData\UpdateLock-D78BF5DD33499EC2:A4C50C4FA2 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access.lnk:A1B76439FE [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel.lnk:B96E9B8455 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FACEIT AC.lnk:550995E265 [3442]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Firefox.lnk:980850BA8A [3442]

startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit diesem Fix werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo M-K-D-B,

vielen Dank, allerdings bleibe ich schon am Anfang stecken, wenn ich den Button Reparieren nutzen möchte, kommt folgende Meldung:

"fixlist.txt wurde nicht gefunden.

Die fixlist.txt muss sich im gleichen Ordner/Verzeichnis wie das programm befinden."

Hast du wirklich den gesamten Inhalt der Code-Box markiert und dann kopiert (STRG + C)?
Wirklich alles? Inklusive der Zeilen Start:: und End:: ?
Das ist sehr wichtig.

Hallo,

Problem hat sich kurz nach meinem Post behoben, anscheinend wollte mein Rechner STRG+C nicht nehmen, aber mit rechtsklick kopieren ging es. Da die Aktion aber den Browser geschlossen hat und ich diesen wärend dem Vorgang nicht wieder öffnen wollte, konnte ich nicht Bescheid geben.

nun habe ich allerdings ein anderes Problem, die Seite möchte mir den Code nicht annehmen.

Wer lesen kann ist klar im Vorteil, mein Text ist mit 1,2 Millionen Zeichen wohl zu lang. Diesen nun aber in lauter Teile mit 120000 Zeichen aufzuteilen ist auch nicht unkompliziert, anscheinend ist die Möglichkeit des Uploads einer Datei aber auch nicht mehr gegeben.

Ein Upload ist möglich.

Rechtsklick auf die fixlog.txt > Senden an > Zip-komprimierter Ordner.
Die Zip Datei kannst du dann im nächsten Post als Anhang hochladen.

Eben da liegt das Problem, bei meinem ersten Post hier im Thread hatte ich hier über dem Textfenster noch um einiges mehr Buttons, unter anderem eines um Anhänge hoch zu laden bei dem sich das Fenster dafür öffnete.
Jetzt habe ich in der Leiste nur noch folgende Funktionen:
- Textformatierung entfernen
- Größe
- Fett
- Kursiv
- Unterstrichen
- Textfarbe
- Link einfügen
- Grafik einfügen
- Zitat einfügen
- Youtube code einfügen
- Code einfügen

https://i.ibb.co/vB2xcpR/Unbenannt.jpg

Und was wird dir angezeigt, wenn du darunter auf den Button "Erweitert" klickst? :wtf:

Du kannst den Inhalt der fixlog.txt auch kopieren und hier einfügen:
https://pastebin.com/

Bei "Paste Name / Title:" einen Namen vergeben und auf "Create New Paste" klicken.

Mir dann den Link oben aus der Adressleiste schicken.

ok...jetzt komm ich mir erst so richtig dumm vor....also ja, dann ist alles wieder da....inklusive dem nächsten Problem, wenn ich die zip-Datei nun hochladen möchte, sagt er diese sei zu groß:

"Fehler beim Hochladen
Fixlog.zip:
Die Datei, die Sie anhängen möchten, ist zu groß. Die maximale Dateigröße für diesen Dateityp beträgt 4,77 MB. Ihre Datei ist 6,21 MB groß."

Teile ich diese nun auf indem ich die maximale Dateigröße beim Packen auf 4Mb stelle, wird eine .zip und eine .z01 erstellt. Bei der .z01 sagt mir euer Board aber das es eine ungültige Datei ist.

Dann probieren wir das hier... ;)

ich weiss nicht ob das nun lustig ist, oder zum heulen...."You have exceeded the maximum size of 512 kilobytes per Paste."

....ich verzweifel langsam, ist das normal das die Datei so groß ist (die grund-Datei fixlog.txt hat über 11mb)

Ok, kein Problem. Mit dem Fix sind auch noch ein paar Analysen mit dabei, daher ist die Datei so groß. ;)


Kannst du mir die zip Datei hier hochladen und den Link schicken?

https://www.file.io/
oder
https://easyupload.io/

aber klar kann ich das: https://file.io/kFu2KHBHzObX

Na also... geht doch... :D

War ja gar nicht schwierig mit der Logdatei :rofl:

Die Auswertung der fixlog.txt wird dauern, morgen Nachmittag vermutlich. Muss für heute Schluss machen.

Bitte bis morgen FRST erneut ausführen mit einem neuen Suchlauf und beide Logdateien posten.


Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

gerne, ergebnisse weiter unten. Dann wünsche ich eine gute Nacht und bedanke mich schon mal vielmals für die Hilfe und vor allem die Geduld mit mir....

Danke, ich schaus mir später an. :abklatsch:

Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
CMD: type "C:\ProgramData\Panasonic\iss.txt"
CMD: type "C:\ProgramData\Panasonic\omegle.rpg"
C:\ProgramData\Panasonic
C:\ProgramData\Sharp
C:\ProgramData\Epsonhp
C:\ProgramData\Sun
C:\Users\schdohni\AppData\Roaming\Tfjxfz
DeleteKey: HKCU\SOFTWARE\E830AF50B2B0417819725010A63A71B5
AV: Avira Antivirus (Enabled - Up to date) {88AE6B46-DC3C-455A-A21B-085F285A3546}
AS: Avira Antivirus (Enabled - Up to date) {33CF8AA2-FA06-4AD4-98AB-332D53DD7FFB}
C:\WINDOWS\system32\Tasks\Avira
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
C:\ProgramData\ntuser.pol
CMD: reg query "HKCU\SOFTWARE"
CMD: reg query "HKLM\SOFTWARE" /reg:32
CMD: reg query "HKLM\SOFTWARE" /reg:64
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit diesem Fix werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: E830AF50B2B0417819725010A63A71B5;wdcetcbtcwdc

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)

Gut gemacht. :)


Wir kontrollieren mit MBAM und ESET.





Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe ESET Online Scanner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von ESET

ich poste das mal, der scan von Eset läuft jetzt seit 3 Stunden und braucht wohl noch eine Weile.

ESET ist nun auch endlich fertig nachdem ich es ein zweites mal starten musste weil er sich an einer Date aufgehängt hat und stimmt mich schon mal positiv:

MBAM bitte wiederholen.

Die Syncronisierung von Google Chrome verhindert, dass die Adware vollständig entfernt werden kann. ;)

Bitte berichte auch, wie das System nach Schritt 3 läuft!



Schritt 1

• Starte Google Chrome.
• Klicke rechts oben im Profil auf Synchronisation ist aktiviert.
• Klicke anschließend auf Deaktivieren und bestätige nochmals mit Deaktivieren.
• Melde dich in deinem Google Dashboard an.
• Klicke auf Daten löschen und bestätige dies mit Ok. Mit diesem Schritt werden die Daten von den Google-Servern entfernt.
• Melde dich von deinem Google Konto ab.
• Schließe Google Chrome.
• Die Synchronisation musst du nun von jedem anderen Gerät (Computer, Laptop, Tablet, Smartphone, etc.), auf dem du Google Dienste nutzt, deaktivieren, ansonsten kommt die Infektion zurück.
• Erst wenn das alles erledigt ist, kannst du mit dem nächsten Schritt fortfahren.

Schritt 2

• Deinstalliere zuerst Backup and Sync from Google (sofern installiert) über Start > Einstellungen > Apps. und starte den Rechner neu auf.
• Deinstalliere Google Chrome über Start > Einstellungen > Apps.
• Setze bei der Deinstallation auch einen Haken vor Auch die Browserdaten löschen.
• Starte den Rechner im Anschluss neu auf.
• Installiere Google Chrome neu (falls benötigt). Vorerst keine Erweiterungen/Plugins installieren und nicht mit einem evtl. vorhandenen Konto verbinden/synchronisieren.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Wie läuft das System?




Schritt 1
Führe SecurityCheck gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Das System läuft wie immer, ich hatte aber auch keine spürparen Einschränkungen durch den Befall, also der Rechner war nicht langsamer oder so, es gab eben nur die Warnmeldung.

Bitte die folgenden Programme updaten (falls noch benötigt) oder deinstallieren (falls nicht mehr benötigt):
TeamViewer v.15.30.3
LibreOffice 7.1.3.2 v.7.1.3.2
NVIDIA GeForce Experience 3.25.1.27 v.3.25.1.27
FileZilla Client 3.55.0 v.3.55.0
Notepad++ (32-bit x86) v.8.1.7
WinRAR 6.00 (64-Bit) v.6.00.0
Discord v.1.0.9004
Microsoft Teams v.1.4.00.11161
Zoom v.5.8.4 (1736)
VLC media player v.3.0.12
Spotify v.1.1.80.699.gc3dac750
Mozilla Thunderbird (x64 de) v.102.4.1



Die Downloadlinks findest du in der Logdatei von SecurityCheck.

Du solltest alle Passwörter ändern, mehr dazu in den verlinkten Informationen weiter unten.





Abschließender Schritt
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.



Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:






Schritt 1
Auf deinem Computer fehlt das aktuelle Funktionsupdate Version 22H2.

• Folge dem Pfad Start > Einstellungen > Update und Sicherheit > Windows Update und klicke auf Nach Updates suchen.
• Wähle alle angebotenen Kumulativen Updates bzw. Funktionsupdates aus, downloade und installiere sie.
• Starte den Rechner zum Abschluss neu.
• Wiederhole den Vorgang, bis keine neuen Updates mehr angezeigt werden.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

alles soweit erledigt, vielen Dank für die Hilfe, ich habe entsprechendes Feedback hinterlassen und euch auch eine kleine (wirklich klein, aber als Alleinerziehender Vater sind meine Mittel begrenzt, Entschuldigung dafür) Spende hinterlassen.

Hier noch der Log:

Vielen Dank für die Spende. Sie dient zur Erhaltung des Forums. :)



Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.