MalwareByte meldet Blockierte Webseite
 

Hallo Matthias,

nachdem du mein Rechner das letzte Mal auf Malware geprüft hattest und auf Grund deines Urlaubs nicht mehr auf meine Frage antworten konntest, hatte ich jedoch wieder ein Problem. Mein Computer (der Browser Chrome) versucht eine Verbindung zu einer Seite aufzubauen (ohne einen Tab zu öffnen) und schicke dabei Nachrichten hoch, dass ein Virus gefunden wurde (was Fake ist ohne Zweifel), wobei MalwareByte immer wieder gemeckert (seltsamerweise versucht Chrome das auch, wenn kein Tab außer den Start Tab offen ist). Die genaue Meldung ist:

Ergebnisdetails: Trojaner
Aktion: Blockierte Webseite
Ort: xml.rxrtb.com

Ich hab schon herausgefunden, das es an eine Berechtigung für Nachrichten lag, die ich bereits entzogen habe und von einer dritten Partei unwissendlich aktiviert wurde. Nachdem ich diese Berechtigung entfernt habe, kommen die Nachrichten nicht mehr. Auch eine Prüfung mit WindowsDefender ergab keinen Fund, ebenso wenig mit MalwareByte.

Mit freundlichen Grüßen,
Sniperwolf

P.S.:
Des Weiteren meckert Chrome nun, wenn ich versuche das FRST zu Downloaden von Eure Quelle: https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/ was er vorher nicht getan hat. Und wollte das einmal melden, ehe ich es Downloaden würde.

Wie wär es mal mit Logfiles?!

Ich wollte ja das FRST runterladen, wie sonst auch immer, aber diesmal hat Chrome den Download blockiert. Daher bin ich mir gerade unsicher, ob der Link (hab ihn gepostet im ersten Beitrag) noch der gleiche ist und ob eure Datei nicht vielleicht ausgetauscht wurde? Weil wie gesagt, auf einmal blockiert Chrome den Download von FRST.

Tolle Logik :confused:

Ist das den euer Link zu FRST: https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/dl/82/ weil ich find es seltsam, dass vor 17 Tagen mit Chrome der Download der Datei nicht blockierte wurde und nun auf ein Mal schon. Matthias hatte mir ja vor 17 Tagen geholfen bei den 3 PUP Problem und da ging ja alles, ehe dann diese Meldung vom Browser wohl kam und nun hab ich natürlich etwas Angst, dass da mehr umgestellt wurde - ich bin da absolut unwissend was so Malware alles kann, cosinus, und ich kann doch nur auf abweichendes Verhalten schauen.

Die Frage ist doch nur: Ist das euer Link und eure Datei und wieso blockiert sie dann Chrome auf einmal? Wenn ich weiß, dass ist wirklich euer Link und eure Datei, lade ich es sofort und hol die Logs. Ich hab nur gerade Angst, dass da Malware gerade den Browser manipuliert.

Woher sollen wir wissen warum Chrome das auf einmal blockiert?
Und warum gehst du davon aus, dass Chrome alles richtig macht?
Und wenn wir was analysieren sollen geht das nicht ohne Logfiles.
Hau Chrome weg und nimm den Firefox.

Jetzt ging der Download wieder das gemerkt wurde, seltsam...

Mir ist aber gerade aufgefallen, als ich den Rechner gestartet habe, dass sich der Mauszeiger horizontal nach oben gezuckt hat, auch als ich die Maus los ließ. Wohl nur ca. 5 Millimeter auf den Bildschirm und die Maus lag zu 1/4 auf den Mauspad.

Hier aber nun die Logs Dateien von FRST, wie von MalwareByte unter Erkennungsverlauf (bei allen steht blockierte Webseite).

MalwareByte Erkennungsverlauf (31.08.23, 15:33)
MalwareByte Erkennungsverlauf (31.08.23, 15:40)
MalwareByte Erkennungsverlauf (31.08.23, 15:47)
MalwareByte Erkennungsverlauf (31.08.23, 16:02)
MalwareByte Erkennungsverlauf (31.08.23, 16:20)
MalwareByte Erkennungsverlauf (03.09.23, 12:28)
Hier der aktuelle Scan-Verlauf von MalwareByte:
Dazu hat Avast Free Antivirus bei seinen Smartscan heute nichts gefunden.

Nun die Logs von FRST64:

FRST.txt

Addition.txt

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

adwcleaner bitte wiederholen falls es Funde gab.

adwCleaner

Auch da seh ich nix. Dann möge MKDB noch mal rüberschauen.

Muss ich das anstoßen, das MKDB drauf schaut, oder macht Ihr das Intern?

Die Logdateien sehen gut aus, ich sehe keine Malware in den Logdateien.

Die Meldung von MBAM kam wohl wegen den von dir erwähnten Berechtigungen.

Woran es jetzt genau liegt, dass Chrome bezüglich der Downloadquelle von FRST meckert, weiß ich auch nicht. Das ist auf jeden Fall ein Fehlalarm.

Okay. Danke fürs drauf schauen :)

Eine Frage noch, Ihr empfehlt ja uBlock Origin. Wenn es heißt, eine Webseite wurde blockiert, muss man nicht gleich Panik kriegen oder? Es heißt dann einfach nur, dass sie nicht aufgerufen wurde und ich geschützt wurde.

Richtig. In der Regel werden diese Seiten blockiert, weil man sich darüber letztlich Malware auf das System holen kann.

Wäre es nebenbei mit euren Richtlinien vereinbar, wenn man noch mein Tower durchchecken würden, damit ich ab sofort beruhigt schlafen kann? Und noch eine Frage... wenn ich im Admin-Konto eine Malware hätte, aber nur noch den Standard Konto nutze, kann das eine Gefahr sein und würde der Windows Defender die Malware dann dennoch entdecken?

Ja, können wir schon machen.


Bitte lade dir die passende Version von Farbar Recovery Scan Tool (FRST) auf deinen Desktop: FRST 32-Bit | FRST 64-Bit

• Starte FRST.
• Solltest du die Meldung "Der Computer wurde durch Windows geschützt" erhalten, klicke auf Weitere Informationen und dann auf Trotzdem ausführen.
• Klicke auf Ja, um fortzufahren.
• Klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach im selben Verzeichnis wie FRST.
• Poste uns die zwei Logdateien ( FRST.txt und Addition.txt ) in deinem Thema.

Wenn das "Standardkonto" über Adminrechte verfügt, sehe ich keine Probleme, da man dann auf alle Verzeichnisse zugreifen können sollte.

Danke schon mal dafür. Ich hab nur gerade gesehen, dass die Dritte Person noch ein paar Erlaubnisse in NoScript geben hat (hab das bereits zurückgesetzt). Da jene Partei nun aber am Laptop war... uff. Sie hat wohl versichert, nichts aufgerufen zu haben, außer YouTube, aber ich fühle mich da nun in eine Zwickmühle. Einfach mal eine vollständigen Virenscan machen und bei keinen Fund glauben, wie ruhen lassen den Laptop?

Also bei einen Lokalen Konto kann man ja als Administrator auswählen und Standardkonto. Mehr finde ich da bei Berechtigungen nicht. Also "eingeschränkten Rechten" müsste dann das Standardkonto ja seien. Das heißt also ein Virenscan immer auf den Administrator Konto machen, richtig?

Hier schon mal die FRST.txt

FRST erstellt zwei Logdateien.
Die Addition.txt fehlt.

Addition.txt
Sry, war noch am raussuchen von persönlichen Daten, um diese ordentlichen zu markieren. Was mir aufgefallen ist dabei, ist das Firefox noch aufgezählt wird, obwohl ich kein Firefox mehr drauf habe.

Ich sehe keine aktive Malware in den Logdateien.

Wenn du magst, können wir aber verwaiste Einträge entfernen, temporäre Speicherorte leeren und die Systemdateien auf Fehler überprüfen.
Außerdem können wir mit ein paar Tools das System überprüfen.
Gib Bescheid, wenn du Interesse daran hast.




Alles gut, kein Problem. :)



In der Regel wird bei der Deinstallation von Firefox das Profil nicht entfernt. Daher wird es von FRST noch angezeigt.
Darum könnten wir uns auch kümmern, ist allerdings kein "Muss".

Ein sauberes System ist ein gutes System. Daher besteht natürlich Interesse. Aber ich find das sehr Interessant, dass man in FRST also aktive Malware sehen kann.

Aber ja, aufräumen wäre super. in den Zusammenhang sei erwähnt, dass Neverwinter Nights 2 sich nicht deinstallieren lassen will, falls das relevant seien sollte.

Ok. Du kannst versuchen, Neverwinternights mit Revo zu deinstallieren.

Anschließend führen wir das erwähnte Skript mit FRST aus. Dies wird bestimmt einige Minuten dauern.
Es schließt die Entfernung von Firefox-Resten mit ein. Wenn du das nicht möchtest, gib zuvor Bescheid.






Schritt 1
Downloade dir bitte Revo Uninstaller Free auf deinen Desktop.

• Installiere das Programm mit den vorgegebenen Einstellungen.
• Starte das Programm.
• Es wird dir eine Liste aller installierten Programme angezeigt.
• Wähle Neverwinter Nights aus, klicke oben auf Anwendung deinstallieren und folge den Anweisungen.
• Wähle abschließend den Prüfmodus Moderat aus und klicke auf Durchsuchen, um eventuelle Reste aufspüren und entfernen zu können.
• Sollten Reste gefunden werden, klicke zuerst auf Alle markieren und anschließend auf Löschen. Bestätige die Nachfrage mit Ja.
• Schließe RevoUninstaller.

Schritt 2
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
CustomCLSID: HKU\S-1-5-21-3304759667-497493644-3126985197-1001_Classes\CLSID\{d1b22d3d-8585-53a6-acb3-0e803c7e8d2a}\localserver32 -> "C:\Users\AllUserName\AppData\Local\Microsoft\Teams\current\Teams.exe" --toast => Keine Datei
SearchScopes: HKU\S-1-5-21-3304759667-497493644-3126985197-1001 -> DefaultScope {9E195D6E-9095-4A7F-9650-103B4B541590} URL =
SearchScopes: HKU\S-1-5-21-3304759667-497493644-3126985197-1001 -> {9E195D6E-9095-4A7F-9650-103B4B541590} URL =
MSCONFIG\Services: MozillaMaintenance => 3
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% <==== ACHTUNG
HKU\S-1-5-21-3304759667-497493644-3126985197-1001\...\Run: [com.blitz.app] => "C:\Users\AllUserName\AppData\Local\Programs\Blitz\Blitz.exe" --autostart (Keine Datei)
HKLM\Software\Wow6432Node\Microsoft\Active Setup\Installed Components: [{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}] ->
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
Task: {06B1C6B1-0847-493F-AE0F-BF41703D8889} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Keine Datei <==== ACHTUNG
Task: {0E0A1367-D428-4359-86B0-67F85ABF9A6C} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
Task: {12F00D42-A06E-415A-9AD9-B164C58ADB17} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Keine Datei <==== ACHTUNG
Task: {2AD72AAF-40D6-4D41-8CD0-B524F3970F9B} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Keine Datei <==== ACHTUNG
Task: {3ECB7701-2A62-4F4D-B370-5DD83DA69825} - \Microsoft\Windows\Setup\gwx\rundetector -> Keine Datei <==== ACHTUNG
Task: {44D4F18A-E7F2-4D17-AE18-AFECDD090D78} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Keine Datei <==== ACHTUNG
Task: {5A0826CD-8389-423B-8080-C25708FD069E} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Keine Datei <==== ACHTUNG
Task: {5B08B8DF-8BB7-4F75-8735-9AAD23867F8A} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Keine Datei <==== ACHTUNG
Task: {6E9A143B-6586-4D08-A396-3F96F8182352} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Keine Datei <==== ACHTUNG
Task: {835E78F5-4C4F-4BF6-BE9C-56BD6DBD4E76} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Keine Datei <==== ACHTUNG
Task: {83DB3BB0-6172-49E1-BAFB-8A7E97E402A5} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> Keine Datei <==== ACHTUNG
Task: {8C039388-3DD5-482D-8EDC-C2B7D1248C2C} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Keine Datei <==== ACHTUNG
Task: {9DFF6B95-7B2E-4F3E-8B78-08D6D1B75DDD} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Keine Datei <==== ACHTUNG
Task: {A645DCAE-798A-461C-BC8E-8365B3383A97} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Keine Datei <==== ACHTUNG
Task: {AB23C507-390B-4BD5-AC31-BCC7DA5E48CA} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Keine Datei <==== ACHTUNG
Task: {43B96C72-0EA7-45D1-8789-8E0E32F69A49} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe  /backup /iavs (Keine Datei)
C:\Program Files\Common Files\AV\avast! Antivirus
Task: {352E6CA0-7314-4DF4-89C4-682368D80D57} - System32\Tasks\Microsoft\Windows\Workplace Join\Automatic-Workplace-Join => %SystemRoot%\System32\AutoWorkplace.exe  join (Keine Datei)
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
AS: Avast Antivirus (Enabled - Up to date) {35C973AA-9ABB-D3CA-B100-B0DC0E5F2402}
C:\Users\AllUserName\AppData\Roaming\Mozilla
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\firefox.exe
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\App Paths\firefox.exe
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Mozilla
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\MozillaPlugins
DeleteKey: HKEY_USERS\S-1-5-21-3304759667-497493644-3126985197-1001\SOFTWARE\Mozilla 
DeleteKey: S-1-5-21-3304759667-497493644-3126985197-1004\SOFTWARE\Mozilla 
CHR Notifications: Default -> hxxps://www.f-list.net; hxxps://www.youtube.com
CHR HKU\S-1-5-21-3304759667-497493644-3126985197-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
C:\Users\AllUserName\AppData\Roaming\.machineId
C:\Users\AllUserName\AppData\Local\*.tmp
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dlv
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Hallo M-K-D-B,

bevor ich mit den Revo Uninstaller Free drüber gehe, wurde mir angeraten von einen Bekannten, vorher die genaue Fehlermeldung mitzuteilen, nicht das sich dahinter ein größerer Fehler oder der gleichen versteckt. Dies hole ich nun mal Sicherheitshalber nach:

Wenn man auf Apps und Features geht (Programme entfernen) und das Spiel auswählt um auf den Deinstallieren Button zu blicken, kommt die Anfrage: "Möchte Sie zulassen (...)" und der Name ist "Windows-Hostprozess (Rundll32)", bestätigt man dies erscheint die Meldung (Fenstername RunDLL), dass ein Problem aufgetreten ist und das angegebene Modul nicht gefunden wurde.

Danke für die Rückfrage.
Ich denke, du kannst es mit Revo versuchen.

Hallo M-K-D-B,

ich hab die folgenden Themen mal in Punkte unterteilt, damit man sich besser zu recht findet. Und entschuldige, wenn ich etwas sehr ängstlich wirke.

Punkt 1:
mir ist gerade noch etwas aufgefallen bei den Logs Addition.txt unter Windows Defender, dort sind zwei Ereignisse nicht aufgelistet, die "Zugriff auf geschützten Speicher blockiert" heißen im Schutzverlauf.

Einmal vom 08.08.2023, Blockierte App oder Prozess: WinSAT.exe
Geschützter Ordner: \Device\CdRom0

Einmal vom 29.07.2023, Blockierte App oder Prozess: SrTasks.exe
Geschützter Ordner: \Device\HarddiskVolume4

Ist das nicht seltsam? Allen voran, weil das bei einen anderen Nutzer in den Addition.txt solche Ereignisse drin standen.

Punkt 2:
Ich hab um 3:23 leider ein Link zu Rule34.xxx angeklickt. Da ich die Seite bei NoScript noch als Vertrauenswürdig drin hatte, hab ich danach um 3:34 einen Schnellscan gemacht, Ergebnis war 0 Bedrohungen. Danach hab ich noch aus Paranoia in den Taskmanager geschaut und hab die Datei dasHost.exe gescannt, jedoch wollte die Benutzerdefinierte Überprüfung nicht anspringen. Danach versuchte ich nun nochmal einen Schnellscan, jedoch startet er nicht... man sieht die Leiste, aber da tut sich nichts. Ich hab das Fenster nun mal geschlossen und neu aufgerufen, danach ging der Schnellscan wieder und fand 0 Bedrohungen.

Meine Frage ist nun: Hab ich mir jetzt doch noch was aus eingefangen?

Punkt 3:
Hab Revo Uninstaller installiert und ausgeführt, Neverwinter Nights 2 wurde gelöscht. Nebenbei bei VirusTotal kam eine Meldung, dass Malware drin sei:

https://www.virustotal.com/gui/file/a05acc9172e98ec6a6a7f923f5c648cc7a7c4e02bbcaaa5a6d9663229e662c24/detection

Ich gehe davon aus, dass es eine Falsch-Positiv Meldung war.

Punkt 4:
Hier nun die Fixlog.txt nach der Reparatur durch FRST64:

Vielen Dank schon mal für den super tollen Support und deine Nerven aus Stahl, ich kann mir schon denken, dass ich wirklich nicht einfach bin. Daher ganz dickes Danke.

Freundliche Grüße,
Sniperwolf

Gut gemacht.

Bitte einen neuen Suchlauf mit FRST ausführen, dann sehen wir weiter.




Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

FRST.txt
Addition.txt

Hallo M-K-D-B,

ich hab vorhin - weil ich etwas verplant war - nochmal FRST ausgeführt. Ich erwähne, dass weil mir ein Unterschied direkt ins Auge gefallen ist, als der Durchlauf fertig war: Es sind auf jeden Fall jetzt gerade mehr Profile geladen. Daher poste ich mal die neuen Log Dateien, da ich wenig Ahnung habe ob das relevant ist oder noch mehr Unterschiede vorliegen.

P.S.: Ich hab gerade mal etwas gestöbert in der Vergangenheit und festgestellt, dass ich am Juni bei einer Vollständigen Prüfung mit dem Windows Defender einen Fund hatte Trojan:Win32/Wacatac.H!ml (die Datei lag schon Jahre auf den PC und wurde niemals angemeckert). Ich hatte die Datei damals von Windows Defender löschen lassen. Microsoft Safety Scanner hat danach nichts mehr gefunden. Falls das noch relevant seien könnte. Und sry, dass mir das erst jetzt wieder einfiel nachdem ich gerade mal etwas am stöbern war, hatte das damals auch wo anderes angesprochen. Aber könnte, ja, wenn ich nun drüber nachdenke doch noch relevant seien.

Additation.txt

Der Fund von damals war vielleicht ein Fehlalarm. :)


Bitte mal ESET laufen lassen.






Schritt 1
Führe ESET Online Scanner (EOS) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Hallo M-K-D-B,

hier das gewünschte Log und eine Frage dazu: Ich hatte nun nicht meine Wechselmedien angesteckt bei den großen Suchlauf. Soll ich diese noch anstecken und dann einen benutzerdefinierten Scan über sie laufen lassen? Und werden bei solchen Scans auch USB-Empfänger gescannt?

Ja, einen benutzerdefinierten Scan kannst du gerne noch anstoßen.
USB-Sticks sollte ESET auch scannen können.

Wechselmedien und Arbeitsspeicher (nochmal dazu) ebenfalls gescannt. Wenn ich die Frage nochmal aufgreifen dürfte, solche USB-Empfänger (also Geräte die daran angeschlossen werden, sei es mit Kabel oder für Funk) kann man aber da nicht auswählen, wie überprüft man den die?

Schritt 1
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.

Ich hätte gedacht, dass ESET auch externe Datenträger unterstützt.



Du könntest es noch mit EEK, KVRT oder MBAM probieren.





Schritt 1
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.

Also ich meinte nun nicht Wechselmedien (alias Datenträger) sondern eher z.B. Maus, Tastatur oder Kopfhörer, die Kabellos sind. Kann sich auf diesen USB-Empfangsstationen keine Malware einnisten?

Emsisoft Emergency Kit (EEK), Kaspersky Virus Removal Tool (KVRT) und Malwarebytes Anti-Malware (MBAM) nehme ich mal an.

Dort kann sich meines Wissens nach Malware nicht "einnisten". :)


Führe mal bitte SC wie beschrieben aus.

Leider kam der Feiertag dazwischen mit einigen Ereignissen. Ich wollte drauf hinweisen, dass VirusTotal vor 19 Tagen noch 2 Funde hatte, jetzt sind es aber nur noch ein Unbekannter AV.

https://www.virustotal.com/gui/file/fdd74864264d2ee8744b5d8db6cf488c4f4dac34ceb14bc7934c8b2106a02f52

Ich gehe daher von Falsch Positiv Ergebnisse aus.

Ganz verstehen tun ich das nun nicht. Skype wird in der Übersicht im Programm als Aktuell anzeigt (2023 Version), Discord mach auch immer mal wieder Updates. Seltsam...

WinRaR und Discord bitte manuell updaten, falls möglich.





Schritt 1
Überprüfe dein System auf fehlende Windows Updates.

• Folge dem Pfad Start > Einstellungen > Update und Sicherheit > Windows Update und klicke auf Nach Updates suchen.
• Wähle alle angebotenen Kumulativen Updates bzw. Funktionsupdates aus, downloade und installiere sie.
• Starte den Rechner zum Abschluss neu.
• Wiederhole den Vorgang, bis keine neuen Updates mehr angezeigt werden.

Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Schritt 1: Windows Updates
Vollständig ausgeführt. Alle Updates installiert. Ich bin aber etwas verwundert, weil ja automatisch ausgewählt war.

Schritt 2: Entfernung der verwendeten Tools
FRST Logs hab ich bereits entfernt, SecruityCheck ebenfalls. Nur der OnlineScanner ist noch drauf, welchen ich wohl drauf lassen würde um mal einmal in Monat zu scannen, falls das empfehlenswert ist. Muss ich dann noch das Tool ausführen?

Offene Fragen:
Frage 1a: Fehlender Schutzverlauf
Wie bereits in einen Beitrag vorher erwähnt, ist mir aufgefallen, dass in der Log Addition.txt unter Windows Defender, dort zwei Ereignisse nicht aufgelistet sind, die "Zugriff auf geschützten Speicher blockiert" heißen.

Einmal vom 08.08.2023, Blockierte App oder Prozess: WinSAT.exe
Geschützter Ordner: \Device\CdRom0

Einmal vom 29.07.2023, Blockierte App oder Prozess: SrTasks.exe
Geschützter Ordner: \Device\HarddiskVolume4

Da solche Ereignisse aber in den Logs von anderen auftauchen, und der Zeitraum eigentlich mit den abgebildeten Log reingehören würde, find ich es seltsam das sie nicht drin stehen. Ist so was normal?

Frage 1b: Fehlender Schutzverlauf
Des Weiteren wo kann ich den sehen, wann der letzte Scan war? Ich hatte irgendwie in Erinnerung, dass es im Schutzverlauf angezeigt wird, der aber auf einmal sehr leer ist und kaum noch Einträge drin hat.

Frage 2: Wechsel des Konto zur Absicherung
Kann ich mein Konto mit Administrator-Rechten Problem los diese entziehen und ein daraus ein Arbeitskonto machen? Sprich es in einen Standardkonto verwandeln, wenn ich vorher noch ein neues Adminkonto machen würde. ohne das es zu Probleme kommt?

Frage 3: SecurityCheck Log
Im Log von SecurityCheck gibt es den Eintrag "AntiSpyware_WMI" mit den Eintrag "Windows Defender (disabled and up to date)", ist das ein Problem und wenn ja, wie hebe ich das? Weil im Sicherheitsüberblick ist alles mit einen Grünen Häkchen versehen gewesen und noch versehen.

Gruß,
Sniperwolf

P.S.: Bitte Thread nicht schließen nach einer Antwort, falls ich dazu noch Rückfragen auf die Antwort haben sollte :) thx

KmRm entfernt den ESET Online Scanner auch.



FRST listet nur Ereignisse des letzten Monats auf, die genannten Daten sind älter.




Schau doch in der Ereignisanzeige unter
Anwendungs- und Dienstprotokolle > Microsoft > Windows > Windows Defender
nach.



Das sollte möglich sein.




Ja, der WMI Eintrag wird in FRST auch so angezeigt.
Das ist aber ein bekannter Fehler, kein Grund zur Sorge.

Das Sicherheitscenter ist ausschlaggebend. Es passt also alles.

Da ich diesen gerne als zweiten (nicht Echtzeit) Scanner behalten würde, um monatlich damit einmal nachzuschauen, würde ich dann KmRm nicht ausführen. FRST und SecruityCheck hab ich ja per Hand gelöscht (die Exe und Log Dateien). Das dürfte doch ausreichen dann, oder?

Und ist ESET als Nicht-Echtzeit Scanner zu empfehlen oder eher Malware Byte? Oder beide?

Ah, okay :) dann bin ich beruhigt. Danke für die Erklärung. :)

Hab ich, etwas verwirrend, aber komm da zu recht. Da kann man auch nichts kaputt machen, wie es mir scheint.

War es auch. Damit wären die Sachen aus den Maßnahmen zur Absicherung abgeschlossen.

Das beruhigt mich ungemein. So lange dort alles Grün ist, ist alles fein :)

Und nochmals vielen vielen Dank für deine Geduld, dein professionelles Auftreten und deine Empathie!

Gruß,
Sniperwolf

Wenn du alle "Reste" von FRST und SecurityCheck entfernen möchtest, musst du die entsprechenden Ordner unter C:\ löschen.
Oder du führst, wie erwähnt, KpRm aus.



Sehr gerne. :)
Alles Gute! :abklatsch:






Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.