Virus, Trojaner, Chromium Hilfe

Kopotosto · 17. April 2020

Hallo liebes Forum,
Ich habe mir heute einen Virus auf den PC runtergeladen... Windows (10) hat sofort erkannt dass es ein trojaner war und ich hane die Dateien enrfernen lassen. Dann hab ich noch malwarebytes über den pc laufen lassen und es hat weitere 52 sachen entfernt. Auf meinem PC sind nun Chromium und Superfastbrowser. Im Taskmanager konnte ich alles was mit Chromium zu tun hat beenden und Superfastbrowser konnte ich mit "Programme deinstallieren" entfernen. Chromium is nun immernoch da und ich weiß nich was sonst noch für Gefahren lauern. Ich habe leider keine Ahnung was das alles angeht und nur ein paar Anleitungen aus dem Internet (nicht Chromium) befolgt. Wenn es sein muss würde ich auch die Festplatte formatieren. Mein PC ist jetzt gerade ausgeachaltet und vom Stromnetz getrennt. Wie sollte ich weiter vorgehen?
Danke für eure Hilfe.

Eisbär · 17. April 2020

Die wichtigen Daten retten auf ein externes Medium, USB-Stick oder externe Festplatte. (Keine ausführbaren Dateien nur Daten wie Bilder, Videos, Dokumente)

Danach alles plattmachen mit Hilfe eines aktuellen Installationsmediums Windows 10,x64 oder x86, je nach System.
NEUINSTALLATION!
Alle Passwörter ändern in den Onlineanmeldungen.
Bei der Installation die Partitionierung Windows 10 überlassen.

Externer Inhalt www.youtube.com

Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.

Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.

oder bei Cleaninstallation:

Externer Inhalt www.youtube.com

Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.

Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.

Kopotosto · 17. April 2020

Danke für deine Hilfe!
Ich habe momentan 4 Festplatten, soll ich die alle formatieren, oder nur die auf der ich es runtergeladen habe?

Kopotosto · 17. April 2020

Ich habe mich seit dem Virus auch nirgendwo mehr eingeloggt... Bei den meisten Seiten war ich aber auf automatisch eingeloggt bleiben eingestellt, sollte ich die Passwörter trotzdem ändern?

meierkurt · 17. April 2020

Poste doch mal bitte konkrete Informationen:

- Was genau hat du wo genau runtergeladen?

- Poste doch mal die Logdatei bzw. das Protkoll von MalwareBytes.

Vieles wird von Anwendern falsch interpretiert. Oft ist es nur Werbemüll, den man recht einfach ohne Neuinstallation los wird.

Kann man allerdings erst sagen, wenn man die konkreten Infos hat.

Kopotosto · 17. April 2020

Ich habe von pcfreetime.com "formatfactory" runtergeladen. Das Protokoll ist zu lang um es zu posten...

Kopotosto · 17. April 2020

Außerdem läuft im task manager die ganze zeit "node.js javasvript server-side" und wenn ich es beende kommt es immer wieder.

Eisbär · 17. April 2020

Zitat von Kopotosto

Wenn es sein muss würde ich auch die Festplatte formatieren.

Meine Antwort bezog sich auf diese (eine) Festplatte.

Zitat von Kopotosto

Ich habe momentan 4 Festplatten,

Handle nach Anweisung von @meierkurt. Er ist jetzt für dich zuständig und Fachmann.

Kopotosto1 · 17. April 2020

-Softwaredaten-
Version: 4.1.0.56
Komponentenversion: 1.0.875
Version des Aktualisierungspakets: 1.0.22572
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 10 (Build 18362.778)
CPU: x64
Dateisystem: NTFS

-Scan-Übersicht-
Scan-Typ: Bedrohungs-Scan
Scan gestartet von: Manuell
Ergebnis: Abgeschlossen
Gescannte Objekte: 301502
Erkannte Bedrohungen: 54
In die Quarantäne verschobene Bedrohungen: 54
Abgelaufene Zeit: 1 Min., 42 Sek.

-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Erkennung
PUM: Erkennung

-Scan-Details-
Prozess: 0
(keine bösartigen Elemente erkannt)

Modul: 0
(keine bösartigen Elemente erkannt)

Registrierungsschlüssel: 11
PUP.Optional.InstallCore, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\CSASTATS\ic, In Quarantäne, 494, 586068, 1.0.22572, , ame,
PUP.Optional.GimpUpdaterDe.ShrtCln, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\GIMP Updater, In Quarantäne, 6353, 728127, 1.0.22572, , ame,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472F-A0FF-E1416B8B2E3A}, In Quarantäne, 241, 182758, , , ,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}, In Quarantäne, 241, 182758, 1.0.22572, , ame,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{2F23AB71-4AC6-41F2-A955-EA576E553146}, In Quarantäne, 241, 182757, , , ,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{2F23AB71-4AC6-41F2-A955-EA576E553146}, In Quarantäne, 241, 182757, , , ,
PUP.Optional.WinYahoo, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{2f23ab71-4ac6-41f2-a955-ea576e553146}, In Quarantäne, 241, 182757, 1.0.22572, , ame,
PUP.Optional.SearchManager.BITSRST, HKLM\SOFTWARE\GOOGLE\CHROME\EXTENSIONS\gpggceimbegdiddifklmeponnmkppfho, In Quarantäne, 283, 626728, , , ,
PUP.Optional.SearchManager.BITSRST, HKLM\SOFTWARE\WOW6432NODE\GOOGLE\CHROME\EXTENSIONS\gpggceimbegdiddifklmeponnmkppfho, In Quarantäne, 283, 626728, , , ,
PUP.Optional.SearchManager.BITSRST, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\GOOGLE\CHROME\EXTENSIONS\gpggceimbegdiddifklmeponnmkppfho, In Quarantäne, 283, 626728, , , ,
PUP.Optional.WinYahoo.TskLnk, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{4E64A6A4-1EE4-7724-AF64-07A47FE4D424}, In Quarantäne, 878, 542290, , , ,

Registrierungswert: 5
PUP.Optional.GimpUpdaterDe.ShrtCln, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|GIMP UPDATER, In Quarantäne, 6353, 728126, 1.0.22572, , ame,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}|URL, In Quarantäne, 241, 182758, 1.0.22572, , ame,
PUP.Optional.WinYahoo, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}|URL, In Quarantäne, 241, 182758, 1.0.22572, , ame,
PUP.Optional.WinYahoo, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{2f23ab71-4ac6-41f2-a955-ea576e553146}|URL, In Quarantäne, 241, 182757, 1.0.22572, , ame,
PUP.Optional.SearchManager.BITSRST, HKU\S-1-5-21-155100981-495696556-1376142518-1001\SOFTWARE\GOOGLE\CHROME\PREFERENCEMACS\Default\extensions.settings|gpggceimbegdiddifklmeponnmkppfho, In Quarantäne, 283, 626728, , , ,

Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)

Daten-Stream: 0
(keine bösartigen Elemente erkannt)

Ordner: 6
PUP.Optional.QwebDe.ShrtCln, C:\USERS\WILLI\APPDATA\ROAMING\GIMP UPDATER, In Quarantäne, 3970, 728125, 1.0.22572, , ame,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GPGGCEIMBEGDIDDIFKLMEPONNMKPPFHO, In Quarantäne, 283, 626728, 1.0.22572, , ame,
PUP.Optional.FakeCHRMExt.Generic, C:\Users\willi\AppData\Local\chromium\User Data\Default\Extensions\ncjbeingokdeimlmolagjaddccfdlkbd\1.0.7.50_0, In Quarantäne, 15053, 731232, , , ,
PUP.Optional.FakeCHRMExt.Generic, C:\USERS\WILLI\APPDATA\LOCAL\CHROMIUM\USER DATA\DEFAULT\EXTENSIONS\NCJBEINGOKDEIMLMOLAGJADDCCFDLKBD, In Quarantäne, 15053, 731232, 1.0.22572, , ame,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\USERS\WILLI\APPDATA\LOCAL\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}, In Quarantäne, 878, 542290, 1.0.22572, , ame,

Datei: 32
PUP.Optional.GimpUpdaterDe.ShrtCln, C:\USERS\WILLI\APPDATA\ROAMING\GIMP UPDATER\UPDATER.EXE, In Quarantäne, 6353, 728126, , , ,
PUP.Optional.QwebDe.ShrtCln, C:\USERS\WILLI\APPDATA\ROAMING\GIMP UPDATER\GIMP.ICO, In Quarantäne, 3970, 728125, 1.0.22572, , ame,
PUP.Optional.QwebDe.ShrtCln, C:\Users\willi\AppData\Roaming\GIMP Updater\uninst.exe, In Quarantäne, 3970, 728125, , , ,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Secure Preferences, Ersetzt, 283, 626728, , , ,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Preferences, Ersetzt, 283, 626728, , , ,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GPGGCEIMBEGDIDDIFKLMEPONNMKPPFHO\10.1.4.66_0\MANIFEST.JSON, In Quarantäne, 283, 626728, 1.0.22572, , ame,
PUP.Optional.FakeCHRMExt.Generic, C:\USERS\WILLI\APPDATA\LOCAL\CHROMIUM\USER DATA\DEFAULT\EXTENSIONS\NCJBEINGOKDEIMLMOLAGJADDCCFDLKBD\1.0.7.50_0\MANIFEST.JSON, In Quarantäne, 15053, 731232, 1.0.22572, , ame,
PUP.Optional.FakeCHRMExt.Generic, C:\Users\willi\AppData\Local\chromium\User Data\Default\Extensions\ncjbeingokdeimlmolagjaddccfdlkbd\1.0.7.50_0\background.html, In Quarantäne, 15053, 731232, , , ,
PUP.Optional.FakeCHRMExt.Generic, C:\Users\willi\AppData\Local\chromium\User Data\Default\Extensions\ncjbeingokdeimlmolagjaddccfdlkbd\1.0.7.50_0\background.js, In Quarantäne, 15053, 731232, , , ,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GPGGCEIMBEGDIDDIFKLMEPONNMKPPFHO\10.1.4.66_0\RESPONSECONFIG.JSON, In Quarantäne, 283, 626727, 1.0.22572, , ame,
PUP.Optional.WinYahoo.TskLnk, C:\USERS\WILLI\APPDATA\ROAMING\Microsoft\Windows\Start Menu\Programs\HowToRemove.lnk, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\USERS\WILLI\APPDATA\LOCAL\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HOWTOREMOVE\HOWTOREMOVE.HTML, In Quarantäne, 878, 542290, 1.0.22572, , ame,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\chromium-min.jpg, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\control panel-min-min.JPG, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\down.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\ff menu.JPG, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\ff search engine-min.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\hp-min ff.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\hp-min ie.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\search engine.gif, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\setup pages.gif, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\sp-min.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\start-min.jpg, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\HowToRemove\up.png, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\dalate, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\nicefam, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\uninst.exe, In Quarantäne, 878, 542290, , , ,
PUP.Optional.WinYahoo.TskLnk, C:\Users\willi\AppData\Local\{FAF1CCAD-DE59-A015-B3C1-85FD97A97965}\uninstp.dat, In Quarantäne, 878, 542290, , , ,
Generic.Malware/Suspicious, C:\USERS\WILLI\DOWNLOADS\FFSETUPLITE.EXE, In Quarantäne, 0, 392686, 1.0.22572, , shuriken,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Secure Preferences, Ersetzt, 283, 626729, 1.0.22572, , ame,
PUP.Optional.PushNotifications, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Preferences, Ersetzt, 213, 799829, 1.0.22572, , ame,
PUP.Optional.SearchManager.BITSRST, C:\USERS\WILLI\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\Default\Secure Preferences, Ersetzt, 283, 628563, 1.0.22572, , ame,

Fossi · 17. April 2020

Du kannst doch das Protokoll auch in Teilen Posten.

Gefühlsmäßig glaube ich, war in Bezug zu den 52 Dateien, vorher schon einiges an Unerwünschtem drauf.

EstherCH · 17. April 2020

Zitat von Fossi

Du kannst doch das Protokoll auch in Teilen Posten.

Oder noch besser als *.txt-Datei hochladen.

JochenPankow · 17. April 2020

Hallo,

ich denke, dass Du mit der Standard-Installation von "Format Factory" einen Teil der unerwünschten Programme (PUP) installiert haben dürftest. Den Protokoll entnehme ich, dass da noch mehr im argen ist.

Du kannst gerne erst mal das machen, was meierkurt vorschlägt. Pragmatisch wie ich nun mal bin, hätte ich mit so einem korrumpierten System keine Ruhe mehr und gehe mit der Empfehlung von Eisbär in Richtung "Clean-Installation" konform. Warum?

Zum einen erspare ich mir eine mitunter elende Sucherei nach weiteren unangenehmen Sachen und Fehlern und habe zweitens ein frisch und sauber installiertes System, dass ich zwar nach und nach einrichten muss und als Chance sehe, wirklich nur noch die Software zu installieren, die ich benötige.

Und wenn ich denn mal was ausprobiere - am Beispiel Format Factory -, so achte ich nach dem Start des Installers oder der SETUP.EXE darauf, dass man möglichst "Benutzerdefinierte Installation" (englisch "Custom Installation" oder kurz oft nur "Custom") auswählt. Dann hat man oft die Chance, die ungewollten Beigaben abzuwählen per Entfernen des Häkchen oder Deaktivierung des Radio-Button. Das ist jedoch nicht immer möglich. Der CHIP-Installer ist so ein negatives Beispiel dafür...

Kater · 17. April 2020

Zitat von JochenPankow

"Benutzerdefinierte Installation" (englisch "Custom Installation" oder kurz oft nur "Custom") auswählt.

Zusätzlich, falls man mal darauf vergisst wäre Unchecky zu empfehlen.

Zitat

Format Factory

Eine mögliche Alternative zu "Format Factory" wäre WinFF.

meierkurt · 17. April 2020

Also Werbemüll, wie gedacht. Ich würde nicht neu installieren/formatieren, das kriegen wir wieder weg.

Lass Malwarebytes noch mal suchen, Treffer eneut löschen, das Log davon posten.

Dann mal den AdwCleaner runterladen, suchen&löschen lassen.

https://de.malwarebytes.com/adwcleaner/

Auch die Logs davon posten. Werden nach Löschen&Neustart angezeigt, kann man aber auch unter c:\AdwCleaner finden.

Allgemein musst du unbedingt lernen, wie man Software NICHT installiert. Das sieht nach der Methode "Weiter weiter fertig" aus. Du musst immer benutzerdefiniert installieren, alles abwählen, was nicht dazugehört.

Guepewi · 18. April 2020

Bei Format Factory geht keine saubere Installation, wie das bei älteren Versionen der Fall war. Man kann da leider nicht abwählen. Ich hatte das Problem auch einmal und musste die Kiste säubern. Suche dir bitte Alternativen:
XMedia Recode
HandBrake (for Windows)
Eine weitere Möglichkeit: Du setzt die portable Version von FF ein!
https://www.malavida.com/de/soft/format-factory-portable/

Aber Achtung: Auch hier das Häkchen von Piccomio entfernen, sonst hast du wieder PUPs.

Kater · 18. April 2020

Du hast das Programm ja mal vorgestellt ( FormatFactory ), tue mir bitte einen gefallen und baue dort eine Warnung zur Installerversion ein und setze den Link auf die Portable. Danke.

Fossi · 18. April 2020

Zitat von Guepewi

Bei Format Factory geht keine saubere Installation,

War auch meine Erfahrung. Hinterher musste kräftig aufgeräumt werden.

Guepewi · 18. April 2020

Zitat von Kater

dort eine Warnung zur Installerversio

Ist doch dort bereits enthalten. Ohne Häkchen ist das dann sauber!

EstherCH · 18. April 2020

@Guepewi

Zitat von Kater

setze den Link auf die Portable.

Möchtest Du den Link in der Vorstellung noch eintragen? Oder habe ich ihn übersehen?

meierkurt · 18. April 2020

Wartet doch bitte erst mal die Bereinigung ab, alles andere kann man nachher klären.

Wir sollten mal auf die AdwCleaner Logs warten, dann später FRST, und dann alles andere.

Jetzt mitmachen!

Teilen