[SammelThread] Viren, Würmer & Trojaner

[Mc Tuck]

Hallo,

habe mein Windows 7 heute neu installiert und irgendwie ist mir "search protect" mit drauf gerutscht.

Nun bekomme ich es aber über die Systemsteuerung nicht deistalliert.

Wie bekomme ich es nun komplett wieder weg?

Die Frage wäre ob es manuell zu entfernen geht - die google Suche gab keine schlüssigen Antowrten!

 

[purzelbär]

Bereinige dein System mal mit AdwCleaner: https://toolslib.net/downloads/viewdownload/1-adwcleaner/

 

[Mc Tuck]

Danke für die Info. Es scheint funktioniert zu haben!

Jetzt wollte ich den AdwCleaner nochmal drüber laufen lassen, nun kann ich ihn nirgendwo finden bei mir. Der erste Suchlauf war ja erfolgreich, also muss es doch auch irgenwo installiert sein.... Ich wurde übrigens nicht gefragt, wohin ich ihn installieren will, sonst wüsste ich es ja ....

 

[purzelbär]

AdwCleaner wird nicht installierter befindet sich in deinem Download Ordner. Aber: schau jetzt mal unter C nach: dort findest du einen Ordner AdwCleaner der angelegt wurde und den du jetzt löschen kannst. Darin befindet sich der Quarantäne Ordner von AdwCleaner mitsamt den darin befindlichen und bereinigten Infektionen. Wenn du einen Gegencheck zu AdwCleaner und deinem installierten AV machen willst, dann lade dir Malwareytes Anti-Malware Free: http://de.malwarebytes.org/antimalware/ runter, starte den Installer und wähle während des Setups ziemlich am Schluß die Option für die Testphase für Malwarebytes Pro ab. So hast du dann immer einen zusätzlichen OnDemandScanner installiert mit dem du dein System zusätzlich zum AV OnDemand checken und bei Bedarf bereinigen kannst.
Und noch ein Punkt: du schreibst ja das du dein Win7 gerade neu aufgesetzt hast, falls du(idealerweise)eine USB Festplatte hast als Ziellaufwerk, dann fang damit an und mache regelmässig Backups/Image deiner Systempartition C oder noch besser von der gesamten Festplatte wenn diese mehrere Partitionen hat. Dafür kannst du Paragon Backup & Recovery Free nehmen: http://www.paragon-software.com/de/home/br-free/ und denk daran: wenn das installiert ist, nimm eine leere CD zur Hand(alternativ geht auch ein leer USB Stick)und erstelle das Boot/Rettungsmedium und heb das auf.

 

[Cin-Hoo]

Da ich kürzere Zeit mit etwas veralteter Software surfte und auf Nummer sicher gehen wollte, dass meiner Windows-Installation dabei nichts passiert ist, scannte ich sie zuerst mit Malwarebytes AntiMalware Free und dann mit dem Scanner meines G Data TotalProtection 2015. Malwarebytes fand gar nichts (die Rootkit-Erkennung war aktiviert), aber G Data fand im Temporary Internet Files-Verzeichnis zwei Setup-Dateien, die von der Engine B als "Win32.Application.Somoto.S" erkannt wurden. Sie befanden sich im gleichen Unterverzeichnis und die Zweite war, wie für den Internet Explorer üblich, mit einer 1 nummeriert. Ich hatte schon einmal diesen Somoto-Typen, bin mir aber nicht sicher, ob dieser auch die Endung S hatte. Damals erkannte ihn Malwarebytes in einer Setup-Datei. Er hieß glaube ich "PUP.Optional.Somoto.S" (das Protokoll davon habe ich nicht mehr). Ich verstehe nur nicht, warum diesmal Malwarebytes nicht auch angeschlagen hat. Unter der Bezeichnung, die G Data ausgab, konnte ich mit der Google-Suche keine genaue Schädlingsbeschreibung finden. Deshalb wollte ich von euch wissen, ob es sich dabei wirklich nur um potentiell unerwünschte Software oder um richtige Malware handelt. Ich werde später sowieso noch einen Scan mit Desinfec't 2014 durchführen. Kann ich beruhigt sein, wenn die Scanner dort nichts weiter finden?

Das letzte Mal, als Malwarebytes den Schädling entdeckte, hatte ich kurz davor Shark007's Advanced Codecs installiert. Diese musste ich seitdem zur Aktualisierung zweimal neu installieren. Kann es sein, dass es sich bei den beiden Setup-Dateien um OpenCandy-Kram aus dem Paket handelt?

Gruß von Cin-Hoo

 

[purzelbär]

Das letzte Mal, als Malwarebytes den Schädling entdeckte, hatte ich kurz davor Shark007's Advanced Codecs installiert. Diese musste ich seitdem zur Aktualisierung zweimal neu installieren. Kann es sein, dass es sich bei den beiden Setup-Dateien um OpenCandy-Kram aus dem Paket handelt?

Kann durchaus sein das der Installer nicht sauber ist denn bei Chip.de liest man das:

Hinweis: Entscheiden Sie sich während des Setups für die angepasste beziehungsweise benutzerdefinierte Installation, um die Einrichtung von Zusatzsoftware und unnötigen Toolbars zu verhindern.

Quelle: http://www.chip.de/downloads/Advanced-Codecs-for-Windows-7-and-8_54826451.html
Update: also der Installer ist definitiv mal nicht sauber: wenn ich den starte, schlägt sofort mein AV an: und wenn ich da auf zulassen gehe damit der Installer als Ausnahme definiert wird, sieht man in den nächsten Fenstern das Zusatzsoftware mitinstalliert würde wenn man das nicht ablehnt(Skip bzw Deciline): und erst dann kommt man zum eigentlichen Installer dieser Shark007 free Codecs:

aber G Data fand im Temporary Internet Files-Verzeichnis zwei Setup-Dateien, die von der Engine B als "Win32.Application.Somoto.S" erkannt wurden.

Was das angeht bin ich der Meinung das es PUP ist, siehe Google Suche: https://www.google.de/search?q=Win32.Application.Somoto.S%22&ie=utf-8&oe=utf-8&rls={moz:distributionID}:{moz:locale}:{mozfficial}&gws_rd=cr&ei=fvCOVPu4IozWPKPNgfAM und ich würde an deiner Stelle mit Gä-Data bereinigen lassen und danach das System mit AdwCleaner oder JRT überprüfen und danach einen Smart Scan oder Detail Scan mit Emsisoft Emergency Kit machen und bei Funden die Logs hier posten. Die genannten Scanner findest du verlinkt in meiner Signatur.
Was du wegen den Shark007 free Codecs ausprobieren könntest, wäre das du dir den Installer bei Filepony: https://www.google.de/search?q=Shark007%27s+Advanced+Codecs&ie=utf-8&oe=utf-8&rls={moz:distributionID}:{moz:locale}:{mozfficial}&gws_rd=cr&ei=jPGOVPfoCYPDPOu7gIAE#rls={moz:distributionID}:{moz:locale}:{mozfficial}&q=Shark007%27s+Advanced+Codecs+Filepony holst denn Filepony haben in der Regel saubere Installer ohne Zusatzsoftware was ich dir aber nicht garantieren kann.
Edit: Das mit dem Installer bei Filepony kann man auch knicken: wieder schlägt das AV Alarm und wenn ich es zulassen würde, sieht man auch bei dem Installer das der 2 Mal ungewollte Zusatzsoftware mitinstallieren will.

 

[Cin-Hoo]

Also den OpenCandy-Kram bekommt man, soweit ich mich erinnere, schon im ersten Teil der Installation, bevor das eigentliche Setup-Programm mit dem Windows Installer startet, angeboten. In der Komponentenliste der benutzerdefinierten Installation ist mir nichts weiter aufgefallen (dort stehen nur die Codecs und die beiden Konfigurationstools). Mich wunderte nur, warum sich ausgerechnet jedes Mal eine Setup-Datei (Setup.exe und für das zweite Mal wohl Setup[1].exe) im Temporary Internet Files-Verzeichnis befindet, dass doch eigentlich nur vom Internet Explorer verwendet wird und den habe ich in letzter Zeit fast gar nicht benutzt (auf keinen Fall zum Laden zwei solcher Dateien). Ob das Setup-Archiv die Dateien beim Entpacken des eigentlichen Installationsprogramms, obwohl man den Zusatz vorher schon abgewählt hat, dort in einem Unterverzeichnis abgelegt hat? Weil ich mir dabei nicht sicher war, wollte ich ja gerne wissen, ob das davon kommen kann und was "Win32.Application.Somoto.S" genau ist? Am meisten gab mir zu denken, dass Malwarebytes die Dateien diesmal nicht als PUP erkannte.

EDIT: Huch, da war ich wohl mit dem Tippen meiner Antwort ein bisschen langsam. Damit hat sich meine Frage ja erledigt. Danke für deine Recherchen! Da ich die Installation der Werbezusätze am Anfang jedes Mal abgelehnt habe und G Data die Setup-Dateien aus dem Temporary Internet Files-Verzeichnis auch schon gelöscht hat, dürfte davon doch keine Gefahr ausgehen, oder?

Gruß von Cin-Hoo

 

[purzelbär]

Da ich die Installation der Werbezusätze am Anfang jedes Mal abgelehnt habe und G Data die Setup-Dateien aus dem Temporary Internet Files-Verzeichnis auch schon gelöscht hat, dürfte davon doch keine Gefahr ausgehen, oder?

Normalerweise nicht mehr, aber es wäre auch nicht verkehrt wenn du zur Gegenkontrolle AdwCleaner und Emsisoft Emergency Kit Scan durchlaufen lassen würdest.

 

[Cin-Hoo]

Gut, da ich mit meinem Desinfec't-Stick sowieso noch einen gründlichen Scan meiner Festplatten durchführen wollte, sobald ich ihn frisch neu erstellt habe, kann ich vorher noch mal Malwarebytes AntiMalware Free und danach den AdwCleaner nehmen. Wenn dann alle drei nichts mehr finden, kann ich wenigstens ganz sicher sein, dass alles in Ordnung ist. Emsisoft Emergency Kit werde ich mir danach wohl sparen können.

Gruß von Cin-Hoo

 

[purzelbär]

Eigentlich könntest du dir den Malwarebytes Scan sparen da du ja schon dein System damit überprüft hast. Und stattdessen würde ich an deiner Stelle nach AdwCleaner das System mit EEK Smart Scan oder Detail Scan überprüfen.

 

[bastelbox]

Ich hoffe, ich schreibe hier im richtigen Thread.

Heute wollte ich meinen Rechner einfach mal so mit Kaspersky Virus Removal Tool scannen, und beim Start des Programmes staunte ich nicht schlecht: auf einmal poppte eine Meldung auf, dass Windows (ungefragt!) einen alten Systemwiederherstellungspunkt wiederhergestellt hat (siehe angehängter Screenshot).
Mal in der Systemsteuerung nachgeschaut, was ich an dem Tag installiert hatte: Bulk Rename Utility. Setup-Datei leider nicht mehr vorhanden.

Vielleicht geht die Phantasie mit mir durch und es ist nur irgendein Bug, aber kann es sein, dass ein Trojaner auf dem PC war, der aus "Angst" vor Erkennung sich selber gelöscht und das System auch gleich zurückgesetzt hat?

Ich hatte übrigens mal einen anderen PC, der mittlerweile abgeraucht ist, und auch dort hatte ich ein Problem mit dem Virus Removal Tool: Es lief nicht an, sondern brach gleich zu Beginn mit einer nichtssagenden Fehlermeldung ab (Wortlaut vergessen). Jenes Erlebnis kommt mir jetzt wieder aktuell vor: Trojaner schon damals aktiv und auch auf den neuen PC verschleppt?

Kaspersky läuft noch mind. eine Stunde durch, aber was ist zu raten, wenn er nichts findet? System vorsichtshalber komplett neu aufsetzen?

 

[amico81]

du musst dir vorerst keine Sorgen machen meiner Meinung nach. Wenn Kaspersky nichts findet ist es doch gut. Kannst natürlich dir auch noch eine Zweitmeinung einholen und einen Komplett-Scan mit dem kostenlosen aber sehr guten Emsisoft Emergency Kit machen. Oder mit dem
Panda Cloud Cleaner, der auch in anderen Antivirus-Foren gelobt wird.

 

[kernel panic]

Als 2. Scanner würde ich immer nur eine Live-CD nehmen (welcher AV-Anbieter ist hierbei egal, solange es ein bekanner ist). Oder besser gleich 1x im Jahr ct fuer die desinfect kaufen.

 

[bastelbox]

Aber die Meldung des System Restore findet ihr doch auch seltsam, oder? Kurz vorher hatte ich iTunes 12.1 installiert und gerebootet.

 

[Jolly91]

Mal eine Frage in den Raum geworfen, ich hab die aktuelle Testversion von Kaspersky Internet Security schon länger drauf, und hatte seit Jahren keinen Virenbefall, der letzte größere war glaube ich vor guten 5 Jahren, jetzt steht da ein guter Router und mit Brain.exe kann einem auch nicht so leicht was passieren. Außer man glaubt einen Virenscanner testen zu müssen, und prüft eine Datei, die rein ist, installiert diese .exe Datei, drückt bei den ganzen zusätzlichen auf ablehnen, und am Ende fängt Kaspersky schön an alle Verbindungen zu blocken, und Windows lässt sich auch nicht mehr herunterfahren, weil der Virus das nicht zulässt und vom Stand-by bis zum abmelden alles ausgraut.
Das dauerte nur 3 Sekunden, denn Reset Knopf am Tower gedrückt, und ab in den Abgesicherten Modus, Kaserpsky machte eine Systemwiederherstellung und löschte auch den Virus, das System wurde 2 mal überprüft und alles ist okay.

Aber ist ein Virus in der Lage, und wie lange würde es dauern, bis ein Virus eine ganze HDD löscht / formatiert, das müsste man eigentlich mitbekommen?

Ich mein, ich will jetzt nicht Windows neu aufsetzen, weil meine Brain.exe nicht mitspielte, aber nach der Systemwiederherstellung müsste doch alles auf dem alten Stand sein, inkl. der Registry Einträge?

Das System verhält sich genau so wie vorher.

 

[purzelbär]

Kann sein das jetzt wieder alles beim Alten ist weil Kaspersky eine Systemwiederherstellung gemacht hat bei der wohl auch der Virus gelöscht wurde. Trotzdem würde ich an deiner Stelle das System mit einem OnDemand Scanner wie Malwarebytes Free(bei der Installation bitte die Testphase für Malwarebytes Pro abwählen)per Benutzerdefinierten Suchlauf komplett überprüfen lassen(alles auswählen bei dem Scan und auch die Rootkit Suche aktivieren)oder alternativ das System mit Emsisoft Emergency Kit Detail Scan überprüfen und zusätzlich danach noch das System mit einer Antivirus Live CD zum Beispiel von Kaspersky, BitDefender oder dergleichen überprüfen lassen. Klar das ist jetzt viel Arbeit bzw nimmt ein paar Stunden Scanzeit in Anspruch aber weil du Windows nicht neu aufsetzen willst und wohl auch kein sauberes Systembackup hast, solltest du das in Kauf nehmen als Gegenkontrolle zur Kaspersky Aktion.

 

[Jolly91]

Naja, eigentlich hat der Computer die arbeit, ich geb ihm nur den Befehl.

...und wohl auch kein sauberes Systembackup hast,

weil Windows erst 1 Monat alt ist. Neuinstallieren geht warscheinlich schneller.

Edit:

Da waren doch ein paar Sachen die da nicht hin gehören, hab ein paar Daten/Einträge gelöscht, CCleaner drüberlaufen lassen, und nun passt das wieder.

 

[purzelbär]

Was für Dinge? lass mich raten: PUP's die von Malwarebytes erkannt wurden oder? Dazu ein Tipp: Kaspersky erkennt in den Standardeinstellungen PUP's nicht, aber das kann man in den erweiterten Einstellungen aktivieren. Und vielleicht interessiert dich das: http://blog.emsisoft.com/de/2015/01...omputer-schummeln-und-wie-sie-das-verhindern/

 

[Jolly91]

Also es waren:

PUP.Amonetize
PUP.Optional.InstallCore.A (Registry Eintrag)
PUP.Optional.Instartsurf.A (Internet Explorer -> Startseitenänderung)
PUP.Optional.Qone8 (Registry Änderung)
PUP.Optional.binkiland.A (Registry Änderung -> Internet Explorer)
PUP.Optional.FFToolbar.A (Toolbar @ Firefox)
PUP.Optional.ISearch.A (Omega Plus Software)
PUP.Optional.SkyTech.A
PUP.Optional.Softonic
PUP.Optional.DownloadSponsor (Ashampoo, Teamspeak, Super-Pi)
PUP.Optional.InstallIQ (Core Temp)
PUP.Downloader.ZYL (Poker)

Registry Keys: 8
Registry Values: 2
Registry Data: 10
Folders: 5
Files: 16

Egal ob man eine Toolbar mal so ausversehen mitinstalliert, was selten vor kommt, oder einfach ein Tool (Coretemp) von einer Seite herunterläd, man bekommt es nicht einmal wirklich mit, das sich da gleich mal PUP´s einnisten, und selbst wenn man die gleich deinstalliert/entfernt, die Einträge bleiben.

Im zweiten Durchlauf sah es gleich besser aus. Morgen schick ich die Live-CD von Kaspersky drüber.

Und mal sehen, vielleicht mach ich mein Windows gleich platt und bau alles neu auf, und mach alles dicht...

 

[Jolly91]

Es gab da mal so einen Port Scanner online, der alle Ports abfragen konnte. Ich weis aber nicht mehr wie ich dahin komme, jemand eine Idee?

Weiters habe ich mal Bitdefender installiert, und muss sagen, der geht schon anders zur Sache als Kaspersky. Zumal der einen Trojaner.GenericKD.213 2047 fand, der im Datengrab beim Grafikkarten Downsampling Mod von AMD lag. Den Mod zog ich mir vor sehr langer Zeit aus einem Link von einem Forum... Naja, für mich macht Bitdefender schon mal einen guten Eindruck.

Zumal der etwas bessere Features bietet wie es aussieht.