Download-Protect 2.2.0 nicht zu entfernen

Auch mir hat die hervorragende Arbeit von Beitrag #55/Match 2 geholfen, und wie der Autor richtig vermutet, wechselt der Schädling seinen Namen und anscheinend auch die Speicherorte.

Hier meine Erfahrung:

1. Mit services.msc die Dienste aufrufen und schauen, welche keine Beschreibung liefern. Ber mir was es der lokale Dienst DNSBlockUpdateService. Deaktivieren.
Ein klick mit der rechten Maustaste auf Eigenschaften verweist auf den Pfad C: Windows/System32/DNSBlckUpadate svc.exe. Merken.

2. Unter Arbeitsplatz oder Computer nach .xpi suchen lassen. Einträge in C: Windows/Installer/{......}.xpi erst MERKEN dann löschen

3. HKEY_Local_Machine/Software/WOW6432Node/Mozilla/Firefox/Extensions: Einträge, die wie die unter Punkt 2 genannten Datein heißen, löschen.

4. Neustart. Schon jetzt wurde die Erweiterung "DownloadProtect" nicht mehr installiert und "AddBlockPlus" war wieder von Anfang an aktiv.

5. Unter C: Windows/System 32: DNSBlckUpadate svc.exe und dns.block löschen.
Die Dateien DNSBlockA.dll und DNSBlockB.dll ließen sich bei mir nur mit der Software MalwareBytes löschen.

6. Dann hatte ich noh einen Autostart Eintrag für DNSBlock entdeckt. Deaktivieren.

Ich denke, ich hab mir das Ding von einem Download bei softonic eingehandelt.

Zitat von DownloadKiller

Hallo Leidgeplagte Firefox User

alles Suchen mit Adwcleaner und Malwarebytes und wie die Typen alle heißen wird nichts bringen.
Auch nach den DLL und EXE suchen wie z.B. "dlprotect.exe" und "DlProtectSvc.exe" bringt nix.
Im Taskmanager suchen. Ebenfalls Fehlanzeige.
Auch das Rücksetzten und Neuinstallieren von Firefox wird nichts bringen
Die Macher von DownloadPrtect 2.2.0 haben ganze Arbeit geleistet und das Teil sehr gut versteckt.

Machen wir uns mal auf die Suche und machen das mit Bordmitteln.
Als Vorbereitung sollten im Firefos alle Addin gelöscht werden und es sollte nur noch unser Feind drinstehen.
Und los gehts.
Im Explorer auf der Festplatte nach *.xpi Datein suchen
Hier sollten wir fündig werden
im Ordner C:\Windows\Installer\
sollte sich eine Datei {XXXXXXXX-XXXX-4F2D-941E-1BC80FBCB5D0}.xpi befinden
NAMEN merken und DIESE DATEI LÖSCHEN
jetzt den Registrierungs-Editor als Administrator öffnen und dort nach dem Schlüssel mit der vorgenannten Bezeichnung
{XXXXXXXX-XXXX-4F2D-941E-1BC80FBCB5D0} suchen
als Ergebnis sollte dieser in der Section [HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\Firefox\Extensions] zu finden sein
den SCHLÜSSEL also den Eintrag mit xxxxxxxx löschen

Alles anzeigen

plus

Zitat von Matsch2

Nun habe ich mit dem ProcessMonitor alle Vorgänge während des Hochfahrens aufgezeichnet. Da ich wissen wollte, wer die Änderung an der Registry veranläßt, habe ich den Report gefiltert auf

path=HKLM\SOFTWARE\Wow6432Node\Mozilla\Firefox\Extensions.

Ich habe die unbewiesene Vermutung, dass der Schädling für seine eigentliche Schadsoftware variable Namen und Bezeichnungen verwendet, so dass es sein kann, dass die Dateien- und Dienstenamen, wie ich sie bei mir vorgefunden habe, bei einem anderen PC anders heißen, aber sinngemäß kann man sie finden. Der letzte Beitrag über meinem scheint diese Annahme zu bestätigen.

Nun, bei mir war es der Dienst "\System32\syncengd.exe", der die Registry veränderte. Hinter welchem der vielen vorhandenen Dienste nun aber verbirgt sich der Schädling? Ich vermutete, dass es sich um einen gestarteten Dienst handelte und um einen Netzwerkdienst, da er ja Zugriff auf das Internet braucht. So habe ich in der Diensteverwaltung (Systemsteuerung oder per Eingabe Start -> "services.msc") sortiert auf Netzwerkdienste zuerst und Gestartet zuerst. Nun habe ich mir die Dienste auf Plausibilität angesehen. Die Bezeichner sollten nachvollziehbar sein, auch die Beschreibung dazu, wenn man draufklickt, sollte verständlich sein. Dabei bin ich auf einen Dienst "RDPCDD Windows for" gestoßen, der neben der konfusen Bezeichnung auch keinerlei Beschreibung liefert. Ein Blick in die Eigenschaften brachte zum Vorschein, dass es sich um die Datei C:\Windows\System32\syncengd.exe handelt. Volltreffer!

Probeweise habe ich den Dienst erstmal deaktiviert, die eingangs genannten Dateien xpi sowie den Registry-Eintrag gelöscht und anschließend mehrmals einen Neustart mit Internet ausgeführt. Und tatsächlich, die Registry wurde nicht mehr verändert, die xpi nicht neu erstellt.
Nun mußte ich "nur" noch den Schad-Dienst entgültig löschen, doch das geht nicht über die Diensteverwaltung. Dazu schaut man sich nochmal in den Diensteeigenschaften den Dienstenamen an (steht relativ weit oben und ist nicht identisch mit dem Dateinamen!). Nun geht man in die Registry in den Pfad

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

und sucht dort diesen Dienstenamen. Einfach den Schlüssel
dieses Namens komplett löschen. Nun noch die Datei syncengd.exe selbst auch noch löschen, fertig!
Eine neue Restauration findet nun nicht mehr statt.

Der Schädling hinterläßt aber teils noch weitere Dateien im System, über deren Sinn ich mir nicht klar bin. Es sollte aber geboten sein, auch diese noch zu löschen.

So wurde an 2 Stellen auf C: eine Datei dlprotect.exe gefunden und gelöscht (einfach mal nach dlprotect suchen lassen).
Ebenso schreibt die Malware immer gleichzeitig mit der Registry-Änderung auch einen kryptischen Ordner in die Programmordner. Dort finden sich in C:\Program Files\ sowie C:\Program Files (x64)\ je ein Ordner mit schlüsselartiger Bezeichnung wie {E483D4FF-1ECD-4218-8560-CAAB6DF31A9C}, der u.a. eine ebensolche kryptische *.bin-Datei enthält. Auch diese Ordner habe ich komplett gelöscht.

Alles anzeigen

Danke, hat auch mir geholfen, nachdem auch die tollsten Scanner versagten.
Ein guter Tipp, oben anpinnen!

Ich habe neben den Dateien in System32 auch im Ordner SYSWOW64 eine dnsbl*-Datei löschen können.
DNSBlockA.dll und DNSBlockB.dll gabs bei mir nicht.
Wenn ich jetzt noch wüsste, bei welcher Freeware ich mir DAS Ding eingefangen habe,
immerhin nutze ich brain 2.0
Is offenbar veraltet.

p.s.: von softonic lade ich nichts runter, meine Primärquelle ist Chip oder der Hersteller, sofern ich den einschätzen kann.

Hallo ayaxx,

bitte keine Vollzitate, vor allem nicht auf alte Beiträge.

Hinweise auf die Beiträge #8 vom 03. April 2014 und #55 vom 25. Juli 2014 hätten genügt.
Es ist mir so schwer gefallen, diese alten Beiträge zu finden.

Danke.

Zitat von ayaxx

.. meine Primärquelle ist Chip oder der Hersteller, sofern ich den einschätzen kann.

Genauso schlimm... Der Hersteller wird immer publik gemacht, den kann man auch googlen...
Ich schere alle Hoster über einen Kamm, auch wenn dies mancher anders sieht... :mrgreen:
Es gibt allerdings auch Anbieter, die verlinken von der Produktseite auf eine Hoster-Seite, dann ist dies in Ordnung. Trotzdem sollte man immer "benutzerdefiniert" installieren... dann kann man ungewollte Beigaben beim Installieren abwählen... mancher Hersteller verdient mit diesen Bundles Geld. Das ist auch legitim, wenn man es halt während des Installationsvorgangs abwählen kann..

Guten Abend Gemeinschaft,

ich bin durch den Download Protect 2.2.14 befallen und bei mir konnte ich die .exe Dateien die in den Vorherigen Posts erwähnt wurden nicht finden.
Ist es Möglich das der Programmier Download Protect die Datei unbenannt hat?

LG Holgerson

Hallo und Willkommen hier im Forum.

Lad dir bitte mal dieses Programm runter:

http://mozhelp.dynvpn.de/guide/mit-adwcleaner3-suchen

Erklärung dazu findest du im Link bzw. ganz unten auf der Seite.

Und bitte nichts löschen, sondern den Inhalt vom Scan, unter Benutzung des Buttons: Code, ins nächste Antwortfenster hier kopieren

[Blockierte Grafik: http://www7.pic-upload.de/thumb/19.03.14/8zzrd7j538v9.png]

PS:
Wenn du es möchtest, kannst du oben im Scan ( wenn vorhanden) deinen Namen durch xxx ersetzen.

Edit:
Link geändert.

Danke für die schnelle Antwort, aber über deinen Link lomme ich leider auf keine Seite.

Sorry, dieser funktioniert.

http://mozhelp.dynvpn.de/guide/mit-adwcleaner3-suchen