"ADW cleaner": evtl. Malware?

NRG1

Zitat von 2002Andreas

Auch wieder alles löschen lassen was der Cleaner gefunden hat.
Und danach solltest du dir mal ein neues Profil für den Chrome erstellen und testen.
Neues Browser-Nutzerprofil erstellen - Google Chrome-Hilfe

NAch diesem POST (POST #37) habe ich wieder alles mit dem "ADW cleaner" gelöscht.
Dann habe ich bei CHROME nachgeschaut und fand wieder diesen Hinweis, der mir schon mal aufgefallen ist (POST #11, siehe screenshot):
https://www.camp-firefox.de/forum/viewtopi…=983994#p983994

Das heisst CHROME schreibt dann alles wieder auf die Platte was "ADW cleaner" paar Minuten zuvor gelöscht hat, oder?
So vertehe ich das..... :-?? . Können diese Einträge/Malware in CHROME auch (irgendwie) wieder etwas in das neue, zurückgesetzte FFX-Profil hineinschreiben/eintragen ?

Ich werde auf jeden FAll (wie Vorgeschlagen) ein neues Profil für den CHROME erstellen. Und dann lasse dieses Tool laufen:

Zitat von AngelOfDarkness

deswegen ja mal ein neues Chrome Profil. Wahrscheinlich sorgt eine Chrome- Erweiterung oder App dafür. Ansonsten wäre da mal das Junkware Removal Tool (JRT von MBAM) an der Reihe.

Ich surfe jetzt seit einer Weile mit dem neuen "zurückgesetzten" FFX: FFX läuft weiterhin problemlos.
see yaa und besten Dank!

NRJ

NRG1

Nabend

Ich hab gerade auch CHROME zurückgesetzt nach dieser Anleitung (Beitrag #37):

Zitat von 2002Andreas

Auch wieder alles löschen lassen was der Cleaner gefunden hat.
Und danach solltest du dir mal ein neues Profil für den Chrome erstellen und testen.
Neues Browser-Nutzerprofil erstellen - Google Chrome-Hilfe

Direkt danach habe ich den ADW-Cleaner und den MBAM gestartet und nachgeschaut, obs klappte: beide Berichte sind
als CODE unten in diesem POST zu sehen.
Im LOG vom ADW-cleaner unter Mozilla ist wieder etwas aufgetaucht. Wie man sehen kann stammt der Eintrag (denke ich) von diesem Add-on: https://addons.mozilla.org/de/firefox/add…rag/?src=search
Ich habs erst vorgestern glaube ich gefunden auf Mozilla (habs vorher nicht gekannt) und installiert.
In den User-Meinungen zu diesem Add-On stand nichts von Adware also habe ichs installiert. Oder ist es doch keine Adware/Malware ....? :-??

Ein Frage unabhängig von diesem Eintrag: soll ich jetzt noch zusätzlich den JRT anwerfen (siehe POST #40)?

Zitat von AngelOfDarkness

deswegen ja mal ein neues Chrome Profil. Wahrscheinlich sorgt eine Chrome- Erweiterung oder App dafür. Ansonsten wäre da mal das Junkware Removal Tool (JRT von MBAM) an der Reihe.

--------- HIER DIE BERICHTE DER BEIDEN TOOLS:

Code

# AdwCleaner v5.023 - Bericht erstellt am 04/12/2015 um 23:46:29
# Aktualisiert am 30/11/2015 von Xplode
# Datenbank : 2015-12-03.1 [Server]
# Betriebssystem : Windows 7 Home Premium Service Pack 1 (x64)
# Benutzername : NRG1 - NRG1MSIGE60
# Gestartet von : C:\_xSET\adw_cleaner_LTD\adwcleaner_5.023.exe
# Option : Suchlauf
# Unterstützung : http://toolslib.net/forum


***** [ Dienste ] *****




***** [ Ordner ] *****




***** [ Dateien ] *****


Datei Gefunden : C:\Users\NRG1\AppData\Roaming\Mozilla\Firefox\Profiles\d272fh1e.default-1448915015684\Extensions\superdrag@enjoyfreeware.org.xpi


***** [ DLL ] *****




***** [ Verknüpfungen ] *****




***** [ Aufgabenplanung ] *****




***** [ Registrierungsdatenbank ] *****


Schlüssel Gefunden : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.snapdoc


***** [ Internetbrowser ] *****




########## EOF - C:\AdwCleaner\AdwCleaner[S9].txt - [887 Bytes] ##########

Alles anzeigen

Code

Malwarebytes Anti-Malware
www.malwarebytes.org


Suchlaufdatum: 04.12.2015
Suchlaufzeit: 23:49
Protokolldatei: MBAM_after_chrome_reset.txt
Administrator: Ja


Version: 2.2.0.1024
Malware-Datenbank: v2015.12.04.06
Rootkit-Datenbank: v2015.11.26.01
Lizenz: Kostenlose Version
Malware-Schutz: Deaktiviert
Schutz vor bösartigen Websites: Deaktiviert
Selbstschutz: Deaktiviert


Betriebssystem: Windows 7 Service Pack 1
CPU: x64
Dateisystem: NTFS
Benutzer: NRG1


Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 362358
Abgelaufene Zeit: 7 Min., 43 Sek.


Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Aktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert


Prozesse: 0
(keine bösartigen Elemente erkannt)


Module: 0
(keine bösartigen Elemente erkannt)


Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)


Registrierungswerte: 0
(keine bösartigen Elemente erkannt)


Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)


Ordner: 0
(keine bösartigen Elemente erkannt)


Dateien: 0
(keine bösartigen Elemente erkannt)


Physische Sektoren: 0
(keine bösartigen Elemente erkannt)




(end)

Alles anzeigen

AngelOfDarkness

wwnn alles läuft, dann braucht es JRT erstmal nicht. Was Super Drag angeht, so wird es als (saubere) Alternative für Quick Drag angegeben, welches wohl nachweislich Adware beinhaltet. Aber ganz sauber scheinbar auch nicht (?), da der AdwCleaner angeschlagen hat.

Road-Runner

Was Super Drag angeht möchte ich sagen dass es sich mit fast hundertprozentiger Sicherheit um einen Fehlalarm handelt. Ich nutze die Erweiterung selbst und kann bestätige dass sie hin und wieder von AdwCleaner angemeckert wird oder auch nicht. Das scheint von der verwendeten AdwCleaner-Version ab zu hängen. In der aktuellen Version meckert AdwCleaner, in einer der Vorgängerversionen nicht.

Übrigens wird hier die Erweiterung More Tools Menu auch von AdwCleaner angemeckert ohne dass ich einen Grund dafür erkennen könnte.

Boersenfeger

Wie kann man denn das "dort" melden?

AngelOfDarkness

Boersenfeger ...

indem man es dort mal im Forum bekannt macht : https://toolslib.net/forum/

ich glaube madperson oder war es Zitronella (?) haben beim Autor schon mal ein anderes Problem gemeldet, als des öfteren ein Teil des Firefox als false-positive gemeldet wurde.

Boersenfeger

Danke...
Ggf. liest der Betroffene mit, ich nutze diese Erweiterung nämlich nicht..

Zitronella

habs mal gemeldet: https://toolslib.net/forum/viewthre…!messageId-1368

NRG1

Hi

ich gerade auch:
https://toolslib.net/forum/viewthre…alse-detection/

Ein "Doppelpost" und nicht im Sammelthread, hat sich aus versehen "überschnitten".....

Boersenfeger

2x :klasse:

Zitronella

und schwupps sind sie aus der Datenbank entfernt worden https://toolslib.net/forum/viewthre…!messageId-1373

NRG1

ANtwort in meinem Thread ebnso: "...removed from database...."

https://toolslib.net/forum/viewthre…!messageId-1374

Boersenfeger

Ein schönes Beispiel dafür, das man selbst tätig werden kann und etwas geschieht..

NRG1

Zitat von 2002Andreas

Immer eins nach dem anderen und zwischendurch testen.

Im FFx habe ich nur paar wenige Add-Ons wieder installiert (siehe: https://www.camp-firefox.de/forum/viewtopi…=990356#p990356 ). Damit teste ich mal ne Weile (ich denke 4-5 Tage,
vielleicht mal ne Woche lang ) den FF. Bis jetzt/heute nach der kurzen Zeit habe ich keine Auffälligkeiten
festgestellt (auch bei CHROME nicht). ADW-cleaner und MBAM haben nichts gefunden: hab beide Tools
seit dem Zurücksetzen der beiden Browser immerwieder angeworfen.
Besten Dank an alle!

Zitat von Fox2Fox

Wenn du meinst, dass die anderen Rechner nicht sauber sind, kannst du alle von dir benutzten Tools (AdwCleaner, MBAM, JRT) auf jedem Rechner laufen lassen. Und die Ergebnisse hier posten.

Wie schon gesagt habe ich noch zwei weitere LAptops: auf beiden ist noch dasselbe "vemüllte" Profil vom FF
und das ebenfalls "vemüllte" Profil vom CHROME. Es kann sein dass ich ab morgen/übermorgen wieder für 3-4 Tage beruflich mit dem Kundendienst (in Süddeutschland) mitfahren muss. Ich werde mich wieder melden wenn ich hier in Thread wieder "voll dabei" sein kann (also ich denke in spätestens in 3-4 Tagen).

see yahhh soon!

NRG1

Hi

bin wieder zurück von meinem Ausflug mit dem Kundendienst duch ganz deutschland.... :mrgreen:
Kurze Rückmeldung: gerade habe ich noch nachgeschau, ob es neue Malware gibt auf dem msi-GE60.
Es gibt keine neuen Einträge in den Logs vom MBAM und vom ADW-cleaner. Meine Freundin ist
(während meiner Anwesenheit) etwas mit dem FF gerumgesurft bzw. getestet: also scheint alles OK zu sein....

Ich hab noch 2 Laptops mit Malware: "msi-GT72" und "Packard Bell TSX62".
Ich wollte (um den Theread übersichtlich zu halten) erstmal nur den msi-GT72 "reinigen".
Auf dem msi-GT72 ist noch das vemüllte Profil vom FFX, das mal auch auf dem msi-GE60 war.
DAs Profil vom CHROME stammt auch vom msi-GE60: ich hab das Profil über CHROME-Synchrinisation
automatsich synchronisiert mit allen Laptops. Diese Synchronisation habe ich vor ein Paar Tagen
(vor dem Zurücksetzen vom CHROME af dem msi-GE60) komplett abgeschaltet.

Hier sind die zwei LOG-Files (ADW-cleaner und MBAM) vom Laptop "msi-GT72":

Code

# AdwCleaner v5.025 - Bericht erstellt am 14/12/2015 um 19:28:53
# Aktualisiert am 13/12/2015 von Xplode
# Datenbank : 2015-12-13.2 [Server]
# Betriebssystem : Windows 8.1  (x64)
# Benutzername : NRG1 - NRG1GT72
# Gestartet von : C:\_xSET\adw_cleaner_LTD\adwcleaner_5.025.exe
# Option : Suchlauf
# Unterstützung : http://toolslib.net/forum


***** [ Dienste ] *****




***** [ Ordner ] *****


Ordner Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Extensions\cknebhggccemgcnbidipinkifmmegdel
Ordner Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Extensions\oadboiipflhobonjjffjbfekfjcgkhco
Ordner Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Extensions\dkpejdfnpdkhifgbancbammdijojoffk


***** [ Dateien ] *****


Datei Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_cknebhggccemgcnbidipinkifmmegdel_0.localstorage
Datei Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_cknebhggccemgcnbidipinkifmmegdel_0.localstorage-journal
Datei Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_oadboiipflhobonjjffjbfekfjcgkhco_0.localstorage
Datei Gefunden : C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_oadboiipflhobonjjffjbfekfjcgkhco_0.localstorage-journal


***** [ DLL ] *****




***** [ Verknüpfungen ] *****




***** [ Aufgabenplanung ] *****




***** [ Registrierungsdatenbank ] *****




***** [ Internetbrowser ] *****


[C:\Users\NRG1\AppData\Roaming\Mozilla\Firefox\Profiles\k39ta9px.default\prefs.js] [Preference] Gefunden : user_pref("extensions.enabledAddons", "%7B2d3fbcf7-be69-4433-8858-c621a8d0e58d%7D:6.0.0.12757,%7BCE6E6E3B-84DD-4cac-9F63-8D2AE4F30A4B%7D:4.6,nightlaunchcompanion%40example.com:0.1.20150319.0640beta.1-[...]
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Web data] [Search Provider] Gefunden : websearch.ask.com
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Web data] [Search Provider] Gefunden : starter-background-changer.en.softonic.com
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Web data] [Search Provider] Gefunden : conduit.search
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Extension] Gefunden : cknebhggccemgcnbidipinkifmmegdel
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Extension] Gefunden : dkpejdfnpdkhifgbancbammdijojoffk
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Extension] Gefunden : oadboiipflhobonjjffjbfekfjcgkhco
[C:\Users\NRG1\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Homepage] Gefunden : hxxp://search.avira.com/?l=dis&o=APN10261&gct=hp&dc=EU&locale=de_DE


########## EOF - C:\AdwCleaner\AdwCleaner[S2].txt - [2907 Bytes] ##########

Alles anzeigen

Code

Malwarebytes Anti-Malware
www.malwarebytes.org


Suchlaufdatum: 14.12.2015
Suchlaufzeit: 19:30
Protokolldatei: report_MBAM_msi_GT72.txt
Administrator: Ja


Version: 2.2.0.1024
Malware-Datenbank: v2015.12.14.04
Rootkit-Datenbank: v2015.12.07.01
Lizenz: Kostenlose Version
Malware-Schutz: Deaktiviert
Schutz vor bösartigen Websites: Deaktiviert
Selbstschutz: Deaktiviert


Betriebssystem: Windows 8.1
CPU: x64
Dateisystem: NTFS
Benutzer: NRG1


Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 344626
Abgelaufene Zeit: 6 Min., 53 Sek.


Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Aktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert


Prozesse: 0
(keine bösartigen Elemente erkannt)


Module: 0
(keine bösartigen Elemente erkannt)


Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)


Registrierungswerte: 0
(keine bösartigen Elemente erkannt)


Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)


Ordner: 0
(keine bösartigen Elemente erkannt)


Dateien: 1
PUP.Optional.OpenCandy, C:\$Recycle.Bin\S-1-5-21-1941534325-2240679782-2633503928-1001\$R55NB8A.exe, , [43b91a8a74175bdb2507df3a867c04fc], 


Physische Sektoren: 0
(keine bösartigen Elemente erkannt)




(end)

Alles anzeigen

Boersenfeger

Leere den Mülleimer und OpenCandy ist Geschichte.. Lasse AdwCleaner die gefundenen Daten löschen... Die meisten Sachen betreffen Chrome und nicht Firefox.. dort mal alle Erweiterungen entfernen.
Und verschaffe deiner Freundin endlich einen eingeschränkten Nutzeraccount mit Passwort.. :mrgreen:

NRG1

Zitat von Boersenfeger

Die meisten Sachen betreffen Chrome und nicht Firefox.. dort mal alle Erweiterungen entfernen.

"....alle Erweiterungen entfernen...": kann ich (wie schon 2-3 Posts zuvor) jetzt einfach
die Einträge vom ADW-cleaner löschen und danach beide Browser-Profile gleich komplett zurücksetzen? Das wäre
(für mich persönlich) am einfachsten: dann kann ich auch auf dem "msi-GT72" (so zu sagen) sofort 100%-ig sicher ohne MAlware mit einem sauberen FFX/CHROME anfangen :-?? ....?

Der zweite schritt wäre (nach einer Weile) das neue vor kurzem zurückgesetzte FFX-Profil vom "msi-GE60"
(jetzt schon zum Teil mit neu ausgesuchten Add-Ons und wenn es mit diesem Profil weiterhin keine schwierigkeiten gibt)
einfach wieder auf den "msi-GT72" zu kopieren. ...müsste denke ich problemlos klappen, oder ...? :-??

Boersenfeger

Zitat von NRG1

Der zweite schritt wäre (nach einer Weile) das neue vor kurzem zurückgesetzte FFX-Profil vom "msi-GE60" .....
einfach wieder auf den "msi-GT72" zu kopieren. ...müsste denke ich problemlos klappen, oder ...? :-??

Nur den Inhalt, nicht das gesamte Profil!!!

NRG1

Zitat von Boersenfeger

Nur den Inhalt, nicht das gesamte Profil!!!

OK, um sicher zu sein was das Kopieren des Profils angeht:
Zum kopieren wollte ich diese Anleitung nehmen, die ich von Euch mal bekommen habe
und die bis jetzt auch immer perfekt funktionierte (auch bei Bekannten habe ich sie öfter eingesetzt).
https://www.camp-firefox.de/forum/viewtopi…=939895#p939895

Sie müsste ( vermute ich / nehme ich an :-??? ) auch bei Profilen funktionieren, die zurückgesetzt wurden.
Ein Zitat aus der Anleitung:

Zitat

Wenn Du Firefox schon vor dem Übertragen des Profilordners auf dem neuen Rechner installiert und gestartet hast:
In diesem Fall ist auch schon ein neuer Profilordner mit den Standardeinstellungen vorhanden. Du kannst jetzt die Dateien und Unterordner des neuen Profilordners mit den Dateien und Unterordnern des alten Profilordners überschreiben lassen. Der Name des neuen Profilordners (Buchstaben-/ Zahlenkombination.default) darf dabei nicht geändert werden.

Dieser teil der Anleitung müsste auch in diesem speziellen ("malware"-)Sonderfall funktionieren: zurückgesetzte Profile, von Tools gelöschte Pfade etc... etc... etc.... ,oder?

Road-Runner

Zitat von NRG1

Sie müsste ( vermute ich / nehme ich an :-??? ) auch bei Profilen funktionieren, die zurückgesetzt wurden.

Tut sie auch. Du kopierst ja nur den Inhalt eines Profils in den Ordner eines andern Profils auf dem anderen Rechner. Und dabei ist es egal ob es sich um ein "ursprüngliches" Profil handelt oder ein restauriertes bzw. zurück gesetztes. Profil ist Profil.