Das ist ein Trojaner:
Nur mal so zum Auflockern: Die Trojaner waren historisch gesehen die Opfer, nicht die Täter. Darum ist es besser von einem Trojanischen Pferd zu sprechen. Und das haben die Griechen den Trojanern untergeschoben, die Griechen waren also die Täter.
Werde ich auf einer Virtuellen Maschine testen und berichten.
Hast du den Weg versucht, nutzt du VPN/Proxi? (sry- habe nicht den gesamten Strang durchgelesen)
Kein VPN, Kein Proxy, kein separater DNS-Dienst oder Server, kein PiHole oder vergleichbar.
In VirtualBox verwende ich einen virtuellen Netzwerkswitch/Netzwerkkarte der mit NAT auf den Host durchreicht.
von chip.de runtergeladen
Warum nicht direkt vom Hersteller?
Gerade chip ist dafür bekannt, solchen Mist zusätzlich zu installieren.
Steht doch auch reichlich in diesem Thread
von chip.de runtergeladen
Warum nicht direkt vom Hersteller?
Gerade chip ist dafür bekannt, solchen Mist zusätzlich zu installieren.
Steht doch auch reichlich in diesem Thread
@ehmkay Von Chip.de kommt ein großer Anteil der Software die Probleme verursacht.
Das wird auf deinem Link aber empfohlen, und manch ein User könnte dann denken, er soll das machen.
Dann hat so ein Nutzer es aber auch verdient. Spielt bei craccoon dann aber auch keine Rolle mehr. Ich hab dennoch einen Hinweis gesetzt, damit die liebe Seele Ruh hat 
Auf meinem Windows 11 Rechner ist das Problen seit einigen Tagen häufig aufgetreten. Ich habe jetzt den AdwCleaner laufen lassen und seitdem ist das Problem nicht mehr aufgetreten. Hier ist die log-Datei:
# -------------------------------
# Malwarebytes AdwCleaner 8.4.2.0
# -------------------------------
# Build: 03-04-2024
# Database: 2024-03-04.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Clean
# -------------------------------
# Start: 04-21-2024
# Duration: 00:00:01
# OS: Windows 11 (Build 22631.3447)
# Cleaned: 6
# Failed: 0
***** [ Services ] *****
No malicious services cleaned.
***** [ Folders ] *****
No malicious folders cleaned.
***** [ Files ] *****
No malicious files cleaned.
***** [ DLL ] *****
No malicious DLLs cleaned.
***** [ WMI ] *****
No malicious WMI cleaned.
***** [ Shortcuts ] *****
No malicious shortcuts cleaned.
***** [ Tasks ] *****
No malicious tasks cleaned.
***** [ Registry ] *****
Deleted HKCU\SOFTWARE\438f84b93ab73e6e9ccd233d1abe724b
Deleted HKCU\Software\Conduit
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules|TCP Query User{0475F0F6-8367-4130-82C8-38FA5E79C2E3}C:\program files\sharpcap 4.0 (64 bit)\sharpcap.exe
Deleted HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules|UDP Query User{2F18EDEF-DCEB-4FF3-A730-D28EAADD64AC}C:\program files\sharpcap 4.0 (64 bit)\sharpcap.exe
Deleted HKLM\Software\Wow6432Node\Conduit
Deleted HKLM\Software\Wow6432Node\\Classes\CLSID\{8BF0126F-A5B7-4720-ABB2-2414A0AF5474}
***** [ Chromium (and derivatives) ] *****
No malicious Chromium entries cleaned.
***** [ Chromium URLs ] *****
No malicious Chromium URLs cleaned.
***** [ Firefox (and derivatives) ] *****
No malicious Firefox entries cleaned.
***** [ Firefox URLs ] *****
No malicious Firefox URLs cleaned.
***** [ Hosts File Entries ] *****
No malicious hosts file entries cleaned.
***** [ Preinstalled Software ] *****
No Preinstalled Software cleaned.
*************************
[+] Delete Tracing Keys
[+] Reset Winsock
*************************
AdwCleaner[S00].txt - [2155 octets] - [21/04/2024 15:42:28]
########## EOF - C:\AdwCleaner\Logs\AdwCleaner[C00].txt ##########Ich war bis jetzt auch seit vergangener Woche von der aufpopenden Website geplagt. Vorhin habe ich den Malwarebytes AdwCleaner 8.4.2.0 laufen lassen. Dann habe ich über die Host-Datei in Window System die lästige Seite gesperrt. Nach einem Neustart des PCs ist bis jetzt Ruhe. Die Seite ist nicht wieder aufgetaucht.
MfG Moritz1
Vorhin habe ich den Malwarebytes AdwCleaner 8.4.2.0 laufen lassen.
Und, wurde etwas gefunden, und wenn ja was genau?
über die Host-Datei in Window System die lästige Seite gesperrt
Da niemand weiß um was es sich dabei genau handelt, würde ich dem nicht trauen.
Nur weil es ausgeblendet ist, ist es ja nicht weg
Auf Reddit meinte ein Nutzer, er hätte das Problem vermutlich durch Deaktivieren von uBlock Origin gelöst. Da hier aber nicht jeder uBlock Origin nutzt und auch der Fehlerbehebungsmodus oder ein neues Profil nicht geholfen hat, würde ich das bei den Theorien erstmal ganz weit hinten anstellen. Ein anderer Bericht auf GitHub nennt die Microsoft PowerToys und deren WebSearch-Plugin. Hier finde ich den genannten Registry-Eintrag interessant. Denn Folgendes ergibt damit für mich Sinn:
- Nur Firefox ist betroffen.
- Keine Lösung durch Fehlerbehebungsmodus oder neues Profil, da eine Installation und kein Profil betroffen ist.
- mozregression-Builds nicht betroffen, da eine bestimmte Installation betroffen ist.
- Die Konsolen-Meldung, die Quorthon genannt hat, bezieht sich auf einen Kommandozeilen-Parameter. Ein solcher wird auch über die Registry gesetzt.
Können betroffene Nutzer vielleicht mal prüfen, ob sie ebenfalls einen solchen Registry-Eintrag haben?
Hier ist die log-Datei:
Und jetzt noch das Suchprotokoll [S00] mit genaueren Daten. Und ich denke, auch bei dir war Webcompanion mal drauf.
{8BF0126F-A5B7-4720-ABB2-2414A0AF5474} und 438f84b93ab73e6e9ccd233d1abe724b tauchen immer in diesem Zusammenhang auf. Und erstere scheint unlöschbar zu sein, jedenfalls taucht es immer wieder auf auf den betroffenen Rechnern.
Wegen -osint
osint command line parameter | Firefox Ọgbakọ Nkwado | Nkwado Mozilla
PowerToys nutze ich nicht, ist mir zu aufgeblasen der Kram. Dito Websuche, wenn das die Sucheingabe in der Taskleiste sein soll.
Hier ist die log-Datei:
Und jetzt noch das Suchprotokoll [S00] mit genaueren Daten.
# -------------------------------
# Malwarebytes AdwCleaner 8.4.2.0
# -------------------------------
# Build: 03-04-2024
# Database: 2024-03-04.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Scan
# -------------------------------
# Start: 04-21-2024
# Duration: 00:00:16
# OS: Windows 11 (Build 22631.3447)
# Scanned: 32095
# Detected: 6
***** [ Services ] *****
No malicious services found.
***** [ Folders ] *****
No malicious folders found.
***** [ Files ] *****
No malicious files found.
***** [ DLL ] *****
No malicious DLLs found.
***** [ WMI ] *****
No malicious WMI found.
***** [ Shortcuts ] *****
No malicious shortcuts found.
***** [ Tasks ] *****
No malicious tasks found.
***** [ Registry ] *****
Adware.Agent.Proxy HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules|TCP Query User{0475F0F6-8367-4130-82C8-38FA5E79C2E3}C:\program files\sharpcap 4.0 (64 bit)\sharpcap.exe
Adware.Agent.Proxy HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules|UDP Query User{2F18EDEF-DCEB-4FF3-A730-D28EAADD64AC}C:\program files\sharpcap 4.0 (64 bit)\sharpcap.exe
PUP.Adware.Heuristic HKCU\SOFTWARE\438f84b93ab73e6e9ccd233d1abe724b
PUP.Optional.Conduit HKCU\Software\Conduit
PUP.Optional.Conduit HKLM\Software\Wow6432Node\Conduit
PUP.Optional.Legacy HKLM\Software\Wow6432Node\\Classes\CLSID\{8BF0126F-A5B7-4720-ABB2-2414A0AF5474}
***** [ Chromium (and derivatives) ] *****
No malicious Chromium entries found.
***** [ Chromium URLs ] *****
No malicious Chromium URLs found.
***** [ Firefox (and derivatives) ] *****
No malicious Firefox entries found.
***** [ Firefox URLs ] *****
No malicious Firefox URLs found.
***** [ Hosts File Entries ] *****
No malicious hosts file entries found.
***** [ Preinstalled Software ] *****
No Preinstalled Software found.
########## EOF - C:\AdwCleaner\Logs\AdwCleaner[S00].txt ##########MacOS oder Linux Anwender sind Stand 21.04.2024 nicht betroffen.
Hallo 
das wundert mich nicht. Die Beigaben des "sicheren Chip Installers" sind ja Windows Programme.
es muss nicht daran liegen, ist bis jetzt nur eine Vermutung
Bis zum Beweis des Gegenteils behaupte ich weiterhin, dass der Chip Installer mit seiner Malware die Ursache ist.
Ich habe die o.g. Adw Cleaner von chip.de runtergeladen
ROTFL. Wie kann man bloß so ignorant sein?
Der Fehler ist jetzt weg
Viel Spaß beim nächsten DL von dieser Malwareschleuder. Du hast nicht verstanden, dass mit einer gewissen Wahrscheinlichkeit diese unseriöse Seite die Ursache ist.
Ein anderer Bericht auf GitHub nennt die Microsoft PowerToys und deren WebSearch-Plugin.
Die Powertoys sind hier installiert. Das genannte Plugin habe ich nicht wissentlich installiert. Ich finde auch keinen passenden Eintrag in der Liste der Tools. Zum GitHub-Artikel:
Den Rest habe ich mir geschenkt. Das Problem tritt hier ja nicht auf.
Gruß Ingo
Der Eintrag ist wie beschrieben vorhanden.
In welcher Form?
"C:\Program Files\Mozilla Firefox\firefox.exe" -osint -url "%1" oder
"C:\Program Files\Mozilla Firefox\firefox.exe" "%1" ?
Könnte jemand einen Link zum Adw Cleaner reinschicken? Es gibt wohl auch fakes und ich habe keine Ahnung, woran ich erkenne, ob ich beim Original bin.
Habe zum Beispiel den hier gefunden:
Vielen Dank!
Das ist die richtige Site.
Ich habe jetzt mal meine Registry durchgesehen. Ich habe eine ganze Reihe Einträge, ein Teil davon ist leer und der andere Teil verweist auf alte Firefox-Versionen und die Pfade dort sind alles -osint-Pfade.
Der Fehler ist jetzt weg
leider nicht - Fehler taucht wieder auf
Ich habe da vielleicht etwas gefunden. Es soll da ein Programm HPSewil geben, das eventuell das Problem verursachen könnte. An die Betroffenen:
Drückt mal Win+R, die Kommandozeile von Windows (Ausführen) öffnet sich. Gebt dort %APPDATA% ein und klickt auf OK. Jetzt wird euch der Ordner Roaming im Windows-Explorer geöffnet. Schaut nach, ob ihr dort einen Ordner HPSewil oder ähnlich habt.
Können betroffene Nutzer vielleicht mal prüfen, ob sie ebenfalls einen solchen Registry-Eintrag haben?
Und was ist mit den Nutzern, die diesen Eintrag auch haben, aber keine derartigen Probleme? Soll heißen ich habe den Eintrag in der Registry und keine derartigen Probleme.
An dich die gleiche Frage: Welchen der Einträge hast du?
