Viren und Bedrohungsschutz Administrator hat den Zugriff auf einige Bereiche der App eingeschränkt

[rashizar]

Hallo zusammen,

ich habe ein Problem das teilweise schon im Thread:

Viren & Bedrohungsschutz Administrator hat den Zugriff auf einige Bereiche der App eingeschränkt​

behandelt wurde.
Daher wäre es schön wenn mir u.a. @Wolf.J und @dau0815 weiterhelfen könnten, da ihr anscheinend eine Lösung haben könntet.
Ich möchte keine evtl wichtige Details auslassen, deswegen hole ich mal bisschen aus.
Ich habe mir schon vor ca einem Jahr einen Virus irgendwie eingefangen und kämpfe seitdem mit Problemen.
Zunächst hat der virus dafür gesorgt, dass meine Internetstartseite geändert wurde. Ich wurde auf die Website mail.ru weitergeleitet.
Nachdem ich wieder die Standarteinstellungen hergestellt habe, habe ich zudem den Virus mit Malewarebytes (scheinbar) entfernt.
Jetzt gibt es aber wieder Probleme, ob das noch der Mail.ru Virus ist oder ein neuer weiß ich nicht.
Jedenfalls ist der Viren & Bedrohungsschutz deaktiviert, ich kann ihn nicht mehr aktivieren.
Zuerst hatte ich auch die Meldung "Administrator hat den Zugriff auf einige... eingeschränkt"
Nach einem Softwareupdate kommt nur noch "unerwarteter Fehler..." (Siehe Bild 1)
Ein Scan mit Malewarebytes hat 8 bedrohliche Dateien ausfindig gemacht (Pfad: C:\Users\leonc\AppData\Local\Google\Chrome\User Data\Default\Preferences), ich habe sie in die quarantäne geschickt, das Problem bleibt (Bild 2)
Ich sehe keine ungewöhnliche Apps bei den Auto-Startprogrammen. Screenshot der Liste der Prozesse schicke ich. (Bild 3-7)

Schon mal danke im vorraus
Leon

 

[Argor]

Also erstmal sieht das auf den ersten Blick so aus, als würden Dir Webseite(n) irgendwelche Benachrichtigungen senden - also was die vermeintlichen Viren angeht.
Ich gehe mal davon aus, dass sich das irgendwo in Deinem Browserprofil etabliert hat. Das kann man sicher relativ einfach säubern. (ADWCleaner ist hier wohl die einfachste Variante). Was den Bedrohungsschutz angeht, so würde ich meinen, dass hier Antivirenprogramme konkurrieren und sich gegenseitig die Dienste beenden.
Also für ein Antivirenprogramm entscheiden und den Rest verbannen, dann sollte das auch wieder funktionieren. Ich brauche wohl nicht zu erwähnen, dass wir hier so ziemlich alle die "Hausmarke" favorisieren.


Um ganz sicher zu sein, kopiere mal bitte den kompletten Namen des vermeintlichen Virus hier rein.

 

[Wolf.J]

Grundsätzlich ist in so einem Fall eine Neuinstallation mit vorherigem Löschen der Partitionen von Windows, Bootmanager und der Wiederherstellungspartition ratsam.
Parsec hast Du gewusst selbst installiert?
Sonst ist mir bei erster Durchsicht der laufenden Prozesse nicht ungewöhnliches aufgefallen.

Auf jeden Fall solltest Du den ADWCleaner noch zusätzlich laufen lassen, in den aktuellen Bedrohung sehe ich keine echten Viren, sondern nervige PUPs.

Im Zuverlässigkeitsverlauf bitte nachsehen, welche Fehler dort angezeigt werden und ggf. die technischen Details in Textform hier einfügen.
Da sind natürlich die Einträge besonders interessant, die sich auf den Virenschutz beziehen.

 

[rashizar]

Danke euch beiden für die schnelle Hilfe.
Parsec habe ich bewusst installiert und ist soweit ich weiß vertrauenswürdig.
Ich habe ADWcleaner installiert und scannen lassen, Ergebnisse in Bild 1
Ich habe alle in Quarantäne verschoben.

Der Zuverlässigkeitsverlauf sieht irgendwie beunruhigend aus. Am 30.12 gab es 110 kritische Ereignisse, alle bei "MsMpEng.exe" Bild 2

Beschreibung
Name der fehlerhaften Anwendung: MsMpEng.exe, Version: 4.18.2211.5, Zeitstempel: 0x7129b623
Name des fehlerhaften Moduls: KERNELBASE.dll, Version: 10.0.19041.2364, Zeitstempel: 0x5b7d4d22
Ausnahmecode: 0xe06d7363
Fehleroffset: 0x000000000002cd29
ID des fehlerhaften Prozesses: 0x3878
Startzeit der fehlerhaften Anwendung: 0x01d91c92344fc60a
Pfad der fehlerhaften Anwendung: C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2211.5-0\MsMpEng.exe
Pfad des fehlerhaften Moduls: C:\WINDOWS\SYSTEM32\KERNELBASE.dll
Berichtskennung: 134b5897-1575-4e98-a745-26a8db0ecd2f
Vollständiger Name des fehlerhaften Pakets:
Anwendungs-ID, die relativ zum fehlerhaften Paket ist:

Am 31.12 gab es sogar 808 kritische Ereignisse ebenso mit "MsMpEng.exe"

Heute am 1. sind es 516 kritische Ereignisse, ein paar wieder "MsMpEng.exe" aber vor allem auch "Antimalware Service Executable" Bild 3

Beschreibung
Pfad der fehlerhaften Anwendung: C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2211.5-0\MsMpEng.exe

Problemsignatur
Problemereignisame: APPCRASH
Anwendungsname: MsMpEng.exe
Anwendungsversion: 4.18.2211.5
Anwendungszeitstempel: 7129b623
Fehlermodulname: KERNELBASE.dll
Fehlermodulversion: 10.0.19041.2364
Fehlermodulzeitstempel: 5b7d4d22
Ausnahmecode: e06d7363
Ausnahmeoffset: 000000000002cd29
Betriebsystemversion: 10.0.19044.2.0.0.256.48
Gebietsschema-ID: 1031
Zusatzinformation 1: c2bb
Zusatzinformation 2: c2bb496972a6c6020ff4746c4f2f8724
Zusatzinformation 3: c423
Zusatzinformation 4: c42387488a3aae2be06e0c36943f8832

Weitere Informationen über das Problem
Bucket-ID: 66c006538ef24cd10cdf55a2fe2f7fe2 (2080475711406047202)

Außerdem noch einige Warnungen als ich versucht habe Windows Updates zu installieren

 

[Argor]

okay, spätestens jetzt bin ich bei @Wolf.J
setz den Rechner neu auf, alles andere ist nicht ruhigen Gewissens zu empfehlen

 

[Wolf.J]

msmpeng.exe gehört auch zum Windows Defender. Das Ergebnis ist wie befürchtet oder schlimmer.
Da sind wichtige Dateien aus dem Umfeld Virenschutz erheblich korrumpiert.
Da nicht auszuschließen ist, dass das durch den Virenbefall geschehen ist, kann man wirklich nur noch eine Neuinstallation mit gutem Gewissen empfehlen.

Wenn Du das jetzt noch nicht machen willst oder kannst, mach wenigstens ein Inplace Upgrade um die Systemdateien zu reparieren.

 

[rashizar]

Oh verdammt, habe gehofft es wäre nicht so schlimm, aber dann werde ich das machen.
Lässt sich erkennen ob der Virus "nur" auf meinem Systemlaufwerk agiert oder muss ich auch meine beiden zusätzlichen Festplatten formatieren?

 

[Argor]

Kann man generell nicht beantworten. Dazu müsste man wissen, was drauf ist. Wenn es "nur" Daten sind, dann könnte das gehen. Aber sobald dort irgendwelche ausführbaren Programme zu finden sind, wäre eine Säuberung ratsam, zudem dann die registry ohnehin keine Einträge zu dem Programmen mehr aufweist.

 

[Wolf.J]

Hast Du die anderen Platten auch mal scannen lassen?
Bisher habe ich nur PUP gesehen, wenn Malwarebytes noch funktioniert, das auf jeden Fall prüfen.

 

[rashizar]

Leider blieb auch meine 2. Festplatte nicht verschont

Beitrag automatisch zusammengeführt: 01.01.2023

Es ist ja bis jetzt so, dass "nur" Windows Defender durch den Virus deaktiviert wird. Ist es eine Option einfach mit einem anderen Antivirenprogramm zb eben Malwarbytes fortzufahren, oder ist einfach das Risiko zu groß dass auch der früher oder später deaktiviert wird?

 

[Sabine]

Wenn Du das jetzt noch nicht machen willst oder kannst, mach wenigstens ein Inplace Upgrade um die Systemdateien zu reparieren.

Mach bitte zuerst ein Inplace Upgrade. Dann wird auch der Windows Defender repariert. Vielleicht reicht das schon. Und ob der

Windows Defender durch den Virus deaktiviert

wurde, sehe ich nicht.

Allerdings: Vor ca. einem Jahr sich einen Virus einfangen (tatsächlich ein Virus?) und dann die ganze Zeit irgendetwas versuchen, ist ja fast grob fahrlässig. Ein komprimittiertes System gehört neu aufgesetzt.

Oder: sich an das Trojaner-Board wenden. Da sind die Spezialisten für solchen "Dreck".

 

[IT-SK]

Hallo,
deren Webseite ist eine gute Anlaufstelle ,
aber auch nur wenn Du dich exakt an ihre Vorgaben hälst!

Denke auch daran, ALLE Datenträger einer Untersuchung zuzuführen.
Nicht das Du dir von USB Stick/ ext.HDD oder anderer Partition den Rotz gleich wieder einfängst.

Besonderes Augenmerk bitte auch auf Deine Bookmarks, wenn Du die als Datei sicherst!..

Du kannst außerdem von einem Antivirus USB/CD booten und auf Viren scannen.
Diese darfst Du logischerweise nicht auf dem befallenen System erstellen.
Ich schließe mich den Vorrednern*innen an, mache alles platt.

Du wirst ewig Zeit investieren, das ungute Gefühl das System ist korrumpiert bleibt und unter dem Strich wäre ein clean Install schneller gewesen.



Zufällige Reihenfolge!:


https://support.avira.com/hc/de/art...llen-und-Verwenden-eines-Avira-Rescue-Systems

Rescue Disk

BitDefender Rescue CD

 

[rashizar]

Oh Mann, ich rege mich gerade so über mich selbst auf weil ich so naiv war und die Bedrohung die ganze Zeit unterschätzt habe. Ich denke ich werde einen Clean Install machen, das wird aufwendig meine wichtige Dokumente zu sichern und alles neu zu installieren aber es ist wohl die sicherste Methode.
Danke für euren Rat, das ist nicht selbstverständlich deswegen schätze ich es umso mehr.

 

[Wolf.J]

Wenn ich mir den Screenshot von den Scans von D: ansehe, ...crack.rar oder Chip-Installer machen mich schon nachdenken.
Du solltest auch Deine Download-Quellen etwas kritischer auswählen.
Normalerweise gibt es für jede Software auch eine sichere Quelle, am besten direkt von der Website des Herstellers/Programmierers.
Wobei die ersten Treffer von Google nicht unbedingt gut sein müssen, siehe VLC.de und andere.

Es ist ja bis jetzt so, dass "nur" Windows Defender durch den Virus deaktiviert wird.

Nein, der Defender wurde nicht durch ein Virus deaktiviert, es wurden Systemdateien massiv beschädigt, so dass der Defender nicht mehr lauffähig war.
Mehr als 800 Abstürze an einem Tag würde ich nicht als Deaktivierung werten.

 

[IT-SK]

Hallo nochmals,
ja der Screenshot spricht Bände.

Allerdings ist der Defender leider nett gesagt "ungünstig*"
als Virenscanner, wenn Du Games per Patch "Modest, crackst oder Freischaltest".
Das ist jetzt keine Wertung, da darf jeder selber machen was er möchte.

Allerdings tut der Defender genau was er soll, wenn er die Patches als gefährlich oder suspekt einstuft.
Ihm geht es ja um die aus seiner Sicht illegale Funktion.

Hier zählt tatsächlich " Fachwissen" und Gameforen Kenntnisse, unterscheiden zu können, was nur ein Quasi illegaler Patch ist, oder leider echte Schadsoftware, die ominöse Webseiten als funktionierenden Crack verteilen.

Wenn Du den Defender abgeschaltet hast, um die Patches überhaupt installieren zu können, passiert was Du jetzt hast.

Da sind andere Scanner etwas flexibler, installieren das in einer Art Schutzumgebung trotzdem, ohne komplett abgeschaltet werden zu müssen.


Leider ( oder zum Glück...) springt beim Defender trotz Freigabe solcher Patches immer wieder der Schutz an, was letztendlich häufig* zum kompletten Deaktivieren durch einige User führt.

Das Dein System so korrumpiert ist, liegt aus meiner Sicht daran, das Du den Defender für die Installation entweder komplett deaktiviert hattest oder wirklich schlechte Quellen nutzt?

Da liegt der Fehler aber definitiv nicht beim Defender.
* Ich spreche das aus leidvoller Erfahrung mit Zwei Söhnen.
Edit:
Irgendwie hat der Androide unterwegs Teile verschluckt,
genau wie meine Vorredner empfehle ich dringend,
die Kiste komplett neu aufzusetzen!

Überprüfe ALLE Datenträger, USB/Sticks,ext.Platten usw.
Besondere Vorsicht auch bei den Bookmarks,
falls Du die als Datei sicherst!

@runit
Der Defender ignoriert eben doch in 60% der Fälle diese Ausnahmen,
blockiert trotzdem ( was ja korrekt ist) was in der Folge desöfteren leider zum Total Abschalten durch User führt.

 

[runit]

Man kann auch unter Defender jeden "Dreck" installieren, wenn man ihn zur Ausnahme hinzufügt. Dafür muss man den Defender nicht deaktivieren. Nur für den Download müsste man zuerst den Defender deaktivieren. Das hatte man seinerzeit für Downloads gemacht, wo der Chip- od. CB-Downloadmanager mitkam, mit dem der eigentliche Download dann erst möglich war. Allerdings ist man dann nicht geschützt und quasi selber schuld, wenn der "Dreck" dann eben genau das macht, wovor der Defender schützen wollte und würde. Die Risiko-Bewertung liegt bei solcher Vorgehensweise alleine beim Nutzer. Crack.rar Dateien sind geradezu berüchtigt, Viren zu beinhalten. Da genügt manchmal auch schon der Aufruf der Downloadseite, auf der schon Viren implementiert sein können. Der Seiten-Betreiber und/oder Original-Dateien-Anbieter können manchmal nichtmal was dafür. Da haben kriminelle Hacker dann und wann ihr Werk verrichtet. Crack-Dateien gibt es jedoch häufig nur zu dem einzigen Zweck, um dort Viren zu verstecken. Bei Mod-Dateien ist es nicht ganz so schlimm bestellt. Da sollte man aber schon genau schauen, wer die anbietet. Die werden ja auch gerne von gutartigen Nerds erstellt und können unter Umständen bedenkenlos genutzt werden. Im Zweifel lässt man dann auch lieber die Finger davon. Ich würde solche Quellen nie nie nie ansteuern, und noch schlimmer, solche Dateien downloaden und zur Installation bringen. Ich glaube, da würden auch schon meine entsprechenden Addons im Browser blocken und schützen wollen.

 

[Argor]

Die Crashes des Defender sind wohl bedingt durch den korrumpierten Webbrowser. Und rein theoretisch könnte sich (auf den ersten Blick anzunehmen) das ganze Debakel auf das Browser-Profil beschränken. Allerdings gibt es hier garantiert registry- und search-Einträge, die das Chaos immer wieder hervorrufen werden.
Aber grundsätzlich schauts für mich (ohne Garantie, da ich natürlich nicht den kompletten Überblick habe) so aus, als wären es ausschließlich höchst unliebsame Webbrowseränderungen. Von wirklich extrem schädlichen Viren habe ich bis dato nichts gesehen.
ABER !!! Da dieser Zustand über einen so langen Zeitraum den kompletten Sicherheitsmechanismus von Windows ausgehebelt hat, ist das Risiko eines tatsächlich eingefangenen Schädlings enorm hoch. Und den sieht/findet man für gewöhnlich nicht ohne gewisse Spezialkenntnisse bzw. -tools.
Fazit: Es ist hier dringend anzuraten. die Kiste komplett zu säubern. Für mich persönlich beinhaltet das ebenfalls immer ein Festplatten-Wipe, aber das muss jeder für sich entscheiden.