Defender Ereignis ID 5007 nach Neustart

[Winlos]

Hallo,
ich bin etwas verunsichert. Ich bin bei der Ereignisanzeige auf das Ereignis ID5007 gestossen, was jedes Mal nach dem Neustart kommt.
"Microsoft Defender Antivirus-Konfiguration wurde geändert. Wenn es sich um ein unerwartetes Ereignis handelt, sollten Sie die Einstellungen überprüfen, da dieses Problem möglicherweise auf Schadsoftware zurückzuführen ist."

Historie:
Fritz Box, Home PC, Kind PC, Firmen PC.
Home PC Defender findet Virus, Festplatte C und Daten formatiert, System Win 11 neu aufgesetzt mit USB Installationsstick.
Sehr alte Datensicherung raufgespielt um sicherzugehen, nichts von Daten wieder auf den PC zu packen, was infiziert ist.
Defender gibt an: Keine AKTUELLEN Bedrohung, gibt aber 2 Bedrohungen an, nichts im Schutzverlauf
Ereignisanzeige angesehen Einmal noch eine alte Chipdownload Datei mit PUA und einmal Abbruch des Scanvorgangs mit Beschreibung kryptische Zeichen. Auf Daten Platte Chip Datei gelöscht sowie alle anderen Exe Dateien

Alle Updates gefahren. Nach einem Neustart war die Grafik Einstellung anders. Ein Programm war nun plötzlich nur auf dem anderen Bildschirm/TV zu sehen und nicht mehr auf dem PC Bildschirm
Nach Neustart App Broswer control auf Gelb, Core Isloation auf gelb. Wieder auf grün einstellen ging nicht.
Fehler identifiziert: SmartSwitch Samsung Treiber. Diese Deinstalliert.
Konnte nun wieder alles einstellen, dass Windows Security grün
Neustart, Scan mit Defender und Offline Scan, nichts gefunden.

Allerdings taucht bei jedem Neustart im Defender Ereignis die o.g. Meldung 5007 auf.
Ich lese sehr unterschiedliches, wo einige meinen das ist normal, während andere warnen.
Bei Untersuchung und Update soll es normal sein. Aber einfach nur nach dem Neustart?
Ich habe kein alternatives Virenprogramm installiert.

Wie hoch ist die Wahrscheinlichkeit dass ich noch das Virus in meinem Netzwerk durch die anderen Rechner wieder bekomme, da diese auch an der FB hängen. Wie gesagt, nichts großartiges nach Neuinstallation im Internet gemacht.

Sorry für meine begrenztes Wissen und meine vielleicht übergroßen Sorgen.

Danke vorab schon einmal für die Hilfe

Gruß

 

[PC295]

Home PC Defender findet Virus

Was wurde denn genau gefunden?

Allerdings taucht bei jedem Neustart im Defender Ereignis die o.g. Meldung 5007 auf.

Dort sollte auch dabei stehen, was an der Konfiguration geändert wurde...

 

[1lluminate23]

Mit welchem Tool oder wie und wo und was genau hast du an Microsoft Defender geändert? Besteht doch keine Notwendigkeit. Das Ding "Ready to Play"

 

[Winlos]

Danke erst einmal für die Antworten:
@PC295 Trojan Win32/Ymacco.AAEF und SoftwareBundler:Win32/Stallmonitz
Konnte da keine Info über die Änderung finden. Muss ich nachher nochmal sehen, wenn ich wieder zuhause bin.

@1Illuminate23 An Defender selbst habe ich nichts geändert. Lediglich die angegebenen gelben Warnungen, wo was deaktiviert war wieder aktiviert. App Broswer control, Core Isloation

Ergänzung (2. Juli 2025)

@PCC295
Ich glaube sowas
HKLM\SOFTWARE\Microsoft\Windows Defender\IsServiceRunning wurde von 0x0 (aus) auf 0x1 (ein) geändert.

 

[1lluminate23]

Es gibt immer ein bis 3 mögliche Möglichkeiten:

No1: saubere Backups einspielen, die müssen aber wirklich Malware frei sein. Nicht umsonst hebe ich meine Backups 28/30/31 Tage auf.

No2: Besorg dir c't Desinfect und scanne alle Rechner

No3: Mach die Kiste platt

 

[PC295]

HKLM\SOFTWARE\Microsoft\Windows Defender\IsServiceRunning wurde von 0x0 (aus) auf 0x1 (ein) geändert.

Die Meldung ist normal. Das ist keine Manipulation durch Schadsoftware.
Beim Start wird geprüft, ob der Defender-Dienst korrekt läuft. Ansonsten erhältst du eine Warnung im Sicherheitscenter.
Neuaufsetzen brauchst du nicht.

Trojan Win32/Ymacco.AAEF und SoftwareBundler:Win32/Stallmonitz

Sowas muss vorher genau geprüft werden. Sicherlich handelt es hier nur um Adware in Installationsdateien oder unerwünschte Webinstaller wie den von chip.de
Wegen sowas muss man nicht neuinstallieren.

 

[Winlos]

@1Illuminate23.

No1, das ist halt die Frage. Das Update ist von vor 2 Jahren, sollte also sauber sein. Hatte bisher damit auch nie Virenmeldungen. Habe jetzt die Befürchtung, Rechner infiziert nun durch anstöpseln des Backups, nun auch Backupplatte versucht.

No2. Das muss ich ja von einem neutralen Rechner machen.

No3. Dann muss ich das wohl nochmal machen....

Ergänzung (2. Juli 2025)

@PC295 Deine Nachricht ist jetzt wieder beruhigender, aber du siehst, auch hier gehen die Meinungen über die Gefahr und Notwendigkeit des Neuaufsetzens auseinander.

 

[PC295]

Es keine plausible Begründung für die Empfehlung des Neuaufsetzens. Sowas ist als Unsinn abzustempeln.
Sowas kann nicht ernst gemeint sein, zumal man abwertend den PC als "Kiste" bezeichnet.

 

[Winlos]

@1Illuminate23
Frage stellt sich für die Neuaufsetzung ja auch, ist der Stick, mit Win 11, den ich für die Neusintallation vor dem Neustart reingesteckt habe nun auch versucht.....
Was wenn Fritzbox befallen und PC, was wie zuerst korrigieren
was wenn nun auch FirmenPC befallen . FirmenPC kann ich ja nur mit deren Software scannen.
Falls er was unentecktes hat, würde ich ja sobald ich meinen vermeintlich sauberen Pc wieder ins Netzwerk packe eventuell dieser gleich wieder infiziert?
Sorry für meine vielleicht komischen und überflüssigen Gedanken. Habe damit keine Erfahrungen und man liest ja dann auch von Warnungen, wenn dein Rechner, dann auch alle anderen im Netzwerk

 

[PC295]

Wenn du dein PC überprüfen willst, kannst du auch Malwarebytes oder Emsisoft Emergency Kit nehmen.
Wenn du einen Windows-Installationsstick erstellst, wird dieser vorher formatiert und alle Dateien darauf gelöscht.
Malware in der Fritz.box unterzubringen ist extrem schwierig, wenn nicht gar unmöglich. Hierfür sind die Systeme zu unterschiedlich.

 

[Winlos]

@PC295 Ich werde nachher mal Malwarebytes rüberlaufen lassen
Finde es schwierig, wie eine solche Defender Ereignismeldung lediglich als Info läuft ohne Warnung, aber dann der Begründungsstext wiederum beunruhigend ist, da ich wie gesagt, an Defender nichts geänder habe und trotzdem die Id nach jedem Neustart wieder erzeugt wird

 

[PC295]

Ich verwende z.B. keinen Defender, trotzdem werden solche 5007-Ereignisse gelistet.
Der Defender kann ja trotz anderen Anbieter zum regelmäßigen Scannen verwendet werden. Er startet also mit, aktualisiert Signaturen usw.
Da wird initialisiert, geprüft, aktualisiert usw. und überall steht dieser "vielleicht Schadsoftware"-Satz.

Diese Ereignisse sind übrigens als "Information" kategorisiert, also keine Warnungen oder Fehler.

 

[Winlos]

@PC295 ah ok, gut zu sehen, allerdings würde ich das in deinem Fall auch erwarten, wenn du eine andere Antivirensoftware benutzt, würde die ja bei jedem Start sagen, nicht Defender benutzen sondern Virenprogramm XY, oder liege ich da falsch?

 

[PC295]

Der Echtzeitschutz vom Defender wird automatisch deaktiviert, wenn ein anderes AV verwendet wird.
Im Sicherheitscenter von Windows wird das AV integriert und zeigt den Status und auch Fehler an.

Da kommt sich also nichts in die Quere. Der Defender ist dann quasi nur noch ein zusätzlicher Scanner mit den du regelmäßig die Laufwerkwerke auf schädliche Dateien überprüfen kannst.

 

[areiland]

"Microsoft Defender Antivirus-Konfiguration wurde geändert. Wenn es sich um ein unerwartetes Ereignis handelt, sollten Sie die Einstellungen überprüfen, da dieses Problem möglicherweise auf Schadsoftware zurückzuführen ist."

Das ist eine Standardmeldung, die z.B. auch geloggt wird, wenn der Echtzeitschutz aktiv gesetzt (was nach einem Neustart logisch ist) oder auch wenn Signaturen geladen und installiert wurden.

 

[Winlos]

@areiland, danke für deine Nachricht.
Also ist es normal, diese Meldung/dieses Ereignis täglich beim Neustart dort zu sehen?!

 

[areiland]

Ja, das ist normal. Denn der Echtzeitschutz wird ja beim herunterfahren von Windows beendet und beim Start von Windows wieder aktiviert. Genau das ist dann auch die geloggte Konfigurationsänderung.

 

[Winlos]

Boah, können die von MS das dann nicht anders betiteln in der Erklärung...
Verwirrt ja nicht nur mich....

 

[areiland]

Nochmal, das ist eine statische Standardmeldung, die einen beispielhaften Grund für diesen Ereigniscode nennt. Und wenn dieser Ereigniscode direkt nach einem Neustart geloggt wird, ist es doch völlig naheliegend, dass die Aktivierung des Echtzeitschutzes nach dem Windows Start der Auslöser ist.

Wenn man die Ereignisanzeige durchforstet, sollte man schon in der Lage sein solche Meldungen richtig einzuordnen und zu interpretieren. Zumal der Rest der Meldung ziemlich eindeutige Hinweise auf die genaue Änderung gibt.

 

[Winlos]

Wie gesagt bin kein Profi
Aber der Satz
Microsoft Defender Antivirus-Konfiguration wurde geändert. Wenn es sich um ein unerwartetes Ereignis handelt, sollten Sie die Einstellungen überprüfen, da dieses Problem möglicherweise auf Schadsoftware zurückzuführen ist.
Woher soll der Laie wissen, dass es ein normales Ereignis ist, wo etwas geändert wird. Der zweite Teil des Satzes vermittelt ja (bei mir) den Eindruck, ohne Update, ohne Scan oder manuelle Änderung sollte sich an der Konfiguration nichts ändern. Dann noch der Hinweis auf die Schadsoftware....