Problem beim Runterfahren

Da läuft scheinbar ein Backdoor auf deinem Rechner.
Keine Einkäufe tätigen, kein OnlineBanking machen.
Das hier tun - während des Scans den Rechner vom Internet trennen, Browser aber laufen lassen:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mit Ja.
• Auf Nachfrage Dateien überschreiben lassen.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Mit dem Rechner möglichst wenig ins Netz gehen. So was lädt sich laufend neue Malware nach. Wir fixen den Rechner morgen weiter.

OK, hab den Starter.

Mache folgendes:

• In den abgesicherten Modus herunterfahren (F8 Taste beim Booten).
• Loge dich dort in deinen Account ein.
• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPF_Sicherung
CREATE_FOLDER->C:\PPF_SCAN2
REGISTRY_DELETE_VALUE->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
->rundll32
MOVE_FILE->C:\Users\Patrick\AppData\Local\Temp\rundll32 .exe>C:\PPF_Sicherung\rundll32 .exe
COPY_SCANFILES->C:\PPF_SCAN2
MOVE_FILE->C:\Users\Patrick\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\rundll32 .exe>C:\PPF_Sicherung\rundll32 _1.exe
REBOOT->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Wenn eine Messagebox kommt, Script nicht abbrechen lassen.
• Hat alles geklappt, startet sich der Rechner neu - starte den Rechner dann normal.
• [LEFT]Es befinden sich danach im Ordner C:\PPF_Scan2 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.
  

  [/LEFT]

• Es geht dann sofort weiter.
  

Der Rechner startet

Hab noch was vergessen, musste das Script oben noch mal ändern.
Jetzt kannst du loslegen.

Tasmanager einmal starten und nachsehen, ob du noch die SVCHOST Prozesse mit der Beschreibung Visual Basic Command Line Compiler finden kannst.
screenshot machen.

Sieht schon gut aus, es gibt aber noch mehr Arbeit.
Mache folgendes:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

SEND_MESSAGE->188.118.142.87
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FOLDER->188.118.142.87
->81
->C:\PPF_Sicherung
SLEEP->240000
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Der Scanner wird versuchen, sich mit dem Internet zu verbinden. Fragt deine Firewall nach, erlaube dem Scanner den Internetzugriff.
• Warte, bis der Scanner sich selbst beendet oder ich mich melde. Beende den Scanner nicht.

Hat geklappt, PPFScanner jetzt schließen.

• Malwarebytes installieren.
• Update ausführen.
• Ein kompletter Scan, alle Funde löschen und den Report wieder als Textdatei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen den Downloadlink in Deinem Thread posten.
• Führe anschließend einen System Neustart durch!

Habe ich gesehen. Updaten nicht vergessen!

Danach:

• ESET Online Scanner installieren
• komplett scannen lassen
• alle Funde löschen
• LOG hochladen.

Dieses süße Ding hattest du drauf:
VirusTotal - Free Online Virus, Malware and URL Scanner
http://anubis.iseclab.org/?action=result…fa7&format=html

Bevor du mit ESET weitermachst, müssen wir deshalb doch nach Malwarebytes erst Combofix ausführen:

• Combofix herunterladen und ausführen
  vor dem Ausführen aber unbedingt dein Antivirenprogramm beenden - Guard stoppen.
• Nichts machen, keine Mausbewegung, abwarten der PC startet neu das Log, das erscheint, in eine Textdatei kopieren, die Datei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und den Downloadslink posten.

Danach erst ESET.

Sieht schon sehr gut aus.
Rechner neu starten, noch einmal das hier tun:

• PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mit Ja.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Danach sprechen wir darüber, wo du dir das scheinbar eingefangen hast und was noch zu tun ist.

Das dauert leider ein bischen. Mein Verdacht mit dem Backdoor hat sich bestätigt. Im Prinzip kontrolliert ein anderer mit so einem Trojaner deinen Rechner und kann problemlos auch auf deine Kappe Straftaten begehen - dafür ist so was da.
Rechner sieht im Augenblick für mich wieder sauber aus.
Mache folgendes:

• Alle Scanner, die wir zusätzlich installiert haben, wieder deinstallieren. PPFScanner noch drauf lassen.
• Guard von Antivir stoppen
• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPFS_Tools
DOWNLOAD->http://download.bleepingcomputer.com/sUBs/ComboFix.exe>C:\PPFS_Tools\CF.EXE
CREATE_BATCH_FILE->C:\PPFS_Tools\CF.BAT
WRITE_BATCH->C:\PPFS_Tools\CF.exe /UNINSTALL
OPEN->C:\PPFS_Tools\CF.BAT
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Es wird Combofix neu heruntergeladen und für die Deinstallation von Combofix ausgeführt. Nachdem sich Combofix deinstalliert hat, Guard des Virenscanners wieder starten.
• Rechner rebooten
• Alle wichtigen Passwörter ändern (EBAY / EMAIL)