Problem beim Runterfahren

[colaautomat02]

Hallo,

ich habe seit heute folgendes Problem:

Wenn ich den PC runterfahren will, kommt folgende Fehlermeldung:




Klicke ich diese weg, kommt sie immer und immer wieder!
Der PC fährt also nicht runter.

Dann habe ich mal den Taskmanager geöffnet und war erschrocken als ich dies sah:



Über 700 mal dieses Svhost geöffnet!

Weiß einer um Rat und worum es sich handelt?

MfG
MrCola

[AHT]

Da läuft scheinbar ein Backdoor auf deinem Rechner.
Keine Einkäufe tätigen, kein OnlineBanking machen.
Das hier tun - während des Scans den Rechner vom Internet trennen, Browser aber laufen lassen:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Auf Nachfrage Dateien überschreiben lassen.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

[AHT]

Mit dem Rechner möglichst wenig ins Netz gehen. So was lädt sich laufend neue Malware nach. Wir fixen den Rechner morgen weiter.

[colaautomat02]

Guten Morgen!

Habe den Scan gemacht und hier sind die Links der Textdatein:

File-Upload.net - Drivers.txt

File-Upload.net - Eventlog.txt

File-Upload.net - Files.txt

File-Upload.net - Firewall.txt

File-Upload.net - Hidden.txt

File-Upload.net - MD5.txt

File-Upload.net - Modules.txt

File-Upload.net - ppFiles.txt

File-Upload.net - ppRegistry.txt

File-Upload.net - Processes.txt

File-Upload.net - Scripting.txt

File-Upload.net - Services.txt

File-Upload.net - Threads.txt

File-Upload.net - Warnings.txt



Ich sage schonmal danke im vorraus.

[AHT]

OK, hab den Starter.

Mache folgendes:

• In den abgesicherten Modus herunterfahren (F8 Taste beim Booten).
• Loge dich dort in deinen Account ein.
• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPF_Sicherung
CREATE_FOLDER->C:\PPF_SCAN2
REGISTRY_DELETE_VALUE->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
->rundll32
MOVE_FILE->C:\Users\Patrick\AppData\Local\Temp\rundll32 .exe>C:\PPF_Sicherung\rundll32 .exe
COPY_SCANFILES->C:\PPF_SCAN2
MOVE_FILE->C:\Users\Patrick\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\rundll32 .exe>C:\PPF_Sicherung\rundll32 _1.exe
REBOOT->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Wenn eine Messagebox kommt, Script nicht abbrechen lassen.
• Hat alles geklappt, startet sich der Rechner neu - starte den Rechner dann normal.
• Es befinden sich danach im Ordner C:\PPF_Scan2 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.
  
  
• Es geht dann sofort weiter.
  

Der Rechner startet

[AHT]

Hab noch was vergessen, musste das Script oben noch mal ändern.
Jetzt kannst du loslegen.

[colaautomat02]

So,habe es mal gemacht:

File-Upload.net - Scripting.txt

[AHT]

Tasmanager einmal starten und nachsehen, ob du noch die SVCHOST Prozesse mit der Beschreibung Visual Basic Command Line Compiler finden kannst.
screenshot machen.

[colaautomat02]

So, habe ein Screen von dem Taskmanager gemacht:

[AHT]

Sieht schon gut aus, es gibt aber noch mehr Arbeit.
Mache folgendes:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

SEND_MESSAGE->188.118.142.87
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FOLDER->188.118.142.87
->81
->C:\PPF_Sicherung
SLEEP->240000
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Der Scanner wird versuchen, sich mit dem Internet zu verbinden. Fragt deine Firewall nach, erlaube dem Scanner den Internetzugriff.
• Warte, bis der Scanner sich selbst beendet oder ich mich melde. Beende den Scanner nicht.

[colaautomat02]

Habe es ausgeführt und der Scanner hat sich von selber geschlossen.

[AHT]

Hat geklappt, PPFScanner jetzt schließen.

• Malwarebytes installieren.
• Update ausführen.
• Ein kompletter Scan, alle Funde löschen und den Report wieder als Textdatei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen den Downloadlink in Deinem Thread posten.
• Führe anschließend einen System Neustart durch!

[colaautomat02]

Ok

Malwarebytes habe ich schon drauf und werde diesen nun durchlaufen lassen.

Ich melde mich, sobald alles fertig ist.

[AHT]

Habe ich gesehen. Updaten nicht vergessen!

[AHT]

Danach:

• ESET Online Scanner installieren
• komplett scannen lassen
• alle Funde löschen
• LOG hochladen.