Hi,
Erstmal ein Hallo an alle, bitte verzeiht mir ich bin nagelneu im Forum und komm auch gleich zum Thema
ja mich hats erwischt ^^'

Wie kann ich nicht genau erklären, meine letzten Schritte waren:
Facebook.de
GMX.net
bei gmx geöfnet:
Meetone.com
Rechnung von egun (war erwartet)
Grepolis.de
Kinox.to

Dann hat der spaß angefangen, ich hab es geschafft den Bildschirm wieder frei zu bekommen indem ich einen neustart gemacht habe, dann kam die Meldung wieder, ich bin dann mittels STRG + ALT + ENTF auf abmelden gegangen, dabei konnte Windows den zuvor gestarteten Taskmanager nicht schließen, ein klick auf abbruch und ich war aufm Desktop.
Erstmal spybot und ariva antivir laufen lassen währendessen im Internet gesucht. Dabei ging mehrmals die aktualle Startseite kurz und ist dann auf ein Link gesprungen den es unzählige male aktualisiert hat:

hxxp://SG.perion.******************************************************************** (rest verschlüsselt um möglichen schaden zu vermeiden) gelandet bin ich bei Altervista.com

Spybot hat gefunden:
Win32.BHO (pfad hab ich keine ahnung wurde nicht angegeben)

Antivir hat gefunden:
TR/Ransom.Gimemo.txy
(C:\Users\***\AppData\Roaming\Hlcygbi\31631B445A40CAA73F38.exe
[WARNUNG] Der Registrierungseintrag <HKEY_USERS\S-1-5-21-1111904728-1096453993-323737666-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\5A40CAA7> konnte nicht repariert werden.)


Der Trojaner win32.BHO wurde schon gelöscht, den anderen verschieb ich in Quarantäne


So das war erstmal die vorab Info, ich befolg jetzt mal die Anleitung.

Ich meld mich!

mit besten Grüßen
vanDEATH


Edit:
Defogger scan erfolgreich
OTL scan erfolgreich
Gmer nicht gemacht da x64 basierter- PC = 64bit System = Gmer nicht anwenden

Hi,

hier noch die Dateianhänge, die hatte ich heut Nacht vergessen ^^

Ich hab bischen rumgeschnüffelt aber ich hab keine verschlüsselten Dateien gefunden aber ich glaube ich hab die Email gefunden, es handelt sich vermutlich um eine Kuendigungs.zip

Guten Tag *** ***,

herzlichen Dank für Ihr Vertrauen in flirt-fever.de!

Das Bankkonto XXXXXXX wird nun mit folgender Summe belastet:

Abgebucht wurde am/um: CEST (GMT +02:00) 31.05.2012 19:31:23
Summe: Euro 560,00
Ident-Nummer: FD915642052863

Ihre Buchung wird die folgenden Angaben enthalten:

Empfänger: Flirt Fever AG PREBYTE MEDIA
Verwendungszweck: Flirt Fever GmbH

Die Bestelleinzelheiten und die Geschäftsbedingungen können Sie in beigefügter Datei sehen.
Die Widerrufung der Extradienste, ist mit der in beigefügter Datei angefügten Kündigung an uns zu schreiben.

Viel Spass und Erfolg,
Dein www.flirt-fever.de Support

_____
Hinweis: Du erhältst diese Info aufgrund Deiner Mitgliedschaft bei Flirt-Fever.

Wenn ihr wollt lade ich die Zip Datei mit hoch

mit besten Grüßen
vanDEATH

Bitte erstmal routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

 hier steht das Log