msiexev.exe Backdoor Virus Server 2008 R2

CSB

Hallo!

Ich benötige eure Hilfe bezüglich des im Titel genannten Virus bzw. Prozesses.

Ich betreue eine Tierklinik welche einen sonst einwandfrei laufenden Windows Server 2008 R2 dort stehen hat. Nun ist seit gestern dem Kunde aufgefallen, dass die Backup-Vorgänge anstatt z.B. einer Stunde jetzt plötzlich 4-6 Stunden dauern.

Als ich dann mir den Server genauer anschaute bemerkte ich relativ schnell einen mir bis dato unbekannten Prozess im Task-Manager: msiexev.exe

Dieser Prozess verursacht fast permanente 100% CPU-Last und sobald man ihn beendet startet er sich selbst automatisch nach ein paar Minuten erneut.

Der Prozess verweist auf eine Datei im Ordner Windows\security. Dieser Datei fehlen jegliche Dateieigenschaften (Keine Versionsnummer o.ä.)

Bei meiner Recherche bezüglich des Prozesses und dessen Herkunft war das erste was ich bemerkte, dass Onkel Google kaum etwas zu genau diesem Prozessnamen ausspuckt. Ich fand nur ein englisches Forum in welchem jemand genau die selben Probleme hatte. Auf dessen Beitrag antwortete jemand nur, dass dieser Prozess ein Virus sei, irgendwelche Lösungsansätze wurden jedoch nicht genannt.

Nachfolgend habe ich als erstes den AdwCleaner gestartet, welcher jedoch bis auf einen Ordner namens "DNR" im AppData\Local\Temp nichts fand. Darauf habe ich Malwarebytes drüber laufen lassen. Dieser fand 3 Bedrohungen bzw. Trojaner:

RiskWare.BitCoinMiner - Datei - C:\windows\winhlp32.tmp
Backdoor.Bot.E - Datei - C:\windows\csrss.exe
Backdoor.Bot.E - Prozess - C:\windows\csrss.exe

Diese wurden nachfolgend in Quarantäne verschoben. Leider startete weiterhin immer wieder die benannte msiexev.exe

Nun bin ich so ziemlich mit meinem Latein am Ende. Ich habe abschließend noch einen Scan mit HijackThis laufen lassen, bei welchem ich jedoch nicht handelte und mir nur den Log speicherte, da ich zu wenig mit dem Programm arbeite um zu wissen was man hier anwählen darf und was nicht.

Im Anhang findet ihr diesen Log. Falls sonst irgendwelche Angaben benötigt werden oder wie auch immer lasst es mich wissen ich werde mich dann schnellstmöglich darum kümmern.

Ich hoffe ihr könnt mir helfen.


Vielen Dank schon mal