Guten Tag zusammen,

ich habe seit zwei Wochen mit einem "Virus" zu kämpfen, der hartnäckiger ist, als alles was ich bis dato erlebt habe. Ich bin froh, nun endlich überhaupt die Möglichkeit gehabt zu haben, den FRST-Scan durchzuführen. Nach einem gewissen Zeitraum verweigert mir mein PC die Nutzung sämtlicher Programme und wird als Teil einer Domäne ferngesteuert. Durch diesen hochpotenten Angriff habe ich den Zugriff auf meinen Facebook-, Instagram-, Origin- und PayPal-Account verloren. Außerdem wurden in der Zwischenzeit Bestellungen auf Amazon und Otto über meine IP-Adresse ausgeführt, natürlich mit fremder Lieferadresse. Außerdem hatte der Angreifer über einen längeren Zeitraum Zugriff auf mein privates E-Mail Konto. Bis auf Facebook und Instagram konnte ich alle Accounts soweit retten, allerdings habe ich meinen PC seitdem nicht mehr lauffähig bekommen bzw. immer nur für kurze Zeit.

Das schlimme an der Geschichte ist, dass ich in der Zwischenzeit selbst 9 Mal formatiert habe, zwei SSDs komplett entsorgt habe und mir eine neue NVMe SSD zugelegt habe.
Da meine eigenen Versuche allesamt fehlschlugen, Windows 10 neu zu installieren; egal in welcher Version (Pro, Home, Education, Home N). Es spielte auch keine Rolle, ob ich zu Anfang den Bootstick noch selbst erstellte oder einen sauberen Bootstick vom Fachmann hier in der Gegend nutzte, USB Geräte komplett weglies und nur mit einer Maus und einer Tastatur arbeitete, die ich frisch bei Saturn nur für diesen Anlass erwarb. Immer wenn ich den Rechner startete (mit LAN-Kabel, ohne, im abgesicherten Modus) wurde er im Verlauf von 3 Stunden nicht nur immer träger, sondern gab es plötzlich immer mehr Benutzerkonten auf meinem Rechner. Irgendwann wurde ich Teil einer Domäne und erhielt seitens eines Administrators nur die wenigsten Rechte. Ergo konnte ich so gut wie nichts mehr machen und immer dann, wenn ich beispielsweise mit PowerShell oder CMD versuchte, entgegenzuwirken, wurde es nur noch schlimmer. Die globale Schriftart auf dem Rechner veränderte sich, wenn ich mit dem heimischen LAN verbunden war, wurde mein Rechner vor meinen Augen ferngesteuert etc.

Letztendlich habe ich es als letzten Ausweg betrachtet, die beiden installierten SSDs vollständig zu entsorgen und eine SSD aus einem anderen Rechner einzubauen sowie später noch eine NVMe nachzukaufen.

Dabei investierte ich inzwischen über 100 Stunden in die Bekämpfung dieser Bedrohung; aber selbst Malwarebytes, Comodo, Avira, Avast, Sophos, HitmanPro, TDSSRootkit-Killer von Kaspersky, eine saubere Kaspersky Live Boot CD oder zu Anfang noch der Windows Defender; keiner fand etwas. Nachdem ich dann den Entschluss fasste, den PC in dem Computergeschäft vor Ort abzugeben (meine Daten waren inzwischen ohnehin allesamt weg, die Backups wohl verseucht, meine Nerven und mein Vertrauen am Ende), wurde ich nicht nur einmal enttäuscht.

Als ich den PC samt Rechnung abholte (auf dieser war "Rootkit entfernt, Systemstatus OK" vermerkt), war ich noch voller Hoffnung. Ich startete, erst einmal ohne LAN-Kabel, vorsorglich trennte ich jedes einzelne WLAN Gerät von meinem Speedport W925V von der Telekom (VDSL, Magenta Zuhause M, WLAN mit WPA2 verschlüsselt und unsichtbar, kein Gastzugang) und setzte das gesamte Netzwerk sogar zurück.

Ich schloss dieses Mal nur eine Wegwerftastastatur an, wurde mutiger und irgenwdann funktionierte alles scheinbar ganz gut. Ich downloadete mir die notwendigsten Programme, nachdem ich die Internetverbindung wiederhergestellt hatte und wurde misstrauisch, als jede Datei die ich speicherte mit einer (1) (so als würde man eine Datei kopieren und im selben Ordner speichern, anstatt zu überschreiben die Datei allerdings umzubenennen). Ich versuchte trotzdem noch, Windows Updates zu installieren. Aber gerade dann, also immer nachdem ich ein Windows Update installierte, wurde es wieder schlimmer.

Den Rechteverlust im System bemerkte ich, als ich beispielsweise sah, dass der Windows Defender deaktiviert war, ich aber bei Klicken des Reglers damit konfrontiert wurde, dass der Administrator mir dafür die Rechte nicht zugewiesen hat.

Ich ging am nächsten Tag also zum Fachmann, reklamierte und verlangte Nachbesserung. Vier Stunden später holte ich den Rechner wieder ab und der Herr sagte mir, dass er nun auch schon die neuesten Updates runtergeladen hat.

Währenddessen habe ich mein Netzwerk erneut zurückgesetzt und sogar feststellen müssen, dass mein Notebook, mit dem ich zu Anfang meine Bootsticks für Linux und Windows 10 erstellte, ebenfalls verseucht war (und aktuell noch ist). Außerdem hatte ich in der Zwischenzeit ebenfalls einen Virus auf meinem Fernseher (Android TV) feststellen müssen, ein Fernsteuerungsprotokoll über Apache. Das gehört hier allerdings nicht hin, deshalb konzentriere ich mich wieder auf meinen Hauptrechner.

Ich schloss den Rechner an, überprüfte alles und es wirkte erst wieder alles gut. Ich machte einen Neustart, nachdem ich die Windows Features überprüfte, spielte am Abend etwas Online mit einem Kollegen (das erste Mal nach rund zwei Wochen, zu diesem Zeitpunkt waren Fortnite, der Epic Games Launcher und Discord installiert, der Windows Defender lief natürlich mit Echtzeitschutz, meldete aber nichts). Ich wurde wieder misstrauisch, als ich sah, dass die Verknüpfungen auf dem Desktop als URL Dateien gespeichert wurden. Ich downloadete mir also Sophos Home, dieser fand aber genauso wenig wie Hitman Pro. Und auch diese Dateien hatten alle wieder (1) im Namen. Dabei nutzte ich mit Opera GX extra einen Browser, wo ich mich nicht wie üblich in Google Chrome anmeldete und meine Daten synchronisierte.

Die Synchronisierung der Daten war auch so ein Faktor, wo ich mir Sorgen machte, gerade nachdem der Hacker Zugriff auf mein Windows Konto hatte. Aber egal ob ich den PC als Gast bediente, mit meinem Windows Live Account, meiner eigenen Domäne mit Office 365 oder aber als Administrator (per sauberem Live USB Stick über Shift + F10 ins CMD, aus Utilman.exe die CMD.EXE gemacht, weil mein LogIn Screen mich nicht mehr ins System ließ, als vermeintlicher Administrator kam ich dann zwar ins System, stand in der Rangliste aber immer noch weit unter dem Nutzer "TrustedInstaller" und "NT-Authorität/SYSTEM".

Der jetzige Stand sieht also wie folgt aus:

Neuinstallation mit Windows Home 10 N um ca. 17:00, keinen Product Key eingegeben, Scan mit Windows Defender brachte keinerlei Ergebnisse. Bis jetzt auch nicht mehr neugestartet, dass Update auf Windows 10 2004 wurde zwar installiert, aber neugestartet habe ich extra noch nicht. Auch meine Grafikkarten-Treiber habe ich noch nicht installiert.

Vorsichtshalber habe ich mit einem neuen USB Stick schon mal einen Herens Live USB Stick mit LiLi gemacht, mit CPU-Z und FRST die essenziellen Scans, den Text hier geschrieben und habe endlich wieder einen Funken Hoffnung in den Augen.

Ich habe einige Aufgaben in der Aufgabenverwaltung gelöscht und die wichtigen Systemdateien einblenden lassen. Auf meinem PC finden gerade eine Menge desktop.ini Dateien (nahezu in jedem Ordner), fünf Papierkorb Verknüpfungen im Papierkorb, ich habe jedoch Zugriff auf alle Einstellungen (soweit ich das sehen kann). Auch die Systemsteuerungen sehen vollständig aus. Laut MBRCheck habe ich einen MBR von Windows 7 auf der Festplatte?

Die Westerndigital NVMe habe ich nicht partitioniert und Windows 10 befindet sich auf der Sandisk 1000TB SSD. Hier die Log-Dateien von FRST, MBRCheck und CPU-Z. Die Dokumente sind meinerseits unbehandelt, meinen echten Namen oder die E-Mail Adresse muss ich nicht unbedingt verbergen.

Ich will einfach nur, dass der Spuk endlich aufhört. Entschuldigt bitte vielmals, den jetzt schon ohnehin extrem langen Text. Ich habe versucht so genau wie möglich zu sein. Und um ehrlich zu sein, schätze ich euch inzwischen als wesentlich kompetentere und zuverlässigere Lösung ein, verglichen mit dem Computerladen hier.

Das BIOS hatte ich übrigens auch zurücksetzen lassen und selbst noch einmal einen CMOS-Reset gemacht.

Ich hoffe sehr, dass ihr mir helfen könnt. Windows Defender zeigt gerade übrigens keinerlei Befunde, die Speicherintegrität bittet um Neustart, ich traue mich aber nicht diese zu installieren. TPM von Intel und Bitlocker sollten ebenso wie die Kernisolierung, der Echtzeitschutz und der Cloudschutz aktiviert sein

Habt einen schönen Abend und danke schonmal!

Wenn du formatiert hast, kann man nichts mehr bereinigen. Entweder ziehst du hier die völlig falschen Schlüsse oder du machst permanent bei der Neuinstallation irgendwas falsch.

Deine ganzen Dianosen und Reaktionen zB das mit der Wegwerftastatur oder dass "hochpotente" Angriffe erfolgten sind in keinster Weise nachvollziehbar und klingen eher nach Märchen.

Da hier nichts bereinigt werden kann werde ich nach Diskussion verschieben.

Tatsächlicherweise ist es exakt so, wie beschrieben. Ich weiß, wie unwirklich es klingt. Gerade weil ich auch davon ausging, dass ich mit Sicherheit einen Fehler gemacht habe, irgendwo.

Gerade deshalb habe ich ja auch das Computergeschäft aufgesucht. Ich hänge einfach mal ein Foto von der Rechnung an. Gerade weil hier die Entfernung eines Rootkits genannt wurde. Und ich danach eine neue Festplatte von dem gleichen Laden hab bespielen lassen.

Letztendlich werde ich dann wohl morgen nach der Arbeit noch ein drittes Mal dort hin müssen. Wie "alt" muss mein System denn sein, um mich für euren Service zu qualifizieren? Also wieviele Tage müssen seit der letzten Neuinstallation vergangen sein? Dazu finde ich nichts in der Checkliste.

Ist es denn erlaubt, wenn ich unabhängig davon dann hier irgendwie um Rat bitte? Vielleicht wie ich meinen Speedport nach Infektionen scannen kann oder wie ich ausschließen kann, das nicht eines meiner USB Geräte der Virenherd ist. Deshalb übrigens die "Wegwerftastatur". Nach 2 Wochen erfolglosem Kampf gehen mit einem die Nerven durch. Erst recht wenn man dadurch noch diverse Accounts verliert. Meine Fotos auf Instagram, Facebook und im OneDrive hatten für mich durchaus einen emotionalen Wert.

Danke trotzdem für die Zeit, die du dir genommen hast :/

Zitat von PascalPaul

Tatsächlicherweise ist es exakt so, wie beschrieben. Ich weiß, wie unwirklich es klingt. Gerade weil ich auch davon ausging, dass ich mit Sicherheit einen Fehler gemacht habe, irgendwo.

Das ist aber nicht möglich!
KEIN Schädling überlebt eine Neuinstallation wenn man jetzt mal irgendwelche unrealistischen Superspeziallaborfälle weglässt. Wenn dein Rechner schon bei der Neuinstallation zickt hat garantiert die Hardware eine Macke.

Zitat von PascalPaul

Gerade deshalb habe ich ja auch das Computergeschäft aufgesucht. Ich hänge einfach mal ein Foto von der Rechnung an.

Schön, nur kann man darauf absolut nichts erkennen bei dieser schlechten Auflösung.

Zitat von PascalPaul

Also wieviele Tage müssen seit der letzten Neuinstallation vergangen sein? Dazu finde ich nichts in der Checkliste.

Das hat doch damit nichts zu tun. Es gibt nichts zu bereinigen nach einer Neuinstallation. Wenn da doch was ist, hast du danach wieder irgendeinen Scheiß ausgeführt. Von allein kommen keine Schädlinge rein.

Zitat von PascalPaul

Vielleicht wie ich meinen Speedport nach Infektionen scannen kann

Das doch schon wieder Unsinn. Und der ist eh nicht für deinen zickigen Rechner verantworlich.
Einen Router kann man nicht nach Infektionen scannen, jedenfalls nicht mit den gängigen Tools, die sind NUR für Windows da. Setze ihn auf Werkseinstellungen zurück.
Lies den Artikel Neuinstallation und setze alles um.



Und nochetwas:

Zitat von PascalPaul

Dabei investierte ich inzwischen über 100 Stunden in die Bekämpfung dieser Bedrohung; aber selbst Malwarebytes, Comodo, Avira, Avast, Sophos, HitmanPro, TDSSRootkit-Killer von Kaspersky, eine saubere Kaspersky Live Boot CD oder zu Anfang noch der Windows Defender; keiner fand etwas.

Das ist immer wieder so ein Punkt, der mich an Beiträgen dieser Art immer wieder stört. Du bist nämlich wahrlich nicht der erste, der sich hier die allerschlimmste Malware einbildet, so 1-2x im Jahr schlagen Leute mit solchen Beiträgen wie deinen auf.
Es ist eigentlich fast immer das gleich Bild: der hilfesuchende Laie ist sich 1000%ig sicher, er habe ein Rootkit, macht das an irgendeinem Verhalten fest, das er nicht kennt. Also eher lächerliche "Beweise". Und ich fürchte das ist auch bei dir der Fall, du bist an dem Punkt angekommen, wo du nichts anderes mehr als einen Befall glauben willst, egal was Virenscanner und Helfer auf diesem Board sagen.

Vllt solltest du deinen Hilferuf einfach mal komplett neu formulieren, den ganzen unnötigen Text weglassen und nur beschreiben an welchen Stellen der Rechner spinnt. Ohne irgendwelche Deutungen, weil die von einem Laien idR falsch sind und nur ablenken.