Trojaner-Board - Virus? PC wird von anderer Person gesteuert

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Virus? PC wird von anderer Person gesteuert (https://www.trojaner-board.de/170882-virus-pc-anderer-person-gesteuert.html)

Danke ! Werde ich mir anschauen.

Aber erst wenn cosinus mit deinem System fertig ist und dir grünes Licht gibt:daumenhoc

FRST-Fix

Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft!

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

Task: {2F57269B-1E09-4E2D-AB1E-B0FDAC7D279C} - \Microsoft\Windows\WindowsBackup\ConfigNotification -> Keine Datei <==== ACHTUNG
 

Task: {AC4E5ACF-89F7-4220-BA21-81EE183975E2} - \Microsoft\Windows\Application Experience\AitAgent -> Keine Datei <==== ACHTUNG
 

Task: {CEE64558-E1A7-4D9D-80A7-2001912BE5B5} - \Microsoft\Windows\MemoryDiagnostic\CorruptionDetector -> Keine Datei <==== ACHTUNG
 

Task: {FA2BC0A6-8D4B-458A-85C8-2B8C72487513} - \Microsoft\Windows\MemoryDiagnostic\DecompressionFailureDetector -> Keine Datei <==== ACHTUNG
 
 

EmptyTemp:

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

Folgendes stand dann im Fixlog :

Code:

Entferungsergebnis von Farbar Recovery Scan Tool (x64) Version:07-09-2015

durchgeführt von Jurij (2015-09-09 20:55:57) Run:1

Gestartet von C:\Users\Jurij\Desktop

Geladene Profile: Jurij (Verfügbare Profile: Jurij)

Start-Modus: Normal

==============================================
 

fixlist Inhalt:

*****************

Task: {2F57269B-1E09-4E2D-AB1E-B0FDAC7D279C} - \Microsoft\Windows\WindowsBackup\ConfigNotification -> Keine Datei <==== ACHTUNG
 

Task: {AC4E5ACF-89F7-4220-BA21-81EE183975E2} - \Microsoft\Windows\Application Experience\AitAgent -> Keine Datei <==== ACHTUNG
 

Task: {CEE64558-E1A7-4D9D-80A7-2001912BE5B5} - \Microsoft\Windows\MemoryDiagnostic\CorruptionDetector -> Keine Datei <==== ACHTUNG
 

Task: {FA2BC0A6-8D4B-458A-85C8-2B8C72487513} - \Microsoft\Windows\MemoryDiagnostic\DecompressionFailureDetector -> Keine Datei <==== ACHTUNG
 
 

EmptyTemp:

*****************
 

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{2F57269B-1E09-4E2D-AB1E-B0FDAC7D279C}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2F57269B-1E09-4E2D-AB1E-B0FDAC7D279C}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\WindowsBackup\ConfigNotification" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{AC4E5ACF-89F7-4220-BA21-81EE183975E2}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{AC4E5ACF-89F7-4220-BA21-81EE183975E2}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\Application Experience\AitAgent" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{CEE64558-E1A7-4D9D-80A7-2001912BE5B5}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CEE64558-E1A7-4D9D-80A7-2001912BE5B5}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\MemoryDiagnostic\CorruptionDetector" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{FA2BC0A6-8D4B-458A-85C8-2B8C72487513}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{FA2BC0A6-8D4B-458A-85C8-2B8C72487513}" => Schlüssel erfolgreich entfernt

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Microsoft\Windows\MemoryDiagnostic\DecompressionFailureDetector" => Schlüssel erfolgreich entfernt

EmptyTemp: => 10 GB temporäre Dateien entfernt.
 
 

Das System musste neu gestartet werden.. 
 

==== Ende von Fixlog 20:59:53 ====

Okay, dann Kontrollscans mit (1) MBAM, (2) ESET und (3) SecurityCheck bitte:

1. Schritt: MBAM

Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

2. Schritt: ESET

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

3. Schritt: SecurityCheck

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Hier das erste Ergebnis.. vom Mbam :

Code:

Malwarebytes Anti-Malware

www.malwarebytes.org
 

Suchlaufdatum: 09.09.2015

Suchlaufzeit: 22:12

Protokolldatei: mdam.txt

Administrator: Ja
 

Version: 2.1.8.1057

Malware-Datenbank: v2015.09.09.06

Rootkit-Datenbank: v2015.08.16.01

Lizenz: Kostenlose Version

Malware-Schutz: Deaktiviert

Schutz vor bösartigen Websites: Deaktiviert

Selbstschutz: Deaktiviert
 

Betriebssystem: Windows 7 Service Pack 1

CPU: x64

Dateisystem: NTFS

Benutzer: Jurij
 

Suchlauftyp: Bedrohungssuchlauf

Ergebnis: Abgeschlossen

Durchsuchte Objekte: 394317

Abgelaufene Zeit: 24 Min., 26 Sek.
 

Speicher: Aktiviert

Start: Aktiviert

Dateisystem: Aktiviert

Archive: Aktiviert

Rootkits: Deaktiviert

Heuristik: Aktiviert

PUP: Aktiviert

PUM: Aktiviert
 

Prozesse: 0

(keine bösartigen Elemente erkannt)
 

Module: 0

(keine bösartigen Elemente erkannt)
 

Registrierungsschlüssel: 0

(keine bösartigen Elemente erkannt)
 

Registrierungswerte: 0

(keine bösartigen Elemente erkannt)
 

Registrierungsdaten: 0

(keine bösartigen Elemente erkannt)
 

Ordner: 0

(keine bösartigen Elemente erkannt)
 

Dateien: 0

(keine bösartigen Elemente erkannt)
 

Physische Sektoren: 0

(keine bösartigen Elemente erkannt)
 
 

(end)

Hätte eine Frage : Hab nun den Eset OnlineScan gestartet jedoch musste ich PC runterfahren als er bereits bei 66% war. Hab ihn auf Ruhezustand gesetzt, wird der Scan nach dem wiederhochfahren an der selben Stelle weitermachen oder ist das nicht gut weil der Log dann vll. was falsches versteht? Also quasi.. wird er bei 66% weitermachen oder sollte ich dann lieber von neu scannen?

ESET wiederholen und den Rechner in Ruhe lassen...

Nun ist auch endlich ESET fertig geworden. (12 Funde)

Code:

ESETSmartInstaller@High as downloader log:

all ok

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# EOSSerial=096cc8cf2c6f3f4fb261ebab117dbf43

# end=init

# utc_time=2015-09-10 01:24:20

# local_time=2015-09-10 03:24:20 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# osver=6.1.7601 NT Service Pack 1

Update Init

Update Download

Update Finalize

Updated modules version: 25696

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# EOSSerial=096cc8cf2c6f3f4fb261ebab117dbf43

# end=updated

# utc_time=2015-09-10 01:25:36

# local_time=2015-09-10 03:25:36 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# osver=6.1.7601 NT Service Pack 1

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.7777

# api_version=3.1.1

# EOSSerial=096cc8cf2c6f3f4fb261ebab117dbf43

# engine=25696

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2015-09-10 05:36:20

# local_time=2015-09-10 07:36:20 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1031

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode_1='Microsoft Security Essentials'

# compatibility_mode=5895 16777213 100 100 10362125 64890574 0 0

# scanned=247234

# found=12

# cleaned=0

# scan_time=15043

sh=0DCB6451E8AE2DC56847E34CF7F1A560E4C212F5 ft=0 fh=0000000000000000 vn="Win32/Toolbar.TNT2.I evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\XTab\ffsearch_toolbar!1.0.0.1028.xpi.vir"

sh=16068B8977B4DC562AE782D91BC009472667E331 ft=1 fh=c3b5a87b7d152749 vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Users\Jurij\AppData\Local\Temp\OCS\ocs_v71a.exe.vir"

sh=9E77E1D2FD7B77B0FD8A71A70C35DD5A16836CF3 ft=1 fh=b241df9fafd25e77 vn="Win32/Systweak.G evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Users\Jurij\AppData\Roaming\Systweak\ssd\SSDPTstub.exe.vir"

sh=61897FE467FE567D4E93C0E87AF1899DB5416CA2 ft=1 fh=2b4e98822df8a714 vn="Variante von Win64/Systweak.A evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Windows\System32\roboot64.exe.vir"

sh=C6D57FA193E6ACF34DF0E243A228179D2F7BA2F5 ft=1 fh=470efc78ccfd150b vn="Variante von Win32/Packed.Themida.AAN Trojaner" ac=I fn="C:\Users\Jurij\Desktop\Sachen\Spiele\Switchbot\core\switchbot.dll"

sh=4845D0396507199F29F135D23DFB2703C4D1B2CB ft=0 fh=0000000000000000 vn="Variante von Win32/Packed.Themida.AAN Trojaner" ac=I fn="C:\Users\Jurij\Downloads\Dark-Fusion[21.05.2015].rar"

sh=49222F9292BBC2F011FCBFA3B0AAF69F4CBE90C3 ft=1 fh=692271210a747576 vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\DirectX - CHIP-Installer.exe"

sh=D2EC1B87C74CD10C4AA76A65F9A218F3D6CD04B4 ft=1 fh=16392c232691593f vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\Paint NET - CHIP-Installer.exe"

sh=5C8C00368CDD2037C606A23742D752E4E38406C2 ft=1 fh=2b6ddcea29832428 vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\TeamSpeak 3 32 Bit - CHIP-Installer.exe"

sh=A5C62237312B58971AFCCD14047D708D7DC68852 ft=1 fh=1ff16b537b03baa5 vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\TeamSpeak 3 64 Bit - CHIP-Installer.exe"

sh=7545B135311D7116783831829046148D3DE24C3E ft=1 fh=83060edef2a9c9c5 vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer (1).exe"

sh=7690F45C949FBD1BE303B7569C55079E6C82046E ft=1 fh=2490e57e5d589f8e vn="Variante von Win32/DownloadSponsor.C evtl. unerwÃ¼nschte Anwendung" ac=I fn="C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer.exe"

Und auch der letzte Log (checkup.txt)

Code:

Results of screen317's Security Check version 1.008  

 Windows 7 Service Pack 1 x64 (UAC is enabled)  

 Internet Explorer 11  
 ``````````````Antivirus/Firewall Check:`````````````` 

Microsoft Security Essentials   

  (On Access scanning disabled!) 

 Error obtaining update status for antivirus!  
 `````````Anti-malware/Other Utilities Check:````````` 

 Java 8 Update 60  

 Adobe Flash Player 18.0.0.209  

 Adobe Reader XI  

 Google Chrome (44.0.2403.157) 

 Google Chrome (45.0.2454.85) 
 ````````Process Check: objlist.exe by Laurent````````  

 Microsoft Security Essentials MSMpEng.exe 

 Microsoft Security Essentials msseces.exe 

 Malwarebytes Anti-Malware mbam.exe  
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C:  
 ````````````````````End of Log``````````````````````

(antivirenprogramm und firewall waren noch permanent ausgeschaltet)

Code:

C:\Users\Jurij\Desktop\Sachen\Spiele\Switchbot\core\switchbot.dll
 

C:\Users\Jurij\Downloads\Dark-Fusion[21.05.2015].rar
 

C:\Users\Jurij\Downloads\DirectX - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\Paint NET - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\TeamSpeak 3 32 Bit - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\TeamSpeak 3 64 Bit - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer (1).exe
 

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer.exe

EmptyTemp:

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

Folgendes steht im Fixlog :

Code:

Entferungsergebnis von Farbar Recovery Scan Tool (x64) Version:07-09-2015

durchgeführt von Jurij (2015-09-10 21:54:58) Run:2

Gestartet von C:\Users\Jurij\Desktop

Geladene Profile: Jurij (Verfügbare Profile: Jurij)

Start-Modus: Normal

==============================================
 

fixlist Inhalt:

*****************

C:\Users\Jurij\Desktop\Sachen\Spiele\Switchbot\core\switchbot.dll
 

C:\Users\Jurij\Downloads\Dark-Fusion[21.05.2015].rar
 

C:\Users\Jurij\Downloads\DirectX - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\Paint NET - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\TeamSpeak 3 32 Bit - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\TeamSpeak 3 64 Bit - CHIP-Installer.exe
 

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer (1).exe
 

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer.exe

EmptyTemp:

*****************
 

C:\Users\Jurij\Desktop\Sachen\Spiele\Switchbot\core\switchbot.dll => erfolgreich verschoben

C:\Users\Jurij\Downloads\Dark-Fusion[21.05.2015].rar => erfolgreich verschoben

C:\Users\Jurij\Downloads\DirectX - CHIP-Installer.exe => erfolgreich verschoben

C:\Users\Jurij\Downloads\Paint NET - CHIP-Installer.exe => erfolgreich verschoben

C:\Users\Jurij\Downloads\TeamSpeak 3 32 Bit - CHIP-Installer.exe => erfolgreich verschoben

C:\Users\Jurij\Downloads\TeamSpeak 3 64 Bit - CHIP-Installer.exe => erfolgreich verschoben

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer (1).exe => erfolgreich verschoben

C:\Users\Jurij\Downloads\Windows 10 Final 64 Bit - CHIP-Installer.exe => erfolgreich verschoben

EmptyTemp: => 565.4 MB temporäre Dateien entfernt.
 
 

Das System musste neu gestartet werden.. 
 

==== Ende von Fixlog 22:00:10 ====

Den Müll mit dem CHIP-Installer hast selber gemerkt oder?

=> CHIP-Installer - was ist das? - Anleitungen
=> http://www.trojaner-board.de/168364-...mpfehlung.html

Ja habe ich schon länger her.. hätte da noch eine Frage.. unzwar sind unter "C:\"SÄMTLICHE WinRAR Ordner abgespeichert.. was haben diese zu bedeuten ?
Davon sind mehrere noch darunter ! Noch Aug2009 und auch Sachen aus 2005.. kann es was mit DirectX zutun haben ?
http://puu.sh/k6ONl/10cf02cf12.png

Weiß nicht wie die da hinkommen. Könnte sein, dass jmd nicht aufgepasst hat und einfach direkt nach C irgendwas installiert hat

Einfach löschen oder einfach lassen ? haben max. 2mb.. verbrauchen also kaum Speicher würde mir nichts ausmachen..

Verschieb die doch erstmal dahin wo du Platz hast...