Windows Powershell Öffnet sich immer Automatisch
 

Guten Abend.
Mein Name ist Nils
Ich habe seit heute morgen das Problem das sich immer wieder Windows PowerShell öffnet.
Ich habe mit MBAM schon einen Scan durchgeführt und diesen abgesichert. Ich habe auch schon diverse Sachen probiert um dies los zu werden. Komme allerdings nicht weiter und habe die Befürchtung das ich mir irgendeinen Virus eingefangen habe und bitte somit um Hilfe.

Mfg Nils

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Ich analysiere gerade dein System und melde mich in Kürze mit weiteren Anweisungen.

FRST bitte auf dem Desktop ( C:\Users\Monique\Desktop\ ) abspeichern und von dort starten.


Schritt 1: Systemscan mit FRST
Bitte lade dir die passende Version von Farbar Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit

• Starte FRST.
• Solltest du die Meldung "Der Computer wurde durch Windows geschützt" erhalten, klicke auf Weitere Informationen und dann auf Trotzdem ausführen.
• Klicke auf Ja, um fortzufahren.
• Klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach im selben Verzeichnis wie FRST.
• Poste uns die zwei Logdateien ( FRST.txt und Addition.txt ) in deinem Thema.

Hier die beiden Logdateien

Wieder das Gleiche:

Kannst du bitte FRST auf den Desktop downloaden bzw. dorthin kopieren und von dort starten?

Du lädst das Programm herunter und startest es scheinbar direkt vom Browser aus... der temporäre Ordner ist aber kein guter Platz für FRST.

Ich schau später nochmal hier rein. :)

So diesmal müsste das vom Desktop aus gestartet worden sein.
Hier die neuen Logs

Danke für die Logdateien... ich analysiere sie gerade.

Es ist noch etwas an Malware auf dem System, aber wir kümmern uns darum. :)





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [RZSurroundHelper] => C:\WINDOWS\system32\RZSurroundHelper.exe (Keine Datei)
HKLM\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Keine Datei)
HKLM\...\Run: [] => [X]
HKLM-x32\...\Run: [Wondershare Helper Compact.exe] => C:\Program Files (x86)\Common Files\Wondershare\Wondershare Helper Compact\WSHelper.exe (Keine Datei)
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-2449581080-1132274306-1389538717-1001\...\Run: [] => [X]
Unlock: C:\Windows\System32\Tasks\Blitz App
VirusTotal: C:\Windows\System32\Tasks\Blitz App
Task: {1FA913FF-8DBC-4553-82DF-87C1758C25AF} - System32\Tasks\Blitz App => C:\Users\Monique\AppData\Roaming\Blitz [Argument = Applications\Blitz Apps\Blitz App.exe]
C:\USERS\MONIQUE\APPDATA\ROAMING\BLITZ APPLICATIONS
Unlock: C:\Windows\System32\Tasks\Vxhyhj
VirusTotal: C:\Windows\System32\Tasks\Vxhyhj
Task: {95ABE0FC-F937-462D-8274-6224CB7C05E6} - System32\Tasks\Vxhyhj => powershell -ExecutionPolicy Bypass -WindowStyle Hidden -NoExit -Command [System.Reflection.Assembly]::Load((Get-ItemProperty HKCU:\Software\Vxhyh\).hyhxV).EntryPoint.Invoke($Null,$Null)
Unlock: HKCU\Software\Vxhyh
CMD: reg query "HKCU\Software\Vxhyh" /s
DeleteKey: HKCU\Software\Vxhyh
GroupPolicy: Beschränkung ? <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
Unlock: C:\Users\Monique\AppData\Roaming\Windows
Folder: C:\Users\Monique\AppData\Roaming\Windows
S3 mracsvc; C:\WINDOWS\System32\mracsvc.exe [X]
S3 mracdrv; C:\WINDOWS\System32\drivers\mracdrv1.sys [20986200 2021-06-09] (Mail.Ru LLC -> LLC Mail.Ru)
C:\WINDOWS\System32\drivers\mracdrv1.sys
CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: Vxhyh;hyhxV

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hier die Erwünschten Logdateien:)

Sehr gut gemacht. :dankeschoen:

Was kannst du mir zu diesem Ordner sagen? Kennst du den?
C:\ProgramData\Propagation


Wir schieben gleich noch einen weiteren Fix mit FRST hinterher. Dabei werden auch die Windows-Systemdateien auf Fehler überprüft. Daher kann der Fix ein paar Minuten dauern, bitte gedulde dich. :)
Kontrollen mit MBAM und Adw im Anschluss. :)






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
AlternateDataStreams: C:\ProgramData\DP45977C.lfl:677104FCAA [10]
AlternateDataStreams: C:\ProgramData\mntemp:8EAD8B3507 [10]
AlternateDataStreams: C:\ProgramData\rsEngine.config.backup:CF02139FF4 [10]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [10]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Badlion Client.lnk:8BD81608B2 [10]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Epic Games Launcher.lnk:BE32D07BC5 [10]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WinSCP.lnk:DF0424E24D [10]
AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Zello.lnk:8601AA6017 [10]
AlternateDataStreams: C:\Users\Monique\Anwendungsdaten:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Monique\Anwendungsdaten:d4f5d244a0909d75573750c06e9db24d [394]
AlternateDataStreams: C:\Users\Monique\AppData\Roaming:00e481b5e22dbe1f649fcddd505d3eb7 [394]
AlternateDataStreams: C:\Users\Monique\AppData\Roaming:d4f5d244a0909d75573750c06e9db24d [394]
AlternateDataStreams: C:\Users\Monique\AppData\Local\Temp:$DATA​ [16]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [2898]
HKLM\...\StartupApproved\Run: => "Wondershare Helper Compact.exe"
HKLM\...\StartupApproved\Run32: => "Wondershare Helper Compact.exe"
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
Unlock: C:\Program Files\ruxim\ruximics.exe
VirusTotal: C:\Program Files\ruxim\ruximics.exe
Unlock: C:\ProgramData\Propagation
Folder: C:\ProgramData\Propagation
CMD: RD /S /Q "C:\Users\Monique\AppData\Roaming\Windows"
CMD: sfc /scannow
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 3
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Ne dazu kann ich tatsächlich nix sagen sehe diesen zum ersten mal.
Sorry das die Antwort nun so Spät kommt. Im Anhang findest du die 3 Log Dateien:)

Danke für die Logs, ich schaus mir gleich an... :)

Ich sehe die Logdatei von AdwCleaner nicht, stattdessen eine Datei "config.lua" ? :D

dies ist die Log datei mir wurde die als LUA gegeben und mit dem Namen Config