PC vom Bruder gefährdet.....
 

Hallo, liebe Community =) mein muss ich ehrlich sagen doofer Bruder hat scheinbar versucht sich Office über ein bestimmtes Tool zu aktivieren. Ich habe soweit diesen Dreck so gut ich konnte vom PC entfernt.... Und habe Ihn auch schon verwarnt bitte sowas nicht mehr zu verwenden. Wenn er den PC dafür nochmal neu aufsetzen muss geschieht im Recht nur das Problem ist. Das er noch Bilder von seinem Kind auf dem PC hat dessen Daten ich bitte vorerst gern retten würde. Will aber nicht wissentlich an einem verseuchten PC meine externe Festplatte noch dran hängen. Und dadurch nicht noch meine Dateien zerstören. Daher bitte ich euch mit fremdschämen könntet ihr mal bitte drüber schauen das ich zu mindestens seine Bilder retten kann. Ich habe mit besten wissen und gewissen sämtliche hack Sache entfernt, was mir im rahmen meiner Möglichkeit aufgefallen ist.

Was ich jetzt feststellen konnte war folgendes:
im Taskmanager hängen komische Dateien im Autostart ein paar habe ich schon deaktiviert.
Und Windows Defender lässt sich nicht mehr aktivieren. Wenn ich auf Defender rechts klicke und Schnellüberprüfung ausführen möchte steht da. Bitte helft mir soweit das ich wenigstens seine Bilder retten kann.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.


Bitte vergewissere dich zuerst, dass du die folgenden Regeln und Hinweise für eine Analyse inklusive Bereinigung gelesen und verstanden hast:
Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?







Schritt 1
Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Bitte poste mit deiner nächsten Antwort

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

Servus,



da ist jede Menge an Malware auf dem PC. :D

Sollte ich neben dem Windows Activator nochmal illegale Software entdecken, gib es keine Hilfe mehr. Ich helfe dir auch nur, weil du gleich offen damit umgegangen bist.
Bitte lesen: Cracks, Keygens und andere illegale Software





Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
HKLM\...\Run: [Knuckles] => "C:\Program Files (x86)\Pasquale\morever.exe" hvlam
C:\Program Files (x86)\Pasquale
HKLM\...\Run: [Loob] => "C:\Program Files (x86)\boosey\fenced.exe" hvlam
C:\Program Files (x86)\boosey
HKLM\...\Run: [Discus] => "C:\Program Files (x86)\Bridgework\morever.exe" hvlam
C:\Program Files (x86)\Bridgework
HKLM-x32\...\Run: [Preplanned] => "C:\Program Files (x86)\Pasquale\morever.exe" hvlam
HKLM-x32\...\Run: [Gild] => "C:\Program Files (x86)\boosey\fenced.exe" hvlam
HKLM-x32\...\Run: [Colosseum] => "C:\Program Files (x86)\Bridgework\morever.exe" hvlam
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Hiya] => "C:\Program Files (x86)\Pasquale\morever.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Knuckles] => "C:\Program Files (x86)\boosey\fenced.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Jubilant] => "C:\Program Files (x86)\Bridgework\morever.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Rereading] => "C:\Program Files (x86)\Pasquale\morever.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Catagory] => "C:\Program Files (x86)\boosey\fenced.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [Madalena] => "C:\Program Files (x86)\Bridgework\morever.exe" hvlam
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [seesawed] => "C:\Program Files (x86)\oshkosh\seesawed.exe" hvlam
C:\Program Files (x86)\oshkosh
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\Run: [keeper] => "C:\Program Files (x86)\Pasquale\morever.exe" hvlam
Startup: C:\Users\Jessica\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\repents.lnk [2019-01-02]
ShortcutTarget: repents.lnk -> C:\Program Files (x86)\Pasquale\morever.exe (Keine Datei)
Startup: C:\Users\Jessica\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\repentsrepents.lnk [2019-01-02]
ShortcutTarget: repentsrepents.lnk -> C:\Program Files (x86)\boosey\fenced.exe (Keine Datei)
Tcpip\Parameters: [NameServer] 8.8.8.8
Tcpip\..\Interfaces\{465ce4da-0c2f-11e9-bce6-806e6f6e6963}: [NameServer] 8.8.8.8
Tcpip\..\Interfaces\{7e4ab281-a609-4c71-a4aa-ae77aa9b0c32}: [NameServer] 8.8.8.8
Tcpip\..\Interfaces\{c428037c-2628-4f00-8bd3-6182f586b04b}: [NameServer] 8.8.8.8
S2 AppServiceGroup; C:\Users\Jessica\AppData\Local\Michael\Michael.dll [X]
C:\Users\Jessica\AppData\Local\Michael
2019-01-02 16:17 - 2019-01-02 16:48 - 000000000 ____D C:\ProgramData\Blogger
2019-01-02 16:17 - 2019-01-02 16:17 - 000003716 _____ C:\Windows\System32\Tasks\niko_griffenniko_griffen
2019-01-02 16:17 - 2019-01-02 16:17 - 000003712 _____ C:\Windows\System32\Tasks\infractions-ipinfractions-ip
2019-01-02 16:17 - 2019-01-02 16:17 - 000003692 _____ C:\Windows\System32\Tasks\evasiveevasive
2019-01-02 16:16 - 2019-01-02 16:16 - 000140800 _____ C:\Users\Jessica\AppData\Local\installer.dat
2019-01-02 16:11 - 2019-01-02 16:12 - 000000000 ____D C:\ProgramData\Sde
2019-01-02 16:10 - 2019-01-02 16:10 - 000000000 ____D C:\Users\Jessica\AppData\Local\AdvinstAnalytics
2019-01-02 16:10 - 2019-01-02 16:10 - 000000000 ____D C:\ProgramData\Hagel Technologies
2019-01-02 16:10 - 2019-01-02 16:10 - 000000000 ____D C:\Program Files (x86)\TweakMASTR
2019-01-02 16:10 - 2018-09-15 08:31 - 000000824 __RSH C:\Windows\system32\Drivers\etc\HOSTS.ORG
2019-01-02 16:09 - 2019-01-02 16:09 - 000000000 ____D C:\Users\Jessica\AppData\Local\Windows_8
ContextMenuHandlers1: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Keine Datei
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Keine Datei
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Keine Datei
ContextMenuHandlers4: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Keine Datei
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
Task: {16D6FD82-A51B-4862-81FC-8203DE793A2F} - System32\Tasks\infractions-ipinfractions-ip => C:\Program Files (x86)\boosey\fenced.exe
Task: {1F532DD3-AB7A-4883-956A-94A96A489045} - System32\Tasks\niko_griffenniko_griffen => C:\Program Files (x86)\Bridgework\morever.exe
Task: {B1AEE724-BE84-4E54-A77D-7CF310B3FCB1} - System32\Tasks\evasiveevasive => C:\Program Files (x86)\Pasquale\morever.exe
HKLM\...\StartupApproved\Run: => "Loob"
HKLM\...\StartupApproved\Run: => "Discus"
HKLM\...\StartupApproved\Run: => "Knuckles"
HKLM\...\StartupApproved\Run32: => "Gild"
HKLM\...\StartupApproved\Run32: => "Colosseum"
HKLM\...\StartupApproved\Run32: => "Preplanned"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\StartupFolder: => "repentsrepents.lnk"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\StartupFolder: => "repents.lnk"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Steam"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Blogger"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Catagory"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Knuckles"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "keeper"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Madalena"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Rereading"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Jubilant"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "Hiya"
HKU\S-1-5-21-1333355741-2103892042-1689391948-1001\...\StartupApproved\Run: => "seesawed"
FirewallRules: [{6F7C0B8C-3685-472D-8854-7432C4827A6E}] => (Allow) C:\Program Files\Windows KMS Activator Ultimate 2019 4.4\Windows KMS Activator Ultimate 2019 4.4.exe Keine Datei
FirewallRules: [{3EA53B55-362C-4A23-A345-8170A0113B46}] => (Allow) C:\Windows\system32\rundll32.exe (Microsoft Corporation)
FirewallRules: [{433CC008-C9D1-4E18-9300-75492B8FD2E1}] => (Allow) C:\Program Files (x86)\Pasquale\morever.exe Keine Datei
FirewallRules: [{2C65B7BB-F7BF-496C-BF0D-9D2701DB444D}] => (Allow) C:\Program Files (x86)\Bridgework\morever.exe Keine Datei
FirewallRules: [{A7328BF1-C4B7-400D-A18C-9A50FE70F2E0}] => (Allow) C:\Program Files (x86)\boosey\fenced.exe Keine Datei
FirewallRules: [{2072D627-0B4F-4CD8-BF9D-D362FFCE0F77}] => (Allow) C:\Program Files (x86)\Bridgework\fenced.exe Keine Datei
C:\Program Files\Windows KMS Activator Ultimate 2019 4.4
CMD: dir "%ProgramFiles%"
CMD: dir "%ProgramFiles(x86)%"
CMD: dir "%ProgramData%"
CMD: dir "%Appdata%"
CMD: dir "%LocalAppdata%"
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
Hosts:
Zip: C:\FRST\Quarantine
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix (fixlog.txt),
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

Ich danke für die Hilfe ja habe mir schon gedacht das der zu ist ohne Ende. Habe mit besten Wissen und Gewissen gehandelt was für mich als Laie ersichtlich war. War auch mein Ziel ehrlich mit der Sache umzugehen auch mit dem Risiko verbunden, die Hilfe verweigert zu bekommen aufgrund dieser Schande. Nochmal vielen Dank dafür.....

Fixlog:

Servus,




Lade die Datei "02.01.2019_21.55.16.zip" vom Desktop hier hoch:
https://www.file-upload.net/
Poste mir anschließend den dazugehörigen Link, der dir angezeigt wird.







Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
C:\Program Files (x86)\gingerbread
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Bitte lade dir die passende Version von HitmanPro auf deinen Desktop: HitmanPro 32-Bit | HitmanPro 64-Bit

• Starte die HitmanPro.exe.
• Klicke auf Einstellungen.
• Entferne den Haken bei Nach Tracking-Cookies suchen und bestätige mit OK.
• Klicke auf Weiter.
• Akzeptiere die Lizenzbedingungen und klicke auf Weiter.
• Wähle Nein, ich möchte nur einen Einmalscan zur Überprüfung des Computers ausführen.
• Entferne den Haken bei Bitte informieren Sie mich per E-Mail... und klicke auf Weiter.
• Sobald der Scan beendet wurde, NICHTS löschen lassen, sondern wähle unten links auf der Button-Leiste Logdatei speichern.
• Speichere die Logdatei auf deinem Desktop ab und schließe HitmanPro wieder.
• Poste mir den Inhalt der Logdatei mit dieser nächsten Antwort.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

http://www.trojaner-board.de/extra/lesestoff.pngGibt es jetzt noch Probleme mit dem PC oder mit deinen Internet Browsern? Wenn ja, welche?







Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix,
• die Logdatei von HitmanPro,
• die beiden neuen Logdateien von FRST,
• die Beantwortung der gestellten Fragen.

https://www.file-upload.net/download-13455518/02.01.2019_21.55.16.zip.html

Nein ich glaube eben wird der PC wieder sauber... Windows Defender geht wieder. Beim autostart sind keine komischen datein mehr. Und der Browser läuft auch wieder flüssig. Unglaublich wie du das gemacht hast.Achso was mir noch aufgefallen ist, ist dieser Runtime Broker normal?

Danke für den Upload der .zip Datei.

Der RuntimeBroker gehört zu Windows und ist legitim. ;)








Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
DeleteQuarantine:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Alle Logs gepostet? Dann lade Dir bitte das TBCleanUpTool herunter.

• Schließe alle offenen Programme.
• Rechtsklicke auf die TBCleanUp.bat und wähle Als Administrator ausführen.
• Solltest du die Meldung "Der Computer wurde durch Windows geschützt" erhalten, klicke auf Weitere Informationen und dann auf Trotzdem ausführen.
• Es öffnet sich ein schwarzes Fenster der Kommandozeile.
• Drücke eine beliebige Taste, um den Entfernungsprozess zu starten.
• Am Ende wird dein Rechner automatisch neu gestartet.

Hinweis:
Das TBCleanUpTool entfernt die verwendeten Programme, die Quarantäne unserer Scanner und löscht sich abschließend selbst.
Sollten jetzt noch Programme aus unserer Bereinigung übrig sein, die du nicht mehr verwenden möchtest, kannst du diese über die Systemsteuerung deinstallieren.











Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:

Hinweise:
Bitte gib mir eine kurze Rückmeldung, sobald alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.
Zum Schluss müssen wir noch ein paar abschließende Schritte unternehmen, um deinen Pc aufzuräumen und abzusichern.

Ne habe keine probleme mehr Computer läuft wieder wie eins...... schein nix nerviges dazwischen zu kommen oder kommisch zu laufen ich bedanke mich bei dir und finde es wirklich Super wie du das gemacht hast. Danke dir.

Ich bin froh, dass wir helfen konnten :abklatsch:

In diesem Forum kannst du eine kurze Rückmeldung zur Bereinigung abgeben, sofern du das möchtest:
Lob, Kritik und Wünsche
Klicke dazu auf den Button "NEUES THEMA" und poste ein kleines Feedback. Vielen Dank! :)

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.