Windows 10 gesperrt nach Fake-Anruf (Betrug) "Microsoft"
 

Hallo Trojaner-Board,

leider ist auch mein Schwiegervater auf einen der momentan zahllosen Fake-Anrufe von angeblichen Microsoft-Mitarbeitern hereingefallen. Nachdem man ihn lange genug bearbeitet hatte, installierte er den TeamViewer und ließ die Betrüger auf seinem Rechner herumwerkeln. Zwar brach er dann doch irgendwann das Telefonat und auch die Internetverbindung ab, allerdings zu spät.

Der Rechner ist nun auf (mittlerweile bekannte Art und Weise) gesperrt - es erscheint das Fenster im alten Win95-Stil mit der Aufforderung, ein Passwort zum Systemstart einzugeben, dass ihm natürlich unbekannt ist.

Ich habe bereits gemäß Erstanleitung den entsprechenden FRST-Scan durchgeführt und hoffe, Ihr könnt mir weiterhelfen. Danke erstmal an Euch, dass Ihr Euch die Mühe macht und den Leuten helft!:daumenhoc

FRST-Log (Teil1/2)

FRST-Log (Teil2/2)

Hallo,

ich nehme an, dass man mein Thema nicht bearbeitet, weil ich selbst eine Antwort darauf erstellen musste. Allerdings war das Log zu lang, weshalb ich es auf zwei Beiträge aufsplitten musste.

Ich hoffe daher, dass sich doch noch einer dem Problem annimmt.

Danke und Euch einen angenehmen Tag!

Gruß, Thomas

:hallo:
Mein Name ist Rafael und ich werde dir bei der Bereinigung helfen.

Damit ich dir optimal helfen kann, halte dich bitte an folgende Regeln:

• Bitte lies meine Posts komplett durch bevor du sie abarbeitest
• Wenn ein Problem auftauchen sollte oder dir etwas unklar ist, unterbreche deine Arbeit und beschreibe es so genau wie möglich.
• Bitte kein Crossposting
• Installiere oder Deinstalliere keine Software ohne Aufforderung
• Bitte verwende nur die Tools, welche hier im Thread erwähnt werden und führe sie nur gemäß Anweisung aus
• Bitte antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
• Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen
• Wichtig: Nur weil dein Problem mit einem Schritt plötzlich behoben ist, bedeutet das nicht, dass dein PC auch sauber ist. Mache solange weiter, bis ich dir sage, dass dein PC "clean" ist

Los geht's :abklatsch:

Beginne den folgenden Schritt zunächst auf einem normal funktionierenden PC:
Schritt 1
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.




Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Hallo Rafael,

vielen Dank für Deine Hilfe!

Soweit ist Deine Anleitung klar, allerdings habe ich das Problem, dass ich nicht genau weiß, welchen Button "Entfernen" Du meinst.

Solltest Du den Button "Entf" auf der Tastatur meinen: beim Drücken von "Entf" passiert nichts. Ansonsten ist das Menü des FRST in englischer Sprache gehalten, weswegen ich dort keinen Button "Entfernen" habe. Meinst Du damit die Taste "Fix"?

Nur schon mal vorausschauend möchte ich gleich anmerken (für den Schritt danach), dass ich im Menü vom FRST auch nirgends eine Option "Addition" habe, bei der ich einen Haken setzen könnte.

Gruß, Thomas

:blabla:

Hat man die Anleitung schon extra auf deutsch, hat wer nen englisches System haha

Ja ich meine den "Fix" Button.

Und Addition kannst du nur auswählen, wenn das System normal gestartet wurde. Das siehst du dann ;)

Der Rechner startet leider nicht normal ... er startet, zeigt dann an "Automatische Reparatur wird vorbereitet" (Anzeige von HP), danach erscheint dann die Anzeige "Diagnose des PCs wird ausgeführt" und dann kommt eine Anzeige auf der steht
"Automatische Reparatur

Ihr PC wurde nicht korrekt gestartet.
Klicken Sie auf "Neu starten", um ihren PC neu zu starten. Manchmal lässt sich das Problem so beheben. Sie können auch auf "Erweiterte Optionen" klicken und andere Optionen zum Reparieren des PCs ausprobieren."

Darunter finden sich dann die Buttons "Neu starten" und "Erweiterte Optionen".

Wenn ich neu starte, beginnt der beschrieben Ablauf von vorne.
Wenn ich den PC ausschalte und wieder einschalte, beginnt der beschriebene Ablauf von vorne.
Wenn ich im abgesicherten Modus starte, beginnt der beschriebene Ablauf wieder von vorne.

Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Und startet es?

Nein, leider nicht. Es erscheint folgender Bildschirm unmittelbar nach dem Start:

"Wiederherstellung

Der PC / das Gerät muss repariert werden.

Das Betriebssystem konnte nicht geladen werden, da die Systemregistrierungsdatei nicht vorhanden ist oder Fehler enthält.

Datei:\Windows\system32\config\system
Fehlercode: 0xc0000225

Wählen Sie zur Lösung des Problems eine der unten stehenden Optionen aus.


Drücken Sie zur Wiederherstellung die ESC-Taste.
Drücken Sie die Eingabetaste, um es erneut zu versuchen.
Drücken Sie F8, um die Starteinstellung aufzurufen."

Wiederherstellung, Neustart oder auch abgesicherter Modus bringen keinen Erfolg.

Ok sehr gut, wir bekommen eine Fehlermeldung.

Kann es sein, dass du eine Systemwiederherstellung begonnen und evtl abgebrochen hast, bevor wir hier angefangen haben?

Erstelle bitte neue Scan Logs von FRST, lasse dabei bitte nur die Haken bei den ganzen whitelists und BCD stehen.

Hallo Rafael,

würde jetzt erstmal sagen, Asche auf mein Haupt insofern, als dass ich nicht mehr wirklich nachvollziehen kann, was durch meinen Schwiegervater, eventuell andere Leute und schließlich durch mich bereits alles versucht oder nicht versucht wurde. Allerdings wurde meines Wissens nie etwas bewusst aktiv abgebrochen, sondern immer durch das System selbst wieder abgebrochen. Aber wie gesagt, die Informationslinie dahingehend ist auch für mich selbst leider lückenhaft ... tut mir leid :(.

Folgend die aktuelle Log-File:


FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

*kratz kratz* weil wenn davor nicht rumgepfuscht wurde, wären wir mit bisschen Glück schon lang fertig. Aber das hier ist - sagen wir mal "nicht alltäglich"

Aus irgend welchen Gründen ist dein Fall komplizierter, darum nenne ich dir folgende Optionen:
- zu etwa 80-90 % werden wir es früher oder später schaffen, dein Problem zu lösen. Das kann unter Umständen etwas dauern und evtl. nur durch etwas trail&error funktionieren. Es würde mich freuen, wenn du dich dazu entschließt und ich hier einen etwas komplizierteren Fall habe ;)

- Alternativ dazu kannst du dein System neu aufsetzen bzw. "refreshen". Das kann unter Umständen kürzer dauern als das rumprobieren, jedoch verlierst du dabei deine Daten. Diese können wir aber wenn du möchtest und es notwendig ist gemeinsam vorher sichern.

Rafael, ich möchte Dir zunächst einmal sehr für Deine engagierte, nachsichtige und freundliche Art bei dieser Arbeit danken. Ich weiß, dass es nicht selbstverständlich ist, dass Leute wie Du und Deine Kollegen relativ selbstlos so etwas für andere tun ... meine Hochachtung dafür.

Ich habe schon vor ein paar Monaten für Eure Sache gespendet und werde das auch dieses Mal wieder tun. Das ist das Mindeste, was hier jeder tun sollte, dem geholfen wird.

Nun zurück zum Wesentlichen ... ich hätte fast gesagt, dass ich Dir das hier nicht weiter antun möchte, aber Deine letzte Nachricht hat mich ermuntert, weiterzumachen, da auch Du so wie ich eher jemand zu sein scheinst, der lieber an einem komplizierten Problem knabbert, als kurzfristig nach einfachen Lösungen zu schauen.

Deswegen würde ich sehr gerne weiter mit Deiner Hilfe an dem Problem arbeiten :).

Okay dann schauen wir mal... :applaus:

Mein Plan schaut bislang so aus, dass wir erstmal wieder das System zum starten bekommen, egal ob mit Sperrung oder nicht. Schreib immer nach jedem Fix, welche Meldung kommt bzw. wie weit das System startet.
Schritt: 1
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.


Schritt: 2
Erstelle bitte neue Scan Logs von FRST, lasse dabei bitte nur die Haken bei den ganzen whitelists und BCD stehen.

Also dann mal ran an die Arbeit ...

Hab das neue Fixing durchgeführt.

Jetzt erscheint kurz nach dem Start ein Bildschirm mit folgendem Text:

":(
Auf dem PC ist ein Problem aufgetreten. Er muss neu gestartet werden. Es werden einige Fehlerinformationen gesammelt, und dann wird ein Neustart ausgeführt. (xx% abgeschlossen)

Wenn Sie weitere Informationen wünschen, können Sie später online nach diesem Fehler suchen: CRITICAL_PROCESS_DIED"

Die Prozentanzeige läuft bis 100%, dann beginnt der Startvorgang erneut und alles wiederholt sich - und das unendlich lange bis zum manuellen Abbruch durch Ausschalten des Rechners.

Das dazugehörige Log:

ja hab das ganze bei mir auf einer VM reproduziert, kommt irgendwie zu einem komischen Verhalten dabei, das die komplette Registrierung zerstört. Also müssen wir sie auch ganz zurücksetzen.

Es fehlt also noch:
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Nun zeigt er an, dass er eine Datenträgerprüfung vornehmen will, welche in xx Sekunden starten soll ... der Countdown wurde dann aber unterbrochen vom altbekannten Kästchen mit der Meldung
"Kennwort für Systemneustart
Zum Starten des Computers ist ein Kennwort erforderlich. Geben Sie das Startkennwort ein.
Kennwort:____________"

Log-File:

Okay, also sind wir da, wo wir am Anfang waren oder?

Jetzt benötige ich drei deiner Registry-Hives, um sie bei mir zu bearbeiten:

Schritt 1
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.


Schritt 2
Auf deinem USB Stick sollte sich jetzt ein Ordner mit dem Namen "HivesOld" befinden und darin drei Dateien. Den musst du mir hochladen, benutze am besten Dropbox oder einen anderen Uploader, da die Anhangsgröße bei uns zu klein sein dürfte.

Als ich das Fixing gestartet habe, zeigte er an, dass es in Arbeit ist und der grüne Ladebalken wanderte fröhlich vor sich hin ... für drei Stunden ...

Ich habe das dann abgebrochen und alle Schritte nochmal durchgeführt, um einen Fehler auszuschließen. Dieses Mal habe ich zwar keine drei Stunden gewartet, aber es wurde schnell klar, dass auch das zweit Mal nichts Wesentliches passierte ...

Der HivesOld-Ordner wurde erstellt, ist aber leer.

Der letzte Eintrag im Log könnte ein Hinweis sein, vermute ich.

Versuchs damit :)

Müsstest dropbox-Einladung erhalten haben.

Hier noch das Log zu FRST:

Der System-Hive will noch nicht...

Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.


Wenn das klappt den bitte auch noch hinzufügen :)

Dieses Mal wurde eine Datei "SYSTEM" erstellt, die ich in die DropBox-Gruppe hochgeladen habe.

Dazu das neue Log:

Dein Passwort sollte lauten: asdf

Starte damit deinen Computer.

Schritt: 1

• Drücke bitte die http://res1.windows.microsoft.com/re...badb56c_39.jpg + R Taste und schreibe syskey in das Ausführen (Run) Fenster.
• Bestätige die Administratorabfrage und klicke im sich öffnenden Dialog auf "Update"
• Setze danach folgende Haken:
  http://www.oxid.it/ca_um/images/startupkey.jpg

Schritt: 2
Bitte starte wieder FRST, setze den Haken bei Addition und zusätzlich bei List BCD und drücke auf Scan. Poste bitte wieder die beiden Textdateien, die so entstehen.

Jetzt müssen wir schauen, dass dein System nicht sonst infiziert ist :)

Super erst einmal ... vielen Dank!

Die Logs:
FRST(1/2)

FRST(2/2)
Addition

Schritt: 1
Lade dir folgendes Programm herunter und installiere es: http://filepony.de/icon/tiny/malware...ti_malware.png Malwarebytes Anti-Malware Hier findest du dazu eine bebilderte Anleitung

• Klicke auf die Einstellungen / Erkennung und Schutz und setze dabei den Haken bei "Nach Rootkits suchen"
• Klicke im Anschluss auf Durchsuchen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Suchlaufprotokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt: 2
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt: 3

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hinweis: Dieser Scan kann schon einmal mehrere Stunden dauern...

Schritt:4
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Bitte poste in deiner nächsten Antwort also:

• Logfile von AdwCleaner
• Logfile von Malwarebytes
• Logfile von Eset
• Frst.txt
• Addition.txt

Es gibt ein Problem. Auch bei diesem Start wurde Windows nur im abgesicherten Modus ausgeführt und so wie es aussieht ohne Netzwerkunterstützung. Versuche ich auf die Netzwerkeinstellungen zuzugreifen, sagt mir das System, dass ich "Einstellungen" mithilfe des integrierten Administratorenkontos nicht geöffnet werden kann und ich mich mit einem anderen Konto anmelden solle, um es nochmal zu versuchen...
Ist irgendeine Option aktiv, die den einfachen Modus in Dauerschleife aktiv hält?

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument


Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

Danach führe die Schritte oben bitte im normalen Modus aus.

Er startet immer noch im abgesicherten Modus ... :(

... Jetzt danach müsste es wieder gehen:

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument


Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

mach danach bitte die anderen Scans wie oben erwähnt :)

Also dann ... jetzt hat es geklappt und er startet wieder normal.
Habe alle Scans und Fixes durchgeführt, wobei der ESET-Test nur sehr kurz dauerte und am Ende angezeigt hat, dass er vier Dateien durchsucht hat ... ich weiß nicht, ob da was schiefgegangen ist oder nicht, jedoch habe ich die Optionen wie angegeben eingestellt.

Folgend die Logfiles ...

AdWareCleaner
MalwareBytes
ESET
FRST

Addition

Ja das mit ESET hat so nicht wirklich funktioniert... Nehmen wir den hier, schaut aber recht gut aus dir:

Downloade Dir HitmanProhttp://deeprybka.trojaner-board.de/b.../hitmanpro.pngauf Deinen Desktop:

HitmanPro-32 Bit Version
HitmanPro-64 Bit Version

• Starte die HitmanPro.exe
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman1.PNG
• Entferne den Haken bei
  http://deeprybka.trojaner-board.de/b...ro/hitman2.PNG
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman3.PNG und http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Akzeptiere die Lizenzbedingungen und klicke auf http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman5.PNG
  und auf http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Wenn der Scan beendet wurde, nichts löschen lassen etc. sondern wähle unten links auf der Button-Leiste
  http://deeprybka.trojaner-board.de/b...ro/hitman6.PNGund speichere die Logdatei auf Deinem Desktop.
• Schließe HitmanPro und poste mir das Log.