CMD32 fenster popt auf?!

Versuch mal geplante Tasks danach zu filtern, welche zuletzt gelaufen sind. Dazu führst du "Windows PowerShell" aus (am besten als Administrator) und gibst folgendes ein:

cd C:\Users\<Benutzername>\Desktop # Benutzername ersetzen!
Get-ScheduledTask | where State -ne "Disabled" | Get-ScheduledTaskInfo |
where {$_.LastRunTime -ge ((Get-Date).AddHours(-3)) `
-and -not $_.TaskPath.StartsWith('\Microsoft\Windows')} |
Tee-Object RecentTasks.txt

Das gibt alle Tasks aus, die in den letzten 3 Stunden ausgeführt wurden und nicht zu Windows selber gehören (die sollten wahrscheinlich nicht schuld sein) und schreibt diese zusätzlich in eine Datei "RecentTasks.txt" zum Hochladen / in [code]-Tag einfügen.

Kopier den Text einfach in die Powershell.

Zitat von VolvoDriver

STRG+V geht nicht. rechtsklick kopieren ebenfalls, der führt bei einem rechtsklick sofort irgendwas aus.

Man man man. Tipp den Text in die Powershell, die Zeilenumbrüche kannst du ignorieren.

Zitat von VolvoDriver

rechtsklick kopieren ebenfalls, der führt bei einem rechtsklick sofort irgendwas aus.

PowerShell weicht standardmäßig dahin von der normalen Eingabeaufforderung ab, dass Rechtsklick einfügt (dasselbe wie Systemmenü > Bearbeiten > Einfügen), aber das fügt u. U. nicht mehr als eine Zeile ein. Hier ist die zweite Zeile ohne Umbrüche:

Get-ScheduledTask | where State -ne "Disabled" | Get-ScheduledTaskInfo | where {$_.LastRunTime -ge ((Get-Date).AddHours(-3)) -and -not $_.TaskPath.StartsWith('\Microsoft\Windows') } | Tee-Object RecentTasks.txt

Die Ausgabe kopierst du am besten aus der erstellten Datei. Die Konsole ist einer der vielen untauglichen Dinge in Windows 7.

' nicht `

Die spitzen Klammern sollst du als Platzhalterzeichen entfernen; außerdem ist cd ein separater Befehl.

cd C:\Users\EinstreicherMeistrer\Desktop

Zitat von Der Doktor

' nicht `

Nein, der Backtick funktioniert als Zeilenfortführungszeichen in PowerShell (braucht man nicht hinter der Pipe, weil da sowieso die Fortführung des Befehls erwartet wird, aber mitten in einem Cmdlet-Aufruf schon).
Wenn man den Befehl als einzige Zeile ausführen will, braucht man ihn natürlich gar nicht erst. Deswegen habe ich die zusammengeführte Zeile noch mal extra hingeschrieben.

https://www.tenforums.com/antivirus-fire…disappears.html
https://www.tenforums.com/antivirus-fire…take-2-a-2.html
https://www.bleepingcomputer.com/forums/t/63448…osing-randomly/

Das sieht noch danach aus, als ob da noch etwas Schädliches übrig ist. In der Regel wurde bitsadmin von einem VBScript namens task.vbs angestoßen (daher auch mehrere Konsolenfenster), aber bei dir wohl von einer Batchdatei (daher das cmd-Fenster). Ich würde generell noch mal empfehlen, Temp File Cleaner sowie ADWcleaner im abgesicherten Modus auszuführen.

BITSAdmin ist das Verwaltungstool für den Intelligenten Hintergrundübertragungsdienst. Irgendetwas will periodisch eine Übertragung mit dem Namen "task3" anstoßen, aber scheitert, weil davon zwei mit demselben Namen existieren.

Mit bitsadmin kann man selber schauen, was für Jobs in der Warteschlange stehen, um z. B. herauszufinden, was da heruntergeladen werden soll. Dazu (wieder die gewöhnliche) Eingabeaufforderung als Administrator starten und folgendes eingeben:

bitsadmin /list /allusers /verbose

Wenn das mehrere Seiten Ausgabe ergibt, kann man das in eine Datei umleiten, z. B. "bitsadmin.txt" unmittelbar im Laufwerk C:, die du hier im Forum als Anhang anhängen kannst:

bitsadmin /list /allusers /verbose > \bitsadmin.txt

Wenn gerade keine Windows Updates o. ä. übertragen werden, kann man auch sämtliche BITS-Übertragungen abbrechen und löschen:

bitsadmin /reset /allusers

Beziehungsweise gründlicher mit diesem Skript.

Zitat von VolvoDriver

werde dann wohl morgen formatieren müssen.

Das ist in der Tat wohl die einfachste Lösung, wenn du auch noch anderes Fehlverhalten siehst.

Allerdings scheint in diesem Fall die Malware (die sich nicht mehr selber per BITS herunterladen kann, da die gekaperte Domäne abgeschaltet wurde) sich selber über BITS neu starten zu wollen, sodass Jobs ausräumen und das Verzeichnis C:\ProgramData\49c758ff-38c3-0 zu löschen dieses Problem zumindest beheben könnte.

Zitat von VolvoDriver

systemwiederherstellung hat auch nichts gebracht da ich nur bis zum 3.2. diese ausführen konnte.

Nicht untypisch, so etwas löscht gerne mal alle Wiederherstellungspunkte, wenn es sich einnistet.

Bestimmt von Chip oder so