powershell.exe ruft ständig gefährliche Seite auf

[Hero0]

Hey allerseits,

seit ein paar Tagen habe ich das Problem, dass ich alle paar Stunden von meinem Antiviren-Programm Bitdefender die Meldung bekomme, dass powershell.exe eine gefährliche seite aufrufen bzw. Software von dieser installieren will. Hier die gesamte Benachrichtigung:

Infizierte Web-Ressource gefunden
vor 15 Minuten
Funktion:Online-Gefahrenabwehr
Wir haben diese gefährliche Seite zu Ihrem Schutz blockiert: https://chacagrabsterston.top/ Aufgerufen durch: powershell.exe Gefährliche Seiten versuchen, Software zu installieren, die dem Gerät schaden, personenbezogene Daten sammeln oder ohne Ihre Zustimmung aktiv werden kann

Nicht nur, dass ich mir natürlich Gedanken über einen Virus mache, aber die Meldungen sind auch extrem nervig, da immer zwischen 10 und 20 Meldungen gleichzeitig kommen, die ich alle einzeln wegdrücken muss, bevor ich ein Programm oder Spiel, in dem ich mich gerade befinde weiter nutzen kann.

Ich hoffe jemand kann mir helfen, wie ich das Problem lösen kann, kenne mich mit powershell absolut gar nicht aus.

Danke schon mal im Voraus.
Liebe Grüße
André

 

[Hayda Ministral]

Dein Problem ist nicht der Aufruf der Seite sondern das Script dass die Seite aufruft.
Möglichkeit 1: Du hast das Script gestartet. Dann stoppe das Script.
Möglichkeit 2: Du hast Dir das Script eingefangen dass nun irgendwo läuft. Dann wirds Zeit für die große Parade inklusive Offlinescan des PC und je nachdem was gefunden wurde ggf. Neuinstallation.

 

[whats4]

wird irgendeine dubiose software einen autostart eintrag geschrieben haben, der die powershell aufruft und versucht, irgendwas nachzuladen.

ergo wirst in den autostart einträgen fündig.

 

[Yibby]

Du hast auf jedenfall einen Virenbefall. Ich würde mal das Tool ausprobieren, ob es noch was retten kann https://de.malwarebytes.com/ . Aber um sicher zu gehen müsste man wohl eher die Festplatten formatieren und alles neu Installieren.

 

[HaZweiOh]

Offline-Scan mit mehreren Virenscannern (von einem USB Stick booten), es läuft wohl auf eine Neuinstallation hinaus.

 

[whats4]

ich würde so ein script ned unbedingt "virus" nennen, aber schadsoftware idst es jedenfalls.
aber von der wirklich billigen sorte.
bei den dieben wäre es hierachisch beim hühnerdieb.

aber ich denke, den autostart eintrag lokalisieren, deaktivieren bzw löschen, vorher den angegebenen pfad untersuchen, denn powershell kann man vieles benamsen, das heisst ned, daß es die windows powershell ist.

und im falle den ordner auf den das verweist kübeln. sollte das problem lösen.

klar, mit nem offline scanner drüberfahren, oder mehreren, schadet ned.

aber ich würde nicht sofort auf die große kanone, neuinstall, gehen. das kann man immer noch, falls nötig.

pass halt mit der software auf, die du startest, weil irgendwas hat das script ja auf die platte geschrieben.....

 

[Hero0]

Hallo,

danke für eure schnellen Antworten =).
Ich denke, dass ich das Problem gelöst habe, es war tatsächlich ein Programm mit dem Namen "Program" beim Autostart dabei, welches ich nun deaktiviert habe und es gab seither keine Probleme mehr (nach Neustart).
Allerdings kann ich den Dateipfad des Programmes nicht öffnen, vllt. auch deshalb, da ich die seit dem Problem auftretenden heruntergeladenen Dateien gelöscht habe. Ist es dennoch möglich das Programm vollständig aus den Autostartprogrammen zu entfernen, also dass es nicht mehr angezeigt wird? Aktuell steht es mit "Deaktiviert" darin.

 

[werkam]

Versuch es mal mit dem Tool zu finden:
https://www.computerbase.de/downloads/systemtools/autoruns/

 

[whats4]

na eben, eine malware auf eben hühnerdieb niveau... kübeln und gut is...

deaktiviert ist gut, eintrag löschen noch besser.

 

[pvcf]

hab gleichmal meine hosts datei mit gefüttert...
0.0.0.0 chacagrabsterston.top

 

[Hayda Ministral]

[...] ich würde nicht sofort auf die große kanone, neuinstall, gehen. das kann man immer noch, falls nötig.

Sehe ich ähnlich. Aber Grundvoraussetzung ist das der Infektionsweg gefunden wird. Solange nicht bekannt ist welches Scheuentor da offen stand und dass dieses Tor geschlossen wurde muss der PC als Aliendevice angesehen werden.