Der Windows-Sicherheitscenterdienst konnte nicht gestartet werden.

[0815 Hunter]

Hallo zusammen,
trotz Achtsamkeit und Prävention hat es sich leider die Malware "Grootkit" auf meinem PC gemütlich gemacht. Ich habe soweit alle .exe Dateien und Ordner entfernen können. Ich dachte, alles wäre wieder im Lot, als die Systemsteuerung mich darauf aufmerksam machte, dass der Windows-Sicherheitscenterdienst nicht gestartet werden konnte. Auch, wenn ich die Windows-Sicherheit öffne, habe ich nur einen schwarzen Screen. Gibt es eine Möglichkeit, den Dienst zu reaktivieren, ohne dass ich ganze System neu aufsetzen muss?
Screenshots sind angefügt.
Besten Dank im Voraus.

 

[CoMo]

Das System ist als kompromittiert zu betrachten. Jetzt ist genau der richtige Zeitpunkt, alles plattzumachen und neu aufzusetzen.

 

[BFF]

Dir fehlen die Rechte den Dienst zu starten. @0815 Hunter

Hast Du rein zufaellig alle wichtigen Daten beiseite? Wenn ja setz die Kiste neu auf.
Wenn nein, boote mit einem Live-Linux, rette was zu retten ist und mach dann die Kiste platt.

Hattest Du schon einen Malewarescanner drueber geschickt ueber das Geraet?

 

[Dr. McCoy]

trotz Achtsamkeit und Prävention hat es sich leider die Malware "Grootkit" auf meinem PC gemütlich gemacht.

Gootkit (nicht "Grootik") ist eine explizit gefährliche Malware:
https://www.bsi.bund.de/DE/Themen/V...otnetze/Steckbriefe/Gootkit/gootkit_node.html

Was ist Gookit?
Gootkit ist ein Trojaner, der vertrauliche Informationen stiehlt und den Remote-Zugriff zur kriminellen Kontrolle des infizierten Systems ermöglicht. Gootkit kann auch zur Installation zusätzlicher Malware verwendet werden, z.B. Emotet.

Du musst dringend von einem sauberen System (nicht dem kompromittierten) aus all deine Passwörter ändern. Dies kann auch von einem Linux-Live-System geschehen. Die derzeitige Windows-Installation selbst muss neu aufgesetzt werden.

Ich habe soweit alle .exe Dateien und Ordner entfernen können.

Welche hast Du gelöscht, und wie lauteten die Fundmeldungen durch welchen Virenscanner genau? Poste dazu bitte die Logdateien bzw. Reporte der zurückliegenden Fund-Scans!

Ich dachte, alles wäre wieder im Lot

Nein, nach so einer Kompromittierung wäre nichts im Lot, das System bliebe nicht vertrauenswürdig, trotz ggf. ausbleibender Symptome und auch trotz ggf. ausbleibender Virenscanner-Meldungen.

Gibt es eine Möglichkeit, den Dienst zu reaktivieren, ohne dass ich ganze System neu aufsetzen muss?

Alternativ kannst Du auch ein Sicherungsimage aufspielen, das Du zeitlich vor der Kompromittierung einmal erstellt hattest. Der entscheidende Punkt wäre dann aber, den Zeitpunkt der Infektion zu kennen.

Zur Analyse der fehlenden Absicherungsmaßnahmen und ggf. weiterer Erkenntnisse dazu im weiteren Sinne, die zu dieser Infektion führen konnten, sowie der Frage ggf. weiterer aktiver Malware (siehe Zitat eingangs) poste bitte zwei mittels FRST erstellte Logfiles (Klick!) (FRST.txt und Addition.txt), indem du die beiden Dateien einem Posting als Anhang anfügst (unten links, "Datei-Upload").

FRST bitte als Admin ausführen.


Nachtrag/Info-Anhänge:

Datenrettung vom Live-System und Passwortändern ginge z.B. so:

• Erstellen eines bootfähigen Live-Systems z.B. mit Rufus, Ventoy, u.ä., an einem sauberen System!
• Die ISO (für das Live-System) dazu als Basis kann diese hier sein ("Direct Download").
• Den bootfähig gemachten USB-Stick nun am ausgeschalteten betroffenen PC einstöpseln, einschalten und sofort das Bootmenü das UEFI aufrufen, um vom Stick zu booten.
• Bis zum Live-System-Desktop durchbooten und gewünschte Daten (nur Daten, keine ausführbaren Dateien) auf einen Sicherungsdatenträger kopieren.
• Ggf. gleich auch im Live-System den Browser öffnen und Passwörter ändern, Rücksetzoptionen auf Veränderungen kontrollieren und 2FA aktivieren, falls noch nicht geschehen.

Sicheres Neuaufsetzen ginge dann so:

• Erstellen des Setup-Sticks an einem sauberen System mit dem MCT.
• Booten vom Stick im UEFI-Mode.
• Im Rahmen des ersten Drittels des Setups: Löschen aller bestehender Partitionen auf dem Systemdatenträger
• Windows-Installation direkt in den "nicht zugewiesenen Speicherplatz" starten.

 

[purzelbär]

Zusätzlich zu den Empfehlungen hier, das System neu aufzusetzen, nutze dann beim neuinstallierten Windows 10 bzw 11 für alle Browser uBlock Origin und BitDefeder Traffic Light. Ausserdem installiere dir ein Backup/Image Programm wie diese hier: https://www.deskmodder.de/blog/2023...fessional-kostenlos-fuer-euch-bis-24-05-2023/ und mach damit regelmässig auf eine externe USB Festplatte Systembackups oder Festplattenbackups und vergiss nicht das Boot Medium des Backup Programms zu machen.
Noch ein Tipp: sollte die jetzige Festplatte noch eine HDD sein, ersetze die durch eine SSD und installiere darauf Windows und nutze die HDD in einem USB Festplattengehäuse als Backup Festplatte wo die Backups drauf kommen.