Bei mir war es so das ich von einem Kollegen über Steam den ich schon lange kenne über den Freundeschat eine website bekommen habe wo ich dann ein Program runtergeladen habe nach dem ich gesucht habe. Nachdem ich das Runtergeladen habe habe ich die datei vor dem entpacken natürlich wie immer sicherheitshalber auf Viren und so geprüft und es wurde Sauber angezeigt also habe ich das Programm Installiert gehabt und bekahm dann die Meldung vom Defender das die AI erkennung da was geblockt hat. habe dann geschaut was er da geblockt hat und habe dann gesehen das es ein Trojaner war habe dann die Installation abgebrochen und den PC vom Netz getrennt.
Die erste meldung war um 22:15 mit Trojan:Win32/Rugmi.HAB!MTB mit Quelle C:\Users\XXXX\ww.exe\tldr.dll
Daraufhin habe ich das Internet getrennt gehabt um die verbreitung zu stoppen und habe dann den Virenscanner laufen lassen
Die Zweite erkennung war um 22:42 Trojan:Script/Wacatac.H!ml mit der quelle C:\Users\XXXX\AppData\Local\Temp\tmp-06830-cZUWVhg7bJ8Q\e9QI8AwP0.exe
um 22:49 war dann die dritte ,eldung mit einer Fehlermeldung das die datei nicht mit sicherheit entfernt wurde
Trojan:Script/Wacatac.H!ml mit der selben quelle wie 22;49 Habe daraufhin windows im abgesicherten modus ohne netzwerktreiber Gescannt und es gab dann keine meldungen mehr
den Tempordner habe ich zu dem zweck auch Manuel Gelöscht gehabt.
Habe dann hinterher den Malwarebytes einen Komplettscan von C und D durchführen lassen.
-Protokolldetails-
Scan-Datum: 11.04.2026
Scandauer: 23:47
Protokolldatei: 099ba6a0-35f0-11f1-804c-04d4c447c2ed.json
-Softwaredaten-
Version: 5.5.1.240
Komponentenversion: 151.0.5515
Version des Aktualisierungspakets: 1.0.108580
Lizenz: Kostenlos
-Systemdaten-
Betriebssystem: Windows 11 (Build 26200.8037)
CPU: x64
Dateisystem: NTFS
Benutzer: DESKTOP-CELU3B8\Markus
-Scan-Übersicht-
Scan-Typ: Benutzerdefinierter Scan
Scan gestartet von: Manuell
Ergebnis: Abgeschlossen
Gescannte Objekte: 3737835
Erkannte Bedrohungen: 5
In die Quarantäne verschobene Bedrohungen: 0
Abgelaufene Zeit: 2 Std., 14 Min., 51 Sek.
-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Erkennung
PUM: Erkennung
-Scan-Details-
Prozess: 0
(keine bösartigen Elemente erkannt)
Modul: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 3
Trojan.PowerShell, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\GoogleSystem\GoogleUpdater\GoogleUpdaterTaskSystem47.0.7703.CL_NCL{47263A17-2D66-43B9-9692-30514D0C1AEC}, Keine Aktion durch Benutzer, 13480, 1388884, 1.0.108580, , ame, , ,
Trojan.PowerShell, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{D8042EAA-9AEC-414C-9BA5-8FEAF5FF6170}, Keine Aktion durch Benutzer, 13480, 1388884, 1.0.108580, , ame, , ,
Trojan.PowerShell, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\LOGON\{D8042EAA-9AEC-414C-9BA5-8FEAF5FF6170}, Keine Aktion durch Benutzer, 13480, 1388884, 1.0.108580, , ame, , ,
Registrierungswert: 0
(keine bösartigen Elemente erkannt)
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Daten-Stream: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Datei: 2
Trojan.PowerShell, C:\WINDOWS\SYSTEM32\TASKS\GoogleSystem\GoogleUpdater\GoogleUpdaterTaskSystem47.0.7703.CL_NCL{47263A17-2D66-43B9-9692-30514D0C1AEC}, Keine Aktion durch Benutzer, 13480, 1388884, 1.0.108580, , ame, , 02845587B8CA26A6525E9C7146EADC58, FF0FC87285B9C2193D5F638B6EEA5A66DBC446BF15A500F5112EEE5369C7A10A
Malware.AI.2965550172, D:\DATENSPEICHERUNG\DOS SPIELE\VIRTUELLER PC\SPIELE CD ROHDATEIEN\LAMENTATION SWORD\DIRECTX\DDHELP.EXE, Keine Aktion durch Benutzer, 1000000, 0, 1.0.108580, E1567504A682C18DB0C2B45C, dds, 03826804, 041A5C54D8F89EF7C66C64BD51FDFF5E, 198149C4701AC451642FF1929078814B3EA54D4FF62C29FFA06617A2C5244459
Physischer Sektor: 0
(keine bösartigen Elemente erkannt)
WMI: 0
(keine bösartigen Elemente erkannt)
(end)
(Bei D lamentation sword handelte es sich um keinen Virus sondern um ein altes DOS Spiel an dem ich gearbeitet habe um es spielbar zu machen (hat leider nicht geklapt), habe es dann hinterher auch gelöscht da ich das eh hinterher löschen wollte und es wohl damals vergessen habe.
Hinterher habe ich dann alle Daten die ab 22 Uhr erstellt wurden geprüft um zu schauen inwieweit der Trojaner eingedrungen sein könnte und habe dabei mehrere Logs auch abgespeichert wo zeigen das der Trojaner wohl hinterher versuchte sich zu verstecken und auch einige aufgaben erstellt hat. Ich habe daraufhin entschieden das ich da kein risiko eingehe und Windows neu installiere um sicher zu gehen.
Und den Bootstick zur installation erstelle ich am Montag von einem anderen PC aus der nicht infiziert ist. bin also sicher nicht so blöde einen bootstick auf einem infizierten Gerät zu erstellen.
Muss dann am Montag den USB stick erstellen weil werde am Montag auch noch bei der Polizei anzeige erstatten und zu dem zweck lasse ich den PC bis dahin vom Netzwerk getrennt und habe zur sicherheit ihn Sogar komplett vom Strom getrennt.
Und was die Infektion anbelangt, der Steam Freund Kenne ich sehr gut, habe daher die website zu wenig hinterfragt zumal ich nicht mal gedacht habe das mein Freund gehackt wurde.
Dazu war die website für mich auch unauffällig da ich diese auch kannte, habe nur leider zu spät gemerkt gehabt das die normale webseite mit .com endet und nicht mit .us
War da auch viel zu Naiv.
Ich frage mich da aber wieso der Scan der Datei nichts erkannt hat das da was versteckt ist, zudem war das Programm auch von der dateistruktur her unauffällig.
In zukunft werde ich da aber besser aufpassen.
Habe auch das Steam Profil von meinem Freund als gehackt gemeldet damit es erst mal gesperrt wird. Habe auch einen anderen Freund angerufen der den anderen Freund persönlich kennt das er da mal zu ihm geht, möglich das er nicht mal weis das sein Steam account gehackt wurde.
Und was mein Steam account anbelangt konnte dieser gesichert werden habe also das Passwort direkt als erstes über einen nicht infiziertes notebook geändert gehabt und auch alle zugriffsgeräte entfernt so das sich jedes gerät neu anmelden müsste.Habe auch geprüft ob über Steam irgend welche Tokens oder so erstellt wurden oder wie das heisst und war zum glück unauffällig. also keine keys erstellt worden.
Bin mir noch am überlegen ob ich sicherheitshalber den Steam support noch kontaktieren soll um nachzufragen ob sie da mal schauen können ob mein Steam account Infiziert sein könnte.
