Setup+Patch.exe auf Firmenlaptop

[Dunkelschwinge]

Halli Hallo,
ich habe auf meinem Firmenlaptop ständig eine Meldung einer Datei namens Setup+Patch.exe

Stinger hat nichts gefunden, löschen des Pfades auch nicht. Temporäre Dateien sind geleert. Ich habe das Laptop nicht neu aufgesetzt bekommen und auch nichts aufgespielt.
Antivirus ist Trend Micro Office Scan. Windowes Defender ist auch drauf.

Da unsere "IT" selten etwas ins positive verbessert (Das Lappi braucht 4 Minuten zum Booten), würd ich das gerne selber lösen. Mal abgesehen davon, dass das auch schneller geht.

Vielleicht findet Ihr ja etwas.. bin für jede Hilfe Dankbar

 

[Valkosh]

Wenn du denkst, dass do so hilfe bekommst..bitte..
ich denke, es liegt an windows..bitte lösche dies komplett =)

 

[Dunkelschwinge]

@Valkosh

meine Erfahrungen hier bei CB sind an sich immer gut. Normalerweise besteht auch immer ein Interesse anderen zu helfen. Es ist auch gelegentlich notwendig Jemanden auf Fehler/Gefahren hinzuweisen.
Ich kann jetzt einen langen Diskurs beginnen warum ich dies selbst lösen möchte. Die erwänten Risiken sind mir alle bewußt, allerdings stellt sich die Situation anders dar, weshalb ich da nicht darauf eingehen muß.
Lieber Valkosh, ich wäre sehr dankbar für einen Tip von Dir.

 

[lenny.chem.dat]

Das sieht mir schon sehr nach Malware aus. Google liefert als 1. Ergebnis das hier: http://spywarefiles.prevx.com/RRDJEF44350595/SETUP + PATCH.EXE.html

Da sind einige andere Namen des Programms. Vielleicht suchst du mal nach denen. Ein vernünftiger Virenscanner mit Malware-Funktion (ich mag Kaspersky, Stinger hat eine viel zu kleine Virusliste) könnte auch helfen.

 

[China]

Da mir so manch Site-IT auch unangenehm in Erinnerung ist... kann ich das nachvollziehen.

Hast Du mal drauf geachtet, ob während der Einblendung ... und danach ... sich was im Taskmanager tut?
Mit Glück bemerkst Du eine .exe die zu diesem Zeitpunkt läuft.

Wann genau erscheint die Meldung?
Nach dem Login?

Könnte auch eine Art "Idiotensicherung" für den Zustand eines Programms sein.
Das so gesehen, wichtige Dateien jedes Mal wieder hergestellt werden.

Ich hoffe Du hast wenigstens Adminrechte... darum durfte ich lange kämpfen^^

 

[Dunkelschwinge]

Die IT sitzt bei uns iun UK, das macht das ganze auch ziemlich Zeitaufwendeig.
Adminrechte habe ich. ist kein Thema bei uns, kann aber auch sein dass dieses Ding noch vom Voruser des Laptops ist. Diese Popup-meldung kommt ich habs gerade gestoppt, alle 4 Minuten. Der Stinger findet nix und auch der Trend Micro findet nichts.

Im Taskmanager wird auf ein file im Temp ordner verwiesen, aber löschen alleine reicht nicht aus. Kommt einfach imer wieder.

@lenny.chem.dat
das habe ich auch gesehen, allerdings weiß ich nicht ob ich denen vertrauen kann, auch wenn das jetzt vielleicht doof klingt.

Ich würde sonst mal meinen kaspersky von zuhause draufhauen und den mal suchen lassen...

 

[1668mib]

Also mit dem Taskmanager, am besten dem Process Explorer, kannst du das betreffende Programm, welches die Meldung erzeugt, ausfindig machen...

@Valkosh: Was man löschen sollte wäre dein Beitrag.

 

[Dunkelschwinge]

Wie gesagt, der Taskmanager verweist auf eine exe im Temp Folder. Und wenn ich die Plattmache, wird sie neu erstellt...
Also leider nicht ganz so einfach.

Sorry falsch so:

ich finde das file wenn ich die suchfunktion nutze. der process explorer gibt mir keinen pfad an

 

[China]

Sowas hatte ich die tage mit Relevant Knowledge...
Die Mistexe hatte sich mit irgendein Proggi installed...

Immer wieder Trojaneralarm in... ~osBLA....
Bis ich dann die exe im TM gefunden hatte, diese gekillt und dann den restlichen kram gelöscht... + die exe... Ruhe war... hat 2h gefressen....

 

[Dunkelschwinge]

tja, jetzt muß ich nur noch die dä...liche exe finden

 

[Valkosh]

Möglichkeit 1:
Ist es nicht möglich, das in der besagten Firma ein eigenständiges Proggi für die verteilung von Software/Patches geschrieben wurde?

Möglichkeit 2: Spy-/Maleware. Wir haben sehr gute erfahrungen mit superantispyware gemacht. malewarebytes ist auch gut.

Falls du das Exe file findest, suche doch nach einem onlinescanner und lade das file hoch. Trendmicro hat wohl soetwas in petto.

Bei der Filesuche sicherlich auch die versteckten files einbeziehen, hast du sicherlich gemacht..nehm ich mal an.

Falls du die möglichkeit hast, log dich als anderen user ein und schaue ob die meldung bei dem auch kommt.

so..vielleicht hilft es ja

Ergänzung (23. Juni 2009)

Oder du kannst die Harddisk ausbauen und extern scannen lassen. Somit sollte die Gefahr gebannt sein dass irgendetwas den scanner blockiert.

 

[Dunkelschwinge]

1)
Also das ist nichts Firmeneigenes. Ich hab hier 7 Kollegen um mich sitzen mit Laptops, also no way.
Geh einfach mal davon aus, dass es Firmen gibt wo die IT nicht 1A ist, auch wenn das für Dich/Deine nicht gilt.

2)Malwarebytes läuft gerade, und hat auch was gefunden.

Malwarebytes' Anti-Malware 1.38
Datenbank Version: 2324
Windows 5.1.2600 Service Pack 3

23/06/2009 15:06:03
mbam-log-2009-06-23 (15-05-58).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 145896
Laufzeit: 35 minute(s), 33 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Windows Printing Driver (Trojan.Agent) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\WINDOWS\system32\rar.exe (Trojan.Backdoor) -> No action taken.
C:\WINDOWS\system32\dllhosts.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\stefank\Local Settings\Temp\TEMP01.RAR (Worm.P2P) -> No action taken.


und das werd ich jetzt mal killen.

Ich hab nur einen User auf dem Laptop.

 

[Valkosh]

Könnte sein, dass es danach wieder weg ist.
Ja, weisst du, ich kenne mitlerweile ziemlich viele IT-Abteilungen. Aber eine die 100% funktioniert habe ich noch nie gesehen. Viel Glück

 

[Dunkelschwinge]

bis jetzt schauts gut aus.

@Valkosh
als ich den Laptop im Nov bekommen habe, habe ich den antivirus aktuallisiert und window auf den neuesten stand gebraucht. das hatte irgend ein schlaumeier deaktiviert, und niemanden hats interessiert. Es waren 16 Würmer, Viren, Trojaner etc. drauf. Tja. Und wenn jetzt noch reste drauf sind, ist's mir auch wurst..

Jetzt is gut und Danke an alle. Malwarebytes war ein guter Tip.

 

[Valkosh]

Hoffe das bleibt so. Ok, also wenn so ein nb ausgeliefert wird..dann verstehe ich dich

Gruss

 

[1668mib]

Es bietet sich im Übrigen zur Bekämpfung solcher Schädlinge an, die Entfernung über Boot-CD durchzuführen, wenn der Schädling tief sitzt.

Naja, und zugegeben: Eine Neuinstallation ist in solchen Fällen trotz Entfernung meist sinnvoll...