Viele Trojaner entdeckt

[Rolando]

Hallo

Wir haben hier einen PC stehen, der nicht am Netzwerk hängt. Er ist lediglich mit einer Telefonleitung an eine SPS angeschlossen.
Ab und zu werden dort ein paar Log Dateien benötigt und beim Kopieren derer auf einen Stick ist jetzt plötzlich aufgefallen, dass der PC total verseucht ist.

Da ist der twhvna.exe, der sich auch immer wieder auf den Stick kopiert, sobald man ihn einsteckt.
Um den zu entfernen und auch dauerhaft geschützt zu sein, habe ich den MacAfee installiert.
Ich weiß, nur zum Entfernen hätte auch USBFIX genügt, aber wir haben hier klare Vorgaben.
Beim Scannen sind dann plötzlich noch andere (angebliche) Trojaner entdeckt worden.
Zum einen der nodqq0.dll
und dann ethliche die von
A0084716.exe bis A0085180.exe fast fortlaufend bezeichnet sind.
Insgesamt werden auf den 3 Partitionen 212 Funde gemeldet.
Unter dem Reiter "Entdeckt als" steht bei allen PWS-GAMANIA.e bzw. bei dem nodqq0.dll PWS-Gamania.gen.am

Das Betriebssystem ist Windows XP mit SP3 und eine Diskussion, dass dies sehr alt ist und ich updaten soll, brauchen wir hier nicht zu führen!
Die Funde sind auch alle gelöscht und uns habe nach dem Neustart einen 2. Scan angestoßen, der jetzt übers Wochenende laufen kann.
Es geht mir jetzt auch in erster Linie darum, ob hier jemand weiß, worum es sich bei diesen ganzen Dateien handelt.

 

[kachiri]

Das sollen wir jetzt raten, was sich hinter den Dateinamen versteckt?

 

[madmax2010]

Klingt als ob das ein unternehmenskritisches System ist. Bauftrage da einen Dienstleister mit. Das sytem solslte in jedem Fall neu aufgesetzt werden. Mit ein bisschen putzen ist es da nicht getan und Antiviren sind bei so altem Zueg eher nutzlos.

Wenn windows XP auf diesem Rechner fuer euch kritisch ist, komplett neu installieren lassen. Keine USB Sticks anstekcne. Nicht mit irgendwelchen netzwerken verbinden. Nicht dein Handy daran laden.

 

[Rolando]

Das sollen wir jetzt raten, was sich hinter den Dateinamen versteckt?

Raten kann ich auch. Ich dachte es weiß jemand was über diese Dateien...
So wie ich das auch in meinem letzten Satz geschrieben habe.

 

[madmax2010]

ohne die dateien zu haben koennen wir ihre namen nur in suchmaschinen packen.
Ich kann dir gerne Diesntleister empfehlen die bei so problemen wie deinem helfen koennen. Du kommst da vermutlich mit unter 10.000 Euro kosten davon

Ergänzung (19. November 2021)

Ach schau an, den einen kennt microsoft seit 2006:
https://www.microsoft.com/en-us/wds...Name=PWS:Win32/Gamania.E&threatId=-2147397384

seitdem gibt es auch Patches dagegen Ab und an updates installieren ist besser als jeder ANtivirus

 

[Rolando]

Dienstleister und neu aufsetzen wird definitiv nicht passieren!!!
Ich habe auch nach den Dateinamen und auch nach PWS-Gamania gesucht, aber nichts gefunden.
Deshalb die Hoffnung, dass hier jemand weiß, worum es sich handelt.
Auf den Stick schafft sich definitiv nur der twhvna, der ja schon recht alt ist und auch immer wieder von McAfee gefunden und gelöscht wird.

 

[Scirca]

Haste mal den MD5 von der Datei?!

 

[Rolando]

Ach schau an, den einen kennt microsoft seit 2006:
https://www.microsoft.com/en-us/wds...Name=PWS:Win32/Gamania.E&threatId=-2147397384

seitdem gibt es auch Patches dagegen Ab und an updates installieren ist besser als jeder ANtivirus

Danke für den Link. Da der PC ja noch nie am Netzwerk hing, wurde da zuletzt dann wohl irgendwann das SP3 installiert. Es wäre eine Option ein Service Pack von, ich glaube Winfuture, zu installieren. Da gab es mal was, wo alle Updates und Patches bis zur Supporteinstellung in einem Update vereint waren.

 

[sthyen]

Es wäre eine Option ein Service Pack von, ich glaube Winfuture, zu installieren.

Das gibt's sogar noch im Download.

 

[Rolando]

Ne, momentan sind der PC und ich physikalisch getrennt... ;-)
Was ich noch gesehen habe, diese A00.... Dateien liegen alle in \System Volume Information\_restore{kryptische Zahlen/Buchstaben}

Ergänzung (19. November 2021)

Das gibt's sogar noch im Download.

Danke! Brauche ich nicht mal suchen!!! ;-)

 

[madmax2010]

Wäre nicht das erste Mal, dass schadsoftware durch update packs aus nicht vertrauenswürdigen Quellen verteilt wurde. Winfuture stellt nicht einmal6einfschste Mechanismen zur Verfügung um zu überprüfen, dass man wirklich herunter geladen hat was man haben wollte.

Alternativ kommt sowas auch gern auch aus der Firmware von USB sticks