Warnung für curl.exe

[romanl123]

Hi,

ich habe gerade einen Scan mit Emsisoft Emergency Kit durchgeführt. Das Prorgamm gibt an für die Datei "C:\Windows\SysWOW64\curl.exe" die Malware "gen:variant.lazy.1600007" gefunden zu haben:

Ich kann die Datei aber nicht in die Quarantäne verschieben, weil Emsisoft sagt, dass sie für Windows unerlässlich ist:

Sonstige Programme und auch virustotal.com haben bei der Datei nichts gefunden. Wie kann ich jetzt feststellen. ob das wirklich Malwere ist?

 

[Lawnmower]

Denke das wird zu 99% ein Fehlalarm sein.
Emisoft - noch nie gehört; kenne nur Emmi aber die machen Milchprodukte

Du kannst ja testweise noch mit einem 2. Scanner wie z.B. den Defender prüfen lassen.

 

[Uridium]

'Rechter Knopf/Eigenschaften/Digitale Signaturen' und schauen, ob es von Microsoft signiert wurde.
Zusätzlich kannst Du eine Prüfsumme (MD5, SHA1, o.ä.) davon posten und fragen, ob die jemand bestätigen kann. Die passende Windowsversion sollte angegeben werden.

Edit: Die Prüfsumme (SHA256) steht auch bei Virustotal oben über dem Dateinamen, z.B. f45ee10c20d7e1b9cb1693b9f3aee28092ce5c6d4dfafe3e424d9b7330bf8c0a.
Wenn jemand anders so nett ist und seine curl.exe auch bei Virustotal prüft und die gleiche Prüfsumme hat, ist es sehr unwahrscheinlich, dass ihr den gleichen Virus habt. In der Regel reicht aber die Signatur zu prüfen.

 

[Alexander2]

Wenn das die original exe ist und das ist das selbe wie es das unter linux ist, dann ist curl jedenfalls nur ein kommandozeilendoenloadprogramm. gibst curl nen link und es lädt was auch immer da hinter dem link ist herunter..

 

[Tuetensuppe]

Das ist ein veraltetes Windows-Programm

https://www.deskmodder.de/phpBB3/viewtopic.php?t=28436

 

[tollertyp]

@Tuetensuppe: Und das machst du woran fest?
Bzw: Was ist die Konsequenz?

Bei mir ist:

 

[Uridium]

In meinem alten Win10 ist noch die 7.55.1.0. Die ist nicht mal signiert.

$ sigcheck64.exe curl.exe

Sigcheck v2.82 - File version and signature viewer
Copyright (C) 2004-2021 Mark Russinovich
Sysinternals - www.sysinternals.com

curl.exe:
        Verified:       Unsigned
        Link date:      17:59 2.6.2019
        Publisher:      n/a
        Company:        curl, https://curl.haxx.se/
        Description:    The curl executable
        Product:        The curl executable
        Prod version:   7.55.1
        File version:   7.55.1
        MachineType:    32-bit

 

[romanl123]

Bei Eigenschaften steht Daniel Stenberg: 😅

Laut Virustotal:

MD5: dbd30d70fcdae1fd343ddad5c55c4e78
SHA-1: 59e081bed369ac6034f628c64b8a73531bedb6e2
SHA-256: e6f66d659242aa7d6dd3c1967714c6cd3e0b11aaa235e7f7a150a3316dae8e61
Vhash: 045056655d151564z14zauz247z

 

[tollertyp]

Bei Eigenschaften steht Daniel Stenberg: 😅

Und was ist daran falsch?

Und wie man sieht schon eine viel neuere Version als im verlinkten Thread. Also MS updated das DIng halt auch mal von Zeit zu Zeit.

Und ja, die 8.0.1 ist die Version, die Windows 10 Build 19045.2965 beiliegt.

 

[Der Lord]

https://daniel.haxx.se/

Das ist halt der Erfinder vom open source Tool curl.

Ist bei mir genauso:

Signiert von Microsoft!

 

[CoMo]

Wie kann ich jetzt feststellen. ob das wirklich Malwere ist?

Grundsätzlich: Durch Verhaltensanalyse, z.B mit https://www.hybrid-analysis.com/ oder https://any.run/.

In diesem Fall steht ja aber nun bereits fest, dass Emsisoft hier einen False Positive produziert hat,

 

[Uridium]

Erstaunlich, dass da kein 'Digitale Signaturen' Tab ist. Laut VirusTotal ist die Datei von MS signiert.

 

[azereus]

https://www.borncity.com/blog/2023/10/14/curl-schwachstelle-durch-microsoft-ungepatcht/

/edit: nachdem du die version 8.0.1 hast
welche ungepatchd ist
und auch ein "änderungsdatum" von heute 00:14 uhr vorliegt...
würde ich deine curl.exe bei virustotal hochladen

 

[romanl123]

Hab ich schon:
https://www.virustotal.com/gui/file/199dfe13be49fea70ced47b922dbe114417bf50026e4dfa9c1dc1e23ab84c8ff

Was heißt ungepatched? Sollte die nicht mit einem Windows update dann gepatched werden?
Oder was kann man da sonst machen?

Danke euch!

 

[Alexander2]

Sollte die nicht mit einem Windows update dann gepatched werden?

Da ist Microsoft zuständig, du könntest dich an die wenden, aber ich bin mir sicher, die wissen das schon.

Ungepatched in dem zusammenhang heißt sicher es gibt eine Sicherheitslücke, die bekannt ist in der Version und eine neuere hätte diese behoben.

 

[PC295]

Hab ich schon:
https://www.virustotal.com/gui/file/199dfe13be49fea70ced47b922dbe114417bf50026e4dfa9c1dc1e23ab84c8ff

Das ist eine Installationsdatei für GoogleDrive, nicht die curl.exe

 

[romanl123]

Ach mann, falscher Link:

https://www.virustotal.com/gui/file...4c6cd3e0b11aaa235e7f7a150a3316dae8e61/details

 

[Uridium]

Was heißt ungepatched? Sollte die nicht mit einem Windows update dann gepatched werden?

Sicher.. weiter oben sieht man ja die 8.4.0.0.
Hast Du denn Windows Update deaktiviert?

 

[romanl123]

So, jetzt wollt ich grade das Windows Update machen, aber das klappt nicht.

Es bleibt immer bei 0%.😒

 

[Alexander2]

Kannst ja mal die übliche Windows Reparaturen starten lassen.
Per Internetsuche einmal danach suchen:

sfc /scannow
dism