Blackburn2507

Guten Tag.
Habe folgendes Problem.

Es ist bisher 2 mal vorgekommen, dass ich mir ein Programm aus dem Internet geladen habe. Wenn ich das Setup gestartet habe, passierte nichts, außer dass plötzlich ein Prozess namens "wzq.exe" oder so ähnlich im Hintergrund lief. Diese .exe war auch im Temp-Ordner zu finden. Habe dann den Prozess beendet und die .exe Dateien aus dem Temp-Ordner gelöscht.
Nach diesem kleinen Schock hab ich entschieden, vielleicht mal etwas intensiver nachzuschauen. Und siehe da: Ich habe einen 2. merkwürdigen Prozess gefunden.
Wbumia.exe nennt er sich und ist bei mir im Windows-Ordner zu finden.
Habe diese .exe von mehreren Internetprogrammen überprüft (VirusTotal, Virscan, usw.) und natürlich auch mit meinem Antivirenprogramm dass ich auf der Festplatte habe (AVG).
Bei VirusTotal und VirScan haben jeweils (ca.) 30% der Virenscanner Alarm geschlagen. Doch mein AVG meldet sich nicht.
Weiß nun auch nicht, ob ich dieses wbumia.exe löschen soll oder nicht, möchte mein Betriebssystem nicht crashen.
Außerdem öffnet sich seit gestern Abend mein Internet Explorer ständig von selbst mit irgendwelchen Werbeseiten. Ich weiß nicht weiter und habe ehrlich gesagt keine Lust, mein Betriebssystem nochmal neu aufzusetzen, da ich TAGE gebraucht habe, um ihn so einzurichten wie er jetzt ist.
Kann mir bitte jemand weiterhelfen?

xandros

Ist zwar fuer den aktuellen Zustand nicht weiter hilfreich, aber vielleicht fuer die Zukunft interessant.
Bei solchen langwierigen Installationen bietet sich unmittelbar nach der Fertigstellung ein Backup der kompletten Installation als Image an. Dann braucht man in einem solchen Fall nur das saubere Image auf den Rechner aufziehen, was deutlich schneller geht als eine Neuinstallation.

wbumia.exe ist zumindest mal keine Datei, die von Windows stammt. Ich moechte auch keine Spekulationen ueber deren Herkunft, Sinn und Zweck oder der Gefaehrlichkeit anstellen, wenn uns darueber die Scan-Ergebnisse von Virustotal nicht vorliegen....
Dein Virenscanner auf dem Rechner meldet sich sehr wahrscheinlich deshalb nicht, weil er den (moeglichen) Schaedling in dieser Datei gar nicht identifizieren kann. Es gibt eben kein Tool, welches auf alle Arten von digitalem Ungeziefer spezialisiert sein kann....

Leonixx

Das Programm stammt sicherlich aus dunkleren Quellen Durch die Ausführung, hast du dir einen Schädling geladen. Einfach Prozesse zu beenden, bringt meist nichts, da der Schädling beim nächsten Neustart die Prozesse wieder startet.

Lade dir Malwarebytes wie unter Tutorials in meiner Sig. beschrieben. Poste Logfile.

Blackburn2507

Ergebnis von VirScan.org:

Dateiname : Wbumia.exe
Größe : 212992 byte
Typ : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5 : 5a743df2c2583be54506a913e8a43ff1
SHA1 : 87eaffed402dd90a73d3c4f71ba10412a2f68afd

Scan Ergebnis : 28% der Scanner (10/36) haben Malware gefunden!
Zeit : 2010/12/16 01:46:05 (CST)

Ergebnis von VirusTotal:


File name: Wbumia.exe
Submission date: 2010-12-15 17:48:01 (UTC)
Current status: finished
Result: 17/ 43 (39.5%)

MD5 : 5a743df2c2583be54506a913e8a43ff1
SHA1 : 87eaffed402dd90a73d3c4f71ba10412a2f68afd
SHA256: cad9441be807a97887d798fdaeb0856ac6504a806f40862b1f f8fc5e6e4104b6

Ergebnis von VirusScan:


Dateiname: Wbumia.exe
Status:
Scan abgeschlossen. 7 von 19 Scannern haben Malware gemeldet.
Untersucht am: Mi 15 Dez 2010 18:46:58 (CET) Ergebnis-Link


Dateigröße: 212992 Bytes
Dateityp: PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5: 5a743df2c2583be54506a913e8a43ff1
SHA1: 87eaffed402dd90a73d3c4f71ba10412a2f68afd



Dies sind lediglich die Ergebnisse, die ich bereits in einem anderen Forum gepostet habe.
Genauere Angaben kann ich jetzt nämlich nicht machen, da ich die Datei plötzlich nichtmehr bei VirScan und VirusTotal hochladen kann o_O

xandros

Das hab ich mir schon gedacht.... und Crosspostings kann ich genauso leiden wie Zahnschmerzen.

Blackburn2507

Werde ich machen, einen Moment. Und danke schonmal für die schnellen Antworten!

Leonixx

Wie schon erwähnt, jetzt nicht mehr durcheinandern in verschiedenen Foren posten. Ausserdem wäre das Ergebnis von Virustotal hilfreich, welche Scanner welchen Schädling erkannt haben. Das ist nur eine verkürzte Version.

Blackburn2507

Würde ich ja gern tun, doch wie schon erwähnt, kann ich die Datei dort plötzlich nichtmehr hochladen, da ich (angeblich) nicht die nötigen Rechte habe um auf die Datei zugreifen zu können und ich soll mich an den Besitzer (!!!) oder einen Administrator wenden. Alle anderen Dateien kann ich hochladen, nur diese nicht!

Blackburn2507

Bin auch gerade noch dabei meinen PC von Anti-Malware überprüfen zu lassen, kann allerdings noch ein wenig dauern!

Blackburn2507

Malwarebytes' Anti-Malware 1.50
Malwarebytes

Datenbank Version: 5326

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

16.12.2010 20:04:44
mbam-log-2010-12-16 (20-04-44).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 775810
Laufzeit: 1 Stunde(n), 52 Minute(n), 42 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Ext\Settings\{46897C77-E7A6-4C33-BFFB-E9C2E2718942} (Adware.Mp3Tube) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Ext\Stats\{46897C77-E7A6-4C33-BFFB-E9C2E2718942} (Adware.Mp3Tube) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\4RBPZMXX4S (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\JP595IR86O (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\Zones\ (Hijack.Zones) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{46897C77-E7A6-4C33-BFFB-E9C2E2718942} (Adware.Mp3Tube) -> Value: {46897C77-E7A6-4C33-BFFB-E9C2E2718942} -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{46897C77-E7A6-4C33-BFFB-E9C2E2718942} (Adware.Mp3Tube) -> Value: {46897C77-E7A6-4C33-BFFB-E9C2E2718942} -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\program files (x86)\Ubisoft\ubisoft game launcher\ubiorbitapi_r2.dll (Trojan.Agent.CK) -> Quarantined and deleted successfully.
c:\program files (x86)\mozilla firefox\searchplugins\Mp3Tube.xml (Adware.Mp3Tube) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{22116563-108c-42c0-a7ce-60161b75e508}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{62c40aa6-4406-467a-a5a5-dfdf1b559b7a}.job (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{bbaeaeaf-1275-40e2-bd6c-bc8f88bd114a}.job (Trojan.Downloader) -> Quarantined and deleted successfully.




wbumia.exe ist allerdings immernoch drauf.
Manuell entfernen?