nodejs-Malware: FireHooker/DownloadProtect

cosinus · 05.10.2020, 22:21

Ist ja nicht nur Avira. Es folgten auch AVG, Avast und Panda. Später wurde dann AVG von Avast gekauft. Wir hatten dann eigentlich nur noch diese empfohlen

- Microsoft bzw Windows Defender
- Emsisoft
- Malwarebytes

Wovon wir immer schon abgeraten hatten: irgendwelche Suites.

Kaspersky hat sich später auch disqualifiziert, die reagierten sehr dünnhäutig nach einer Empfehlung eines Mozilla-Devs, der meinte, dass die derzeitigen Virenscanner viel mehr Schaden anrichten als dass die etwas nützen und man sie deswegen alle deinstallieren sollte - bei Kaspersky war immer das Aufbrechen von SSL/TLS-Verbindungen (also die Verschlüsselung bei HTTPS ab absurdum geführt) aktiv.

Da es überhaupt keinen Sinn mehr macht, die Kohle in Virenscanner zu stecken, rate ich auch immer öfter von jeglichen fremden AVs ab. Auch ESET und GDATA, meistens seh ich eh immer nur die depperte Suite hier in den Log. Der Microsoft bzw Windows Defender läuft wesentlich besser und reibungsloser. Malwarebytes ist da noch eine Ausnahme.
Das Geld für den gesparten AV steckt man besser in Backuphardware und wenn nötig Backupsoftware wie zB drivesnapshot.

cosinus · 05.10.2020, 22:26

Übrigens wir hatten damals legendäre Diskussionen geführt. schrauber vs kronos-Kraktenking und purzelbär

Natürlich war auch andere in der Diskussion dabei und mussten ihren Senf dazugeben, ziehs dir rein

Avast 2016

Kostenlose Antivirensoftware

Windows 10 Virenschutz mit Defender

Freeware Virenschutz Programme von Qihoo, Baidu und Tencent

webwatcher · 06.10.2020, 08:05

https://www.av-test.org/de/antivirus...ler/microsoft/

Der Kandidat hat 18 Punkte: Noch Fragen?

M-K-D-B · 06.10.2020, 15:32

Registry Suche:

Zitat:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Node.js]
"InstallPath"="C:\Program Files (x86)\nodejs\"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19]
"ProductName"="Node.js"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19\InstallProperties]
"Publisher"="Node.js Foundation"

[HKEY_USERS\.DEFAULT\Software\Node.js]

[HKEY_USERS\S-1-5-21-3995867601-392258793-4093243257-1000\SOFTWARE\Node.js]

cosinus · 07.10.2020, 10:14

Ich glaube, ich konnte soeben den Übeltäter identifizieren: Müllsetup von audacity.de

Dreimal dürft ihr raten, was ich für eine Infektion hatte, nachdem audacity über die audacity2-4-2.exe von audacity installiert wurde:

https://www.virustotal.com/gui/file/...d9c0/detection
https://www.virustotal.com/gui/file/...0479/detection

Code:

ATTFilter

Task: {14480E7D-8E43-4515-AAAB-1FC06555DEA7} - System32\Tasks\Windows Offlinedateien Redirector-Treiber => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) <==== ACHTUNG
Task: {8B0FB464-2415-44DF-8CC6-509A58D85044} - System32\Tasks\AutomatischeKonfigurationAnwendungsinformationen => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) <==== ACHTUNG

Code:

ATTFilter

 Verzeichnis von C:\Program Files (x86)\nodejs

07.10.2020  10:38    <DIR>          .
07.10.2020  10:38    <DIR>          ..
02.05.2017  16:07        15.017.624 node.exe
22.12.2016  18:01               702 nodevars.bat
02.05.2017  15:54             9.009 node_etw_provider.man
07.10.2020  10:36    <DIR>          node_modules
22.12.2016  18:01             4.974 node_perfctr_provider.man
16.11.2016  19:45               867 npm
16.11.2016  19:45               483 npm.cmd
               6 Datei(en),     15.033.659 Bytes

Code:

ATTFilter

<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Author>root</Author>
    <Description>Verarbeitet Anwendungskompatibilitäts-Cacheanforderungen beim Start von Anwendungen.</Description>
  </RegistrationInfo>
  <Triggers>
    <BootTrigger>
      <StartBoundary>2020-10-07T10:49:01</StartBoundary>
      <Enabled>true</Enabled>
      <Delay>PT3M</Delay>
    </BootTrigger>
    <CalendarTrigger>
      <StartBoundary>2020-10-07T10:49:01</StartBoundary>
      <Enabled>true</Enabled>
      <ScheduleByDay>
        <DaysInterval>1</DaysInterval>
      </ScheduleByDay>
    </CalendarTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <UserId>S-1-5-18</UserId>
      <RunLevel>HighestAvailable</RunLevel>
      <LogonType>InteractiveToken</LogonType>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>true</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>true</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <Duration>PT10M</Duration>
      <WaitTimeout>PT1H</WaitTimeout>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>true</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>PT72H</ExecutionTimeLimit>
    <Priority>7</Priority>
    <RestartOnFailure>
      <Interval>PT3M</Interval>
      <Count>5</Count>
    </RestartOnFailure>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>"C:\Program Files (x86)\nodejs\node.exe"</Command>
      <Arguments>"C:\ProgramData\Package Cache\{91C45BC0-5946-438D-A032-C7B98109067C}\{48AC82DE-1374-4BA0-81F4-0422B6969F55}"</Arguments>
    </Exec>
  </Actions>
</Task>

Code:

ATTFilter

<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Author>SYSTEM</Author>
    <Description>Der Diagnoserichtliniendienst ermöglicht die Problemerkennung,  Problembehandlung und Lösung für Windows-Komponenten. Wenn dieser Dienst beendet wird, funktioniert die Diagnose nicht mehr.</Description>
  </RegistrationInfo>
  <Triggers>
    <BootTrigger>
      <StartBoundary>2020-10-07T10:49:26</StartBoundary>
      <Enabled>true</Enabled>
      <Delay>PT3M</Delay>
    </BootTrigger>
    <CalendarTrigger>
      <StartBoundary>2020-10-07T10:49:26</StartBoundary>
      <Enabled>true</Enabled>
      <ScheduleByDay>
        <DaysInterval>1</DaysInterval>
      </ScheduleByDay>
    </CalendarTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <RunLevel>HighestAvailable</RunLevel>
      <UserId>SYSTEM</UserId>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>false</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>true</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>true</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <Duration>PT10M</Duration>
      <WaitTimeout>PT1H</WaitTimeout>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>true</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>PT72H</ExecutionTimeLimit>
    <Priority>7</Priority>
    <RestartOnFailure>
      <Interval>PT1M</Interval>
      <Count>5</Count>
    </RestartOnFailure>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>C:\Program Files (x86)\nodejs\node.exe</Command>
      <Arguments>C:\Windows\Installer\{BF342F7F-DB67-4B9B-88D1-D5880C8C075F}\{AED9FBB5-78A6-4F5A-B9D5-64515310E7E7}</Arguments>
    </Exec>
  </Actions>
</Task>

schlawack · 07.10.2020, 10:22

Bei mir lässt der Virenschutz den Download von audacity auf deren Homepage nicht zu:

webwatcher · 07.10.2020, 10:28

Dafür braucht´s kein Virenverhüterli:

Zitat:

uBlock Origin hat das Laden der folgenden Seite verhindert:

h**ps://www.audacity.de/

PS: @cosinus warst schneller

LordSoth · 07.10.2020, 20:29

Zitat:

Zitat von schlawack

Bei mir lässt der Virenschutz den Download von audacity auf deren Homepage nicht zu:

Offenkundig ist nicht nur "audacity.de" zwielichtig sondern auch "audacityorg.de" (s. Screenshot von @schlawack).

Es ist aber auch echt hart: Wenn man "audacity download" bei Google eingibt ist der erst Hit erstmal gleich problematisch (s. Screenshot). Die warhre Herstellerseite ist erst auf Platz 4. Außerdem sind unter den Hits auch die Softonics und Chips dieser Welt

Was ist denn audacity.de.uptodown.de?

Mir scheint, dass die Chance sich beim Download von audacity was einzufangen, ziemlich hoch ist.

M-K-D-B · 07.10.2020, 20:39

Da gebe ich dir Recht, die Gefahr ist sehr groß.

Selbiges gilt für den beliebten VLC Mediaplayer...

cosinus · 08.10.2020, 15:13

Zitat:

Zitat von LordSoth

Offenkundig ist nicht nur "audacity.de" zwielichtig sondern auch "audacityorg.de" (s. Screenshot von @schlawack).

Es ist aber auch echt hart: Wenn man "audacity download" bei Google eingibt ist der erst Hit erstmal gleich problematisch (s. Screenshot). Die warhre Herstellerseite ist erst auf Platz 4. Außerdem sind unter den Hits auch die Softonics und Chips dieser Welt

Was ist denn audacity.de.uptodown.de?

Mir scheint, dass die Chance sich beim Download von audacity was einzufangen, ziemlich hoch ist.

Es wird echt Zeit, dass Google und andere Suchmaschinen diese Arschlochseiten aus seinen Suchergebnissen entfernt. Ich weiß aber nicht ob eine Beschwerde etwas bringt.
Ich hab schön öfter vlc.de als Betruf über den Firefox gemeldet
(über Hilfe -> Betrügerische Seite melden) aber passiert ist mW noch garnix!

Darklord666 · 08.10.2020, 15:58

Zitat:

Zitat von cosinus

Es wird echt Zeit, dass Google und andere Suchmaschinen diese Arschlochseiten aus seinen Suchergebnissen entfernt. Ich weiß aber nicht ob eine Beschwerde etwas bringt.
Ich hab schön öfter vlc.de als Betruf über den Firefox gemeldet
(über Hilfe -> Betrügerische Seite melden) aber passiert ist mW noch garnix!

Liegt vermutlich daran, dass es bisher nicht genug gemeldet haben. Der Betrug wird ja nicht sofort sichtbar. Wenn man allerdings Ad-/Skriptblocker benutzt, dann wird die Seite als Malware verbreitend erkannt.

webwatcher · 08.10.2020, 16:02

Zitat:

Zitat von cosinus

Ich hab schön öfter vlc.de als Betruf über den Firefox gemeldet

ublock weigert sich den Müll zu laden.
https://www.file.net/prozess/vlc-updater.exe.html

Ganz unten auf der HP steht übrigens

Zitat:

VLC.de ist nicht assoziiert mit der VideoLAN non-profit organization

gibt ein Forum > h**ps://www.vlc-forum.de/

Zitat:

Das offizielle VLC Forum von w*w.vlc.de

Impressum natürlich auch wieder als Bild:

Zitat:

Inhaber Frank Bohling
Klein Eissel 10
D-27283

Zitat:

Aller Media e. K. - Klein Eissel 10, 27283 Verden, Deutschland
Klein Eissel 10
27283 Verden

cosinus · 07.10.2020, 10:26

Dafür braucht man aber keinen Bloat von F-Secure. Das Firefox Addon uBlock Origin blockt sowas wie vlc.de und audacity auch

M-K-D-B · 07.10.2020, 13:30

Zitat:

Zitat von cosinus

Dafür braucht man aber keinen Bloat von F-Secure. Das Firefox Addon uBlock Origin blockt sowas wie vlc.de und audacity auch

F-Secure ist nun wirklich nicht notwendig.

uBlock origin genügt, um nicht auf die Seite zu kommen. Nicht umsonst empfehlen wir dieses Add-on schon länger.

Der Microsoft Defender (Windows Defender) mit aktiviertem PUP-Schutz schnappt sich auch die Installationsdatei, sobald man sie heruntergeladen hat.
Also auch wenn jemand nicht uBlock origin nutzt, wird er durch Microsoft Defender (Windows Defender) geschützt.

MBAM reagiert nun auch langsam:

Zitat:

-Einzelheiten zu blockierten Websites-
Bösartige Website: 1
, C:\Program Files (x86)\nodejs\node.exe, Blockiert, -1, -1, 0.0.0, ,

-Website-Daten-
Kategorie: Trojaner
Domäne: de.mynodejs.net
IP-Adresse: 104.18.42.96
Port: 80
Typ: Ausgehend
Datei: C:\Program Files (x86)\nodejs\node.exe

webwatcher · 07.10.2020, 15:32

https://www.2-spyware.com/remove-tra...hooker-bu.html

Zitat:

Since the one of the TR/AD.FireHooker.BU samples was found on a fake Audacity audio app website, many German users infected with this malware, believing that the it is legitimate program installer.

07.10.2020, 20:39	#9
M-K-D-B /// TB-Ausbilder	nodejs-Malware: FireHooker/DownloadProtect Da gebe ich dir Recht, die Gefahr ist sehr groß. Selbiges gilt für den beliebten VLC Mediaplayer...

07.10.2020, 10:26	#13
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	nodejs-Malware: FireHooker/DownloadProtect Dafür braucht man aber keinen Bloat von F-Secure. Das Firefox Addon uBlock Origin blockt sowas wie vlc.de und audacity auch __________________ Logfiles bitte immer in CODE-Tags posten

nodejs-Malware: FireHooker/DownloadProtect

Diskussionsforum: nodejs-Malware: FireHooker/DownloadProtect