Windows 10: Frisch & sauber installiert, kaum benutzt und schon ein Virus: POLY.CRYPT.TSR.COM? Woher?

ITRentner · 09.10.2020, 18:32

Hallo cosinus,

entschuldige bitte, dass ich ein paar Tage weg war und wenig Zeit hatte, mich um dieses Thema zu kümmern.

Zitat:

Ist das alles normal für ein frisch installiertes System?
Nein und gerade weil das ein frisch installiertes System ist

Schön, dass wir uns einig sind, dass die Logs von FRST für ein frisch installiertes Windows 10 nicht normal sind.

Du sagst, "Applikationsfehler können zig verschiedene Ursachen haben". Welche Hypothese hättest Du denn, mit der ich anfangen könnte zu suchen was hier nicht koscher ist und warum, um dann systematisch einen möglichen Grund nach dem anderen zu verifizieren oder auszuschließen?

Natürlich kann das ein "false positive"(FP) Virenfund in der fltMC.exe (411 Byte!) sein, deshalb habe ich in meiner Überschrift ja auch Fragezeichen gesetzt. Und nach meiner Recherche im Netz glaube ich das inzwischen auch. Denn diese 411 Byte sind offenbar nur Code-Schnipsel und keine ausführbare EXE. Nach einem Signature-Update der ESET-Rescue wird die Datei auch nicht mehr angemeckert. Auch virustotal.com gab keinen Alarm.

Code:

ATTFilter

Basic Properties
MD5	b5cb373412ca9aa2b4f0f60819c08df3
SHA-1	25dfc60f8acedef1a17481c67aa4c75f5aa1abb3
SHA-256	318eb801f162579f0cdf3314b994aea1c7e31effae783e71607dbe4c411cc327
SSDEEP	12:BKbyn+I4yYEtvV4UG7ojAD/2MxKWeDhPm:BSyn+IzZ5V4iogWGZm
File type	unknown
Magic	data
File size	411.00 B (411 bytes)
History
First Submission	2020-10-09 12:10:05
Last Submission	2020-10-09 12:10:05
Last Analysis	2020-10-09 12:10:05
Names
fltMC.exe

Trotzdem habe ich ein ungutes Gefühl, denn ich habe mal geschaut, was es mit dieser Datei fltMc.exe (Filtermanager) auf sich hat und bin hier fündig geworden:https://ss64.com/nt/fltmc.html

Zitat:

A malicious rootkit infection, may obfuscate its presence by installing a minifilter driver which intercepts and filters calls between other (legitimate) drivers and the system. It is therefore good practice to document the known minidrivers installed on your key systems.

The FLTMC command allows the option to display existing filters and delete malicious ones.

Ein Verschlüsselungs-Trojaner, der sich vor der Lösegeldforderung solange verstecken muss, bis möglichst alle Backups encrypted sind, häte also einen guten Grund, dieses Tool zu manipulieren um eine Entdeckung und Entfernung nach Möglichkeit zu verhindern. Kann das ein Zufall sein, dass ein "probably unknown" virus mit diesem Namen POLY.CRYPT.TSR.COM ausgerechnet hier auftaucht, oder ist das nur natürlich und logisch? Immerhin ist das in über 160000 Objekten der einzige Alarm von ESET.

Erstaunlich und beunruhigend finde ich im Log von ESET die hohe Zahl von nicht zu öffnenden Files (dll, exe u.a.m.). Zum Beispiel gleich zu Beginn des Logs im aktuellen Defender-Verzeichnis ProgramData/Microsoft/Windows Defender/Platform/4.18.2008.9-0 ist bis auf die Text-Datei nichts zu öffnen. Wohlgemerkt von ESET! Wenn ich als User mit normalen Rechten in die Dateien schaue, merke ich nichts Auffälliges. Aber wenn ich mir in den Datei-Eigenschaften die Sicherheit anschaue, finde ich ein "Unbekanntes Konto (S-1-15-3-1024-3153509613-96....)", welches in Addition.txt von FRST nicht erscheint. Und wenn ich mit Linux reinschaue, sehe ich dort nur nicht zu öffnende "symbolic link" Files mit 25 Byte und 0 Byte auf der Platte.

Die Datei, die bei Aufruf von fltMC.exe ausgeführt wird (was ich natürlich NICHT getan habe!), befindet sich in C:\Windows\System32, ist 31232 Byte groß und am 05.10.2020 bei dem Windows Update erstellt. Hier sind die Details dazu (von virustotal.com):

Code:

ATTFilter

SUMMARY
DETECTION
DETAILS
COMMUNITY
Basic Properties
MD5	6ab08cadce7df971a043dcd1257d7374
SHA-1	27bf9eb6969d40910aaf6c1b9e4a424f2d8ed88d
SHA-256	d127cc48c864a84df91c3132314ec9698855dfbb6e9aff97ab13023e9eaff8b4
Vhash	034066651d1515151hz3@z
Authentihash	79603696c604367217efbe973a7510316dff0a1836b2b48ad4f781e36f238874
Imphash	d9c40185efb3517f3a8819033083c33b
Rich PE header hash	b9de774ec0c5764bb06f0683dff3f703
SSDEEP	768:ovTzG/rqYhvazMpo8VUIzRAjzQ6cRsG1zJ:MYr9Le8HAvQ6cRsGpJ
File type	Win32 EXE
Magic	PE32+ executable for MS Windows (console) Mono/.Net assembly
File size	30.50 KB (31232 bytes)
History
Creation Time	2090-09-02 11:35:45
First Submission	2020-10-08 13:03:51
Last Submission	2020-10-08 13:03:51
Last Analysis	2020-10-08 13:03:51
Names
fltMC.exe
Signature Info
Signature Verification
 File is not signed
File Version Information
Copyright	© Microsoft Corporation. All rights reserved.
Product	Microsoft® Windows® Operating System
Description	Filter Manager Control Program
Original Name	fltMC.exe
Internal Name	fltMC.exe
File Version	10.0.19041.546 (WinBuild.160101.0800)
Portable Executable Info
Compiler Products
id: 257, version: 27412 count=2
[IMP] VS2008 SP1 build 30729 count=43
[---] Unmarked objects count=1096
id: 260, version: 27412 count=9
id: 259, version: 27412 count=3
id: 264, version: 27412 count=2
id: 261, version: 27412 count=22
id: 253, version: 27412 count=1
id: 255, version: 27412 count=1
id: 258, version: 27412 count=1
Header
Target Machine	x64
Compilation Timestamp	2090-09-02 11:35:45
Entry Point	13616
Contained Sections	6
Sections
Name	Virtual Address	Virtual Size	Raw Size	Entropy	MD5	Chi2
.text	4096	14546	14848	6.08	17b39829cc6ffcbce5024ff9a4c5ecac	143861.72
.rdata	20480	9432	9728	4.13	4b8b62077b94e97e7d9c8939ea6edda3	612276.94
.data	32768	3120	1536	2.49	214a79a79bc16ac6ca0adb5149625fdb	182261.03
.pdata	36864	888	1024	3.81	dd5d986f83b05c3b8fffbd6218a0aea9	84466.5
.rsrc	40960	2064	2560	3.74	59cb3bf4b299d776a87c64b604321d4b	179994.28
Imports
api-ms-win-core-string-l1-1-0.dll
api-ms-win-core-file-l1-1-0.dll
api-ms-win-core-processthreads-l1-1-0.dll
api-ms-win-core-heap-l2-1-0.dll
api-ms-win-core-processenvironment-l1-1-0.dll
api-ms-win-core-profile-l1-1-0.dll
FLTLIB.DLL
api-ms-win-crt-string-l1-1-0.dll
api-ms-win-security-base-l1-1-0.dll
api-ms-win-core-libraryloader-l1-2-0.dll
ntdll.dll
api-ms-win-core-errorhandling-l1-1-0.dll
api-ms-win-core-console-l1-1-0.dll
api-ms-win-core-heap-l1-1-0.dll
api-ms-win-core-handle-l1-1-0.dll
api-ms-win-core-localization-l1-2-0.dll
api-ms-win-core-interlocked-l1-1-0.dll
api-ms-win-crt-private-l1-1-0.dll
api-ms-win-core-debug-l1-1-0.dll
api-ms-win-crt-runtime-l1-1-0.dll
api-ms-win-core-sysinfo-l1-1-0.dll
api-ms-win-core-processthreads-l1-1-1.dll
Contained Resources By Type
RT_VERSION	1
RT_MANIFEST	1
MUI	1
Contained Resources By Language
ENGLISH US	3
Contained Resources
SHA-256	File Type	Type	Language	Entropy	Chi2
d5284d97d1826b81c84b3eaf3262c792ab0845c595d8943ffeb9b5564a82c46e	Data	MUI	ENGLISH US	2.67	23270.04
a8652055ae53c2a211885d4a2bb27eb5fca1de8330ba21bc01d16338f7bda3b1	Data	RT_VERSION	ENGLISH US	3.47	71537.42
280a143389bccebd0adbd2598821abfa5f3545cceae38213e080fb39913e4e62	application/xml	RT_MANIFEST

Dass die Datei nicht signiert ist, braucht nichts Schlimmes zu bedeuten, macht es aber u.U. leichter, sie klammheimlich zu infizieren. Ein Indiz ist der Compilation Timestamp von 2090 - Die Datei dürfte also noch gar nicht existieren. Und die paar Zeilen hier deuten auch auf einen "Einschub" am Montag während des Update hin.

Code:

ATTFilter

Compiler Products
id: 257, version: 27412 count=2
[IMP] VS2008 SP1 build 30729 count=43
[---] Unmarked objects count=1096
id: 260, version: 27412 count=9
id: 259, version: 27412 count=3
id: 264, version: 27412 count=2
id: 261, version: 27412 count=22
id: 253, version: 27412 count=1
id: 255, version: 27412 count=1
id: 258, version: 27412 count=1

Zum Vergleich mal hier die Details zur alten Version 10.0.19041.1 von der DVD von der Installation am 03.10.2020 (Datum ist plausibel und die Compiler Prducts fehlen):

Code:

ATTFilter

SUMMARY
DETECTION
DETAILS
COMMUNITY
Basic Properties
MD5	dd11976400a2487d5fa6c376af038c82
SHA-1	2175910a7d7a607adaab00beeb151f0499e2e608
SHA-256	074a471560cdc15ad2d982cadce9d3a081f70e11ac69e6b73111af2c02c6375e
Vhash	034066651d1515151hz3@z
Authentihash	c63ae8487e3c2d98711544f0b59df16158153bc04c464d1014369a66dd07beec
Imphash	d9c40185efb3517f3a8819033083c33b
SSDEEP	768:uvaG/rqYhWazMp48VU4zR2jz93cRCcXdCR:8LULO832v93cRL8R
File type	Win32 EXE
Magic	PE32+ executable for MS Windows (console) Mono/.Net assembly
File size	30.50 KB (31232 bytes)
History
Creation Time	1993-10-06 07:17:46
First Submission	2020-01-16 22:10:15
Last Submission	2020-01-16 22:10:15
Last Analysis	2020-06-30 10:01:27
Names
fltMC.exe
fltmc.exe
.
Signature Info
Signature Verification
 File is not signed
File Version Information
Copyright	© Microsoft Corporation. All rights reserved.
Product	Microsoft® Windows® Operating System
Description	Filter Manager Control Program
Original Name	fltMC.exe
Internal Name	fltMC.exe
File Version	10.0.19041.1 (WinBuild.160101.0800)
Portable Executable Info
Header
Target Machine	x64
Compilation Timestamp	1993-10-06 07:17:46
Entry Point	13616
Contained Sections	6
Sections
Name	Virtual Address	Virtual Size	Raw Size	Entropy	MD5	Chi2
.text	4096	14546	14848	6.08	e2f42a423376cbe5f3306a1e3509eb62	143906.98
.rdata	20480	9400	9728	4.11	1aef25fea9f33a77507d9b202d0983a8	617993.5
.data	32768	3120	1536	2.51	434545f77c5e65049eef9f24402e56a4	182162.03
.pdata	36864	888	1024	3.77	2ee9fef2b065cda3ec33eb6b91cc8839	84531
.rsrc	40960	2064	2560	3.71	f49f998c3bf35c28a632650014e84c90	181596.69
.reloc	45056	216	512	2.7	8242f0c8e0db3cf9594ce74abf82e4f8	48468
Imports
api-ms-win-core-string-l1-1-0.dll
api-ms-win-core-file-l1-1-0.dll
api-ms-win-core-processthreads-l1-1-0.dll
api-ms-win-core-heap-l2-1-0.dll
api-ms-win-core-processenvironment-l1-1-0.dll
api-ms-win-core-profile-l1-1-0.dll
FLTLIB.DLL
api-ms-win-crt-string-l1-1-0.dll
api-ms-win-security-base-l1-1-0.dll
api-ms-win-core-libraryloader-l1-2-0.dll
ntdll.dll
api-ms-win-core-errorhandling-l1-1-0.dll
api-ms-win-core-console-l1-1-0.dll
api-ms-win-core-heap-l1-1-0.dll
api-ms-win-core-handle-l1-1-0.dll
api-ms-win-core-localization-l1-2-0.dll
api-ms-win-core-interlocked-l1-1-0.dll
api-ms-win-crt-private-l1-1-0.dll
api-ms-win-core-debug-l1-1-0.dll
api-ms-win-crt-runtime-l1-1-0.dll
api-ms-win-core-sysinfo-l1-1-0.dll
api-ms-win-core-processthreads-l1-1-1.dll
Contained Resources By Type
RT_VERSION	1
RT_MANIFEST	1
MUI	1
Contained Resources By Language
ENGLISH US	3
Contained Resources
SHA-256	File Type	Type	Language	Entropy	Chi2
d5284d97d1826b81c84b3eaf3262c792ab0845c595d8943ffeb9b5564a82c46e	Data	MUI	ENGLISH US	2.67	23270.04
1344574c99bd5a9e20b118fc651faf18e51a45ca32bfbbca8e8fd25c7caefa3e	Data	RT_VERSION	ENGLISH US	3.41	73224.5
280a143389bccebd0adbd2598821abfa5f3545cceae38213e080fb39913e4e62	application/xml	RT_MANIFEST	ENGLISH US	4.89

Ich habe mich dann mal im Umfeld des Fundortes im WinSxS-Verzeichnis umgesehen:

Code:

ATTFilter

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-core_31bf3856ad364e35_10.0.19041.264_none_eeeb13d489ad69bb

11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta.
11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta..
11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInstaf
11.05.2020  07:40           430.392 NT SERVICE\TrustedInstafltMgr.sys
11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInstar
               1 Datei(en),        430.392 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-core_31bf3856ad364e35_10.0.19041.264_none_eeeb13d489ad69bb\f

11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta.
11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta..
11.05.2020  07:40            12.095 NT SERVICE\TrustedInstafltMgr.sys
               1 Datei(en),         12.095 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-core_31bf3856ad364e35_10.0.19041.264_none_eeeb13d489ad69bb\r

11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta.
11.05.2020  07:40    <DIR>          NT SERVICE\TrustedInsta..
11.05.2020  07:40            12.180 NT SERVICE\TrustedInstafltMgr.sys
               1 Datei(en),         12.180 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-utils_31bf3856ad364e35_10.0.19041.1_none_cf7ec085c4b5345c

07.12.2019  11:08    <DIR>          NT SERVICE\TrustedInsta.
07.12.2019  11:08    <DIR>          NT SERVICE\TrustedInsta..
07.12.2019  11:08            33.272 NT SERVICE\TrustedInstafltLib.dll
07.12.2019  11:08            31.232 NT SERVICE\TrustedInstafltMC.exe
               2 Datei(en),         64.504 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-utils_31bf3856ad364e35_10.0.19041.546_none_f786fa028426f858

05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta.
05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta..
05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInstaf
05.10.2020  16:53            33.064 NT SERVICE\TrustedInstafltLib.dll
05.10.2020  16:53            31.232 NT SERVICE\TrustedInstafltMC.exe
05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInstar
               2 Datei(en),         64.296 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-utils_31bf3856ad364e35_10.0.19041.546_none_f786fa028426f858\f

05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta.
05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta..
26.09.2020  17:43             3.245 NT SERVICE\TrustedInstafltLib.dll
Drücken Sie eine beliebige Taste . . .
26.09.2020  17:43               411 NT SERVICE\TrustedInstafltMC.exe
               2 Datei(en),          3.656 Bytes

 Verzeichnis von c:\windows\winsxs\amd64_microsoft-windows-filtermanager-utils_31bf3856ad364e35_10.0.19041.546_none_f786fa028426f858\r

05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta.
05.10.2020  16:53    <DIR>          NT SERVICE\TrustedInsta..
26.09.2020  17:43             3.392 NT SERVICE\TrustedInstafltLib.dll
26.09.2020  17:43               390 NT SERVICE\TrustedInstafltMC.exe
               2 Datei(en),          3.782 Bytes

Die fltMC.exe im Verzeichnis ...filtermanager-utils_..._10.0.19041.546_none ist identisch mit der in System32.

Wenn man sich mal die Untervereichnisse "r" und "f" ansieht, könnte man vermuten, dass r für "remove" und f für "fill" stehen könnte. Spekulation oder habe ich recht?
So wird dann aus der am 03.10.2020 von der DVD installierten Version 19041.1 von 1993 die Version 19041.546 vom 05.10.2020 in unveränderter Größe. Allerdings zeigt die alte Version ein plausibles Compiler Datum und der Abschnitt "Compiler Products" fehlt.

Das Datum der Datei-Erstellung für alle -exe, -sys, -dll, -mui Dateien u.a. in den Unterverzeichnissen von WinSxS ist bei allen Strukturen ohne die ominösen "r" und "f"- Untervereichnisse das Datum der Erstellung bei Microsoft (z.B.: 07.12.2019, 11.05.2020 und zuletzt 26.09.2020). Nur wenn diese r/f-Unterverzeichnisse existieren, tragen diese Files das Datum meines Updates am 05.10.2020 in den entsprechenden f-Unterverzeichnissen. Diese Files sind dann auch am "normalen" Ort in System32 zu finden.

Ach ja, und dann habe ich ja auch umfangreiche Ereignis-Logs, mit Warnungen und Fehlern auch im Security-Bereich, die ich zwecks Analyse gerne hochladen kann.

Und noch mal die Frage, wie kann ich hier Bilder, also z.B. Screenshots einbinden oder muss ich die vorher im Netz bei Bilderhostern hochladen und dann hier verlinken?
Ich würde gerne das kleine Fenster zeigen, welches mich schon seit März nervt und auch jetzt nach dem Update wieder bei jedem Neustart und User-Wechsel erscheint.

Ich habe übrigends keine Panik, da ich meine ganzen Dateien auf externen Medien gesichert habe, und ich die Files u.a. auch auf anderen Rechnern öffnen kann.
Ich bin lediglich vorsichtig und neugierig und versuche die Dinge zu verstehen.

Leider habe ich momentan nicht das Know-How und die Tools für ein Reverse-Engineering des Code. Und ein Hex-Betrachter liefert wenig brauchbare Infos.

Wer mit diskutieren möchte und gute Erklärungen parat hat, ist herzlich eingeladen.

Wünsche ein schönes Wochenende!
vg Peter

Windows 10: Frisch & sauber installiert, kaum benutzt und schon ein Virus: POLY.CRYPT.TSR.COM? Woher?

Diskussionsforum: Windows 10: Frisch & sauber installiert, kaum benutzt und schon ein Virus: POLY.CRYPT.TSR.COM? Woher?

Windows 10: Frisch & sauber installiert, kaum benutzt und schon ein Virus: POLY.CRYPT.TSR.COM? Woher?

Ähnliche Themen: Windows 10: Frisch & sauber installiert, kaum benutzt und schon ein Virus: POLY.CRYPT.TSR.COM? Woher?