mow.exe neuer Trojaner/Bot
 

Hallo.

ich habe, da mir aufgrund eines privaten Mißgeschicks meine OriginalDVD von Men of War: Assault Squad Game of the Year Edition nicht mehr so recht lesbar ist eine Version aus dem Netz geholt :heilig:. Klar. Sollte man nicht tun. Folgendes mal zum Nachdenken:

Seit Installation habe ich ein Programm mow.exe, das via Registry ( 5 Keys hab ich gefunden) gestartet wird.
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SYSTEM\ControlSet001\Control\Session Manager\AppCompatCache
HKLM\SYSTEM\ControlSet002\Control\Session Manager\AppCompatCache
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
HKU\S-1-5-21-1387222679-940549935-4087908491-1000\Software\Microsoft\Windows\CurrentVersion\Run

Das Program selbst liegt in %sys%/users/%user%/AppData/Roaming/mow
Beim Killen via Taskmanager restartet der Bildschirmtreiber. Das Programm ist dann bis zum Neustart weg.
Aufgefallen ist das ganze, als der Rechner extrem langsam wurde. Bei meinem System (Core2 E6600, 4GB, GT440, Win7 pro 32) waren es zwischen 45 und 50% CPU Leistung, die dauernd weg waren.
Auffällig ist, daß im %sys%/users/%user%/AppData/Roaming/mow eine .bin BIOS Datei der Grafikkarte liegt.

Weitere Schäden, größerer Web/Daten-Verkehr ist bisher nicht bemerkbar.

Meiner Meinung nach ein nicht ganz professionell programmierter Bot/Trojaner mit Potential und unerkannt vom Rest des Systems (Avast). Wer den Verzeichnisinhalt zur Untersuchung haben möchte, kurze Mail, habs unter Ubuntu gezipt.

Gruß Chris

Hi,

brauchst Du jetzt Hilfe beim Entfernen oder ist das nur ein Hinweisthread? Auf jeden Fall hätte ich das Spielzeug gerne :)

Hallo. Nö, Ich danke für das Hilfsangebot. Ich setze den Rechner eh neu auf, so daß sich daß damit erledigen sollte. Wenn nicht, meld ich mich nochmal.
Ich wollte nur eine ev. erste Sichtung melden... vielleicht hilft es ja. :daumenhoc

cya

Hallo nochmal.

Wie meine eigenen Recherchen aufzeigen, scheint es sich tatsächlich um einen Bot zu handeln, der mit Scripten arbeitet. Auch das BIOS File ist "nur" ein Scriptfile. Scheint OpenCL zu sein. werd mal etwas näher einsteigen, falls Zeit ist.

Cya

Alles klar :)

Ah eh ichs vergesse:

@schrauber: Schöne Grüße an die alte Heimat von ganz oben ;)

Hehe :)