Seltsame / beunruhigende Ordner in C:\ProgramData

[Serjo]

Hi Forum,

ich hab mich gestern mal in diversen Programm-Ordnern umgeschaut, um zu sehen ob sich da irgendwelche merkwürdigen Ordner befinden mit denen ich nichts anfangen kann, und hab auch direkt ein paar in C:\ProgramData entdeckt, zu denen ich jetzt ein paar Fragen habe. Sorry dass es so lang geworden ist :/

1. boost_interprocess
Zu diesem hier gibts nicht allzu viel zu sagen. Der Ordner heißt "boost_interprocess", enhält einen weiteren Ordner namens "1460804998" und beide enthalten ansonsten garnichts. Nach etwas Googelei hab ich mehrere Threads entdeckt die irgendwie in Richtung Virus deuten, aber nichts Eindeutiges. Kann irgendjemand etwas damit anfangen bzw. muss ich mir deswegen Sorgen machen?

2. PCDr
Zum PCDr-Ordner konnte ich auch nichts Eindeutiges finden. Einige sagen es ist ein harmloses Programm namens "PC-Doctor", andere reden wieder von Viren/Trojanern. Was mich beunruhigt, ist ein Ordner den er enthält. In PCDr sind 2 Ordner, einer heißt "6032", der andere "Tonopah". Tonopah enthält nichts Aufregendes, nur eine Textdatei. 6032 hingegen enthält 10 weitere Ordner, die ich jetzt besser nicht alle aufzähle, und 2 Dateien. Wenn ich jetzt einem der Ordner, der wieder "Tonopah" heißt (nicht zu verwechseln mit dem vorherigen gleichnamigen Ordner) folge, enthält der weitere Ordner. Einer davon ist "manifest", und der wiederum enthält einen Ordner namens "payloads", und der ist es, der mich beunruhigt. Er ist zwar leer, aber der Begriff "Payload" wird doch üblicherweise für den Schadcode in Viren verwendet, weiß hier jemand was das bedeuten könnte?

3. Real (bzw. images)
Zu dem hier dachte ich mir erstmal nichts. Ist halt der Installationsordner vom Realplayer, den ich ja auch installiert habe, dachte ich zumindest. Ich konnte ihn allerdings garnicht mehr finden, also habe ich ihn entweder auf diesem PC nie gehabt, oder bereits deinstalliert.
Das Beunruhigende an dem hier, ist wieder ein Ordner den er enthält, nämlich -> RPDS -> Content -> images. Der Ordner namens "images" enthält nämlich insgesamt 444 Bilddateien, alle von 1-444 nummeriert, die offensichtlich völlig zufällige Screenshots von verschiedensten Video- und Image-Viewing Programmen sind. Haufenweise Screenshots von Videos oder Meme-Bildern bzw. -gifs die ich im Windows Media Player, VLC Player oder auf diversen Internetseiten angesehen habe, dasselbe mit Bilddateien die ich mit Rechtsklick->Vorschau angeguckt habe. Es sind wie gesagt völlig zufällige Videos/Bilder/gifs, die ich über einen sehr langen Zeitraum verteilt nach und nach angesehen habe. Laut den Eigenschaften der Screenshots, wurde jeder einzelne davon an exakt demselben Tag im März 2015 aufgenommen, was absolut ausgeschlossen und schlicht unmöglich ist. Der Ordner enthält also Dateien, deren Entstehung ich mir nur durch Spyware erklären kann, denn ich kann zu 100% garantieren, dass ich keines dieser Videos, und erst recht nicht Bilder, mit dem Realplayer angesehen habe. Ich hab den ohnehin so gut wie überhaupt nicht verwendet, vielleicht mal für 2-3 Videos, maximal. Hat jemand eine Ahnung was zum Teufel das ist? Bzw. sind hier Leute die den Realplayer ebenfalls installiert haben/hatten und die denselben Ordner und dieselbe Art von Screenshots darin haben?

Btw. sind es keine vollständigen Screenshots vom gesamten Monitor, sondern immer jeweils nur der Inhalt des Viewing-Programms, also immer nur das Bild selbst, ohne Ränder oder erkennbare Programme oder sonstwas.

 

[Kevon]

Meinst du nicht, du übertreibst ein wenig? Lass einen Virencheck laufen und schau, ob irgendein auffälliger Prozess andauernd läuft. Das sind wahrscheinlich Reste von irgendwelchen ehemals installierten Programme. Lösche sie einfach, wenn du dir sicher bist, dass du sie nicht mehr benötigst. Außerdem versteckt sich kaum ein Virus in ProgramData. Eher versteckt man sich im Roaming oder Local Ordner.

 

[Serjo]

Wieso ich diese Ordner beunruhigend finde, habe ich ja bei jedem genau erklärt, also finde ich nicht, dass ich übertreibe. Besonders den letzten finde ich äußerst merkwürdig. Virenchecks finden bei mir nie etwas, und auffällige Prozesse laufen ebenfalls nicht.

 

[ntloader]

Googlen will gelernt sein. Hier steht doch alles.
https://www.microsoft.com/security/...edia/entry.aspx?Name=Backdoor:Win32/Kelihos.A

 

[Serjo]

Den Link hab ich auch schon gefunden, der hilft mir aber nicht. Wer sagt denn, dass das auch stimmt? Im Post direkt danach sagt der eine auch gleich, dass er daran zweifelt dass es stimmt. Als eindeutig würde ich das nicht bezeichnen. Mit dem erwähnten "Cloudfogger" hatte ich auch nie was zu tun.

 

[wesch2000]

ganz einfach mal ein virenprogramm durchlaufen lassen.

 

[HominiLupus]

Boost ist eine C++ Library. Die ist unbedenklich. Die Anderen kenne ich nicht.

 

[Buttermilch]

mach einfach alles platt und gut


was suftst du denn für Seiten an, hatte seit 20 jahren keine Viren mehr

auch installierst du komische Tools?
Realplayer ist so 90er wie ICQ und winamp
PC doctor, am besten noch windows speed up und son zeugs ? hää für was
-----------------------------------------------------------
keine Warenz, Cracks, Keygens, nutzen, keine dubiosen Foren, Pronseiten, keine Scheiße aus fragwürdigen Quellen öffnen, nie auf links in emails klicken und dann ist alles gut. Flash und Java vom PC fernhalten, den Rest immer updaten egal ob Office, Broser oder Win updates.

der beste Virusscanner ist der zwischen den Ohren.

 

[BmwM3Michi]

ändere die Namen der Ordner, wenns Probleme gibt den Ordner wieder zurückändern,
wenn der Rechner nach ein paar Tagen immer noch problemlos läuft
kannst du die Ordner löschen! Der boost ist bei mir schreibgeschützt aber leer.

 

[Grantig]

1:

Boost ist eine C++ Library.

Bingo. Im boost_interprocess Ordner werden Dateien abgelegt die zur Kommunikation zwischen verschiedenen Prozessen dienen.
Wenn du also irgendein Programm installiert hast das auf die boost library setzt und shared memory verwendet, dann wird dieser Ordner angelegt.

2:
Evtl. das: http://www.pc-doctor.com/
(wurde afaik z.B. auf einigen Dell und HP PCs vorinstalliert)
Der Begriff "Payload" wird nicht nur im Bezug auf Malware verwendet: https://en.wikipedia.org/wiki/Payload_(computing)

3:
Wie du schon sagst ist es vermutlich nur der Realplayer. Kann sein dass sich der Realplayer als Thumbnail-Handler für versch. Formate registriert hat. Die Bilder die du siehst sind wahrscheinlich ein Thumbnail-Cache. Lösch halt den Ordner und schau ob er wieder kommt.


@Buttermilch
So ein Schmarrn, wegen 3 Ordnern die er nicht kennt alles plattmachen

 

[DPXone]

und der wiederum enthält einen Ordner namens "payloads", und der ist es, der mich beunruhigt. Er ist zwar leer, aber der Begriff "Payload" wird doch üblicherweise für den Schadcode in Viren verwendet, weiß hier jemand was das bedeuten könnte?

Payload ist der allgemeine Begriff für Nutzdaten.
Payloads findest du z. B. in jedem IP-Datenpaket, das du von deinem PC versendest oder am PC erhältst.

Dich irritiert glaub ich eher das Pay im Payload (=Bezahlen; mit Kosten verbunden)

 

[Serjo]

@Buttermilch
Ich installiere keine "komischen Tools", ein wenig Ahnung von PCs habe ich schon ^^
Auch dieser seltsame "PC-Doctor" kommt mir überhaupt nicht bekannt vor, das ist es ja grade was mich verwirrt, und Viren findet mein Scanner wie gesagt auch keine. Btw. verwende ich sowohl Winamp als auch ICQ (über Trillian) immernoch

@Grantig
Danke, das erklärt schonmal zumindest 1 & 2 - ich hab nen Dell PC, also könnte das mit dem vorinstallierten PC-Doctor stimmen. Mich hatte nur die Kombination der Ordnernamen "manifest" und "payloads" etwas verängstigt ^^
Allerdings finde ich ein Programm mit diesem Namen unter "Programme und Funktionen" nicht, und ich kann mich auch nicht erinnern soetwas jemals deinstalliert zu haben..

Beim dritten Punkt bin ich mir nicht recht sicher ob das stimmt, die Screenshots sind normal groß, also keine Thumbnail-Minigröße, und selbst wenn, wieso sollte der Realplayer den ich nie verwende, Thumbnails aus völlig zufälligen Dateien, darunter wie gesagt auch normale Bilddateien und Youtube-Videos, erstellen? Da wüsste ich echt gerne ob das sonst noch jemand hat der den Realplayer verwendet.

 

[Buttermilch]

Wer aber jetzt zum 3. Mal in diesem threat antwortet, er habe nen komisches Gefühl,...
seine Scanner finden nix, und er ist sich sicher das keine varpoware vom Hersteller drauf ist etc welche Antwort soll man ihm denn geben.

A: Hypochondrie? (Kann immer sein)
B: IT noob ( schießt er aus)
C: ist schon nix schlimmes mit den thumbnails
Nenne den Ordner einfach um. (Pc plötzlich im bootloop des todes)
D: cryptotrojaner und backdoors sind nicht so schlimm. (Wofür gibt es sonst Sinnvollerweise bitcoins)

Im Zweifel muss er selbst eine Entscheidung treffen, ob er mit dem „Risiko“ leben will oder nicht. Einfsch das Dell recovery machen und gut, heute liegt doch alles in clouds, egsl wo.
win8.1 win10 stellen nach login in dein MS Konto alle email Konten automatisch wieder her, incl Kalender, das selbe bei Favoriten bei google, Office und steam, ich seh in einem rollback jetzt kein Problem.

Edit
oh win7!!! puh das suckt derbe mit den 260 updates von MS aber jeder wie er meint. Ich kann nichts negstives gegen win 10 sagen. Evtl fehlender safedisk support, aber so eine software will ich auch garnicht mehr auf meinem pc haben. alles installiert sich von selbst.

 

[wesch2000]

@Buttermilch

nicht nur im zweifel. am ende muss jeder eine entscheidung treffen: nichts ist alternativlos!