Verdächtige cmd.exe - 24% CPU Last, 3% mit Taskmgr...?

[Korben2206]

Hi,

eine kleine Analyse...:

Mir ist neulich aufgefallen das meine CPU-Last immer bei ca. 33% liegt, obwohl ich eigentlich kaum Programme laufen habe.
Dann wollte ich mit dem TaskMgr mal nachschauen was da los ist, aber sobald ich den öffne, sinkt die Last auf unter 10%...

Also hab ich mir erst mit Powershell mal die laufende Prozesse angeschaut und dann mit NTop, dabei ist mir ein Prozess namens cmd.exe aufgefallen der ständig bei ca. 25% CPU Last...

Läuft im SYSTEM-Kontext, also nix was ich starten würde.

Man kann auch beobachten wie er sinkt sobald man den Taskmanager aufmacht.. naja, als wenn er sich bei "Beobachtung" schlafen legt..
Die cmd.exe ansich ist natürlich erstmal nix besonderes, Windows Kommandozeile. Lt. Prozessinfo ist es auch die aus dem System32 Verzeichnis. Aber in einer cmd kann natürlich alles mögliche laufen.. leider finde ich nicht heraus was...
Lustigerweise fährt die Last sich auch runter wenn ich ProcessExplorer starte...

Sobald man den TaskManager oder ProcessExplorer schließt, dauert es 2-3 Sekunden dann geht die CPU-Last wieder auf über 30%..

Mit tcpview und procmon habe ich herausgefunden das der Prozess offenbar eine TCP Verbindung zu fornex.cloud hat.. einem Cloud-Dienstleister...?

Dann hab ich mir mal die die Austostarts angeschaut mit Hilfe von Sysinternals autorun-Tool. Und dabei ist mir ein Dienst namens "main64" aufgefallen, der auf "Automatisch starten" steht und mir nichts sagt. Google brachte auch keine Aufklärung, vermute mal der Name ist zu "generisch" (nicht ganz unschlau gewählt).

Das Verzeichnis ProgramData ist schon mal sehr verdächtig für einen Dienst, das sollte da mMn nicht liegen.
Die Datei mainsys64.exe ist 735MB groß (leider zu groß für Virustotal) und liefert keinerlei Infos über den Hersteller.

Das Änderungsdatum ist relativ interessant, weil es relativ kurz (ca. 1 Woche) nach der Installation des Rechners gewesen sein dürfte.
In dem Verzeichnis liegen noch jede Menge anderer Dateien, das meiste von Microsoft. Ich nehme an das sind ganz normale Runtime-Dateien welche die Software benötigt.

Jedenfalls habe ich den Dienst mal auf "deaktiviert" gestellt und das Verzeichnis umbenannt, nur um sicher zu gehen. Und siehe da: nach einem Neustart bleibt die CPU Last unten und kein CMD-Prozess taucht mehr auf.

Ich weiß nicht genau was das die Software macht, vermute aber mal es ist ein Miner. Würde ich vom Verhalten jedenfalls so einordnen. Den Rechner werde ich am Wochenende dann trotzdem neu installieren.
Da ich Anfangs immer recht viel Software installiere (alles was ich halt so brauche) werde ich diesmal nach jeder Installation prüfen, ob das Verzeichnis oder der Dienst wieder auftaucht. Bin gespannt.

Ich habe diesen Post über 2 Tage geschrieben, und wollte eigentlich fragen ob da jemand eine Idee hat. Dann ist mir immer wieder was neues eingefallen was ich prüfen kann und am Ende hab ich den Verusacher gefunden. Dachte es wäre trotzdem ganz interessant für manchen, deshalb poste ich es trotzdem mal

 

[PC295]

Die Datei mainsys64.exe ist 735MB groß (leider zu groß für Virustotal) und liefert keinerlei Infos über den Hersteller.

Ich weiß nicht genau was das die Software macht, vermute aber mal es ist ein Miner.

Du kannst ein Scan mit Malwarebytes oder Emsisoft Emergency Kit durchführen um zu prüfen, ob die Datei verdächtig ist.

Welches Antivirenprogramm ist sonst installiert?
Moderne AV-Programme erkennen am typischen Verhalten Mining-Schadsoftware.

 

[assman17]

Bei Windows 26100.2454 fehlen auch die Sicherheitsupdates der letzten Monate. System ist von November 2024.

 

[Tom-S]

Vielleicht mal folgenden Github-Link ansehen:
https://github.com/alankrit29/signature-base/blob/master/apt_winnti.yar
Irgendwie scheint mainsys64.exe mit der Winnti-Malware zusammenzuhängen.

 

[Korben2206]

Du kannst ein Scan mit Malwarebytes oder Emsisoft Emergency Kit durchführen um zu prüfen, ob die Datei verdächtig ist.

Welches Antivirenprogramm ist sonst installiert?
Moderne AV-Programme erkennen am typischen Verhalten Mining-Schadsoftware.

Danke, das werde ich mal versuchen.

Ich habe nur den Defender von Windows. Das war (bisher) ausreichend. Muss ich ggf. nochmal überdenken.

Ergänzung (12. Februar 2025)

Bei Windows 26100.2454 fehlen auch die Sicherheitsupdates der letzten Monate. System ist von November 2024.

Also lt. Update-Verlauf müsste ich recht aktuell sein.

Ergänzung (12. Februar 2025)

Vielleicht mal folgenden Github-Link ansehen:
https://github.com/alankrit29/signature-base/blob/master/apt_winnti.yar
Irgendwie scheint mainsys64.exe mit der Winnti-Malware zusammenzuhängen.

ok, das klingt nicht gut... glaube dann werde ich lieber sofort den Rechner platt machen..

 

[AndyMutz]

du kannst ja mal nach dem datum gucken, wann das coresys64 verzeichnis erstellt wurde und dann mit der liste installierter software vergleichen, ob da was vom datum her passt.

-andy-

 

[PC295]

ok, das klingt nicht gut...

Dort geht es um eine MainSYS64.sys aus dem Jahre 2015.
Dürfte nichts damit zu tun haben / Zufall sein.

Du kannst auch mit FRST ein Bericht erstellen.
Eventuell lassen sich dadurch Spuren erkennen.

 

[bossbeelze]

Backup zurückspielen(dauert 10min?), oder Neuinstallation.

 

[Tom-S]

Dürfte nichts damit zu tun haben / Zufall sein.

Bei (vermutlich) chinesischen (Staats-) Hackern hinter Winnti muss das aber auch nicht unbedingt ein Zufall
sein.
Die sind seit immerhin seit 2007 aktiv und haben schon diverse vollkommen unterschiedliche Operationen abgezogen.

 

[Weltallkomet]

Ich habe nur den Defender von Windows. Das war (bisher) ausreichend. Muss ich ggf. nochmal überdenken.

Der Defender ist aktuell leider nicht mehr so gut wie er einmal war, dass haben PC Welt, Chip und noch 2 andere festgestellt vor ca.2-4 Wochen. Zwar noch gut aber nicht mehr in der Spitzengruppe

 

[Korben2206]

Backup zurückspielen(dauert 10min?), oder Neuinstallation.

Einem Backup würde ich an der Stelle nicht wirklich vertrauen. Und OS-Backups mache ich sowieso nicht. Ich bevorzuge da eher die Neuinstallation (geht ja auch recht fix).

 

[chatbot]

Spannende Analyse, vielen Dank! Das liest sich eher nach erfahrenem PC Profi und nicht nach "Noob-installiert-jeden-Mist-passt-scho". Um so interessanter die Frage, wie hat es die Pest auf den PC geschafft? Vielleicht findest du ja noch eine Spur.