Unbekannte Ordner WGUA.Bin

killtec
Goto Top
Hallo,
mir ist aufgefallen, dass auf einigen Systemen mittlerweile Versteckte Ordner namens

!WGUA.Bin und ΩWGUA.Bin direkt auf C zu sehen sind.

Dies Betrifft Windows 10 / 11 und Server 2016.

Weiß jemand, was das für Ordner sind?

Schönes WE

Gruß

Content-Key: 3039527811

Url: https://administrator.de/contentid/3039527811

Ausgedruckt am: 15.08.2022 um 15:08 Uhr

Mitglied: 3016726741
3016726741 10.06.2022 um 12:38:52 Uhr
Goto Top
was mir als Allererstes dazu einfällt - hast du eine bestimmte Software installiert, die irgendwie dazugehört?

weil die Ordnerbezeichnungen selbst ... sehr seltsam. Völlig unbekannt.
Mitglied: killtec
killtec 10.06.2022 um 13:12:26 Uhr
Goto Top
HI,
nicht wissentlich. Ich hätte jetzt auf ein Windows-Tool gedeutet.

Was mir evtl. dazu noch einfallen könnte ist die AV Lösung. Hier ist Panda AD360 im Einsatz.
Panda wurde vor kurzen von Watchguard übernommen. Evtl. kommt es daher? Ist aber nur Vermutung.
Anhand der Dateien in den Ordnern lässt es sich zumindest nicht erkennen.
Mitglied: 3016726741
3016726741 10.06.2022 um 14:07:47 Uhr
Goto Top
hmmm, das klingt danach, könnte eine gute Herleitung sein. ist irgendwas in diesen Ordnern drin wonach man sich ausrichten könnte? Immerhin nennen die ja auch ihre Updates "WGUpdate" (laut Dr.Google)

Vielleicht lässt sich dadurch was herleiten.
Mitglied: killtec
killtec 10.06.2022 um 14:16:02 Uhr
Goto Top
nein, mehrere 1kB Dateien mit unterschiedlichsten Endungen von xlsx zu zip etc...
Mitglied: 3016726741
3016726741 10.06.2022 um 14:17:27 Uhr
Goto Top
....und was steht in den excel-dateien drin?
Mitglied: killtec
killtec 10.06.2022 um 14:40:44 Uhr
Goto Top
die Dateien lassen sich nicht öffnen. Das scheinen dummys zu sein.

Interessanter Fakt...
Ich habe mal einen MD5 Hash von den Dateien erzeugt. Es sind alles die gleichen Dateien.
Mitglied: 3016726741
3016726741 10.06.2022 um 15:13:48 Uhr
Goto Top
sieht irgendwie nach Logfiles aus... klingt wirklich nach einer Software. Dennoch seltsam.
Über die Microsoft-Suche "bing" kam tatsächlich als Zweites ein Eintrag von "watchguard"...

Es bleibt rätselhaft.
Mitglied: Crusher79
Crusher79 10.06.2022 um 17:01:45 Uhr
Goto Top
Merkwürdig. Trojaner?

Sind auch allles die Endungen, die gerne als 1. verschlüsselt werden. Exotische Software wie Magci uniPaaS/ XPA nutzt ecf Endung. Die findet man meist nicht.

Hatte mal vor Jahren Kunden wo Tronajer zugeschlagen hat. Magic Anwendungen waren noch da, aber Bilder etc nicht.

Wie ist denn der Inhalt? Ich meine auf Binäre ebene. Mal bei virustotal - auch wenn nicht so schöne wegen DSGVO etc. - eingereicht?

Malware Scan? Sieht komisch aus. Oder Testlauf, ob man alles verschlüsseln kann face-big-smile

Hmm gefällt mir nicht. Besonders weil diese Datei Endungen alle Ziele sind.....
Mitglied: colinardo
Lösung colinardo 10.06.2022 aktualisiert um 19:55:35 Uhr
Goto Top
Servus.

So wie ich das sehe müssten das die Ordner sein die der Watchguard-Agent für die Ransomware Protection verwendet. Der Agent erstellt diese in zahlreichen Ordnern im System.
https://community.watchguard.com/watchguard-community/discussion/110/wg- ...

Wenn du ganz sicher sein willst, benenne einen Ordner mal testweise um, die Software die diese braucht wird sie sich sicher neu erstellen, das kannst du ausnutzen und das per Process Monitor zu überwachen. Dann filterst du auf den Pfad der Ordner und findest so den Prozess welcher die Ordner/Dateien verwendet.

Grüße Uwe
Mitglied: killtec
killtec 15.06.2022 um 09:35:34 Uhr
Goto Top
So, der ProcMon brachte hilfe face-smile
Kommt vom AV (Panda / Watchguard).

Danke face-smile