killtec
Goto Top

Unbekannte Ordner WGUA.Bin

Hallo,
mir ist aufgefallen, dass auf einigen Systemen mittlerweile Versteckte Ordner namens

!WGUA.Bin und ΩWGUA.Bin direkt auf C zu sehen sind.

Dies Betrifft Windows 10 / 11 und Server 2016.

Weiß jemand, was das für Ordner sind?

Schönes WE

Gruß

Content-Key: 3039527811

Url: https://administrator.de/contentid/3039527811

Printed on: March 2, 2024 at 06:03 o'clock

Mitglied: 3016726741
3016726741 Jun 10, 2022 at 10:38:52 (UTC)
Goto Top
was mir als Allererstes dazu einfällt - hast du eine bestimmte Software installiert, die irgendwie dazugehört?

weil die Ordnerbezeichnungen selbst ... sehr seltsam. Völlig unbekannt.
Member: killtec
killtec Jun 10, 2022 at 11:12:26 (UTC)
Goto Top
HI,
nicht wissentlich. Ich hätte jetzt auf ein Windows-Tool gedeutet.

Was mir evtl. dazu noch einfallen könnte ist die AV Lösung. Hier ist Panda AD360 im Einsatz.
Panda wurde vor kurzen von Watchguard übernommen. Evtl. kommt es daher? Ist aber nur Vermutung.
Anhand der Dateien in den Ordnern lässt es sich zumindest nicht erkennen.
Mitglied: 3016726741
3016726741 Jun 10, 2022 at 12:07:47 (UTC)
Goto Top
hmmm, das klingt danach, könnte eine gute Herleitung sein. ist irgendwas in diesen Ordnern drin wonach man sich ausrichten könnte? Immerhin nennen die ja auch ihre Updates "WGUpdate" (laut Dr.Google)

Vielleicht lässt sich dadurch was herleiten.
Member: killtec
killtec Jun 10, 2022 at 12:16:02 (UTC)
Goto Top
nein, mehrere 1kB Dateien mit unterschiedlichsten Endungen von xlsx zu zip etc...
Mitglied: 3016726741
3016726741 Jun 10, 2022 at 12:17:27 (UTC)
Goto Top
und was steht in den excel-dateien drin?
Member: killtec
killtec Jun 10, 2022 at 12:40:44 (UTC)
Goto Top
die Dateien lassen sich nicht öffnen. Das scheinen dummys zu sein.
PS C:\!WGUA.Bin> gci


    Verzeichnis: C:\!WGUA.Bin


Mode                 LastWriteTime         Length Name
----                 -------------         ------ ----
-a----        10.06.2022     12:04            243 wgua_critical_file.3g2
-a----        10.06.2022     12:04            243 wgua_critical_file.3gp
-a----        10.06.2022     12:04            243 wgua_critical_file.7z
-a----        10.06.2022     12:04            243 wgua_critical_file.accdb
-a----        10.06.2022     12:04            243 wgua_critical_file.aep
-a----        10.06.2022     12:04            243 wgua_critical_file.ai
-a----        10.06.2022     12:04            243 wgua_critical_file.aif
-a----        10.06.2022     12:04            243 wgua_critical_file.ait
-a----        10.06.2022     12:04            243 wgua_critical_file.asf
-a----        10.06.2022     12:04            243 wgua_critical_file.avi
-a----        10.06.2022     12:04            243 wgua_critical_file.backup
-a----        10.06.2022     12:04            243 wgua_critical_file.bak
-a----        10.06.2022     12:04            243 wgua_critical_file.bmp
-a----        10.06.2022     12:04            243 wgua_critical_file.c
-a----        10.06.2022     12:04            243 wgua_critical_file.cer
-a----        10.06.2022     12:04            243 wgua_critical_file.class
-a----        10.06.2022     12:04            243 wgua_critical_file.cpp
-a----        10.06.2022     12:04            243 wgua_critical_file.crt
-a----        10.06.2022     12:04            243 wgua_critical_file.cs
-a----        10.06.2022     12:04            243 wgua_critical_file.csv
-a----        10.06.2022     12:04            243 wgua_critical_file.dat
-a----        10.06.2022     12:04            243 wgua_critical_file.doc
-a----        10.06.2022     12:04            243 wgua_critical_file.docb
-a----        10.06.2022     12:04            243 wgua_critical_file.docm
-a----        10.06.2022     12:04            243 wgua_critical_file.docx
-a----        10.06.2022     12:04            243 wgua_critical_file.dotm
-a----        10.06.2022     12:04            243 wgua_critical_file.dotx
-a----        10.06.2022     12:04            243 wgua_critical_file.dwg
-a----        10.06.2022     12:04            243 wgua_critical_file.eps
-a----        10.06.2022     12:04            243 wgua_critical_file.exif
-a----        10.06.2022     12:04            243 wgua_critical_file.flv
-a----        10.06.2022     12:04            243 wgua_critical_file.gif
-a----        10.06.2022     12:04            243 wgua_critical_file.java
-a----        10.06.2022     12:04            243 wgua_critical_file.jpe
-a----        10.06.2022     12:04            243 wgua_critical_file.jpeg
-a----        10.06.2022     12:04            243 wgua_critical_file.jpg
-a----        10.06.2022     12:04            243 wgua_critical_file.mp4
-a----        10.06.2022     12:04            243 wgua_critical_file.mpeg
-a----        10.06.2022     12:04            243 wgua_critical_file.mpg
-a----        10.06.2022     12:04            243 wgua_critical_file.odt
-a----        10.06.2022     12:04            243 wgua_critical_file.p12
-a----        10.06.2022     12:04            243 wgua_critical_file.pdf
-a----        10.06.2022     12:04            243 wgua_critical_file.pem
-a----        10.06.2022     12:04            243 wgua_critical_file.pfx
-a----        10.06.2022     12:04            243 wgua_critical_file.png
-a----        10.06.2022     12:04            243 wgua_critical_file.potm
-a----        10.06.2022     12:04            243 wgua_critical_file.potx
-a----        10.06.2022     12:04            243 wgua_critical_file.ppam
-a----        10.06.2022     12:04            243 wgua_critical_file.ppsm
-a----        10.06.2022     12:04            243 wgua_critical_file.ppsx
-a----        10.06.2022     12:04            243 wgua_critical_file.pptm
-a----        10.06.2022     12:04            243 wgua_critical_file.pptx
-a----        10.06.2022     12:04            243 wgua_critical_file.rtf
-a----        10.06.2022     12:04            243 wgua_critical_file.sql
-a----        10.06.2022     12:04            243 wgua_critical_file.text
-a----        10.06.2022     12:04            243 wgua_critical_file.txt
-a----        10.06.2022     12:04            243 wgua_critical_file.vmdk
-a----        10.06.2022     12:04            243 wgua_critical_file.wma
-a----        10.06.2022     12:04            243 wgua_critical_file.wmv
-a----        10.06.2022     12:04            243 wgua_critical_file.wps
-a----        10.06.2022     12:04            243 wgua_critical_file.xlsb
-a----        10.06.2022     12:04            243 wgua_critical_file.xlsm
-a----        10.06.2022     12:04            243 wgua_critical_file.xlsx
-a----        10.06.2022     12:04            243 wgua_critical_file.xltm
-a----        10.06.2022     12:04            243 wgua_critical_file.xltx
-a----        10.06.2022     12:04            243 wgua_critical_file.zip

Interessanter Fakt...
Ich habe mal einen MD5 Hash von den Dateien erzeugt. Es sind alles die gleichen Dateien.
Mitglied: 3016726741
3016726741 Jun 10, 2022 at 13:13:48 (UTC)
Goto Top
sieht irgendwie nach Logfiles aus... klingt wirklich nach einer Software. Dennoch seltsam.
Über die Microsoft-Suche "bing" kam tatsächlich als Zweites ein Eintrag von "watchguard"...

Es bleibt rätselhaft.
Member: Crusher79
Crusher79 Jun 10, 2022 at 15:01:45 (UTC)
Goto Top
Merkwürdig. Trojaner?

Sind auch allles die Endungen, die gerne als 1. verschlüsselt werden. Exotische Software wie Magci uniPaaS/ XPA nutzt ecf Endung. Die findet man meist nicht.

Hatte mal vor Jahren Kunden wo Tronajer zugeschlagen hat. Magic Anwendungen waren noch da, aber Bilder etc nicht.

Wie ist denn der Inhalt? Ich meine auf Binäre ebene. Mal bei virustotal - auch wenn nicht so schöne wegen DSGVO etc. - eingereicht?

Malware Scan? Sieht komisch aus. Oder Testlauf, ob man alles verschlüsseln kann face-big-smile

Hmm gefällt mir nicht. Besonders weil diese Datei Endungen alle Ziele sind.....
Member: colinardo
Solution colinardo Jun 10, 2022 updated at 17:55:35 (UTC)
Goto Top
Servus.

So wie ich das sehe müssten das die Ordner sein die der Watchguard-Agent für die Ransomware Protection verwendet. Der Agent erstellt diese in zahlreichen Ordnern im System.
https://community.watchguard.com/watchguard-community/discussion/110/wg- ...

Wenn du ganz sicher sein willst, benenne einen Ordner mal testweise um, die Software die diese braucht wird sie sich sicher neu erstellen, das kannst du ausnutzen und das per Process Monitor zu überwachen. Dann filterst du auf den Pfad der Ordner und findest so den Prozess welcher die Ordner/Dateien verwendet.

Grüße Uwe
Member: killtec
killtec Jun 15, 2022 at 07:35:34 (UTC)
Goto Top
So, der ProcMon brachte hilfe face-smile
Kommt vom AV (Panda / Watchguard).

Danke face-smile
Member: lars3107
lars3107 Sep 19, 2022 at 13:44:16 (UTC)
Goto Top
In den Dateien steht nebenbei bemerkt auch "This is a critical resource file used by WatchGuard Universal Agent for detection and prevention of active malware. Please do not delete, modify, or create any new files within this directory. Doing so may cause your system to become unstable."