{"id":10344,"date":"2021-05-08T03:32:08","date_gmt":"2021-05-08T02:32:08","guid":{"rendered":"https:\/\/www.beluga59.ch\/belugablog\/?p=10344"},"modified":"2021-05-10T05:37:45","modified_gmt":"2021-05-10T04:37:45","slug":"winrmsrv-gefaehrliche-wandlung","status":"publish","type":"post","link":"https:\/\/www.beluga59.ch\/belugablog\/?p=10344","title":{"rendered":"WinRmSrv – Gef\u00e4hrliche Wandlung"},"content":{"rendered":"\n

Pl\u00f6tzlich meldet Windows, dass die Anwendung WinRMSRV<\/strong>.exe Zugriff auf das private Netzwerk anfordert und die Firewall schl\u00e4gt vor, dies nur in privaten Netzwerken zuzulassen. Oder Ihr PC ist nicht nur langsam, nein er schl\u00e4ft fast ein und braucht unheimlich lange um APP’s, oder Programme die die Grafikkarte intensiv nutzen zu starten. <\/p>\n\n\n\n

Edit 10.5.2021 Unsere L\u00f6sung ganz am Schluss dieses Beitrages. Lieben Dank f\u00fcr die vielen E-Mails, bitte entschuldigen Sie, dass wir etwas Zeit brauchen, diese zu bearbeiten und versuchen Sie selber unseren L\u00f6sungsvorschlag. Danke<\/p>\n\n\n\n

Die APP selber ist von Microsoft zertifiziert, zumindest wird dies so angezeigt. Jedoch kann sich dahinter ein Trojaner, verschleiert eingenistet haben. <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Um kurz bei obiger Meldung zu bleiben. Wenn Sie den Haken auch bei Privaten Netzwerken… zulassen<\/em><\/strong> klicken, k\u00f6nnen Sie nur noch mit Abbrechen <\/strong>die Meldung verlassen. Windows Defender verhindert dann s\u00e4mtliche Zugriffe. War WinRMSRV aber schon l\u00e4nger aktiv, nutz dies nichts mehr.<\/p>\n\n\n\n

Hinter WinRMSRV <\/strong>kann sich ein Krypto-Miner (Schadsoftware die unerlaubt Ihr System missbraucht um Kryptow\u00e4hrungen (Bitcoin) zu minen) verstecken. Hierbei wird ihre CPU und\/oder Ihre Grafikkarte missbraucht um mathematische Berechnungen durchzuf\u00fchren. Sie bemerken dies, dass sich Programme sehr langsam \u00f6ffnen, der Explorer f\u00fcr die Anzeige von Verzeichnissen extrem lange braucht und so weiter. Wenn Sie den TaskManager <\/strong>\u00f6ffnen sehen sie das Ihr System pl\u00f6tzlich fast zu 100% ausgelastet ist, obwohl keine Programme ge\u00f6ffnet sind.<\/p>\n\n\n\n

WinRMSRV<\/strong> kann auch Windows Dienste sperren. Als Beispiel die Windows UPDATE Regeln, Ihren Virenschutz und so weiter. Selber noch nicht erlebt, aber es gibt Meldungen in einschl\u00e4gigen Foren, das WinRMSRV<\/strong> auch selbst\u00e4ndig Programme nachl\u00e4dt und installiert.  Dazu werden Anti-Malware Programme deaktiviert oder gar deinstalliert.<\/p>\n\n\n\n

Bei einem unserer Kunden wurde Windows-Defender (Firewall) und der Viren und Bedrohungsschutz schlichtweg ausgeschaltet.<\/p>\n\n\n\n

\"\"
Windows Defender <\/figcaption><\/figure>\n\n\n\n
\"\"
Der Windows eigene Virenschutz wurde durch WinRMSRV<\/strong> deaktiviert.<\/figcaption><\/figure>\n\n\n\n

Ist dies alles schon geschehen k\u00f6nnen Sie diverse Programme im Internet runterladen, die wiederum andere Probleme verursachen. Vor allem die GratisTools, laden dann weitere Programme nach, die einem t\u00e4glich melden, dass man sich doch die Pro-Version leisten soll.<\/p>\n\n\n\n

Wenn obige Eigenschaften zutreffen, raten wir Ihnen, lassen Sie sich helfen. Ob durch uns, einen versierten Freund oder von einem Speziallisten. <\/p>\n\n\n\n

Selbsthilfe:<\/p>\n\n\n\n

Navigieren Sie in das Verzeichnis C:\\Windows\\System32 und suchen die Datei WinRMSRV<\/strong>.exe. Achten Sie auf das Datum und die Gr\u00f6sse. L\u00f6schen Sie die Datei NICHT, Windows reagiert sonst mit Systemabbr\u00fcchen. Wenn Sie bestimmten Viren Programme installiert haben, k\u00f6nnen Sie mit der rechten Maustaste die Option «Jetzt pr\u00fcfen» oder «mit xx jetzt pr\u00fcfen» anw\u00e4hlen. Hat der Trojaner schon zugeschlagen sind diese Optionen weg. <\/p>\n\n\n\n

Sortieren Sie die Ansicht nach \u00c4nderungsdatum und achten auf die Programme die zur gleichen Zeit ge\u00e4ndert wurden.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wurde zur gleichen Zeit die WinUpdatesXXX.dat ge\u00e4ndert sollten Sie unbedingt Ihr System mit einem Malware-Programm durchforsten. Wir k\u00f6nnen Ihnen leider keines der GratisTools empfehlen, da alle die WIR probiert haben, unerlaubt weitere Programme installiert haben. MalwareByte kann einige Tage gratis getestet werden. Achtung bei der Installation, alle weiteren Tools disabled <\/strong>anw\u00e4hlen.<\/p>\n\n\n\n

Informativ:<\/p>\n\n\n\n

VirusTotal meldet am 8.5.2021 dass 50 Sicherheitscenter diese Datei als gef\u00e4hrlich einstufen. Mit dabei BitDefender <\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

System<\/p>\n\n\n\n

Feststellen ob der Trojaner bereits eingedrungen ist. \u00d6ffnen Sie Windows Update, klicken Sie auf «Jetzt nach Updates suchen…». Wenn Sie immer wieder folgende Meldung erhalten, m\u00fcssen Sie handeln.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wenn Sie bemerken, dass beim Windows internen Schutz das ICON unten Rechts (ausgeblendete Apps) nicht mehr erscheint<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Wenn Sie in der Registry feststellen, dass folgende Eintr\u00e4ge vorhanden sind..<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Bereits nach wenigen Stunden sind mehr als 30 Dateien von Windows betroffen, darunter Login und Sicherheit. Ab jetzt geh\u00f6rt Dein PC nicht mehr Dir. Bist Du Privat vernetzt «freuen» sich auch die anderen Benutzer \u00fcber diesen Zustand.<\/p>\n\n\n\n

Betroffenes System via Malwarebytes
www.malwarebytes.com (Hier als Link, nicht als Empfehlung)<\/p>\n\n\n\n


8.5.2021\/06:05<\/p>\n\n\n\n

Ergebnis: Abgeschlossen
Gescannte Objekte: 382465
Erkannte Bedrohungen: 30<\/strong>
-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Erkennung
PUM: Erkennung<\/p>\n\n\n\n

-Scan-Details-
Prozess: 1
Trojan.BitCoinMiner, C:\\WINDOWS\\SYSTEM32\\WINLOGUI.EXE, <\/p>\n\n\n\n

Modul: 1
Trojan.BitCoinMiner, C:\\WINDOWS\\SYSTEM32\\WINLOGUI.EXE, <\/p>\n\n\n\n

Registrierungsschl\u00fcssel: 12
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TREE\\Microsoft\\Windows\\Application Experience\\StartupCheckLibrary,
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\LOGON
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TREE\\Microsoft\\Windows\\WDI\\SrvHost,
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\LOGON
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TREE\\Microsoft\\Windows\\Windows Error Reporting\\winrmsrv,
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\LOGON
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\LOGON
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TREE\\MICROSOFT\\WINDOWS\\WININET\\Winlogui, <\/p>\n\n\n\n

Registrierungswert: 5
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.Agent, HKLM\\SOFTWARE\\MICROSOFT\\WINDOWS NT\\CURRENTVERSION\\SCHEDULE\\TASKCACHE\\TASKS
Trojan.BitCoinMiner, HKLM\\SYSTEM\\CURRENTCONTROLSET\\SERVICES\\SHAREDACCESS\\PARAMETERS\\FIREWALLPOLICY\\FIREWALLRULES|<\/p>\n\n\n\n

Registrierungsdaten: 3
PUM.Optional.DisabledSecurityCenter, HKLM\\SOFTWARE\\MICROSOFT\\SECURITY CENTER|ANTIVIRUSDISABLENOTIFY,
PUM.Optional.DisabledSecurityCenter, HKLM\\SOFTWARE\\MICROSOFT\\SECURITY CENTER|FIREWALLDISABLENOTIFY,
PUM.Optional.DisabledSecurityCenter, HKLM\\SOFTWARE\\MICROSOFT\\SECURITY CENTER|UPDATESDISABLENOTIFY, <\/p>\n\n\n\n

Datei: 8
Trojan.Agent, C:\\WINDOWS\\SYSTEM32\\TASKS\\MICROSOFT\\WINDOWS\\APPLICATION EXPERIENCE\\STARTUPCHECKLIBRARY,
Trojan.Agent, C:\\WINDOWS\\SYSTEM32\\TASKS\\MICROSOFT\\WINDOWS\\WDI\\SRVHOST,
Trojan.Agent, C:\\WINDOWS\\SYSTEM32\\TASKS\\MICROSOFT\\WINDOWS\\WINDOWS ERROR REPORTING\\WINRMSRV,
Trojan.Agent, C:\\WINDOWS\\SYSTEM32\\TASKS\\MICROSOFT\\WINDOWS\\WININET\\WINLOGUI,
Trojan.FakeMS.TskLnk, C:\\WINDOWS\\SYSTEM32\\STARTUPCHECKLIBRARY.DLL,
Malware.AI.4034475873, C:\\WINDOWS\\SYSTEM32\\XXXWINSCOMRSSRV.DLL,
Trojan.BitCoinMiner, C:\\WINDOWS\\SYSTEM32\\WINLOGUI.EXE,
Trojan.BitCoinMiner, C:\\WINDOWS\\SYSTEM32\\XXXWINRMSRV.EXE, <\/p>\n\n\n\n

(end)<\/p>\n\n\n\n

Ironie an: <\/em><\/strong> Immerhin k\u00f6nnen nun Deine Kids keine Spiele mehr spielen, die die Grafikkarte stark nutzen oder werden reklamieren dass Netflix nicht mehr richtig l\u00e4uft. Erh\u00f6ht das «Familiensein» immens. Ironie aus:<\/em><\/strong><\/p>\n\n\n\n

Da MINEN Deinen PC und vor allem Deine Grafikkarte nutzt, wirst Du auch \u00fcberrascht sein wie hoch eine Stromrechnung auf einmal werden kann. Der Stromverbrauch Weltweit alleine f\u00fcr die W\u00e4hrung Bitcoin ben\u00f6tigt mehr Strom als ganz Italien.<\/a><\/p>\n\n\n\n

Was wir nicht empfehlen k\u00f6nnen:<\/p>\n\n\n\n

Kaspersky Anti-Ransomware<\/strong> (mehr elend als Hilfe, findet obigen Trojaner NICHT 9.5.2021 auf Windows 10 Home und Pro)<\/p>\n\n\n\n

 Malwarebytes Anti-Malware<\/a>  findet einen Teil, entfernt diese zum Teil, aber weder Windows Update noch Windows Defender l\u00e4uft danach.<\/p>\n\n\n\n

Avira Free<\/strong>, findet den Trojan.Agent l\u00e4sst aber den BitCoinMiner weiter arbeiten (8.5.2021 auf Windows 10 Pro)<\/p>\n\n\n\n

Was hat bei uns geholfen.<\/p>\n\n\n\n

Bei 6 von 8 PC half das Tool von Microsoft selber. Es ist ein erzwungenes Windows 10 Update, das anscheinend auch bei «verseuchten» Ger\u00e4ten, die Registry bereinigt und mit den neusten Features von Windows 10 arbeitet. Der Link dazu <\/a> Zuvor haben wir, weil nicht anders m\u00f6glich, mit Malwarebytes die PC ges\u00e4ubert. Bei 2 PC (relativ neu und von Hause aus mit Windows 10 H2 installiert) half auch dieses Vorgehen nicht. Wie sich das \u00e4ussert? Windows Defender und Windows Update laufen nicht.<\/p>\n\n\n\n

Erfolg hatten wir bei System mit Version 2004 und 2009. <\/p>\n\n\n\n

Erschrecken Sie dabei nicht, das dieses Update zeitweise bei 35\/74 82% l\u00e4ngere Zeit stehen bleibt.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

<\/p>\n\n\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Pl\u00f6tzlich meldet Windows, dass die Anwendung WinRMSRV.exe Zugriff auf das private Netzwerk anfordert und die Firewall schl\u00e4gt vor, dies nur in privaten Netzwerken zuzulassen. Oder Ihr PC ist nicht nur langsam, nein er schl\u00e4ft...<\/p>\n","protected":false},"author":1,"featured_media":10346,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[331,88],"tags":[429,427,430,428,426,425],"class_list":["post-10344","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ransomware","category-viren-trojaner-und-co","tag-bitcoinminer-2021","tag-ploetzlich-ist-der-pc-lahm","tag-trojan-agent-2021","tag-was-ist-winrmsrv-exe","tag-winrmsrv-exe","tag-winrmsrv-exe-trojaner"],"_links":{"self":[{"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/posts\/10344","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=10344"}],"version-history":[{"count":25,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/posts\/10344\/revisions"}],"predecessor-version":[{"id":10401,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/posts\/10344\/revisions\/10401"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=\/wp\/v2\/media\/10346"}],"wp:attachment":[{"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=10344"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=10344"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.beluga59.ch\/belugablog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=10344"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}