Schadsoftware nach Windowsupdate

[loopzone]

Hallo.

Ich bin mir nicht zu 100% sicher. Aber nachdem ich zweimal das gleiche Update von Windows 7 ausgeführt habe, erscheint plötzlich ein Prozess namens Salus.exe im Taskmanager.

Mir ist es aufgefallen, weil ich plötzlich bestimmte Internetseiten nicht mehr aufrufen konnte. Weder mit dem Firefox, noch mit dem Internetexplorer. So waren Seiten wie ngb.to und google.com nicht mehr erreichbar. Erst nach Abschatung dieses Prozess konnte ich die Seiten problemlos aufrufen.

Mir fiel ein, dass ich kurz zuvor ein Update von Windows durchgeführt habe und im Anschluss eine Fehlermeldung erhielt mit "NSIS konnte nicht installiert werden". Also habe ich den Wiederherstellungsassitenten auf den Zeitpunkt vor dem Update zurückgesetzt und der Prozess war nicht mehr vorhanden. Dann habe ich kurz gewartet und alles war wieder in Ordnung. Dann hat sich Windows erneut gemeldet und wollte das Update durchführen, das ja nun durch die Wiederherstellung nicht mehr installiert war. Nach der Installation erschien wieder die "NSIS-Fehlermeldung" und der Prozess Salus.exe lief im Hintergrund mit der bekannten Einschränkung der Erreichbarkeit von Internetseiten.

Zum Entfernen von Salus liefert google eine Reihe von Tools zum entfernen. Keines hat etwas finden können. Angeblich soll Salus.exe auch in der Programmliste der Systemsteuerung auftauchen. Nicht jedoch bei mir.

Der Name des Updates lautet: KB915597. Habt ihr soetwas schon mal gehört?

Grüße

 

[Hezu]

Sicher das es das KB915597 war? Das ist normalerweise ein nicht mehr ganz so frisches Definitionsupdate für den Windows Defender (http://support2.microsoft.com/kb/915597) und wurde in meiner Windows 7 VM zumindest als eines der ersten Updates installiert.

Hast du die exe-Datei mal nach z.B. Virustotal hochgeladen? Falls ja, poste mal den Link zum Ergebnis.
Hast du im Vorfeld irgendwelche neue unbekanntere Software installiert?

Den Tools von Google würde ich übrigens eher nicht vertrauen. Die sind normalerweise mehr Scharlatan als alles andere, wenn du Glück hast, zeigt er dir nur an, das du 200 Schädlinge bei dir drauf hast, und will dir nur ne teure Software verkaufen, wenn du Pech hast, hast du am Ende mehr Schädlinge drauf als vorher.

Ansonsten wie immer, vorgehen nach altbekannter Methode: https://ngb.to/threads/149-Leitfaden-zur-Rechnersicherheit

 

[m6ld8ywqya]

Wieso wird dir das asbachuralte Signaturupdate für den Defender überhaupt angeboten? Zudem nutzt MS als Installer wohl eher kein NSIS. Sicher, dass das wirklich über das Windowsupdate kommt und nicht nur so tut?

Ich würde der Installation nicht mehr vertrauen und neu aufsetzen bzw. ein sauberes Backup wieder herstellen. Die Systemwiederherstellung ist in diesem Fall nicht ausreichend.

 

[Hezu]

@m6ld8ywqya:
NSIS ist nicht nur eine Abkürzung für "Nullsoft Scriptable Install System", sondern auch für "Network Store Interface Service", einem ganz normalem Windows Dienst, in deutsch auch "Netzwerkspeicher-Schnittstellendienst" genannt.

 

[m6ld8ywqya]

Diese Bedeutung von NSIS kannte ich noch nicht.

 

[tm98]

Ich musste auch sofort an den Nullsoft Installer denken.

Loopzone, wo hattest du dieses Update denn überhaupt her? Es hört sich ja nicht danach an, dass es per automatischem Windowsupdate kam.

 

[m6ld8ywqya]

Die Definitionsupdates scheinen immer mit der Nummer zu kommen. Mit dem Alter hat das also nichts zu tun.

 

[loopzone]

Hi Leute,

ich hatte das Update nochmal installiert um euch mal die screenshots usw. zu senden. Aber der Vorführeffekt hat wieder mal zugeschlagen und der Salus Prozess ist nicht mehr aufgetaucht. Anbei der screenshot des Updates. Es ist das Automatische Windowsupdate. Ich habe es aber so eingestellt, dass ich es ausführen muss und es nicht allein im Hintergrund losläuft.

Wenn sich der Salus Prozess wieder meldet, werde ich hier erneut schreiben.

Grüße und danke an alle.

Anhang anzeigen 26748