NOD32 y el proceso misterioso gowuaas.exe (I Parte)
En casa tengo dos equipos. Un Debian testing y un windows xp.Recientemente instale un antivirus para windows xp, NOD32, bajado de filehippo.com y con licencia hasta finales de Junio.
Me llamó la atención que cuando hacía CTRL+ALT+SUPR se mostraba durante un instante, casi inapreciable, un proceso llamado gowuaas.exe y despues se desvanecía en la lista de procesos misteriosamente. Lo primero que pensé fue que ese binario carecía de buenas intenciones aunque el que lo hubiera diseñado había cometido algún error, al dejarlo visible durante ese segundo, ya que si sus intenciones fueran malas, no tendria por que mostrarse ni un solo segundo.
Captura 1: Procesos
Me dirigí a buscar información sobre el proceso en la red. Segundo dato que me llamó aún mas la atención, nada de información por Google. Extraño.
Decidí sacar a pasear el filemonitor, monitor de actividad de ficheros fantástico. Descubrí en este punto, filtrando la actividad y quitando 'morralla', que dicho proceso gowuaas.exe graba un fichero en Document and settings\usuario\configuracion local\datos de programa\ de de idéntico nombre pero con la extensión .dat. Lo graba, enviará la info a algún sitio y lo vuleve a destruir. CREATE-OPEN-QUERY-CLOSE
captura 2: Filemonitor
captura 3: Filemonitor
Lo siguiente que haré será ver que contiene ese fichero y saber, monitorizando el tráfico, donde lo envía, posiblemente a algun servidor de NOD32.
¿ Alguien sabe más acerca de este proceso ? Posiblemente sea una tontería como alguna verificación que hace NOD32 para bajarse las últimas firmas de virus, quién sabe.
Seguiré informando.
7 comentarios
Bueno. interesante. La verdad es que en una materia de la U. observamos ese tipo de Antivirus.... El cual me toco el nod32 y tuve que analizarlo. etc.
Pero Efectivamente es para verificar si tu Key es Buena o Trucha...
Pero interesante tu investigacion.
11 jun 2008 | 11:15 PM
Gracias johichi,
Confirmaste mis sospechas.
He visto cosas curisosas 'ollydebugeando' en el kernel del antivirus (ekrn.exe), aunque mi paranoia principal era saber que habia detrás del gowuaas.exe
Gracias por tus comentarios.
Salud/OS ;-)
13 jun 2008 | 10:11 AM
Yo necesito por favor que alguien me regale un portatil da igual el uso, que sea viejo o que no funcione, mi situacion economica no me permite comprarme uno y realmente me hace mucha falta para la universidad, ya intentaria de repararlo como fuera, si alguien lee esto y puede ayudarme, le estaria eternamente agradecido.
arillo29_@hotmail.com
24 jun 2008 | 09:15 AM
Hola 'arillo29',
Yo no tengo lo que buscas y si lo tuviera , me tendria que fiar de ti ?
Dejame que te explique que aqui en Internet, Google es como Dios y lo sabe todo. Por eso, al consultar tu pseudonimo, me ha vomitado unas cuantas cosas.
eres un vendedor en ebay ?
http://search.ebay.es/_W0QQsassZarillo29
Necesitas el portatil para la universidad o para una amiga?
http://64.233.183.104/search?q=cache:vBfLUwOrsNUJ:nolotiro.com/es...
Nunca engañes a la gente que de buena voluntad podria darte lo que pides.
24 jun 2008 | 10:36 AM
Yo no engaño a la gente, si, soy un vendedor de ebay, si te fijas en las cosas que vendo, veras que son cosas que no utilizo, que las tengo y no las uso y las vendo por que me hace falta el dinero, el portatil para una amiga ya lo e conseguido, lo compre en el rastro aqui en sevilla, lo compre por 50 euros de mi bolsillo y lo estoy reparando para darselo, y si, ami tambien me hace falta uno, por que estoy en paro, si quieres te mando la fotocopia de la tarjeta de demanda a tu correo para que la veas y hay podras ver todos mis datos, incluso el DNI. Espero haberte aclarado la duda.
Atentamente Juan Pablo Muñoz Arillo.
arillo29_@hotmail.com
24 jun 2008 | 12:53 PM
Aclaraciones a tu respuesta:
Si engañas o no, es tu problema.
Me llama poderosamente la atencion que vayas de foro en foro buscando portatiles, diciendo que lo arreglas y que no importa el estado y que luego tengas una cuenta en ebay vendiendo tus cosas. Solo eso. Me da lo mismo por que lo hagas.
A mi no me des explicaciones por que no me interesa tu situacion. No me ha aclarado las dudas, por que simplemente para mi no las hay.
Atentamente,
notengonadaparati.
24 jun 2008 | 01:05 PM
Tema cerrado.
Cuando haya una respuesta que se salga del asunto principal,como este caso, simplemente lo borrare.
Suerte a todos.
24 jun 2008 | 01:15 PM
Escribe un comentario