Viren tarnen sich manchmal als Update-File – das ist der Unterschied

Es erreichte uns die Frage eines Lesers, der auf seinem Desktop eine Datei namens «wusa.exe» fand. Was hat es damit auf sich?

Dateinamen sind Schall und Rauch!

Jeder Schädling kann sich so ziemlich jeden Dateinamen zulegen; es liegt alleine an der Phantasie der Schädlingsschreiber, welcher Namen sich Viren oder Trojaner bedienen. Darum kann man aufgrund des Dateinamens alleine überhaupt nicht sagen, ob es sich um einen Schädling handelt oder nicht.

Im konkreten Beispiel gibt es eine Windows-eigene Datei namens wusa.exe. Sie gehört zum Windows-Update und ist in verschiedenen Versionen (teils als Sicherheitskopien) in verschiedenen Windows-Ordnern zu finden; normalerweise in diesen:

• C:\Windows\System32
• C:\Windows\SysWOW64
• In einem oder mehreren Unterordnern von C:\Windows\WinSxS\

Prinzipiell handelt es sich dabei um eine Datei, die zum Windows-Update-Programm gehört – die Datei gibt es bereits seit Windows Vista bzw. Windows Server 2008 (r2).

Aber nichts hindert einen Malwareschreiber, seine ausführbare Datei ebenfalls wusa.exe zu nennen.

1. Drücken Sie die Windowstaste+R.
2. Geben Sie in den Ausführen-Dialog folgende Parameter ein: %windir%\System32
3. Durchsuchen Sie den Ordner nach Wusa.exe. Dabei handelt es sich, wie bereits gesagt, um einen Teil des Windows-Update-Programms.
4. Finden Sie Wusa.exe als aktiven Prozess im Task-Manager, dann wird gerade ein Update vorbereitet. Beenden Sie den Prozess NICHT.
5. Wenn Sie noch eine weitere Datei Namens Wusa.exe in anderen Verzeichnissen als den oben erwähnten finden, dann könnte es sich durchaus um Malware handeln.

Was also tun, wenn Sie wissen möchten, ob eine Datei einen Schädling enthält? Überprüfen Sie dies mit einem Antivirus-Programm. Am besten gleich mit mehreren: Kippen Sie die Datei einmal bei https://virustotal.com/ ab. Dort wandert sie durch über zwei Dutzend verschiedene Virenscanner. Wenn die alle nichts finden, dürfte sie sauber sein.