Verdacht auf TR/Kazy und PUP "Downloadsponsor.A"

aethelstan · 12.11.2013, 13:42

Hallo,

ich habe nach längerer Pause mal wieder meinen Laptop im Betrieb gehabt. Nachdem sich Avira (Premium) aktualisiert hatte, erhielt ich die Warnung, dass ein Trojaner auf meinem Rechner sei. Die Datei ist schon seit Anfang des Jahres auf dem Rechner, wurde bis jetzt aber nie beanstandet. Bei Virustotal schlugen vier von 49 Scannern auf sie an (später waren es 3/47, siehe Link), das Avira-Labor hat nach Einsendung bestätigt, dass es sich um Malware (TR/Kazy.251205) handele. Die Datei scheint im Zusammenhang mit VueScan zu stehen, das ich mir mal als Trial-Version heruntergeladen habe, entweder bei chip.de oder beim Hersteller selbst.

Ich habe dann auch gleich noch Malwarebytes und E-Set drüber laufen lassen, die wiederum beide diese Datei nicht beanstanden, dafür aber ein- bzw. zweimal ein PUP "Downloadsponsor.A" finden. Ein solcher Hinweis bezieht sich auf den "ICQ Banner Remover", den ich vor längerer Zeit mal von chip.de bezogen haben müsste, den anderen kann ich nicht sicher zuordnen ("OCS"). Wenn ich die bisherigen Einträge zu dem Störenfried richtig verstehe, ist das aber "nur" Adware?

Neu aufsetzen wäre für mich aber auch kein Weltuntergang und ziehe ich auf jeden Fall vor, wenn ein nennenswertes Sicherheitsrisiko besteht. Der Rechner wurde u. a. auch für Onlinebanking und -shopping verwendet, insofern wäre für mich natürlich auch wichtig zu wissen, ob ich besser meine Passwörter ändern sollte.

Ansonsten:
Vielen Dank für eure Hilfe!

Hier der Link zum Virustotal-Ergebnis der möglichen Kazy-Datei:
https://www.virustotal.com/de/file/f30c21fd7183971f69a7bb8309aa6c3c218af4e32d85199ffe3743d89f617457/analysis/1384259379/

Das Ergebnis von E-Set:
C:\Users\**\AppData\Local\Temp\OCS\ocs_v6.exe Variante von Win32/DownloadSponsor.A Anwendung
C:\Users\**\Downloads\ICQ_7.7_Build__6547_Banner_Remover_1.0_Setup.exe Variante von Win32/DownloadSponsor.A Anwendung

Der Fund von Avira:
Beginne mit der Desinfektion:
C:\Users\**\AppData\Local\Temp\vsdel.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.251205
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '57e83d99.qua' verschoben!

Der Malwarebytes-Komplettscan:

Code:

ATTFilter

Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2013.11.09.05

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16721
** :: NOTEBOOK [Administrator]

11.11.2013 09:31:44
MBAM-log-2013-11-11 (11-45-23).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 554926
Laufzeit: 2 Stunde(n), 7 Minute(n), 10 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\**\AppData\Local\Temp\OCS\ocs_v6.exe (PUP.Optional.DownloadSponsor.A) -> Keine Aktion durchgeführt.

(Ende)

Verdacht auf TR/Kazy und PUP "Downloadsponsor.A"

Plagegeister aller Art und deren Bekämpfung: Verdacht auf TR/Kazy und PUP "Downloadsponsor.A"

Verdacht auf TR/Kazy und PUP "Downloadsponsor.A"

Ähnliche Themen: Verdacht auf TR/Kazy und PUP "Downloadsponsor.A"