hi @ all,

ich hab da mal ne frage, ob euch folgendes auch schon mal passiert ist:

ich hatte in einer thunderbird inbox einige mails mit dem eicar test virus abgelegt (nicht alle mails waren 'infiziert').

nun hab ich ein wenig mit der trail von kaspersky 4.5 rumprobiert und meine festplatten komplett gescannt. dabei wurden natürlich auch die eicars gefunden und ich hab sie löschen lassen.

nun das eigentliche problem: als ich das nächste mal thunderbird geöffnet habe, waren alle nachrichten aus der inbox des entsprechenden kontos gelöscht.

ich vermute also, daß das stark an kaspersky lag. besonders ärgerlich: auch die nicht 'verseuchten' mails waren weg.

hat jemand ein ähnliches erlebnis gehabt oder eine lösung für das prob gefunden? die mails brauch ich nicht wieder, da es eh nur ein testkonto war, aber wenn das mal mit einem richtigen konto und einem echten virus passiert

grüße nico

ps: hängt wahrscheinlich damit zusammen, daß thunderbird die mails nicht einzeln sondern alle zusammen in der datei inbox (x:\dokumente und einstellungen\user\anwendungsdaten\thunderbird\profiles\default\iwkndb5x.slt\mail\name.des.pop.kontos\inbox) speichert --> falls dies bei einem einen geistesblitz hervorruft.

hi nico4u,
ich bin sicher, dieses Thema wurde schon mal in Verbindung mit Mozilla-Mail/SobigF im AVPE-Board aufgetaucht, hier z.B. . Es wurde auf das Konto eines Bugs von AVPE geschrieben. Scheint so, es ist doch ein Thunderbird/Mozilla-Problem.

[ 17. September 2003, 07:47: Beitrag editiert von: Rene-gad ]

Nein, kein Thunderbird- / Mozilla-Problem. Die Inhalte (Texte sowie Attachment) der Mails, die du im Posteingang siehst, werden in einer Datei namens "inbox" gespeichert. Prüft man diese Datei nun mit einem Virencanner, und jener entdeckt darin eine verseuchte Datei, so wird er dies melden, und zwar, dass die Datei inbox betroffen sei. Und jedem sollte klar sein, dass man nicht die komplette Inbox(datei) löscht (welche ja alle Mails für den Posteingang enthält).

Weshalb man nur jedem immer wieder sagen kann ... DEAKTIVIERT DAS SCANNEN VON EMAILS UND MAILARCHIVEN BEI KASPERSKY.

Hallo Andreas
</font><blockquote>Zitat:</font><hr />
... DEAKTIVIERT DAS SCANNEN VON EMAILS UND MAILARCHIVEN BEI KASPERSKY. </font>[/QUOTE]...hmm..und was ist dann mit AVPE? (Link in meinem ersten Beitrag)

hi @ all,

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
Die Inhalte (Texte sowie Attachment) der Mails, die du im Posteingang siehst, werden in einer Datei namens "inbox" gespeichert. Prüft man diese Datei nun mit einem Virencanner, und jener entdeckt darin eine verseuchte Datei, so wird er dies melden, und zwar, dass die Datei inbox betroffen sei. Und jedem sollte klar sein, dass man nicht die komplette Inbox(datei) löscht (welche ja alle Mails für den Posteingang enthält). </font>[/QUOTE]dann war meine vermutung also doch richtig.

was macht man dann aber, wenn man wirklich eine verseuchte mail hat? muß man wohl per hand ran?!?

</font><blockquote>Zitat:</font><hr />Nein, kein Thunderbird- / Mozilla-Problem. </font>[/QUOTE]eigentlich dann ja doch ein thunderbird problem, da es die mails ja auch einzeln ablegen könnte und somit immer nur die verseuchte mail gelöscht würde.

und noch etwas was komisch ist: da die eicars nur als attachment angehangen waren, müssen attachments folglich auch in der datei 'inbox' gespeichert werden. ist imo keine optimale lösung. man könnte doch nicht nur jede mail einzeln, sondern auch getrennt von den attachments speichern. wäre das nicht eine viel größere sicherheit?

grüße nico

&gt;eigentlich dann ja doch ein thunderbird problem,
&gt;da es die mails ja auch einzeln ablegen könnte
&gt;und somit immer nur die verseuchte mail gelöscht
&gt;würde.

Nö, das ist Platzverschwendung. Eine Datei belegt mindestens einen Cluster. Selbst wenn Du also eine Mail von 200 Bytes hast wären 4, 8, 16 oder mehr kb belegt. Abgesehen davon, das die Geschwindigkeit darunter leiden würde - und zwar ganz enorm. Es ist einfacher und schneller eine Datei mit 500 Mails zu öffnen als 500 Mal eine Datei zu öffnen, einzulesen, zu indizieren etc. .

&gt;und noch etwas was komisch ist: da die eicars nur
&gt;als attachment angehangen waren, müssen
&gt;attachments folglich auch in der datei 'inbox'
&gt;gespeichert werden. ist imo keine optimale
&gt;lösung.

Sicher ist es optimal. Die Datei ist ja immerhin Bestandteil einer Mail. Was machst Du wenn Du 2 Mails hast die beide Setup.exe heißen? Soll dann eine überschireben werden? Oder was mit Mails wo Bilder eingebettet sind wie es oft bei HTML Mails der Fall ist? Oder willst Du für jede Mail ein extra Verzeichnis erstellen wo die Attachments zu der Datei liegen? Performance Probleme ohne Ende ... .

&gt;man könnte doch nicht nur jede mail einzeln,
&gt;sondern auch getrennt von den attachments
&gt;speichern. wäre das nicht eine viel größere
&gt;sicherheit?

Wieso sollte es?

hallo andreas,

</font><blockquote>Zitat:</font><hr />Nö, das ist Platzverschwendung. ... Es ist einfacher und schneller eine Datei mit 500 Mails zu öffnen als 500 Mal eine Datei zu öffnen, einzulesen, zu indizieren etc.</font>[/QUOTE]das stimmt schon. andererseits ist die entfernung eines schädlings schwerer. zumal jemand, der nicht weiß, daß gleich die ganze inbox gelöscht wird, ein richtiges problem haben könnte.

</font><blockquote>Zitat:</font><hr />Sicher ist es optimal. Die Datei ist ja immerhin Bestandteil einer Mail. Was machst Du wenn Du 2 Mails hast die beide Setup.exe heißen? Soll dann eine überschireben werden?</font>[/QUOTE]finde das überhaupt nicht ideal, da ja meistens im attachment der schädling liegt und man so das attachment sauber und einfach von der eigentlichen mail trennen könnte und diese somit erhalten.

das problem mit gleichen dateinamen könnte man durch eine interne namensgebung durch thunderbird lösen. ähnlich wie bei opera mail (soll jetzt aber nicht heißen, daß ich opera mail gut finde, nur da wird das so ähnlich gelöst).

</font><blockquote>Zitat:</font><hr />Wieso sollte es?</font>[/QUOTE]na eben aus oben genannten grund, da meistens das attachment und nicht der mailkörper verseucht ist und durch genannte methode die säuberung mit einem av prog deutlich leichter würde. so muß man wohl oder übel bei einem befall per hand ran, wenn noch andere wichtige mails in der inbox liegen.

grüße nico

&gt;das stimmt schon. andererseits ist die
&gt;entfernung eines schädlings schwerer.

Irrtum. Ein Schädeling in deinem Postfach ist nicht funktionsfähig - ähnlich einem Archiv. Ein Archiv und ein Mailpostfach sind gar nicht mal so unterschiedlich.

Wenn Du nur wenige Mails hast, dann lässt sich das mit dem Aufsplitten in einzelne Dateien noch recht praktikabel durchführen. Spätestens jemand wie ich mit ein paar Tausend Mails mag aber nicht immer 30 Sekunden für einen Programmstart warten.

&gt;zumal jemand, der nicht weiß, daß gleich die
&gt;ganze inbox gelöscht wird, ein richtiges
&gt;problem haben könnte.

Die Option Maildatenbanken zu scannen ist per Default deaktiviert (zumindest war es das in der KAV 3.5 Version).

&gt;finde das überhaupt nicht ideal, da ja meistens
&gt;im attachment der schädling liegt und man so
&gt;das attachment sauber und einfach von der
&gt;eigentlichen mail trennen könnte und diese
&gt;somit erhalten.

*lach* ... eine Wurmmail hat keinen relevanten Inhalt. Ich zumindest mag mir nicht hundertfach "How are you?" durchlesen. Diese also zu trennen wäre sinnlos und dumm. Ganz abgesehen davon das Du dann probleme mit digitalen Zertifikaten, Signaturen etc. bekommst. PGP und Co generieren diese von der KOMPLETTEN Mail (also inkl. Attachments). Wenn du diese nun raus rippst passt die Signatur mehr. Du kannst die Mail zwar noch lesen, aber nicht mehr checken ob sie echt ist, was das komplette signieren dann ab absurdum führen würde.

&gt;das problem mit gleichen dateinamen könnte man
&gt;durch eine interne namensgebung durch
&gt;thunderbird lösen. ähnlich wie bei opera mail
&gt;(soll jetzt aber nicht heißen, daß ich opera
&gt;mail gut finde, nur da wird das so ähnlich
&gt;gelöst).

Deshalb krepiert Opera Mail auch regelmäßig bei großen Posteingängen ... .

&gt;na eben aus oben genannten grund, da meistens
&gt;das attachment und nicht der mailkörper
&gt;verseucht ist und durch genannte methode die
&gt;säuberung mit einem av prog deutlich leichter
&gt;würde. so muß man wohl oder übel bei einem
&gt;befall per hand ran, wenn noch andere wichtige
&gt;mails in der inbox liegen.

As I said - schalt die Überprüfung ab. Das beschleunigt zudem die Arbeitsgeschwindigkeit mit deinem PC in nicht unerheblichem Maße. Malware in Mails ist ungefährlich - genau wie in Archiven.

Spätestens wenn Du versuchst es auszuführen wird die Datei irgendwo extrahiert und entsprechend überprüft und blockiert.

BTW:
Es gibt nur ganz wenige Programme, die jede Mails einzeln speichern. Die meisten benutzen eine Datei, da dadurch auch z.B. die Kompression, Suchvorgänge, Indizierung, Ladezeiten etc. verbessert werden. Falls Du Attachments getrennt von Mails speichern willst, nimm The Bat. Allerdings wird dort auch nicht wirklich getrennt. Nur beim Empfang extrahiert. Mir persönlich würd das aber tierisch aufn Sack gehen. Bei jeder Wurmmail eine Warnung vom Virenwächter - ne Danke ... .

Hi nico,

wenn Du Dir den Aufbau einer E-Mail im Quelltext anschaust, ist es gar nicht so einfach, "Inhalt" bzw. "Mail" und Attachments separat zu speichern. Sollte das Mailprogramm solche Mails Deiner Meinung nach "zerhacken"? Die Attachments gehören zu einer E-Mail dazu.

hi @ all,

</font><blockquote>Zitat:</font><hr />Irrtum. Ein Schädeling in deinem Postfach ist nicht funktionsfähig - ähnlich einem Archiv. Ein Archiv und ein Mailpostfach sind gar nicht mal so unterschiedlich.</font>[/QUOTE]hab ich auch gar nicht behauptet, daß sie schädlich im postfach sind. weg müssen sie aber trotzdem. zumindest möcht ich keine zeitbomben auf dem rechner beherbergen.

</font><blockquote>Zitat:</font><hr />Wenn Du nur wenige Mails hast, dann lässt sich das mit dem Aufsplitten in einzelne Dateien noch recht praktikabel durchführen. Spätestens jemand wie ich mit ein paar Tausend Mails ...</font>[/QUOTE]das ist wohl der springende punkt. wir reden von unterschiedlichen dimensionen.

</font><blockquote>Zitat:</font><hr />Die Option Maildatenbanken zu scannen ist per Default deaktiviert (zumindest war es das in der KAV 3.5 Version).</font>[/QUOTE]ob sie nun per default aktiviert ist oder nicht, es kann einen ganz schön überraschen, wenn aufeinmal die gesamte inbox gelöscht ist.

</font><blockquote>Zitat:</font><hr />*lach* ... eine Wurmmail hat keinen relevanten Inhalt. Ich zumindest mag mir nicht hundertfach "How are you?" durchlesen. Diese also zu trennen wäre sinnlos und dumm.</font>[/QUOTE]kommt drauf an, um welchen schädling es sich handelt. muß ja nicht immer ne wurm mail sein. nicht immer ist die hauptmail schwachsinn.

</font><blockquote>Zitat:</font><hr />Ganz abgesehen davon das Du dann probleme mit digitalen Zertifikaten, Signaturen etc. bekommst. PGP und Co generieren diese von der KOMPLETTEN Mail (also inkl. Attachments).</font>[/QUOTE]da sind wir wieder bei den verschiedenen dimensionen. ich rede momentan von meinem privaten schriftverkehr. allzu viel verschlüsseltes oder signiertes erhalte ich privat nicht.

</font><blockquote>Zitat:</font><hr />Deshalb krepiert Opera Mail auch regelmäßig bei großen Posteingängen ... </font>[/QUOTE]ich halte von opera mail eh nicht viel. nur ist es mir aufgefallen, daß man dort mit einem virenscanner einzeln virulente anhänge rauslöschen kann.

summa summarum hat es mich eigentlich nur erschreckt, daß gleich die ganze inbox weg war, weil ich bis dahin dachte, daß thunderbird die mails einzeln ablegt.

grüße nico

Hallo,

um das Löschen von solchen Archiven zu vermeiden, kann man bei KAV auch einfach unter "Options" den Hacken "Enable delete or rename ifectet archives" wieder rausmachen. Defaultässig ist der ja nicht gesetzt, Du schsinst diese Funktions also selber aktiviert zu haben.

Hendrik

Noch ein kleiner Nachtrag: Wenn man nicht weiß, was man macht, ist es besser NICHT einfach zu löschen, sondern ein Backup der "infizierten" Datei zu machen, dann die Datei versuchen zu desinfizieren, und wenn das nicht geht, das Original zu löschen/umzubenennen. Somit kann so leicht nichts in die Hose gehen. KAV-4.5 bietet das sehr komfortabel an.

Was das Handling von Wurmmails angeht, ist TheBat! wohl optimal. "Zeitbomben" sind Wurmmails da nicht, da sie weder jetzt, noch später losgehen werden....

Ob es wohl sinnvoll ist, extra die "Max-500-Mail-Edition" eines Programmes zu verwenden, nur um in einem Aspekt einen Vorteil (????) zu haben? Ist privat und geschäftlich wirklich eine andere Dimension?

Hendrik

moin hendrik, moin board,

</font><blockquote>Zitat:</font><hr />um das Löschen von solchen Archiven zu vermeiden, kann man bei KAV auch einfach unter "Options" den Hacken "Enable delete or rename ifectet archives" wieder rausmachen. Defaultässig ist der ja nicht gesetzt, Du schsinst diese Funktions also selber aktiviert zu haben.</font>[/QUOTE]klar hab ich die selbst aktiviert. hab aber nicht mit den auswirkungen gerechnet, weil ich, wie schon gesagt, gedacht hatte, daß thunderbird die mails einzeln ablegt und somit auch einzeln rausgelöscht werden können. als ich dann im nachhinein die einzige große inbox datei gesehen habe, wußt ich nicht, ob das so richtig ist oder nicht.

</font><blockquote>Zitat:</font><hr />Noch ein kleiner Nachtrag: Wenn man nicht weiß, was man macht, ist es besser NICHT einfach zu löschen, sondern ein Backup der "infizierten" Datei zu machen, ...</font>[/QUOTE]nun ja, wenn man nichts probiert, dann kann man auch nie irgendwelche reaktionen 'erforschen'. wäre jetzt ein richtiger mailaccount befallen gewesen, so hätte ich sicherlich sicherungskopien gehabt. von nem account mit ein paar eicars und ein paar funktionstests mach ich aber kein backup.

</font><blockquote>Zitat:</font><hr />Ist privat und geschäftlich wirklich eine andere Dimension?</font>[/QUOTE]ja natürlich. zumindest bekomme ich privat nicht täglich hunderte von e-mails. geschäftlich würde man sich auch mit einem vernüftigen mailgate besser schützen, als wie ich das privat momentan tue. zumal man dann auch meistens einen provider hat, der vorfiltert.

grade da es mir nur um die inbox geht (alles was ich archiviere ist eh on - access getestet), wäre es für 20, 30 neue mails eigentlich nicht so performance raubend, wenn sie getrennt voneinander gespeichert wären.

nun weiß ich aber, daß es keine kaspersky eigenart ist und am thunderbird liegt (hab anfangs nicht auf anhieb zuordnen können, wer den totalverlust der inbox hervorgerufen hat - war einfach zu müde) und kann mich entsprechend darauf einrichten, daß ich virulente mails nur manuell rausfilter und den scanner nicht mehr ranlasse.

wollte eigentlich auch nur feedback, daß das normal ist und ich mir keine weiteren sorgen machen muß und ggf. noch nach anderen gründen hätte suchen müssen. alles andere was diskutiert wurde, waren nur gedanken, die mir zum thema gekommen sind.

grüße nico

[ 18. September 2003, 06:13: Beitrag editiert von: nico4u ]

@ nico: zum Probieren sind die "Test-Accounts" ja da... [img]graemlins/daumenhoch.gif[/img] [img]smile.gif[/img]

Ich komme immer mehr zur Überzeugung, daß ein Virenscanner möglichst erst anschlagen soll, wenn auch eine wirkliche Gefahr bestünde. Wenn man ganz genau guckt, dann ist aus der KAV-Meldung eigentlich ersichtlich, daß die EICAR.COM ein Angang einer eMail war, die ihrerseits wieder Bestandteil eines Mailarchives ist. Das wird durch die unterschiedlichen Schrägstriche / und \ "verdeutlicht". Ein EICAR in einem ZIP sieht dann so aus:
k:\eicarcomp.zip/eicar.com
Und ein EICAR in der TheBat-Outbox gibt folgendes:

D:\Program Files\TheBat\MAIL\XYZ\Outbox\MESSAGES.TBB/[From XYZ &lt;xyz@provider.nix&gt;][Date Thu, 18 Sep 2003 16:22:45 +1100]/UNNAMED/eicarkomp.zip/eicar.com Infected EICAR-Test-File

man beachte wieder den Unterschied zwischen \ und /. \ steht für Dateien auf der Festplatte, / für Untergliederugen in der Archiv-Datei.

Schöne Grüße
Hendrik