Hallo!

eine völlig Computer-Unerfahrene braucht eure Hilfe!
AntiVir meldete mir gerade den Virus TR/RKit.Agent.GO in der Datei C:\WINDOWS\system32\drivers\mchlnjDrv.sys
AntiVir hat mich gefragt, ob diese Datei in Quarantäne kommen soll. Das hab ich gemacht. Bringt das überhaupt etwas? Was muss ich jetzt noch machen? Kann ich den Trojaner selber entfernen?

Vielen Dank schon einmal...

Jathea

Hallo Jathea, willkommen an Board!

Bei Rootkits und Backdoors würde ich nicht lange überlegen - das System gehört neu aufgesetzt. Allerdings: Eine Anfälligkeitsanalyse des Systems ersetzt dies nicht. Wo liegen die Schwachpunkte? Wie konnte es zu der Infektion kommen? Wie kann ich dies zukünftig verhindern?

Wenn Du das wissen möchtest, gib Bescheid, dann schau ich mir das genauer an.

Hi,

vorher aber mal einen Rundblick im Avira-Forum machen, da gibt es unterdessen dutzende Treads zu dem Thema und es wurde unterdessen als ein Fehlalarm bestätigt.

Die auslösende Datei wird von diverser Security-Software benutzt. Spyware-Doctor, Antispyware von Ashampoo und der T-Online-Dialerschutz sind Beispiele für Auslöser. Die Liste ist mit Sicherheit nicht vollständig, die Verlockung für Hersteller ist einfach zu groß, anstelle selbst Code zu entwickeln, frei verfügbare Komponenten zu nutzen. Dann fallen sie ben ab und wann rein und erwischen was, was auch schon mal vom Entwickler einer Malware genutzt wurde.

Rootkits sind nichts schlechtes, sonderneinfach nur Technik, etwas auf einem System zu verbergen. Es kommt dann darauf an, was verborgen wird. Zunehmend setzt Sicherheitssoftware ebenfalls diese Techniken ein.

Karl, Du hast natürlich Recht, sowas sollte man möglichst sorgfältig prüfen.
In diesem Fall sieht es aber nicht nach einem Fehlalarm aus.

@Jathea: Die Datei befindet sich in Quarantäne? Das wäre gut, dann könntest Du die Quarantänedatei an Avira einsenden, um einen False Positive auszuschließen.

Kann was anderes sein. Aber der benutzte Scanner, die ausgegebene Meldung, der Dateiname und der Pfad entsprechen exakt den Fehlalarmen. Avira zufolge ist er auch unterdessen behoben, also mal ein Update machen und nochmal scannen.

Zitat von KarlKarl

Kann was anderes sein. Aber der benutzte Scanner, die ausgegebene Meldung, der Dateiname und der Pfad entsprechen exakt den Fehlalarmen.

Dann ist es um so besser, dass Du darauf nachdrücklich hinweist.