Trojaner in der SystemVolumeInformation

Cord

Hallo,

ich nutze die Avira Premium Security Suite und Spybot S&D auf einem Rechner mit Windows XP, der seit Anfang 2008 mit diesem System läuft. Die letzten 3 Monate wurde er nur für ein paar Officearbeiten und zum surfen auf Nachrichtenseiten (SpiegelOnline, Sueddeutsch, etc.), also allesamt seriösen Seiten benutzt. Ich hatte auch bisher nie Probleme mit Viren, Trojanern o.Ä.

Nach einem Update der Definition von Avira gestern Abend führte eine vollständige Systemprüfung (die vorige war ~18.11.08 ) zu folgendem Ergebnis:

[...]

D:\System Volume Information\_restore{735772F5-5075-4839-A2AA-2AFF04A54DF6}\RP90\
A0023880.ini
change.log.1
RestorePointSize
D:\System Volume Information\_restore{735772F5-5075-4839-A2AA-2AFF04A54DF6}\RP92\
A0023917.ini
A0023950.ini
change.log.1
change.log.2
RestorePointSize
D:\System Volume Information\_restore{735772F5-5075-4839-A2AA-2AFF04A54DF6}\RP93\
change.log.1
change.log.2
RestorePointSize
D:\System Volume Information\_restore{735772F5-5075-4839-A2AA-2AFF04A54DF6}\RP94\
A0024382.ini
A0024412.dll
[FUND] Ist das Trojanische Pferd TR/Agent.45056.D
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '496857ff.qua' verschoben!
A0024413.nam
A0024414.ini
A0024415.dll
[FUND] Ist das Trojanische Pferd TR/Agent.32768.A
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '49685806.qua' verschoben!
A0024416.exe
A0024418.ini
change.log
change.log.1
D:\System Volume Information\_restore{F8DEFA73-8713-4F11-94D1-0580DBC223D6}\RP1\
A0000015.ini
A0000016.ini
A0000017.ini
A0000018.ini
A0000019.ini
A0000020.ini
A0000021.ini
A0000022.ini
A0000023.ini
change.log

[...]

Das überrascht mich schon sehr angesichts der Tatsache, dass ich schlicht nicht weiss, wo es herkommen soll. Ich bin eigentlich auch davon ausgegangen, dass es sich um einen Fehlalarm handelt, nicht zuletzt, weil Spybot S&D, den ich eigentlich als sehr gut kennengelernt habe, sowohl im direkten Dateiscan wie auch im kompletten Suchdurchlauf (der etwa alle 3-4 Tage erfolge) nie (und auch jetzt nichts) gefunden hatte bzw. hat.

Ich hab die Datei dann eingeschickt mit folgendem Ergebnis:
Avira Antivirus Solutions
Wird dort eigentlich etwas anderes gemacht, als nochmal den gleichen Scanner drüberlaufen zu lassen ?

Anschließend habe ich die beiden .dll's anschließend noch bei http://virusscan.jotti.org/ hochgeladen mit dem Ergebnis, dass etwa gut 50% der Scanner es als Trojaner identifiziert haben:
abload.de - Bilderupload
abload.de - Bilderupload

Kann ich mir trotzdem noch Hoffenung machen, dass es sich um ein false positive handelt ?

Und falls nicht: Wie kann so ein Trojaner funktionieren, der aus nicht mehr als aus einer bzw. zwei .dll-Dateien in der System-Volume-Information der Daten-Partition (ist ein logisches Laufwerk) besteht ?

Schonmal danke für Antworten
mfg
Kehl