Hallo zusammen! Antivir9 kann auch Windows-Systemprogramme prüfen. Dabei kommt es zu Verdachtsmeldungen wegen nicht (richtig) signierter Systemprogramme. Dieses Problem wird in mehreren Foren beschrieben. In aller Regel werden Kopien dieser Systemprogramme in Quarantäne verschoben und die Programme sind offenbar und laut Virustotal nicht durch Malware befallen.
Es dreht sich hier um ein altes Schätzchen:

Computer:
Benutzername Administrator
Betriebssystem Microsoft Windows 2000 Professional
OS Service Pack Service Pack 4
Arbeitsspeicher 192 MB (SDRAM)
BIOS Typ Phoenix (06/01/00)
CPU Typ Mobile Intel Celeron, 600 MHz (6 x 100)
Motherboard Chipsatz Intel 82440BX/ZX
Motherboard Name TOSHIBA S1690CDT

und hier das Antivir Logfile:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 25. März 2009 15:21

Es wird nach 1317943 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 2000
Windowsversion : (Service Pack 4) [5.0.2195]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : H-KSW1KXZZPB0W5

Versionsinformationen:
BUILD.DAT : 9.0.0.387 17962 Bytes 24.03.2009 11:03:00
AVSCAN.EXE : 9.0.3.3 464641 Bytes 24.02.2009 11:13:24
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:12
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:46
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:42:00
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 11:30:38
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 19:33:28
ANTIVIR2.VDF : 7.1.2.199 1008640 Bytes 22.03.2009 14:18:58
ANTIVIR3.VDF : 7.1.2.215 96768 Bytes 25.03.2009 14:18:58
Engineversion : 8.2.0.126
AEVDF.DLL : 8.1.1.0 106868 Bytes 27.01.2009 16:36:42
AESCRIPT.DLL : 8.1.1.67 364923 Bytes 25.03.2009 14:19:02
AESCN.DLL : 8.1.1.8 127346 Bytes 25.03.2009 14:19:02
AERDL.DLL : 8.1.1.3 438645 Bytes 29.10.2008 17:24:42
AEPACK.DLL : 8.1.3.11 397687 Bytes 25.03.2009 14:19:02
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 26.02.2009 19:01:58
AEHEUR.DLL : 8.1.0.111 1679736 Bytes 25.03.2009 14:19:02
AEHELP.DLL : 8.1.2.2 119158 Bytes 26.02.2009 19:01:58
AEGEN.DLL : 8.1.1.30 336245 Bytes 25.03.2009 14:19:00
AEEMU.DLL : 8.1.0.9 393588 Bytes 09.10.2008 13:32:40
AECORE.DLL : 8.1.6.6 176501 Bytes 17.02.2009 13:22:44
AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:58
AVPREF.DLL : 9.0.0.1 43777 Bytes 03.12.2008 10:39:56
AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 13:34:30
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:06
AVARKT.DLL : 9.0.0.1 292609 Bytes 09.02.2009 06:52:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:06
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:50
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:30
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:22
RCIMAGE.DLL : 9.0.0.21 2438401 Bytes 09.02.2009 10:41:18
RCTEXT.DLL : 9.0.35.0 87809 Bytes 11.03.2009 14:50:52

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, E:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: ein
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Mittwoch, 25. März 2009 15:21

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\WINNT\system32\svchost.exe'
NICHT signiert -> 'C:\WINNT\system32\winlogon.exe'
[FUND] Enthält verdächtigen Code: HEUR/Modified.SystemFile
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4a383e67.qua erstellt ( QUARANTÄNE )
Signiert -> 'C:\WINNT\explorer.exe'
Signiert -> 'C:\WINNT\system32\smss.exe'
Signiert -> 'C:\WINNT\system32\wininet.DLL'
Signiert -> 'C:\WINNT\system32\wsock32.DLL'
Signiert -> 'C:\WINNT\system32\ws2_32.DLL'
Signiert -> 'C:\WINNT\system32\services.exe'
NICHT signiert -> 'C:\WINNT\system32\lsass.exe'
[FUND] Enthält verdächtigen Code: HEUR/Modified.SystemFile
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4a2b3e80.qua erstellt ( QUARANTÄNE )
Signiert -> 'C:\WINNT\system32\csrss.exe'
Signiert -> 'C:\WINNT\system32\drivers\kbdclass.sys'
Signiert -> 'C:\WINNT\system32\spoolsv.exe'
Signiert -> 'C:\WINNT\system32\wuauclt.exe'
NICHT signiert -> 'C:\WINNT\system32\advapi32.DLL'
[FUND] Enthält verdächtigen Code: HEUR/Modified.SystemFile
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4a403e74.qua erstellt ( QUARANTÄNE )
Signiert -> 'C:\WINNT\system32\user32.DLL'
Signiert -> 'C:\WINNT\system32\gdi32.DLL'
NICHT signiert -> 'C:\WINNT\system32\kernel32.DLL'
[FUND] Enthält verdächtigen Code: HEUR/Modified.SystemFile
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4a3c3e7b.qua erstellt ( QUARANTÄNE )
Signiert -> 'C:\WINNT\system32\ntdll.DLL'
NICHT signiert -> 'C:\WINNT\system32\ntoskrnl.exe'
[FUND] Enthält verdächtigen Code: HEUR/Modified.SystemFile
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4a393ec2.qua erstellt ( QUARANTÄNE )
Die Systemdateien wurden durchsucht ('19' Dateien)

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '15949' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WinMgmt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'privoxy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '15' Prozesse mit '15' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:

Der Suchlauf über die Bootsektoren wird begonnen:

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '44' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\PAGEFILE.SYS
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
Beginne mit der Suche in 'E:\'


Ende des Suchlaufs: Mittwoch, 25. März 2009 15:42
Benötigte Zeit: 20:54 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

838 Verzeichnisse wurden überprüft
57040 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
5 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
5 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
57034 Dateien ohne Befall
349 Archive wurden durchsucht
1 Warnungen
6 Hinweise
15949 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

Es nützt nichts, die angemeckerten Dateien in die Ausnahmetabelle zu schreiben, es wird trotzdem gefunden und angemeckert. Ich könnte nur das Prüfen der Systemdateien abstellen.
Meine Frage also: Wie wichtig ist diese zusätzliche Möglichkeit? Soll oder kann ich einfach darauf verzichten?
Ich freue mich auf Eure Meinung. Gruß harlud

Nachtrag: Bei meinem anderen privaten Computer (PentiumII Win 2K, SP4) waren die Signaturen unauffällig:

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\WINNT\system32\svchost.exe'
Signiert -> 'C:\WINNT\system32\winlogon.exe'
Signiert -> 'C:\WINNT\explorer.exe'
Signiert -> 'C:\WINNT\system32\smss.exe'
Signiert -> 'C:\WINNT\system32\wininet.DLL'
Signiert -> 'C:\WINNT\system32\wsock32.DLL'
Signiert -> 'C:\WINNT\system32\ws2_32.DLL'
Signiert -> 'C:\WINNT\system32\services.exe'
Signiert -> 'C:\WINNT\system32\lsass.exe'
Signiert -> 'C:\WINNT\system32\csrss.exe'
Signiert -> 'C:\WINNT\system32\drivers\kbdclass.sys'
Signiert -> 'C:\WINNT\system32\spoolsv.exe'
Signiert -> 'C:\WINNT\system32\wuauclt.exe'
Signiert -> 'C:\WINNT\system32\advapi32.DLL'
Signiert -> 'C:\WINNT\system32\user32.DLL'
Signiert -> 'C:\WINNT\system32\gdi32.DLL'
Signiert -> 'C:\WINNT\system32\kernel32.DLL'
Signiert -> 'C:\WINNT\system32\ntdll.DLL'
Signiert -> 'C:\WINNT\system32\ntoskrnl.exe'
Die Systemdateien wurden durchsucht ('19' Dateien)

Kann jemand eine Erklärung für fehlerhafte Windows-Signaturen geben?
Gruß harlud

Hi,
schau mal hier rein
http://www.trojaner-board.de/71330-h...ystemfile.html

Danke für den Link! Dort schrieb KarlKarl:

Avira kam nun auf die "tolle" Idee, die neue Version 9 ihres Virenscanners diese Signaturen prüfen zu lassen. Dabei haben sie zwei Dinge übersehen:

erstens gibt es ein paar Systeme (nach meinen Erfahrungen geschätzt 2%), auf denen die Signaturprüfung für alle Dateien nicht funktioniert.

Das scheint bei mir auch so zu sein, denn das System läuft ohne Schwierigkeiten, ich habe an der Optik nichts geändert und Virustotal erkannte die Dateien als schon geprüft und frei von Malware.
Gruß harlud

Hi,

ich würde mir deswegen keine Gedanken machen. Die Dateien wurden wahrscheinlich durch legitime Programme verändert und sind nicht bösartig, insbesondere wenn du sonst keinerleil Probleme und oder Funde hast.

lg myrtille

So wird's wohl sein. Danke! Gruß harlud