TR/Crypt.FKM.Gen und Windows-Dateischutz
 

Hallo,
eine Bekannte hat ein Problem mit ihrem XP-Rechner:
Er wurde längere Zeit ohne Virenscanner benutzt. Als später "Avira AntiVir PersonalEdition Classic" installiert wurde, wurden dauernd "Funde" gemeldet. Ich habe den Scanner geupdatet und einen kompletten Scan (alle Dateien, höchste Heuristik) durchgeführt und alle "Funde" löschen lassen. Seither ist es deutlich besser:
Der Guard findet ab und zu noch heuristisch eine Sache, die ich ignorieren lasse (in der Meldung steht, man soll die Datei einsenden, damit geprüft wird, ob es sich um eine schädliche Datei handelt oder nicht). Und ab und zu findet er immer noch den Trojaner "TR/Crypt.FKM.Gen", immer in der Datei "C:\WINDOWS\eyvek1.dll" (obwohl ich die Datei immer löschen lasse).
Ich habe mal unter dem Namen dieses Trojaners im Internet gesucht und A) scheint der ausschließlich von "AntiVir"-Usern gemeldet zu werden und B) kriegt kaum ein Hilfesuchender das Ding weg - trotz sehr vieler Tipps und extrem aufwendigem Vorgehen.
Ist das dann wirklich ein Trojaner oder ein Bug von AntiVir?
Oder ist nur AntiVir nicht in der Lage, diesen Trojaner zu bekämpfen, während alle anderen Virenscanner damit gar keine Probleme haben?


Ich habe es dann so versucht: Die Sache durch Installation des XP SP2 (ja, war auch nicht gemacht...) zu bereinigen in der Hoffnung, daß die betroffenen Dateien im SP2 enthalten sind und auf die Art "sicher" ausgetauscht werden. Aber auch danach wurde ab und zu noch dieser eyvek1.dll-Trojaner gemeldet.

Und ich bekam bei Installation des SP2 diese Meldung:

Auffällig ist der Slash statt dem Backslash vor dem Dateinamen - alles genau wie in diesem Beitrag auf informationsarchiv.net.

Warum gibt es keine Datei controls.man in diesem (existierenden) Verzeichnis?
Warum der Slash mitten im Dateipfad?
Was kann man machen, daß das SP2-Setup die Originaldateien findet?


Danke!

Das hoert sich verdaechtig nach Gromozo(n) an. Man kann versuchen das zu reinigen, aber wenn schon eh mehr auf dem Rechner an Malware war, waere neu aufsetzen auch eine gute Entscheidung.

Gromozon: http://www.prevx.com/gromozon.asp

Hi und danke,
da scheinst Du echt in's schwarze getroffen zu haben!
Keine Ahnung, wie Du darauf gekommen bist (ich kann überhaupt nicht finden, daß sich TR/Crypt.FKM.Gen "verdaechtig nach Gromozo(n) anhoert":) ), aber das Tool hat exakt in der immer als TR/Crypt.FKM.Gen-infiziert gemeldeten Datei was gefunden und beseitigt und seither startet der Rechner wieder schnell und die TR/Crypt.FKM.Gen-Meldungen sind nicht mehr aufgetreten!

Danke!