AntiVir findet TR/Crypt.XPAC.Gen
 

Hallo,

ich habe vor zwei Tagen nach langer Zeit mal wieder einen Viren-Scan durchlaufen lassen und AntiVir hat 2x den Trojaner TP/Crypt.XPACK.Gen gefunden. Nachdem ich nun mehrere Stunden das Internet durchwühlt habe und verschiedenste Möglichkeiten gefunden habe, wie man ihn wieder los wird, aber leider nicht viel Ahnung habe, hoffe ich, dass ich hier Hilfe bekommen kann. U. a. habe ich hier gelesen, dass HiJackThis hilfreich sein kann, daher poste ich mein Ergebnis hier mal:



Hier auch das Protokoll von AntiVir:

Vielen Dank fürs Lesen, ich hoffe, mir kann hier geholfen werden.

Hallo und :hallo:

Die Dateien, die als schädlich eingestuft worden sind, befinden sich in der Systemwiederherstellung. Entweder ist das ein Fehlalarm, oder Du hattest schon mal einen Befall und die Malwaredateien wurden in einen Wiederherstellungspunkt mitgesichert.

Mach mal einen vollen Durchlauf mit MalwareBytes Antimalware. Dann sehen wir weiter. AntiVir vorher deaktivieren, wenn du mit MBAM scannst.

Hallo root24,

habe MalewareBytes wie auch Spybot drüberlaufen lassen, beides ohne Funde. AdAware hat ein MRU Objekt gefunden.
Kann es sein, dass es keine Funde mehr gibt, weil die betroffenen Programme in der Quarantäne sind? Eines davon brauche ich dringend wieder funktionsfähig, da für die Installation jeweils ein Aktivierungsschlüssel notwendig ist. Seit der Quarantäne-Behandlung des Trojaner kann ich es nicht mehr benutzen.
Auf diesem Rechner bin ich bislang glücklicherweise virenfrei gewesen, lediglich bei Spybot hatte hin und wieder einige Nervgeister, seit ich meinen Rechner mit allerlei Zeugs versorgt habe (von dem ich im Alltag allerdings ziemlich genervt bin, wie z.B. NoSkript), hab ich mir, zumindest wissentlich, nichts mehr eingefangen.

Hallo nochmal,

ich habe jetzt erst einmal die betreffenden Meldungen an AntiVir mit der Bitte um Überprüfung (Fehlalarm?) geschickt. Mal sehen, wann ich von denen höre.

Ja, ein Fehlalarm scheint wahrscheinlich zu sein. Nimm die Datei mal aus der Quarantäne heraus und in die Ausnahmeliste von AntiVir. Werte sie dann mal bei Virustotoal.com aus und poste das Ergebnis hier.

Hallo root24

Hier das Ergebnis vom ersten Fund (Kabc.exe)

Für die zweite Datei gab es folgende Meldung:


In der System Volume war "RP322" auch aus dem K-ABC Programm.

Ich werde jetzt erst mal wieder die beiden Sachen in die Quarantäne schicken, VirusTotal hat ja noch ein zusätzliches interessantes Exemplar gefunden. Ich hoffe, mir bleibt eine Neuinstallation erspart und ich kann bald wieder das Programm nutzen. Vielen Dank erstmal.

Wieso in Qurantäne schicken? :confused:
Ich dachte das Programm war die gnaze Zeit nie angemeckert worden und nun soll es ein Schädling sein? Das stinkt doch schon nach nem Fehlalarm! Was sagt denn AntiVir dazu?

Hallo root24

doch, das Programm (wenn Du K-ABC meinst) ist angemeldet und auch immer wieder in Benutzung. Beim letzten Scan mit AntiVir hat es die o.a. Funde gemeldet und mich gefragt, was es damit machen soll. Also hab ich die beiden Dateien, in denen sich der Trojaner befinden soll, in die Quarantäne geschickt. Dadurch hat sich K-ABC meiner Benutzung entzogen.
Für mich stellt sich jetzt die Frage, wie soll ich mit dem beiden "Trojanern" umgehen, zumal ja F-Secure auch noch W32/Alician!.... gefunden hat. Und da ich viel Online erledige, ist die Sache mit den Trojanern ja auch nicht so ganz uninteressant.

Wer lesen kann,ist klar im Vorteil!

Ja angemeckert, nicht angemeldet. Jetzt les ich es auch. Das Programm ist tatsächlich nie angemeckert worden. Nachdem ich das ganze nochmal durchgelesen habe, bin ich mir auch nicht mehr sicher, ob ich AntiVir vor dem Scan mit MalewareBytes deaktiviert habe.

Ich glaube wir reden aneinander vorbei. :rolleyes:
Der Fehlalarm bezieht sich ja auf das Programm, was Du nicht mehr nutzen kannst. Da ist kein Trojaner drin, sondern Dein Virenscanner erkennt nur irrtümlicherweise durch fehlerhafte Signaturen einen darin. Das heißt aber nicht, dass da auch etwas ist.

Wer Virenscanner benutzt, sollte sich dessen bewusst sein:
Ich erwähnte auch, dass Du die Datei aus der Quarantäne holen sollst und in die Ausnahmeliste setzen solltest. Solange bis es neue Signaturen gibt, sodass Dein Programm nicht mehr als Schädling eingestuft wird.

Und ja, auch die anderen Scanner scheinen da drin einen Fehlalarm zu sehen...

o.K.,

damit ich es nicht wieder falsch verstehe: ich hole also die Dateien wieder aus der Quarantäne raus und setze sie wieder auf die Ausnahmeliste. Als ich dies für den Scan auf Virustotal gemacht habe, wurde ich ständig von AntiVir angepiept, es hätte einen Virus gefunden, was ich mit "Ignorieren" immer weggeklickt habe.
Nachdem ich die Programme herausgeholt habe und erneut einen Virenscan gemacht habe, habe ich jetzt die dritte Meldung, wieder von System Volume, zum Trojaner erhalten.

Zum nichtbenutzbaren Programm: Ich hatte das letzte Mal K-ABC im letzten Monat ohne Probleme nutzen können, nur jetzt ist es nicht mehr ausführbar (Deinstallieren, Hilfe Schlüsselprogramm erscheinen noch unter Programme).

Wenn Computer sei einfach wären wie Toaster, wäre mein Leben erheblich entspannter!

Hallo root24,

ich habe jetzt sowohl beim Scan als auch beim Guard die entsprechenden Dateien in den Ausnahmeordner gepackt und dadurch Ruhe. Wie bekomme ich das Programm K-abc.exe wieder dahin, dass ich K-ABC vom Desktop aus starten kann (vom System Volume kann ich es starten). Und was mich immer noch stutzig macht ist, dass ich vor einem Monat noch mit dem Programm arbeiten konnte und es jetzt so rumzickt (bzw. AntiVir). Du meintest, ich sollte auf neue Signaturen warten. AntiVir wird bei mir täglich aktualisiert, müsste da nicht schon längst was gekommen sein? Von AntiVir selbst hab ich leider noch keine Rückmeldung erhalten, ob es sich um einen Fehlalarm handelt.

Dazu müsste die kabc.exe erstmal wieder im ursprünglichen Programmpfad sein, sofern die aus der Quarantäne nicht da wieder reingekommen ist. Wenn sie da ist, musst Du dann einfach nur noch ne Verknüpfung zu dieser Exe auf dem Desktop erstellen. :rolleyes:

Hatte ich das nicht erklärt? :confused:
Naja, jedenfalls musst Du da ein wenig verstehen, wie ein Virenscanner funktioniert. Einfach gesagt hat ein Virenscanner eine Signaturdatenbank, wenn er eine Datei untersucht, vergleicht er diese Datei mit seinen Einträgen in der Datenbank. Wird eine Übereinstimmung gefunden, schlägt er Alarm und bringt entsprechende Hinweise.
Diese Übereinstimmung bedeutet aber nicht, dass dort zu 100% Sicherheit auch ein Schädling ist, denn sie kann auch rein zufällig sein.

=> Mehr dazu


Tja, entweder abwarten, die nochmal anschreiben oder im AntiVir-Supportforum versuchen.:rolleyes:

Hallo root24

als Andi Ahnungslos vertraue ich jetzt mal darauf, dass es sich um einen Fehlalarm handelt und hoffe, dass nicht irgendwann das BKA vor der Tür steht, vielleicht gleicht ja auch jemand meinen Dispo aus.:) Ansonsten vertraue ich meine Paranoia.
Ich frage jetzt nicht, wie mann durch HijackThis erkennt, ob es sich um einen Fehlalarm handelt;)
Vielen Dank nochmal!

Das kannst Du im Hijackthis nicht wirklich erkennen. Ich fasse aber nur zusammen, z.B. wären da:

- Hijackthis-Logfile sauber
- kabc.exe wurde von Virustotal nur von 2 oder 3 Scannern moniert
- die Logfiles der anderen Tools ebenfalls sauber
- PC ohne auffälligem Verhalten
- das Programm wurde schon lange benutzt, auf einmal soll es ein Schädling sein

Wenn Du diese Fakten dir mal ansiehst, dann ist tatsächliche Malware in dieser Datei sehr sehr unwahrscheinlich.
Wenn Du aber Paranoia hast, dann frag beim Hersteller des Programms nach. Am besten Du schickst mit dieser Anfrage gleich die Infos mit, die Virustotal ausgespuckt hat. :rolleyes: