Bedrohung oder nicht?

[Hendoul]

Hi

Kaspersky IS 2012 meldet mir zwei Bedrohung in C:

HiddenObject.Mulit.Generic --> C:\:j5J7BF.... (geht noch weiter so kryptisch)

Die Datei ist unauffindbar und nicht ersichtlich, obwohl versteckte Dateien angezeigt werden.

Was ist das nun?


greez
Hendoul

 

[Quackmoor]

Entfernen, kann alles Mögliche sein.

 

[Hendoul]

Auch etwas das noch benötigt wird damit das OS läuft oder ähnliches?
Aber warum sehe ich die Dateien noch nicht einmal?

 

[Nero Redgrave]

Hast du in den Orderoptionen eingestellt, dass du alle Ordner einsehen kannst?

 

[Hendoul]

Hast du in den Orderoptionen eingestellt, dass du alle Ordner einsehen kannst?

Jep, siehe Eingangsposting. "Versteckte Dateien und Ordner anzeigen" ist aktiviert.

 

[Darkscream]

Vielleicht deswegen: http://www.dict.cc/?s=hidden

 

[Nudelholz]

Entferne mal bei "Geschützte Systemdateien ausblenden" den Haken, vielleicht wird die Datei dann sichtbar.

 

[Hendoul]

Vielleicht deswegen: http://www.dict.cc/?s=hidden

Ironie oder Klugscheissen? Selbst auf der Shell kann ich die Datei nicht finden. Und "korrigieren" bzw. "verarbeiten" bringt nichts mit Kaspersky, exakt die selben Dateien werden bei einem erneuten Scan gleich wieder gefunden. Passiert jeweils gleich zu Beginn des Scans. Verarbeite dann die Dateien und stoppe den Scan und starte ihn wieder.

Vielleicht muss ich auch den gesamten Scanvorgang abwarten um die löschen zu können.

 

[1668mib]

Naja bei "generischen" Schädlingen klingen bei mir immer die Alarmglocken.. aber eher, weil ich mal wieder denke, dass das AV-Programm einfach übersensibel reagiert...

Im Übrigen sind die Dateinamen nicht wirklich "normal", man beachte den Doppelpunkt nach dem Backslash. Vielleicht mal den ganzen Pfad posten...

 

[Hendoul]

Entferne mal bei "Geschützte Systemdateien ausblenden" den Haken, vielleicht wird die Datei dann sichtbar.

Ist auch entfernt, sehe die Files nicht.

Im Übrigen sind die Dateinamen nicht wirklich "normal", man beachte den Doppelpunkt nach dem Backslash. Vielleicht mal den ganzen Pfad posten...

Das ist der ganze Pfad. Die Datei heisst einfach nur C:/kryptischeZeichenfolge


Habe einen Hinweis erhalten:
http://de.wikipedia.org/wiki/Alternativer_Datenstrom#Windows
http://www.nirsoft.net/utils/alternate_data_streams.html

 

[rainbow6261]

Falls noch Zweifel bestehen, Platte abklemmen und an einem anderen PC mit Norton, Kaspersky, F-Secure, Panda, GData etc - scannen lassen.

 

[Daaron]

oder einfach von ner Avira Rescue CD oder einem anderen LiveCD-Scanner booten. Die sind allesamt Linux-basiert, vor denen kann sich nix verbergen.

 

[1668mib]

Ja, vermutlich ein ADS. Sagt aber nichts über potentielle Gefahren aus.
Bei "Generic"-Treffern bin ich leider sehr skeptisch geworden bei AV-Programmen...

Wieso versuchst du es nicht mal nach dem Schema:
copy C:\kryptischerText c:\datei.vir
und lädst dann mal datei.vir bei virustotal.com hoch - evtl dein AV-Programm dafür temporär abschalten.

 

[Hendoul]

Ich kann den ADS nicht kopieren.

c:\>copy C:\:j5J7Bf4jFP5AlEncUyloz C:\test.vir
C:\:j5J7Bf4jFP5AlEncUyloz
Die Syntax für den Dateinamen, Verzeichnisnamen oder die Datenträgerbezeichnung ist falsch.
0 Datei(en) kopiert.


Mir macht das ein wenig Sorgen:
:j5J7Bf4jFP5AlEncUyloz:$DATA

 

[1668mib]

schade, weil laut dem wiki-beitrag müsste es so in der art irgendwie gehen...

evtl hilft dir streams.exe aus der systinternals suite ja auch... wobei ich keine ADS zu haben scheine... also "streams -s" mal machen auf der kommandozeile, aber direkt in C:\ halt...
notfalls so in der Art
C:\>d:\downloads\streams.exe -s

 

[Hendoul]

Die Streams auflisten lassen kann ich mit AlternateStreamView, auch löschen geht da theoretisch. Nur hätte ich halt zuerst gewusst zu was der Stream genau gehört oder was auch immer.

 

[1668mib]

ja schon... siehst du den Inhalt der Streams? Kannst du den irgendwie abspeichern? Kannst du den dann bei virustotal.com hochladen?

Fangen die ADS (also der Inhalt) mit "MZ" an?

 

[Hendoul]

Ich werde heute Abend mal versuchen in einen solchen Stream reinzuschauen. Vielleicht klappt es ja damit:
http://www.flexhex.com/docs/articles/alternate-streams.phtml

edith:
Habe das jetzt mal gemacht und die 2 Files bei virustotal.com scannen lassen. Es wurde nichts gefunden. Ich kann mir die Files allerdings auch nicht anschauen, weiss nicht mit was öffnen.

 

[1668mib]

naja mit Notepad hätte gereicht ;-)

 

[Hendoul]

naja mit Notepad hätte gereicht ;-)

Das war natürlich mein erster Versuch. Aber ich werde nicht schlau aus dem Inhalt. Hier ein kleiner Ausschnitt:
yABTã
blBT× â%*sj>¹á ¼oTŸH`ç


Vielleicht kannst du mir das ja übersetzen?