Wichtiger Firmen-Mail-Anhang als Trojaner gemeldet

[INTELLER]

Hallo,

ich bin Softwareentwickler und arbeite oft von zu Hause aus. Heute hat mir ein Kollege eine E-Mail mit einem wichtigen Modul als Anhang geschickt, damit ich weiter arbeiten kann.

Sofort ist mein Virenscanner aufgepoppt und sagte mir, dass es sich bei dem Anhang um den Trojaner "TR/Agent.3186688.A" handelt. Also, was tun? Ist eine sehr wichtige Mail! Sofort den Anhang in die Quarantäne verfrachtet und zur Sicherheit gleich gelöscht.

Habe den Rechner darauf hin neu gestartet, im abgesicherten Modus alle temporären Dateien gelöscht und anschließend den Virenscanner mit aktuellen Definitionen laufen lassen. Er hat nichts gefunden. Auch andere Tools, wie z.B. Spybot oder die Auswertung von HiJack haben nichts gefunden.

Glaubt ihr, dass der Rechner noch sicher ist oder sollte ich lieber eine alte Version des Systems mit Hilfe eines Backups aufspielen? Ich war in den letzten zwei Tagen leider etwas fahrlässig und habe keine Sicherung vorgenommen. Daher würden zwei Tage an Arbeit verloren gehen... Ist meine Schuld, muss ich leider zugeben...

Ein Trojaner ist ja in dem Sinne kein Virus, oder? Ein Virus verbreitet sich von selbst oder infiziert andere Dateien. Ein Trojaner dürfte doch eigentlich nur dann aktiv werden, wenn er gestartet wird, um irgendwelche "Hintertüren" zu öffnen... Weder im Autostart noch in der Registry stehen neue Einträge, die irgendeine Software starten wollen.

Mein Kollege sagte mir am Telefon, dass er sich das nicht vorstellen kann, da er ja auch einen Scanner im Einsatz hat, dieser aber keine Probleme meldet. Also könnte es sich ja auch um eine Falschmeldung handeln...

Morgen fahre ich in die Firma und werde mir das Modul per USB-Stick direkt besorgen. Wenn nur nicht die 300 km Fahrstrecke wären...

Vielen Dank für die Hilfe!

 

[Trackballfan]

Wenn Du den Anhang gelöscht hast kann nichts passieren. Und ja Trojaner sind auch Viren. Welchen Virenscanner verwendest Du?

Es könnte durchaus auch sein das der PC von deinem Kollegen infiziert ist und er hat es nur nicht gemerkt.

Dein Kollege könnte dir die Datei ja auch auf eine CD brennen und per Post zusenden.

 

[lufkin]

Es kann natürlich auch in von der Heuristik verursachter Fehlalarm sein.

 

[funkyfunk]

Ich würde die Datei mal bei http://www.virustotal.com/de/ hochladen und checken lassen, um einen möglichen Fehlalarm auszuschließen.

 

[piffpaff]

Ein wenig Paranoia ist ja ok, aber gleich soviel?
Hat er das Modul selbst geschrieben oder aus ner externen Quelle bekommen?
Desweiteren kann es ja auch durchaus möglich sein, dass es eine Falschmeldung ist.
Bekomm ich auch desöfteren und wird einfach ignoriert.
Also nicht immer gleich den Teufel an die Wand malen

 

[INTELLER]

Hallo,

danke für eure Antworten!

@Trackballfan:
Unter XP nutze ich (noch) die kostenpflichtige Version von Avira AntiVir, da ich noch für ca. vier Monate eine Lizenz habe. Unter Vista habe ich Norton 2009 laufen, der ja laut Chip sogar inzwischen der Testsieger unter den Antivirenprogrammen ist... Testbericht

@lufkin:
Ja, das habe ich mir auch gedacht oder besser gesagt, gehofft...

@funkyfunk:
Geht momentan leider nicht, da ich den Anhang ja gleich gelöscht habe...

@piffpaff:
Wir entwickeln alles selbst. Nur in Ausnahmefällen wird eine Fremdlösung verwendet, bis wir selbst (aus Zeit- und Kostengründen) dazu in der Lage sind, die Funktionen nachzubauen...

Vielen Dank für eure Hilfe!
Habe es ja schon einmal geschrieben: Ihr seid einfach super - das beste Forum im WWW!!!

Übrigens: Habe gerade mal Vista gestartet und alle Partitionen getestet. Auch Norton meldet keinen Fund. Ich hoffe, dass sich damit alles erledigt hat...

 

[Interlink]

Nach zu viel Professionalität sieht mir die bisherige Vorgehensweise jedenfalls nicht aus. Die Möglichkeiten, die ein Schadprogramm zur Verbreitung über das gerade in Arbeit befindliche Projekt hat, sollte man sich möglichst früh überlegen.
Ob irgendeine Gefahr für die Systemintegrität bestand, hängt nicht zuletzt vom Aufbau der "Module" ab. Und davon, was das System automatisch ausführt. Ein sicher konfiguriertes Mail-Programm führt jedenfalls weder aktive Inhalte in einer HTML-Mail noch Anhänge automatisch aus. Insofern kann man solche Anhänge ruhig abspeichern und untersuchen. Als Entwickler sollte man eine genügend ruhige Maushand haben, um versehentliche Doppelklicks auf den Anhang zu verhindern.

Heise hat eine Liste mit mit Links u.a. auf Online-Virenscanner.
Man muss berücksichtigen, dass die neuesten Schädlinge u.U. diverse Stunden benötigen, bis sie in den Definitionen der Scanner gelandet sind.

Falls der Scanner des Kollegen keinen Alarm geliefert hat, kann das i.W. drei Bedeutungen haben:
a) Auf seinem System ist kein Schadprogramm aktiv.
b) Die Definitionsdateien des Scanners waren nicht aktuell genug.
b) Auf seinem System ist ein gut programmiertes Schadprogramm aktiv, welches z.B. die gängigen Virenscanner kennt und sich geeignet tarnen kann, im Extremfall als Rootkit.

 

[MaverickM]

Unter Vista habe ich Norton 2009 laufen, der ja laut Chip sogar inzwischen der Testsieger unter den Antivirenprogrammen ist... Testbericht

Du solltest auf Norton 2010 wechseln. Wenn Du noch eine gültige Definitionen-Lizenz hast, kannst Du kostenlos auf die aktuelle Norton 2010 Version wechseln.

 

[INTELLER]

Als Entwickler sollte man eine genügend ruhige Maushand haben, um versehentliche Doppelklicks auf den Anhang zu verhindern.

Hallo,
habe ich!

Danke für deine Hilfe!

Ergänzung (18. September 2009)

Du solltest auf Norton 2010 wechseln. Wenn Du noch eine gültige Definitionen-Lizenz hast, kannst Du kostenlos auf die aktuelle Norton 2010 Version wechseln.

Hallo,

danke, werde das schnellstmöglich nachholen. Ich muss ehrlich gesagt gestehen, dass ich Vista bis heute fast noch nicht produktiv genutzt habe... Dank MSDN habe ich aber ja inzwischen auch Windows 7. Mal schauen, vielleicht fliegt ja Vista raus...

Danke dir!