AntiVir findet Trojaner "TR/AutoItroj.A" auf der Installationspartition

[retep]

Hallo,

ich nutze auf meinem neuen R60e das kostenlose Antivirusprogramm AntiVir. Ein Scan auf dem Laufwerk c:, auf welchem das Betriebssystem installiert wurde, lieferte keinen Befund. Als ich gestern einen Satz Wiederherstellungs-DVDs mit dem Tool "Create Recovery Media" brennen wollte lief zunächst alles korrekt. Auf der im Normalbetrieb versteckten Partition, welche das komplette Betriebssystem für die Systemwiederherstellung beherbergt, wurden nach einer ensprechenden Meldung des Systems Dateien entpackt, um wahrscheinlich den Brennvorgang vorzubereiten. Plötzlich meldete AntiVir den Trojaner "TR/AutoItroj.A" auf der nun als Z-Laufwerk sichtbaren Partition. Leider fand ich auf der Webseite von AntiVir keine Informationen zu diesem Virus. Eine Google-Suche brachte mich auch nicht weiter. Eine von AntiVir als schadhaft gemeldete Datei ließ ich von verschiedenen Onlinescannern (u.a. Kaspersky) prüfen, die meisten fanden jedoch keinen Trojaner. Ich bin mir jetzt allerdings nicht ganz sicher, ob ich nun ein Problem habe oder nicht. Eine Email an AntiVir mit dem vermeintlichen Schadprogramm blieb bis jetzt unbeantwortet. Kennt von Euch jemand dieses Problem? Wäre für jeden Tip sehr dankbar.

Viele Grüße

Peter.




//EDIT by tüte:verschoben

 

[Cmdr Raycoo]

an etwas ähnliches kann ich mich noch erinnern. Nutze doch mal die SuFu! Den Link weiß ich nicht mehr, leider! Auch den Titel des Beitrags nicht.

Ich meine aber, dass es damals eine Fehlmeldung von AntiVir war. Ich würde in jedem Fall die paar Euro in ein richtiges Programm investieren. Über AntiVir habe ich in der letzten Zeit nicht viel Gutes gehört. Aber das nur am Rande.

Welches Datei soll es denn sein und wo liegt sie?

 

[Kamikatze]

finde da AVGuard viel besser, vor allem schluckt es weniger Systemressourcen. Und von NAV will ich erst gar nicht reden,...

 

[retep]

Hallo,

es handelt sich um mehrere Dateien auf der Recovery Partition. Eine davon heisst "Arestore.exe" und ist 41kb groß. Ich überprüfte sie mit knapp 30 unterschiedlichen online-scannern. Zweinen davon erschien sie zumindest verdächtig und weitere 2 identifizierten jeweils einen Trojaner.
Sollte es sich tatsächlich um ein Schadprogramm handeln, dann ist es nicht zu entfernen, es sei denn ich lösche die Recovery Partition.

Peter.

 

[retep]

Hallo,

ich habe mich dieser Sache weiter angenommen. Bei den von AntiVir als Trojaner gemeldeten Dateien handelt es sich offenbar um Compilationen von AutoIt-Scripten (Vers. 2.63) von jeweils ungefähr gleicher Länge. Bei AutoIt handelt es sich um einen Freeware-Script-Compiler, der sich auch für die Automatisierung von Installationsprozeduren eignet. Ich habe mal ein vermeintliches Trojaner-Script mit AutoIt zurückübersetzt. Diejenigen von Euch, die mit AutoIt vertraut sind, mögen evtl. gleich beurteilen können, ob sich wirklich etwas Schadhaftes (was ich nicht denke) hinter dem Code verbirgt:

;
; Program: 2KHWCLS.AUT - 2000/XP Hardware dialog closer
; Version: 1.2.2
; Author: Andrew Mueller, David Karner
;
; Function: Will read in "Systems Settings Change" dialog
; dialog title from region.ini and close the dialog if
; it exists
;
; Last Updated: May 27, 2003


HideAutoItWin, ON
SetEnv, DIR, C:\\IUWORK

IfNotExist, %DIR%\\REGION.INI, GoTo, NOINIFILE

IniRead, WINDOWTITLE, %DIR%\\REGION.INI, 2KHWCLS, Title

IfEqual, WINDOWTITLE, ERROR, goto, ERRORREADING

LOOP:
IfExist, %DIR%\\CLEANUP.TAG, EXIT
Sleep, 1
WinActivate, %WINDOWTITLE%
IfWinNotActive, %WINDOWTITLE%,, Goto, LOOP
Send, !n
IfExist, %TEMP%\\IUREBOOT.BAT, Run, %SRCLOC%\\RESTORE.EXE

EXIT

NOINIFILE:
MsgBox, 0, Error, INI File not found!
EXIT

ERRORREADING:
MsgBox, 0, Error, Error reading INI File!
EXIT

[ADLIB]

Ich habe gestern mit einer entsprechenden AntiVir-Funktion die vermeintlichen Trojaner Avira übermittelt. Heute bekam ich als Antwort sinngemäß: Danke für Ihren Beitrag an unser Labor um AntiVir sicherer zu machen. Leider können wir Ihnen keine individuelle Rückantwort geben.

Ich habe jedenfalls das rückübersetzte Script mit der AutoIt-Version 2.64 noch einmal compiliert. Und siehe da: Das compilierte Script wird von AntiVir nicht mehr als Trojaner erkannt.

Viele Grüße,

Peter.