Trojaner lässt sich nicht entfernen

[helmut_grokenberger]

Liebe Community,

ich bin etwas ratlos und hoffe auf euren Sachverstand. Seit ein paar Monaten bekomme ich von Windows 11 Defender eine Erkennungsmeldung. Packt man den Fund in Quarantäne, wird Defender nach ein paar Minuten erneut fündig. Hier die Details:


Erkannt Trojan:HTML/Redirector.PAIF!MTB
Pfad: ...AppData\Local\Microsoft\Windows\INetCache\IE\OQLREHDK\rss_issues_all[1].htm
Pfad: ...AppData\Local\Microsoft\Windows\INetCache\IE\B91A77C4\rss_tvissues_all[1].htm

Erkannt Trojan:HTML/Redirector.MKK!MTB
Pfad: ...AppData\Local\Microsoft\Windows\INetCache\IE\OQLREHDK\rss_issues_all[1].htm
Pfad: ...AppData\Local\Microsoft\Windows\INetCache\IE\OQLREHDK\rss_tvissues_all[1].htm

Eine vollständige Überpfüfung ergibt keine Funde. Ebenso keine Funde bei einer Offlinesuche nach einem Reboot.
Was kann ich noch ausprobieren? Liegt das an einem temporären Fund im Cache beim Surfen ("NetCache"?). Ich verwende die neuste Firefox-Version.

Eine Neuinstallation scheue ich momentan sehr, weil ich nicht die Zeit habe momentan. Das Haus ist voll mit Handwerkern nach einem Wasserschaden

Danke euch vorab für einen Rat.

VG Helmut

 

[Mornsgrans]

Lösche doch mal den Browser-Cache über das "Einstellungen"-Menü des Browsers. - Notfalls zuvor den Defender deaktivieren/pausieren.

 

[uli1956]

Eine Neuinstallation scheue ich momentan sehr

Ein einmal kompromittiertes System würde ich immer komplett neu aufsetzen, Aufwand hin oder her.

 

[helmut_grokenberger]

Den Browser-Cache leere ich automatisch nach jedem beenden von Firefox. Bringt leider keinen Erfolg

 

[Christina]

Den Browser-Cache leere ich automatisch nach jedem beenden von Firefox.

Firefox legt seinen Cache nicht unter „Microsoft–Windows–InternetExplorer (IE)“ an.

AppData\Local\Microsoft\Windows\INetCache\IE\OQLREHDK\rss_issues_all[1].htm

Lösche das hier alles mal von Hand.

 

[Mornsgrans]

Notfalls zuvor den Defender deaktivieren/pausieren.

Das könnte entscheidend sein!

Wenn Defender die verdächtigen Dateien blockiert, kann man sie meist auch nicht löschen.

Vor allem musst Du nicht den Firefox.Cache leeren, sondern den des IE:

AppData\Local\Microsoft\Windows\INetCache\IE\

Den Ordner schleppst Du vermutlich seit Jahren mit Dir herum, da der Internet-Explorer schon lange durch ein Windows Update entfernt wurde.

 

[StefanW.]

Nutzt Du qbittorrent?

 

[helmut_grokenberger]

Danke für die schnellen hilfreiche Antworten.

Ich habe auf dem PC keinen IE, Edge,, Chrome, Opera mehr. Nur noch Firefox.
Wenn ich den Pfad im Explorer öffne, zeigt es die Ordner nicht an (obwohl ich versteckte Ordner anzeigen lasse).

Ich habe einfach mal Defender deaktiviert und den kompletten "NetCache"-Ordner händisch im Explorer/Papierkorb gelöscht. Mal schauen, ob jetzt nochmal eine Trojanermeldung kommt.

qBittorrent verwende ich nicht.

Beitrag automatisch zusammengeführt: 29 Okt. 2025

Kann man einschätzen, was das für dein Trojaner ist/war? Was macht der im Zweifel?

Beitrag automatisch zusammengeführt: 29 Okt. 2025

Update: Jetzt hat Defender wieder eine Meldung gegeben:

Fund in einem anderen Ordner im NetCache\IT:
...\AppData\Local\Microsoft\Windows\INetCache\IE\B91A77C4\rss_tvissues_all[1].htm

Habt ihr noch Tipps? Ich werde in 2 Monaten das Gerät neu aufsetzen können, aber momentan kommt die Meldung echt zu einer Unzeit

 

[HolyBimBam]

Kann man einschätzen, was das für dein Trojaner ist/war? Was macht der im Zweifel?

Wirf die Bezeichnung in eine Suchmaschine und schau was passiert

Trojan:HTML/Redirector!MTB threat description - Microsoft Security Intelligence

Trojan:HTML/Redirector.PAIF!MTB threat description - Microsoft Security Intelligence

Habt ihr noch Tipps?

Lass mal Malwarebytes, HijackThis o.ä. drübergucken (lässt sich neben Defender nutzen, da nicht-persistent & kein Echtzeitschutz)

Malwarebytes

Die Antivirussoftware Malwarebytes hilft beim Aufspüren und Entfernen von gefährlicher Software aller Art inklusive Ransomware.

www.heise.de

HijackThis

Die Security Software HijackThis ist ein kostenloses Anti Malware und Anti Spyware Tool für die Computer-Sicherheit.

www.heise.de

 

[Mornsgrans]

Siehe:

Windows Defender findet nach jedem neustart den DownloadTrojaner: JS/Vdehu.A

Seit vorgestern plagt mich windows defender mit dieser Nachricht und ich kriege diesen Trojaner nicht weg ;( Spybot und Malwarebytes findet nichts und habe mir sogar den einmaligen scan von ESET runtergeladen (wobei ich nicht weiß ob das irgend etwas bringt). auch habe ich die dateien nach...

www.computerbase.de

Dort gab es auch den Tipp mit Malwarebytes, der das Programm "PC Equalizer" als Ursache ermittelte.

 

[think_pad]

Kann man einschätzen, was das für dein Trojaner ist/war? Was macht der im Zweifel?

Die Datei rss_tvissues_all.htm oder rss_tvissues_all.php ist in der Regel ein Podcast-Feed, dessen Dateien als Audio oder Video vorliegen. Es ist also kein Trojaner, sondern eine HTML- oder PHP-Datei, der auf die MP4 oder MP3-Dateien auf dem Server verweist, die nicht extra auf den PC herunter geladen wurden.

Warum der uralte Internet Explorer die Podcasts, die vom Firefox aufgerufen werden, ausschnüffelt, bleibt sein Geheimnis.

<language name="deutsch" -> Sprache

<provider name="Favoriten Audio" -> Gruppe

<podcast name="Wir_reden_viel" url="http://www.w_r_v.de/rss_tvissues_all.htm"/> -> Das ist jetzt der Feed, der auf die Medien-Dateien des Servers http://www.w_r_v.de verweist.

... und den der Defender als Trojaner interpretiert. (Man kann natürlich einen echten Trojaner auch "so aussehen lassen" wie einen Podcast-Feed.)

Diese Dateien, wenn man sie denn löschen will, lassen sich nur im PE-Modus (z.B. durch einen gebooteten USB-Stick) mittels eines Batch-Scripts löschen.

X:\Pfadname\del *.* /q /f

löscht z.B. ohne Rückfrage sämtliche Dateien innerhalb eines Verzeichnisses "Pfadname".

 

[TheGrey]

löscht z.B. ohne Rückfrage sämtliche Dateien innerhalb eines Verzeichnisses "Pfadname".

Ich glaube Du wolltest "del X:\Pfadname\*.* usw." schreiben?

 

[think_pad]

Ich glaube Du wolltest "del X:\Pfadname\*.* usw." schreiben?

Nein. Das kann man natürlich auch machen, aber ich bin ja bereits im Pfad, weil ich die Kontrolle über den Inhalt haben will.

C:\users\username\Desktop\test>del *.* /q /f

löscht z.B. alle Dateien in einem Ordner "test" auf dem Desktop.

Für eine vorbereitete Batchdatei delete_cache.bat im WINDOWS PE würde man allerdings tatsächlich absolute Pfade nehmen, doch dazu muss man wissen, welche Unterordner sich darin befinden.

del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\IE\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\IE5\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\MSO\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\Content.Outlook\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\Content.Word\*.* /q /f
del c:\users\username\AppData\Local\Microsoft\Windows\INetCache\Low\*.* /q /f

Ob sich in den Ordnern auch noch weitere Unterordner befinden, muss man vorher mit dir ermitteln. Und wenn man nun einmal da im Pfad ist, nimmt man del *.*

 

[Mornsgrans]

Du hast aber oben den Prompt weggelassen,

X:\Pfadname\del *.* /q /f

wodurch der Befehl falsch wurde.

 

[think_pad]

Du hast aber oben den Prompt weggelassen, wodurch der Befehl falsch wurde. --> X:\Pfadname\del *.* /q /f

Na ja, ich habe anstatt eines Promptes ein Backlash geschrieben.

So ist es korrekt als CMD-Box-Konsolenbefehl...

X:\Pfadname>del *.* /q /f

... und so ist es korrekt als Batchbefehl...

del X:\Pfadname\*.* /q /f

 

[TheGrey]

Nein. Das kann man natürlich auch machen, aber ich bin ja bereits im Pfad, weil ich die Kontrolle über den Inhalt haben will

Jetzt mit der neuen Schreibweise erkenne ich es auch, davor hat der > gefehlt, das war daher verwirrend

 

[helmut_grokenberger]

Die Datei rss_tvissues_all.htm oder rss_tvissues_all.php ist in der Regel ein Podcast-Feed, dessen Dateien als Audio oder Video vorliegen. Es ist also kein Trojaner, sondern eine HTML- oder PHP-Datei, der auf die MP4 oder MP3-Dateien auf dem Server verweist, die nicht extra auf den PC herunter geladen wurden.

Warum der uralte Internet Explorer die Podcasts, die vom Firefox aufgerufen werden, ausschnüffelt, bleibt sein Geheimnis.

Das war der Tipp des Tages. Mega, danke!
Ich habe in Outlook ein paar alte integrierte RSS-Feeds auf Podcasts gelöscht. Bisher nach mehrmaligem Scan keine kein Alarm mehr von Defender. Das scheint es gewesen zu sein und ich bin beruhigt.

Merci an alle!

 

[Kai W.]

Moinsen!

Wo das Problem ja gelöst ist, stelle ich mal eine "Ahnungslosnfrage": War das jetzt eher so ein "false positive", oder wirklich eine potentielle Bedrohung? Ich würde zu Ersterem tendieren, lasse mich aber gerne belehren.


Danke vorab & Gruß,

Kai

 

[Mornsgrans]

Dazu hätte man sich die Inhalte der htm-Dateien genauer ansehen müssen.

 

[think_pad]

War das jetzt eher so ein "false positive", oder wirklich eine potentielle Bedrohung?

Das kann der Virenscanner eben auch nicht beurteilen: Gibt es eine HTML- oder PHP-Datei, die Links für Dateien aus dem Netz enthält, die man einfach so nachlädt, dann kann der Virenscanner theoretisch davon ausgehen, dass es ein Trojaner ist.

Ob es sich um echte oder getarnte Viren handelt, echte oder getarnte ZIP-Pakete oder ob ein Hacker sogar den ganzen Server mit den falschen Dateien selbst aufgesetzt hat, kann ein Virenscanner nicht beurteilen.

Ein Virenscanner kann aber die heruntergeladenen Pakete "zerlegen und auswerten", ob sich darin Signaturen von Viren befinden.