Trojaner auf NAS in Archive ZIP/RAR und ISO einfach gelöscht, Sicherheit
 

Hallo zusammen,

ja das ist mein erster Post :daumenhoc

Folgendes Szenario: Neulich habe ich mein komplettes NAS gescannt (Dateien > 10 Jahre alt). Darunter auch viele Archive und ISO-Files. Gescannt habe ich mit Avast. Das Scanergebnis lieferte ärgerlicherweise 16 Viren bzw. Trojaner (s. Anhang) :headbang:.

Dazu habe ich folgende Fragen:

1) Ich konnte im Netz nicht wirklich ernsthafte Details über diese Viren/Trojaner finden. Sind die Gefundenen extrem gefährlich oder eher so "Standard" und leicht zu beheben?

2) Alle Viren/Trojaner wurden entweder in ZIP- oder RAR-Files sowie ISOs gefunden, die ich nicht entpackt habe bzw. nur der Virenscanner beim Scannen entpackt hat. Sind diese Viren, solange sie nicht explizit entpackt wurden, unschädlich?

2.1) Entpackt wurde nicht direkt, jedoch habe ich mit Total-Commander einen "Vorschaublick" in die Archive mit einem Doppelklick durchgeführt. Ist das eine Art Entpacken oder wird nur vorsichtig durchs Inhaltsverzeichnis der Archive navigiert, sprich es bestand keine Gefähr den Virus/Trojaner zu "aktivieren"?

3) Bei den unteren ZBots ist als betroffene Datei nur das gesamte ZIP-File genannt worden und keine explizite Datei innerhalb des Archivs wie bei den obigen HideLink-A Fällen. Warum? Hat das einen bestimmten Grund?

4) Letzten Endes habe ich keine Spielchen getrieben, sondern die betroffenen 16 ZIP-, RAR- und ISO-Files einfach manuell über das Dateisystem gelöscht (es wurde keine Operation in Avast durchgeführt). Ist das ausreichend für eine 100%ige "Heilung" oder sollte ich besser das NAS neu aufsetzen oder weitere Schritte durchführen?

:dankeschoen:

Viele Grüße

hi,

da brauchts schon den Dateinamen, um eine Aussage treffen zu können. Diese Funde sind alle generisch. Der ZBOT würde mich intressieren. Aber auf der externen, dann noch gepackt oder in ISOs, passiert nix.

Du kannst den Krempel auch entpacken, solange du die darin evtl befindlichen ausführbaren Dateien nicht startest. Und ohne einen Startpunkt in der Registry sind das eh nur Leichen die auf ner Platte rumliegen.

Hallo zurück,

folgende Dateiendungen sind es:

- JS:HideLink-A = ".mht" Files. Hier wurde damals eine Website via Internet Explorer als "mht" gespeichert. Damals allerdings kein Virus gefunden, denn das hätte ich ja mitbekommen. Kann sich sowas mit der Zeit ändern? Die Files wurden nie angefasst.

- Other:Malware-gen = ".COM" Files. Hier handelt es sich um Taschenrechnerprogramme für den TI Voyage 200.

- Win32:Evo-gen = ".EXE" Files. Allerdings sind das teilweise Files von einer CD, die bei einem Software-Buch dabei war! Wobei "SUSP" ja nur ein Verdacht ist oder? (Einträge in den eckigen Klammern im Bild)

- Win32:ZBot-SWT = ".RAR" Files. Hier ist wie gesagt nur das Archiv selbst als infizierte Datei genannt, was ich auch etwas merkwürdig finde?!

Wie ist das Ganze nun zu bewerten? Wie gesagt, alle gefundenen Viren sind entweder in RAR-Files, 7Zip-Files oder ISO-Files gefunden wurden. Ich bin gespannt.

Grüße und Danke

Hi,

das sind ja ziemlich alte Dinger, die du da drauf hast;

doch wie "schrauber" schon erwähnt hat: Ohne Entpacken ist eine Beurteilung wohl kaum möglich (nur bitte keines davon starten);

meiner Meinung nach handelt es sich bloß um uralte, für moderne Scanner unbekannte Inhalte. ;)

Liebe Grüße, Alois

Eine Überprüfung des PC könnte trotzdem nicht schaden:
http://www.trojaner-board.de/plagege...n-bekaempfung/

Moin,

Wie ist das gemeint? Was soll das Entpacken zur Beurteilung beisteuern? Alle Details (welcher Virus/Trj + Dateiendung habe ich ja genannt), oder stehe ich auf dem Schlauch? :o

Wieso unbekannt? Der Scanner (aktuelle Avast-Version inkl. neue Def.) hat diese Viren doch erkannt :rolleyes:

Der PC selbst ist überprüft und virenfrei.

Hallo sharptype,

in Wahrheit wurde hier überhaupt nix erkannt: Es wurde lediglich auf Ähnlichkeiten mit bekannten "bösartigen" Dateiendungen hingewiesen;

diese Art der "Erkennung" wird übrigens auch "generisch" genannt.......

Liebe Grüße, Alois

Moin Alois,

mit "bösartigen" Endungen meinst du dann die von mir zu Beginn gepostete Liste der gefundenen "Viren/Trj", die somit nur die grobe "Kategorie" festlegen? :-)

Ich bin mit dem ganzen Virenthema noch nicht so betraut, da ich nie welche hatte. Und nun hab ich mal mein NAS gescannt und finde einen Virus nach dem anderen und mache mir da halt ein wenig Sorgen :/

so ungefähr ist es:

Die Dateiendungen haben eine gewisse Ähnlichkeit mit Viren - müssen aber deshalb noch lange keine sein.....

Ich habe den Eindruck, du traust deinem AV-Programm und/oder solchen im Allgemeinen einfach viel zu viel zu:

Das sind keine Wunderwerke und Sicherheit lässt sich eigentlich auch nicht wirklich kaufen. :kaffee:

Liebe Grüße, Alois

Verstehe. Ich bin grundsätzlich sehr vorsichtig und bedacht, gerade beim Thema Sicherheit, Mails usw. Daher wunderte ich mich eigentlich überhaupt, dass ich plötzlich diese 16-17 Viren gelistet bekommen habe. Echt merwürdig das Ganze und vor allem auch in Files, die ich seit > 7 Jahren nicht mehr angefasst habe. Es macht den Eindruck, dass erst neue Virendefinitionen dazu geführt haben diese Files als "infected" zu listen.

Aber ich bin grundsätzlich beruhigt, dass eigentlich keine Gefahr besteht, da allesamt in ISOs oder Archiven aufgetreten sind. Die habe ich ja wie gesagt einfach gelöscht, da ich diese sowieso nicht mehr gebraucht habe.

Gibt es eigentlich eine Erklärung warum bei den Z-Bot infizierten Archiven keine spezielle Datei innerhalb des Archivs gelistet ist sondern nur das gesamte RAR-File als Bedrohung genannt wurde? Würde ja evtl. bedeuten, dass es schon ausgereicht hätte das RAR-File irgendwo "rumliegen" zu haben um Schaden anzurichten oder irre ich?

Ja, es gibt eine Erklärung:

Das AV-Programm kennt sie eben nicht wirklich sondern findet lediglich gewisse Ähnlichkeiten mit Mustern von Viren und/oder Trojanern.

Es ist also eher anzunehmen, dass alle diese Funde ganz einfach harmlos waren.

PS: Unentpackte Archive sind i.d.R. ungefährlich.

Liebe Grüße, Alois

Okay, das wäre auf jeden Fall wünschenswert, dass das harmlos war :applaus:

Ich bedanke mich jetzt schon mal ganz herzlich für die Hilfe :daumenhoc

Gern geschehen! :)

Liebe Grüße, Alois

Ich glaube ich würde mit einem ungefährdeten Betriebssystem (Linux) die Archive mal entpacken bzw. die ISOs mal per "loop" mounten, die Prüfsummen (z.B. MD5) der betroffen Dateien generieren und mal das Internet befragen. Auch könnte man die Einzeldateien mal bei Virustotal testen lassen. Aber unter Windows würde ich das besser nicht probieren ;-) Als ZIP- bzw. ISO-Archive sind sie jedoch generell ungefährlich.