TR/HDBreaker-Fehlalarm durch AV?!?

[Telekomunikacja]

Grüß Gott!

Gestern habe ich nach einem update von AV

Program: 6.28.00.10
Engine : 6.28.00.12
VDF : 6.28.00.76
Spec : 6.28.00.23

einen Scan durchgeführt. Plötzlich erschien das Dialogfenster

Datei: MR2800.CAB
Dieses Archiv enthält eine oder mehrere infizierte Dateien!
Infizierte Dateien in Archiven werden nicht repariert oder gelöscht!
Möchten Sie diese Meldung weiterhin für jedes Archiv mit infizierten Dateien erhalten?

JA _ NEIN

daraufhin

Die Datei V90DRV.VXD ist das Trojanische Pferd TR/HDBreaker
Soll diese Datei gelöscht werden?

JA _ STOP SCAN _ NEIN _ OPTIONEN/ REPARATUR _ HILFE

In der LOG von AV findet sich folgender Eintrag:

C:\Driver
MR2800.CAB
ArchiveType: CAB (Microsoft)
--> V90DRV.VXD
[FUND!] Ist das Trojanische Pferd TR/HDBreaker
V90DRV.VXD
[FUND!] Ist das Trojanische Pferd TR/HDBreaker
Nach Rückfrage nicht gelöscht!

Da die verdächtige Datei c:\driver\mr2800.cab am 08.06.2000, 13:37 erstellt (und auch zuletzt geändert) worden ist, AV dieses Archiv bislang, d.h. in der Version

Program: 6.28.00.07
Engine : 6.28.0.12
VDF : 6.28.0.71
Spec : 6.28.00.23

nie als infiziert gemeldet hatte, stellt sich die Frage, ob hier ein Fehlalarm vorliegt

Komisch allerdings, dass sich während eines Scans mit Ad-Aware der AV-Guard mit

17.11.2004 09:35:17: Die Datei "C:\WINDOWS\TEMP\AAWTMP\C281254\2C7F9\V90DRV.VXD" ist infiziert mit dem Virus "TR/HDBreaker"
17.11.2004 09:37:47: Die Datei wurde umbenannt.

gemeldet hat, obwohl TEMP leer gewesen ist.

Für ein paar Anmerkungen, Tipps, Wünsche, ... wäre dankbar:

 

[Devilfrank]

Die Meldung beim Scan mit AdAware ist klar, da für den Scan das Archiv im Temp-Ordner entpackt wird.
Ob es sich um einen Fehlalarm handelt kannst Du nur durch einen/mehrere Gegenscan/s mit alternativen AV-Scannern ermitteln.
http://forum.computerbetrug.de/viewtopic.php?t=5593&start=0&postdays=0&postorder=asc&highlight=

 

[Telekomunikacja]

Danke für die prompte Antwort!

Ich habe mir 'mal die Originaldatei (Original-CD-Rom "Drivers & Utilities") angeschaut:
MR2800.CAB auf c:\driver\ und e:\driver\...\ sind auf den ersten Blick/ formal identisch.

Habe dann - nur so zum Spaß - einmal die CD-Rom von AV scannen lassen... und siehe da:

Angeblich befindet sich auch dort schon (Juni 2000 !) der Trojaner TR/HDBreaker:

E:\DRIVER\BOARD\MS6178\DRIVER\WIN98
MR2800.CAB
ArchiveType: CAB (Microsoft)
--> V90DRV.VXD
[FUND!] Ist das Trojanische Pferd TR/HDBreaker
V90DRV.VXD
[FUND!] Ist das Trojanische Pferd TR/HDBreaker
Nach Rückfrage nicht gelöscht!

Falscher Alarm - falls es einer ist - ist halb so schlimm, doch ärgerlich ist, dass AV bei jedem Zugriff auf MR2800.CAB (z.B. beim Ad-aware-Scan) Alarm schlägt und den Prozess unterbricht...

Meine Ratlosigkeit ist also eher gestiegen...



Im AV-Forum habe ich diesen Tipp bekommen:

wenn das antivir in der allerneuesten version meldet dann einfach die datei, die von antivir bemosert wird einschicken.
in ein archiv mit passwort versehen in einer e-mail an virus@antiv[...].de mit hinweis, dass es wahrscheinlich ein fehlalarm ist. natürlich nicht vergessen das passwort für das archiv mit in die e-mail zu schreiben.
dann sollte der potentielle fehlalarm in einem der nächsten updates behoben sein.

Vielleicht eine Überlegung wert... 8)



P.S. Hätte AV nicht, während ich im INet war und mir offensichtlich/ angeblich den TR eingefangen habe (andere Möglichkeit ausgeschlossen), schon Alarm schlagen müssen?

 

[Devilfrank]

Sieht nach Fehlalarm aus. Schick die Datei/ Info am besten mal Antivir, damit das behoben werden kann.

 

[Telekomunikacja]

Info am besten mal Antivir

Gerade geschehen. 8)

 

[Telekomunikacja]

Info am besten mal Antivir

Gerade geschehen. 8)

... und habe Antwort erhalten:

In der von Ihnen eingesendeten Datei ist kein Virus enthalten.
Es handelt sich um einen Fehlalarm.
Dieser Fehlalarm wird mit einem der nächsten Updates von AntiVir beseitigt.
Wir bitten um Ihr Verständnis.
--
Freundliche Gruesse
H+BEDV Datentechnik GmbH
i. A. I[...] K[...]
Sales Support/Consulting

 

[Devilfrank]

So muss das laufen.
:thumb: