Trojaner auf externer HDD

[marques]

Gude,

habe die Laptopfestplatte meiner Freundin ausgebaut und in ein externes Gehäuse gepackt da Ihr Laptop den Geist aufgegeben hatte.
Sinn der Übung war es die vorhandenen Datein zu sichern, da dort einige Bilder waren die sie behalten wollte.

Ich selbst nutze Win 10 Pro mit KIS 2017(beides aktuell!).
Habe die Platte angesteckt und gem. der Einstellung in KIS führt dieser bei allen Wechseldatenträger sofort einen Komplettscan mit der höchsten Heuristikstufe aus.
Nach ca. 30 Minuten SCAN hat er mir dann ganz zum Schluss mitgeteilt, dass er auf der HDD (in H:\ProgrammData\Pepe\Pepe.exe) einen Trojan.MSIL.Agent.abvst gefunden hat.
Laut dem Bericht hat er die Datei aber nicht verarbeitet und auch nicht gelöscht..Keine Ahnung wieso.
Naja habe die Platte dann abgetrennt und sofort einen Komplettscan meines Systems gemacht mit dem Ergebnis das alles sauber sei. Zur Sicherheit habe ich mir mit Malwarebyte geladen und auch dort gabs es keine Funde auf meinem System.

Wie hoch würdet ihr die Wahrscheinlichkeit einschätzen, dass das System wirklich clean ist?
Habe die Datei ja nicht ausgeführt, sondern KIS hat diese nur gescannt und etwas entdeckt.

Neuinstallation von Windows sinnvoll oder vielleicht sogar notwendig? Bin leider bissl verwirrt, da ich bisher noch nie einen Fund hatte seitdem ich Win7 bzw. Win10 nutze!

Gruß

 

[chriscrosser]

also
es kann durchaus sein, das aufgrund der höchsten heuristikstufe etwas ungewöhnliches gefunden wurde, was aber nicht unbedingt heissen muss, das etwas kompromitiert sein muss oder würde!
du hast die platte ja immer noch extern angeschlossen - richtig!?
wenn die pepe.exe nicht größer als 128MB ist, könntest du diese mal bei virustotal hochladen und durchchecken lassen:
https://www.virustotal.com/de/
wenn sie größer sein sollte, checke sie mal mit anderen proggies bei dir lokal durch
solange du die EXE nicht ausführst, kann eigentlich nicht viel passieren...
ist dir das alles zu heikel, lösche sie einfach "händisch" und lasse danach noch mal die KIS drüberlaufen

 

[marques]

Ja wie gesagt. Die HDD wurde in externes Gehäuse eingebaut. Soll eh formatiert werden. Aber habe bissl Bedenken das an meinem PC zu machen
Ausgeführt habe ich die Datei nicht! Nur hat der KIS sie halt gescannt..Der "Programmpfad" deutet auch nichts gesundes hin finde ich.
Mir geht es hauptsächlich um die Sicherheit meines PCs. Bin da leider bissl verunsichert gerade!

 

[chriscrosser]

was spricht dagegen, die datei bei virustotal hochzuladen? - sofern sie nicht größer als 128MB ist?
wenn du nach pepe.exe googlest landest du hier:
https://www.google.de/search?q=pepe.exe&ie=utf-8&oe=utf-8&client=firefox-b&gfe_rd=cr&dcr=0&ei=dbcuWsm8DKiV8Qejh42QDw
wie gesagt, es könnte durch die höchste heuristik auch ein fehlalarm sein
beim hochladen bei VT kannst du meiner meinung nach auch eine externe platte auswählen, sofern diese natürlich angeschlossen und eingeschaltet sein muss
gerade selber geprüft! - du kannst die datei auch über die angeschlossene externe platte hochladen!

 

[marques]

Ja ich gucke mal dabei.
Habe wie gesagt bedenken die Platte wieder anzuklemmen und dann noch die Datei hochzuladen?

 

[chriscrosser]

eh man!
was soll denn passieren? - du gehst zu VT - datei hochladen - wählst die externe platte aus und lädst die hoch!
der datentransfer kommt dann von der externen platte über deine inet-verbindung
wenn diese EXE sich selber ohne zutun ausführen würde, hättest du diese schon längst auch bei dir drauf!
die frage steht nach wie vor! - wie GROSS ist diese EXE???
wenn du dich nicht traust, kontaktiere mich per PN, schicke mir das ding rüber und dann mache ich das für dich

 

[marques]

Sorry.
Ich danke dir vorab für deine Hilfe!
Ich lade die Datei fix hoch und dann poste ich hier das Ergebnis?
Bin wahrscheinlich bissl zu vorsichtig.

 

[chriscrosser]

ja - du bist etwas zu vorsichtig
du hast mir immer noch nicht mitgeteilt, wie groß diese EXE ist!

edit:
wenn es wegen der größe geht, JA, poste das ergebnis bitte hier rein

 

[marques]

Die Datei ist laut Explorer 125kb gross

 

[chriscrosser]

also dann! - null problemo!
auf gehts!

 

[Tzk]

Wenn du so viel Angst vor dem Trojaner hast und die HDD eh formatiert werden muss: Boote doch einfach ne Linux LiveDVD und mach sie dort platt.

 

[chriscrosser]

@Tzk
mein tipp war ja auch, dann die EXE "händisch" von der externen platte zu löschen und danach nochmal KIS drüberlaufen zu lassen!
naja, warten wir mal auf das ergebnis vom TE bei virustotal

 

[marques]

https://www.virustotal.com/de/file/643bb23e1e6890fa920db9859bb74fe5d94195ffefe21b7ec392e70b19c48f97/analysis/

das ist der Link zu dem Ergebnis.
kein wunder das es nicht gefunden wurde. laptop hatte avast drauf, der es laut virustotal nicht erkennt..

 

[chriscrosser]

wie du aber auch siehst: im oberen teil sind viele unbekannte scanner dabei, die die datei als "bedrohung" ansehen...
wenn du etwas weiter runter gehst, sind auch dort viele bekannte, die sagen, alles ist OK!
es ist wirklich manchmal ein schwieriger grat, zu entscheiden, ob das wirklich malware ist oder eventuell der heuristik geschuldet ist
ich hatte das früher auch mal bei "trainern" für spiele, das die angeblich malware sein sollten - waren sie aber nicht!

ich glaube nach wie vor, dass das "teil" bei dir ein fehlalarm war - ist aber meine meinung
schmeiss die datei einfach per hand runter (löschen) und checke es danach noch mal mit KIS / oder formatiere die externe platte wenn du alle wichtigen daten gesichert hast
ich würde dir aber trotzdem empfehlen, die heuristik vom KIS auf NORMAL zu stellen
vielleicht hat es dir ja etwas gebracht das mal zu machen ( über virustotal) um dir die "muffe" zu nehmen
gruß aus berlin

 

[marques]

Ja ich danke dir aufjedenfall schonnmal.
Ich werde die Platte eiinfach mal lowlevel formatieren.
Primär ging es mir auch um die Möglichkeit durch das Anstecken an meinen PC mich eventuell "gefährdet" zu haben.
Da ich die Datei aber nicht ausgeführt habe, wird wohl auch nichts sein. Zumal KIS und Malwarebytes nichts finden.

 

[dirk11]

Ich werde die Platte eiinfach mal lowlevel formatieren.

Das möchte ich sehen!

 

[marques]

Hm? Ist das falsch ausgedrückt?

Edit: weiss auch das die programme kein echtes low level format macheb, aber nennen es halt auch so