HEUR:Trojan.Script.Generic (mal wieder)

[pileus]

Hallo,

ja ich weiß, dieser kleine Fiesling schlägt immer mal wieder zu. Habe dazu auch schon diverse Stränge verfolgt und versucht zu be-folgen, konnte aber das Problem nicht beheben. Auch Tante Google konnte letztlich nicht ausrichten...

Betriebssystem: Windows 11, Version: 25H2 (Build 26.200 8037)
Kaspersky Plus, Versionsnr.: 21.24.8.522(b)

Problem: Kaspersky meldet den o.g. Trojaner, kann das Problem jedoch aber nicht beheben, sprich: rödelt endlos und meldet schließlich nach einer Ewigkeit, das Problem nicht beheben zu können. - Keine Löschoption oder sowas.
Öffne ich den Dateipfad, lande ich zwar tatsächlich auf dem Ordner "Trash" (im 1. Fall) bzw. "Inbox" (im 2. Fall), aber damit hat sichs auch, d.h. diese Ordner lassen sich nicht weiter öffnen, um etwa an den Ordner-Inhalt zu gelangen, wo der Übeltäter ja sitzen soll.

Was kann ich tun?

Vielen Dank für Rat und Hilfe im Voraus.

Jürgen

Hier der Screenshot der Kaspersky-Meldung:

[Kilauea]

Rechtsklicke die Ordner Inbox (Posteingang) und Trash (Papierkorb) und wähle "komprimieren".

 

[pileus]

Danke, aber das hat nichts gebracht: Ich erhalte jeweils die Option(en) "Komprimieren in" ... und je nach Auswahl werden neue spezifische Ordner angelegt (am Beispiel "Trash" wäre das dann in meinem Fall "Trash.bz2", für "Inbox" wurde der Ordner "Inbox.zip" erzeugt).

Das Kaspersky-Problem bleibt jedoch ebenso erhalten, wie auch die ursprünglich verwiesenen korrupten Ordner.

[Kilauea]

Oh, das war von mir schlecht beschrieben............Rechtsklicke die Ordner in Thunderbird. 😇

[pileus]

Danke Kilauea, aber auch das hat nichts an der Meldung von Kas geändert, sogar nachdem ich dann den Inhalt des Papierkorbs (Trash) auch noch händisch gelöscht habe. Auch die komprimierte Inbox zeigt keine Auswirkungen auf die Kas-Meldung. Beide werden nach wie vor angezeigt. Ich hab' da letztlich nur die Wahl zwischen "Ignorieren" oder "Zu den Ausnahmen hinzufügen". - Beides trau' ich mich nicht so recht ...  

[Kilauea]

Ist das ein POP3 Konto oder Imap ?

Hast du die Dateien/Ordner erneut gescannt um zu sehen ob die Meldung verschwindet ?

Weil das sollte zumindest beim Papierkorb der Fall sein wenn du ihn gelöscht und anschließend komprimiert hast.

Wenn nicht, melde dich dann habe ich weitere Tipps.

 

[Kilauea]

Zunächst kopiere den Ordner

"C:\Users\Name\AppData\Roaming\Thunderbird"

auf eine externe Festplatte, sofern möglich.

 

[pileus]

1. Es ist IMAP und nein, die Meldung ist trotz Inhaltlöschens und erneutem komprimieren des Papierkorbs nicht verschwunden, auch nach PC-Restart nicht.

Morgen (nach dem schlafen) werde ich die Kopie des TB-Ordners - wie von Dir vorgeschlagen - versuchen, auf einen Stick durchzuführen. Wenn die Kapazität nicht reicht, muss ich mir am Samstag wohl erst eine FP besorgen.

Danke für Deine Tipps, ich schöpfe neue Hoffnung. 😉

[pileus]

Hmm, ich strande leider bereits am Zugangspfad via Datei-Explorer "...AppData\Roaming\Thunderbird", den ich unter keiner der aufrufbaren Pfad-Optionen "C:\Users\..." finden kann (siehe Screenshot). Da gibt es jweils eine Reihe weiterer Ordner, aber keiner führt zu Anschluss an die Pfad-Konstellation "AppData\Roaming\Thunderbird" oder auch nur einen Teil von dieser.

Unter "C:\Programme\..." finde ich zwar Zugang zum Ordner "Mozilla Thunderbird" (Screenshot 2), aber darin stehe ich dann auch schon vor den nächsten Rätseln ...

Kann es sein, dass ein Teil der Inhalte (Pfade) nicht angezeigt werden, weil sie auf "verborgen" stehen. Und falls Ja: Wie mach ich das sichtbar?

Von daher weiß ich auch noch nicht, ob die Stick-Kapazität von 30 GB ausreicht oder ich eine ext. FP besorgen sollte.

Edited April 3 by pileus

[pileus]

Kommando zurück, bin weiter in den Pfad reingelangt ...

Melde mich wieder

 

 

Edited April 3 by pileus

[pileus]

Ok, das TB-Verzeichnis lässt sich leider nicht komplett auf den 30-Giga Intenso-Stick kopieren. Bricht wegen Kapazitätsproblemen der "Inbox" bei 56 % ab ("die Datei INBOX ist zu groß für das Zieldateisystem"). Das betrifft allerdings, wie ich überprüft habe, nicht die Manitu-INBOX, sondern die eines weiteren, großen gmx-Kontos.

Das "Manitu"-Profil, innerhalb dessen die Probleme von Kas ja angemeckert werden, ist aber vollständig auf dem Stick.

Lässt sich damit weitermachen oder brauch' ich tatsächlich das komplette Verzeichnis, also erst eine Externe?

 

[Kilauea]

vor 1 Stunde schrieb pileus:

Lässt sich damit weitermachen oder brauch' ich tatsächlich das komplette Verzeichnis, also erst eine Externe?

Also da möchte ich nicht schuldig sein falls da was schiefgeht...

Schau mal in diesen Thread:

https://forum.kaspersky.com/topic/heurtrojanvbssagentgen-thunderbird-infection-58293/#findComment-228263

Das war allerdings kein Imap Konto.

Im Zweifel wende dich an den Support.

 

[pileus]

Okay, ich war dann mutig und hab' auf eigenes Risiko selbst den Verstand bemüht und nach Logik weitergemacht. 😉 

Nachdem ich die "Trash"-Datei im relevanten Pfadende gelöscht und nach einem Neustart vom Stick aus wieder aufgespielt hatte, meldete KAS nur noch 1 Problem: Die INBOX.

Von diesem Teilerfolg beflügelt wagte ich dann eine Wiederholung dieses Vorgehens auch mit dem "INBOX"-Ordner und - siehe da: Beim neuen Scanversuch ist die KAS-Meldung verschwunden, also Alles wieder im grünen Bereich! 😍

Dir noch mal 1.000 Dank für Deine Geduld (und Umsicht)!

Bin jetzt nur unsicher, welches Post ich "Als Lösung markieren" soll. Ich nehm' wohl mal Deinen letzten Tipp, weil Vorsicht immer die Mutter der Porzellankiste ist. 😎

Edited April 3 by pileus

[Kilauea]

Wunderbar. Danke für deine Rückmeldung und Beschreibung, das wird in Zukunft noch anderen helfen.

Wobei mir, offen gestanden, noch nicht ganz klar ist warum das funktioniert hat. 😇

Aber nun, Ende gut, alles Gut. (Ich werde mal versuchen das nachzuvollziehen.)

🙂

 

[pileus]

vor 18 Minuten schrieb Kilauea:

Wobei mir, offen gestanden, noch nicht ganz klar ist warum das funktioniert hat. 😇

Ich vermute mal, dass KAS aus irgendeinem unerfindlichen Grund die zuvor ja komprimierten (also veränderten) Dateien dennoch nicht als runderneuert erkannt und daher nicht wirklich neu eingelesen hatte. Erst als ich sie komplett gekillt und restartet hab', gab's ja gar keinen Zugriff mehr darauf, sodass auch die Meldung verschwand.

Und nachdem ich die ja komprimierten Dateien zurückgespielt hatte, wurde dann auch tatsächlich neu eingelesen und dabei war der korrupte Dateibereich natürlich verschwunden. - Möglich, dass ich da einen doppelten Laien-Denkfehler drin und einfach nur Glück hatte', aber wie Du schon sagst:

Ende gut, alles gut. 😉