PDM:Trojan.Win32.Generic - msmpeng.exe gefunden

[paulpaulsenscr]

Hallo,

ich wollte auch mal eure Meinung einholen, bevor ich vollkommen am Rad drehe. Habe parallel auch direkt bei Kaspersky gepostet. Was würdet ihr machen/denken?

Habe gestern Kaspersky Internet Security deinstalliert, weil es nicht mehr so gearbeitet hat, wie es sollte (Beschreibung folgt). Während der Deinstallationsroutine (gestartet über "Einstellungen -> Apps -> Deinstallieren") kam kurz vor dem Durchlauf noch eine Virenmeldung von Kaspersky. Genau dann, als Windows registriert hatte, dass der aktuelle Virenschutz (Kaspersky) ausgeschaltet wurde und zur Zeit keiner aktiv ist. Der Windows Viren- und Bedrohungsschutz springt dann normalerweise erst nach einem Neustart an. Das ist glaube ich ein normales Verhalten.

Gefunden wurde PDM:Trojan.Win32.Generic in der Datei msmpeng.exe (Bild 1-3).

Pfad: C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2011.6-0

Nach dem Neustart hat sich der Windows Defender auch nicht angeschaltet und hat sich selbst mit "sfc /scannow" nicht reparieren lassen (Bild 4-5).

Mit einem Backup konnte ich das Verhalten einmal reproduzieren. Danach mit den selben Backups und dem identischen Vorgehen gab es die Virenmeldung nicht mehr. Soweit ich weiß gehört die Datei zum Windows Defender. Ich habe die Datei mit Kaspersky, Malwarebytes und bei Virustotal nochmals geprüft. Es wurden keine Viren/Trojaner gefunden (Bild 6).

Zuvor hatte sich Kaspersky anders verhalten als sonst. Im sicheren Browser wurden Seiten nicht mehr geladen (von jetzt auf gleich) und danach er ließ sich nicht mehr starten (Bild 7). Des Weiteren konnte bei gewissen Dateien keine Verbindung zum KSN bezüglich Überprüfung von Dateireputation aufgebaut werden (Bild 8).

Ich habe danach andere Backups aufgespielt, bei denen der sichere Browser sowie die KSN Überprüfung funktioniert haben. Auch da lief die Deinstallation von KIS wieder ohne Virenmeldung. Der Windows Defender hat sich danach (auch mit Windows Reparatur) eingeschaltet.

Die betroffene Datei habe ich aufgehoben. Logs habe ich wegen Deinstallation und Aufspielen von Backups nicht mehr. Ich kann es zur Zeit auch nicht reproduzieren. Malwarebytes läuft parallel (ich weiß - es ist nicht empfohlen) auch und hat währenddessen nichts gefunden.

System:
Windows 10, 22H2 Build 19045.2251
Kaspersky Internet Security 21.3.10.391 (j)
Malwarebytes 4.5.18


False-positive? Was wären eure Empfehlungen? Habe wie gesagt nochmals ein Backup von vor dem Fehlverhalten aufgespielt, sonstigen im PC verbaute Festplatten aber nicht zurückgesetzt. Genauso wie ich PWs noch nicht geändert habe.

Vielen Dank im Voraus.

 

[Luftgucker]

Ich würde die Kasper Software deinstallieren und nie wieder verwenden.

 

[Brati23]

Solange das Ding gefunden wurde ist es meiner Meinung nach halb so wild.
Schlimmer finde ich komisches Verhalten und kein Fund.
Weitermachen. Und Kasper deinstallieren!

 

[Doly]

Wie wäre es mit einer sauberen Neuinstallation?

 

[chrigu]

Ich vermute das Kaspersky diesen Trojaner automatisch in die Quarantäne geschoben hat und nun wird diese Datei vom defender entdeckt und korrekt erkannt. Lösch doch einfacher die Datei.

 

[paulpaulsenscr]

Die Datei wurde noch während der Deinstallationsroutine durch Kaspersky selbst gefunden und gelöscht.

Während der Deinstallatiosnroutine merkt Windows, dass grade kein Antivirenschutz aktiv ist. KIS schaltet den Windwos Defender ja aus. Vllt. ist der Windows Defender aktiv geworden, das Programm/die Datei sprang an und das Verhalten wurde noch KIS als merkwürdig empfunden.

Auf Virustotal wurde nichts gefunden. KIS selbst hat bei Untersuchung auch kein Egebnis gezeigt. Es kam nur während der Deinstallationsroutine.

 

[cyberpirate]

Moin,

bei einem Schädlingsbefall würde Ich immer eine CLEAN Installation machen. Oder noch besser wenn vorhanden ein Image zurück spielen. Auch bracht an keinen extra Virenscanner bei Win10 oder 11. Der Defender kann das ebenfalls sehr gut.

Und Kaspersky sowie schon mal garnicht!

https://www.bundesregierung.de/breg...digung/cybersicherheitslage-kaspersky-2015970

Mfg

 

[inge70]

Ich vermute das Kaspersky diesen Trojaner automatisch in die Quarantäne geschoben hat und nun wird diese Datei vom defender entdeckt und korrekt erkannt. Lösch doch einfacher die Datei.

die Datei "msmpeng.exe" gehört doch zum Windows Defender. Ist somit eine Systemdatei davon, die Kaspersky hier fälschlicherweise als Gefährdung sieht. Damit werden durch den Defender Spyware-Scans durchgeführt.
Durch die Quarantäne bzw. Löschung der Datei kann der Defender nicht mehr korrekt ausgeführt werden, wie man sieht.
Da hat Kaspersky wohl einen Bock geschossen, außer die Datei war selbst verseucht, was aber wohl eher unwahrscheinlich ist.
Windows Defender wird wohl eher nicht seine eigene Datei als Bedrohung sehen und entfernen.

Da die Datei nun weg ist, würde ich Windows mittels DISM reparieren oder eben Clean neu aufsetzen, um die fehlende Datei wiederherzustellen.

 

[cvzone]

Hat zwar nichts mit dem Thema zu tun, aber schau Dir für die Zukunft mal das "Snipping Tool" von Windows an. Dieses abfotografieren vom Bildschirm ist einfach schrecklich und verursacht ja auch für dich einen deutlichen Mehraufwand.

 

[paulpaulsenscr]

Da hat Kaspersky wohl einen Bock geschossen

Ich hoffe es auch. Der Zeitpunkt, wo das Ding angesprungen ist, ist ja logisch erklärbar. Und bei Virustotal wurde auch nichts gefunden.

Aktueller Plan ist:

• Backup aufspielen (schon gemacht)
• Kaspersky mit Removerprogramm entfernen
• Testweise mal G-DATA installieren
• sonst nichts

Ich habe von den parallelen Festplatten (z.B. Spieleplatte) kein Backup (Größe). Die würde ich so lassen. Doof?

Hat zwar nichts mit dem Thema zu tun, aber schau Dir für die Zukunft mal das "Snipping Tool" von Windows an.

Das kenn ich natürlich. Der Kopf war aber zu. Und da ich direkt Backups augespielt habe und ich nicht nebenher schon an den Post hier gedacht habe, wusste ich nicht wo die Dateien landen würden und habe lieber mit dem Handy fotografiert. Sry.

 

[chrigu]

Statt gdata würde ich auf malwarebytes setzen (on demand Scanner)