Windows 10 Codec Pack (CB) & Defender

[OICW]

Ich habe von Computerbase vor kurzem das Windows 10 Codec Pack installiert und danach deinstalliert. Nachdem ich den Defender wieder zum laufen gebracht habe, meldet dieser nun "Überbleibsel" davon als Schadsoftware.

Habe nochmal das Codec Pack von CB runtergeladen, aber es wird beim Starten sofort vom Defender blockiert.

Defender meldet noch im Ordner "Codec" Dateien die ich nicht sehe. Entfernen geht nicht, Meldung kommt immer wieder (Anhang). Ich habe schon den Offline Scan von Defender durchgeführt, Problem bleibt bestehen.
Spybot findet nichts auf dem System.

Wie bekomme ich das Zeug sauber weg? Habe bis jetzt keinen "Uninstaller/Cleaner" für das Codec Pack gefunden.

 

[BFF]

Was wird Dir angeboten wenn Du auf "Aktionen" klickst?

BFF

 

[Tramizu]

Vielleicht auch einfach die Dateien von Hand löschen? Wo sie sind weist du ja.

 

[OICW]

Bei Aktion tut sich nichts weder bei Quarantäne noch bei Löschen.
Datein sind nicht mehr da im Explorer (Alles auf Sichtbar in den Einstellungen). Die Datein dürften sich bei der Deinstallation gelöscht haben, nur sind sie für Defender doch da

 

[cumulonimbus8]

meldet dieser nun "Überbleibsel" davon als Schadsoftware.

Und wo sollen sich jene Überbleibsel aufhalten..?
CN8

 

[BFF]

Das steht im Bild ganz oben. @cumulonimbus8

BFF

 

[chrigu]

coinminer-trojaner von der cb seite? eher nein.
virustotal meldet 2 engine… clean mx und crdf geben warnung

 

[cumulonimbus8]

@BFF und wo wiederum ist jener Ordner Codec, was ist drin, wie heißt es?
Ich behaupte mal fröhlich, dass da doch nicht alles sichtbar geschaltet ist.

Was ich vom Defender halte ist bekannt, aber dass er sich Files aus den Fingern saugt die es nicht gibt, das glaube ich nun auch wieder nicht. (Oder ist unser Verteidigungs-Freund nicht auskunftsam genug uns meine Fragen zu offenbaren?)

CN8

 

[chrigu]

Hat jemand ein vm mit virenscanner am laufen?

 

[John Sinclair]

2 Virenscanner von VirusTotal erkennen diesen Codex als Bedrohung:

https://www.virustotal.com/gui/file...51c87033cafde3bd84512b6e617ace3338e/detection

 

[BFF]

Also fast ein eigenes Dinges von MS und dem Sophos Dingens.

 

[cumulonimbus8]

OK. Angenommen da ist Pfui! drin - warum kann es der Defender, wenn er es denn erkennt, nicht wegputzen? Weil er selbst unterwandert wurde (dieweilen er inaktiv war)?
Also scannen wir mal von außen mit einem Bootmedium oder setzen besser gleich neu auf.

CN8

 

[John Sinclair]

Am besten erstmal die Protokoll Datei auf 0 setzen.
Da das nicht mehr über eine Funktion geht, hilft nur die
Manuelle Rücksetzung:

Datei entpacken und als Admin ausführen.

Danach dann nochmal scannen,
sollte dann noch was vorhanden sein,
wird sich der Defender melden.

 

[BFF]

Der Defender putzt hier den Download weg, wenn man ihn laesst bei Aktionen.
Den von CB und auch den vom Hersteller.

Ich geb das mal rein in das Team.

 

[OICW]

Am besten erstmal die Protokoll Datei auf 0 setzen.
Da das nicht mehr über eine Funktion geht, hilft nur die
Manuelle Rücksetzung:

Datei entpacken und als Admin ausführen.

Danach dann nochmal scannen,
sollte dann noch was vorhanden sein,
wird sich der Defender melden.

Hat nicht funktioniert. Wie gesagt, alles was da als Pfad angezeigt wird, ist nicht da. Habe das Pack ja auch deinstalliert und es gibt nix im Installer zu sehen.
Vll geht der Defender nach Regestry einträgen die noch vorhanden sind.

Kann ich den Codec Ordner löschen oder wird der "gebraucht"?

 

[John Sinclair]

Einfach den Ordner mal verschieben auf ein anderes Laufwerk.
Bei mir jedenfalls gibt es den Ordner nicht. Sollte den man nicht verschieben können
dann werden darin noch Dateien per Reg oder so geladen.

 

[BFF]

Defender wird vermutlich das Dingens schon gelockt haben. Dann ist das nicht mehr sichtbar.

@OICW
Was passiert, wenn Du in der Defendermeldung auf den Button "Aktionen" klickst?

Ergänzung (23. Juli 2020)

So.
Wenn Du etwas Zeit hast @OICW warte einfach ab bis Dein PC neue Signaturen hat.
Vermutlich wird MS das Dingens als sauber deklarieren im naechsten Definitionsupdate.

Die Setup.Datei ist mit Definitions-Version 1.319.2130.0 wohl sauber.

 

[OICW]

Bei Aktion gibt es „entfernen“ und Quarantäne“. Egal was ich davon nehme, es bleibt bestehen. Na dann werde ich mal den Ordner verschieben. Mal sehen wann die Signaturen kommen, updaten tu ich täglich.

 

[BFF]

Nach dem MS in neueren Signaturen wieder den Codec-Pack anmoserte, diesmal nicht als Coin-Miner, hat sich nach erneuter Anfrage wohl diesmal nicht die KI sich das Dingens angesehen. Hoffe ich.

Die falsche Erkennung bei Virustotal ist noch, da hinken die wohl mit den Signaturen um Einiges hinterher.

Schoenes WE!
BFF

 

[OICW]

So, habe nun das von MS durchgeführt und neu gestartet. Jetzt wird nix mehr gefunden davon. Ordner habe ich auch verschoben und geschaut was sich tut.
Vielen Dank!