Fälschlicherweise entdeckte Bedrohung in "wincmd.ini&qu

[Mister Floppy]

Hallo,

ich möchte Euch gerne an meinen Erfahrungen teilhaben lassen:

Während meiner Arbeit mit "Total Commander" bekam ich plötzlich eine Warnung vom AntiViren-Programm "NOD32" vor einer vermeintlichen Bedrohung durch die Datei "wincmd.ini" angezeigt.

Das Modul "AMON" von "NOD32" zeigte dabei folgende Alarm Details an:
"Datei:
...\wincmd.ini
Threat:
möglicherweise eine Variante von JS/NoClose.A Trojaner
Kommentar:
Versuch Datei zu ändern durch: ...\TOTALCMD.EXE..."

Nach einigem Rumprobieren bin ich dann der Ursache des Problems auf die Schliche gekommen:

Die Datei "wincmd.ini" war - wodurch auch immer - so geändert worden, dass sie unter "Configuration" bei "Test" einen Wert enthielt, durch den die Datei nicht mehr geändert werden konnte. Sobald "Total Commander" einen Versuch unternahm, Einstellungen in ihr zu speichern, blockierte "NOD32" den Zugriff darauf und stellte sie unter "Quarantäne".

Die Lösung sah dann so aus:
1. "Total Commander"-Fenster schliessen
2. Sicherheitskopie von der Datei "wincmd.ini" aufspielen
3. im Editor überprüfen, dass "Test" keinen Wert enthält, gegebenenfalls entfernen, somit der Eintrag also "Test=" lautet

Vielleicht ist ja mein Tipp für Euch bei ähnlichen Schwierigkeiten ebenfalls hilfreich.

Mit freundlichen Grüßen

Mister Floppy

[Lefteous]

Da fällt einem echt nichts mehr zu ein. Unfassbar wie scheisse nod32 ist

[sqa_wizard]

somit der Eintrag also "Test=" lautet

Das wird nicht viel nützen ...

Dieser Eintrag dient dem TC nur zum "Test" ob die wincmd.ini Datei überhaupt beschreibbar ist.
Der Wert wird jedesmal ausgelesen, geändert und überprüft, ob der geänderte Wert gespeichert wurde.

Da fällt einem echt nichts mehr zu ein

Jetzt wird schon verhindert, dass ein Programm in seine eigene Einstellungsdatei schreiben darf ... toll

Demnächst wird wohl schon ein Login erfolgreich geblockt um den Schädlingsimport durch den Benutzer zu verhindern ...

[Hacker]

Hm, mich wuerde interessieren, woran das lag. NOD wuerde ich nicht von vornherein ohne jegliches Ueberlegen als den einzig wahrhaftigen Uebeltaeter bezeichnen.

Roman

[Horst.Epp]

Ich habe auch NOD32 und keinerlei Probleme damit.
Der Eintrag in der Wincmd.ini lautet bei mir zur Zeit
Test=104
TC Version 7.0 XP Home SP2 alle Patches

[Kosch]

hier auch kein thema...

[ghisler(Author)]

Bei mir hat sich NOD32 noch nie über die wincmd.ini beklagt, dafür reklamiert er immer mal wieder, wenn ich über eine Batchdatei und w_g_e_t(!) ein Backup der Forendatenbank mache...

Ich würde die wincmd.ini einfach vom Scanvorgang ausschliessen. INI-Dateien können sowieso keine Viren enthalten...

[Mister Floppy]

Hallo nochmal,

Da fällt einem echt nichts mehr zu ein. Unfassbar wie scheisse nod32 ist

Besser als das sch**** "Norton AntiVirus" von Symantec ist es alle mal... aber ich wollte mit meinem Beitrag jetzt keinen Streit zum Thema "Welches ist das beste/schlechteste AntiViren-Tool" vom Zaun brechen

Das wird nicht viel nützen ...

Dieser Eintrag dient dem TC nur zum "Test" ob die wincmd.ini Datei überhaupt beschreibbar ist.
Der Wert wird jedesmal ausgelesen, geändert und überprüft, ob der geänderte Wert gespeichert wurde.

Also, ich habe TC versuchsweise etliche Male hintereinander gestartet, einige Einstellungen geändert, damit "wincmd.ini" neu geschrieben wird, TC beendet und wieder gestartet... bei mir bleibt der Eintrag "Test=" stets gleich!

Hm, mich wuerde interessieren, woran das lag. NOD wuerde ich nicht von vornherein ohne jegliches Ueberlegen als den einzig wahrhaftigen Uebeltaeter bezeichnen.

Das kann ich nicht genau nachvollziehen... ich könnte mir aber vorstellen, dass ich vielleicht eine weitere Instanz von TC gestartet hatte, während die erste noch lief, und beim Beenden der "verhängnisvolle" Wert unter "Test=" zustande gekommen ist.

Ich habe auch NOD32 und keinerlei Probleme damit.
Der Eintrag in der Wincmd.ini lautet bei mir zur Zeit
Test=104
TC Version 7.0 XP Home SP2 alle Patches

Die Konfiguration habe ich auch auf meinem System. Inzwischen habe ich herausgefunden, dass wohl der Wert unter "firstmnu" ebenfalls eine Rolle für den Falschalarm von "NOD32" spielt.

Habt Ihr Lust auf ein kleines Experiment? Aber bitte vorher unbedingt eine Sicherheitskopie Eurer "wincmd.ini" anlegen!

- öffnet "wincmd.ini" mit einem Editor
- tragt "firstmnu=2671" ein
- tragt "Test=59" ein
- speichert "wincmd.ini"

Das sind genau die ominösen Werte, die in meiner "wincmd.ini" aufgrund unbekannter Umstände zustande gekommen waren und "NOD32" in Aktion haben treten lassen. Eventuell müsst Ihr TC öfter mal hintereinander starten, Einstellungen ändern, damit er "wincmd.ini" updatet, und ihn dann schliessen, damit der Falschalarm ausgelöst wird.

Ich bin auf Euer Feedback gespannt!

CU

Mister Floppy

[StatusQuo]

Ich würde die wincmd.ini einfach vom Scanvorgang ausschliessen.

Me too.

INI-Dateien können sowieso keine Viren enthalten...

Das würde ich so pauschal nicht sagen. Wenn BAT/CMD als mögliche Gefahrenquelle gelten, dann theoretisch auch jede andere Datei:
Schadcode schreiben in *.INI, dazu eine Batch, die diese *.INI zeilenweise einliest und ausführt (habe ich gerade in der Praxis getestet - funktioniert).
Ziemlich unwahrscheinlich, dass dafür ausgerechnet die wincmd.ini missbraucht wird, aber möglich...

[icfu]

...oder man benennt eine Exedatei, die einen Virus enthält, um in wincmd.ini, schreibt dazu eine saubere Exe oder Batch, die den Virus wieder mit seiner Originalendung versieht und ausführt...

Icfu

[Kosch]

Habt Ihr Lust auf ein kleines Experiment? Aber bitte vorher unbedingt eine Sicherheitskopie Eurer "wincmd.ini" anlegen!

- öffnet "wincmd.ini" mit einem Editor
- tragt "firstmnu=2671" ein
- tragt "Test=59" ein
- speichert "wincmd.ini"

Ich bin auf Euer Feedback gespannt!

unter vista mit heutigem aktuellen nod kein thema. xp probier ich noch aus!

[Lefteous]

Bei Vista brauch man eh keinen Virenscanner. Das ist "secure by design"

[Horst.Epp]

Hallo nochmal,

Habt Ihr Lust auf ein kleines Experiment? Aber bitte vorher unbedingt eine Sicherheitskopie Eurer "wincmd.ini" anlegen!

- öffnet "wincmd.ini" mit einem Editor
- tragt "firstmnu=2671" ein
- tragt "Test=59" ein
- speichert "wincmd.ini"

Da passiert bei mir nichts. Kann den TC starten und der updated auch seine ini. Kann ihn wieder starten usw. Kein Problem mit NOD32

[Lefteous]

Da fällt einem echt nichts mehr zu ein. Unfassbar wie scheisse nod32 ist

http://www.heise.de/newsticker/meldung/92016

[Hacker]

Nicht mal zwei Stunden vom Report uber einen False positive bis zum Fix.
Dann noch, zugegeben, 17 Stunden fur einen Fix, der alle eventuellen False positives diesbezuglich korrigiert.

Roman