Winlogon.exe von AntiVir als Trojaner identifiziert

< Vorheriger Eintrag | Nächster Eintrag >

Freitag, 30. März 2007

Winlogon.exe von AntiVir als Trojaner identifiziert

Wir haben hier Windows-PCs, die nachweislich clean sind, und bei denen AntiVir seit dem letzten Update die winlogon.exe als Trojaner TR/WLHaxk.A identifiziert. Alle Gegenproben mit mehreren anderen Scannern verliefen negativ, die Datei ist md5-geprüft dieselbe wie die letzte von Microsoft angebotene (nachgeprüft via Linux, sprich nicht auf einem evtl. infizierten System).

Ich glaube, da hat sich AVIRA gerade einen Bock geschossen.

Auch wenn es unschön ist, sollten Anwender vom Guard die Datei als Ausnahme definieren. Hier ein Kurz-Howto für die FreeAV, die wohl die meisten

im Einsatz haben:

Das Hauptprogramm öffnen
Extras -> Konfiguration auswählen
Das Häckchen bei Expertenmodus machen
Den Pfad Guard -> Suche -> Ausnahmen öffnen
Im Bereich "Vom Guard auszulassende Dateiobjekte" den Dateinamen c:\windows\system32\winlogon.exe eintragen und auf "Hinzufügen >>" klicken
Den Guard im Hauptprogramm einmal deaktivieren und wieder aktivieren

Fertig.

Nachtrag
Im letzten VDF-Update (.147) hat AVIRA das korrigiert.

Geschrieben von Manuel Schmitt in Technik um 09:19 | Kommentare (30) | Trackbacks (0)

Trackbacks

Trackback-URL für diesen Eintrag

Keine Trackbacks

Kommentare

Ansicht der Kommentare: (Linear | Verschachtelt)

Oh, das hätte ich eher lesen müssen. Ich hatte genau die gleiche "Entdeckung" vorhin, und war schockiert, weil ich mir gar nicht vorstellen konnte, wie ein Trojaner auf die Kiste gekommen sein soll.

#1 Hans am 30.03.2007 09:53 (Antwort)

Begann das auch erst heute bei Dir?

#1.1 Manuel Schmitt (manitu) am 30.03.2007 10:12 (Antwort)

Vielen Dank, dass hat mir eine Menge Arbeit erspart. Schön dieses Blog in den morgendlichen Feeds zu haben, so dass ich mir jetzt einen Hausbesuch sparen konnte.

#2 schmidt am 30.03.2007 10:27 (Antwort)

Hmm, bei Avira klappt wohl in letzter Zeit so manches nicht. Vor 2 oder 3 Monaten habe sie das schon mal mit der Explorer.exe gemacht. Daraufhin war eine diplomschreibende Freundin völlig durch den Wind und hat panikartig 2 Tage vor Abgabe das Schreiben eingestellt. Ich hätte gut Blaulicht gebrauchen können.

#3 Nachholer am 30.03.2007 10:31 (Antwort)

ja, super! Hat man die Kofiguration so eingestellt, das automatisch reagiert wird kann es sogar dazu kommen das nach einem Neustart nichts mehr geht!

#4 Kai am 30.03.2007 10:32 (Antwort)

Avira hat gerade neue Virendefinitionen zur Verfügung gestellt. Der Fehler ist damit wohl behoben. Also einfach n Update machen...

#5 Thorsten Weihs am 30.03.2007 10:32 (Antwort)

Bei uns das gleiche ....
Ich habe die winlogon.exe aus dem Backup von gestern ersetzt, kein Fehler mehr ....

#6 Timo am 30.03.2007 10:33 (Antwort)

Auch von mir Danke fuer die Info, ich nutze Antivir zwar nicht selber, aber Sekunden nachdem ich deinen Eintrag gelesen hatte, habe ich in meinem Stamm-Flugsimulationsforum ( http://www.wcm.at/forum/showthread.php?s=&threadid=214615 ) eine entsprechende Frage gesehen und konnte gleich ganz elegant an das Blog verweisen

#7 Matthias am 30.03.2007 10:33 (Antwort)

Perfekt. Mein Dad hat eben angerufen und war etwas besorgt. dann kann ich ja jetzt Entwarnung geben. Thx

#8 eco am 30.03.2007 10:35 (Antwort)

Das gleiche Problem hatte Avira schon vor ein paar Tagen.
Da wurde die Flash.exe als Trojaner erkannt, genau wie der Flashplayer und erstellte Projektoren.

Ich würde ja als vollkommen Ahnungsloser vermuten, das da grad einiges bei Avira schiefläuft...

#9 Ralf am 30.03.2007 11:06 (Antwort)

http://www.avira.de/de/sicherheits-news/fehlalarm.html

Sicherheits-News
Winlogon.exe ist kein Trojaner
Fri, 30 March 2007

Tettnang, 30 April 2007 - Avira AntiVir stellt ein der besten Virenerkennungen am Markt – manchmal sogar zu gut. Mit dem Update vom 29. März 2007 wurde der Virenscanner zu sensibel eingestellt und meldete winlogon.exe, ein wichtiger Bestanteil des Windows Betriebssystems, als Trojaner: TR/WLHack.A.

Die Avira Software wurde umgehend aktualisiert! Alle Avira AntiVir Nutzer erhielten damit eine neue Virendefinitionsdatei, die winlogon.exe nicht mehr als Trojaner ausweist.

#10 Kai am 30.03.2007 11:17 (Antwort)

Na supi. Mein Chef hat erstmal fröhlich auf löschen gedrückt. derzeit ist der pc noch an. hat jemand bitte ein paar tips, wie ich die kiste retten kann?

#11 HinRichter am 30.03.2007 11:23 (Antwort)

Von einer anderen Kiste, die den selben OS-Stand (Windows-Typ und ServicePacks) die Daten auf nen USB Stick und dorthin kopieren!

#11.1 Manuel Schmitt (manitu) am 30.03.2007 11:44 (Antwort)

Das werde ich mal probieren, dankeschön. Im Schlimmsten Fall halt jetzt noch schnell sichern und neu installieren, wäre eh mal wieder Zeit.

#11.1.1 HinRichter am 30.03.2007 11:48 (Antwort)

Normalerweise sollte der SFC von Windows die Datei von alleine retten... in der Theorie

#11.2 michfrm am 30.03.2007 14:50 (Antwort)

Ich weiß schon warum Nod32 Gold wert ist =)

#12 ftf am 30.03.2007 13:05 (Antwort)

Hätte ich das eher gelesen hätte auch ich mir den vormittag sparen können

#13 Jan am 30.03.2007 13:46 (Antwort)

Falls es dich tröstet: du bist nicht allein

#13.1 Panama Jack am 30.03.2007 15:27 (Antwort)

Golem berichtet inzwischen auch schon über den Fehler in dem Signaturupdate.

#14 Andre Heinrichs am 30.03.2007 13:58 (Antwort)

Wegen sowas klingelt mich mein Kunde heute um halb 9 aus dem Bett...

#15 Ich am 30.03.2007 15:37 (Antwort)

Dito. Prima, wieder geld gedruckt

#15.1 andreas am 30.03.2007 21:37 (Antwort)

Wie praktisch, heute abend kam meine Vermieterin mit einer "komischen Meldung" zu meiner Wohnung...
Ne Menge Arbeit gespart durch diesen Hinweis

#16 Deneriel am 31.03.2007 00:47 (Antwort)

Wer die Datei schon gelöscht hat (über Antivir):

Einfach in die MS-Dos-Eingabeaufforderung über Start-Programme-Zubehör gehen. Dann das alte Dos-Wissen aus der Informatik-AG aktivieren: cd windows, cd system32, ren (für rename) winlogon.exe.vir winlogon.exe. Dann sollte alles wieder funktionieren.

#17 Patrick am 01.04.2007 12:20 (Antwort)

Tja ... man muss nur zuzr richtigen Zeit updaten. Nämlich nicht zu oft

Grüße
stephan@spamschlucker.org

#18 Spamschlucker am 02.04.2007 00:49 (Antwort)

Tja ... man muss nur zuzr richtigen Zeit updaten. Nämlich nicht zu oft

Grüße
stephan@spamschlucker.org

#19 Spamschlucker am 02.04.2007 00:49 (Antwort)

Bin ich froh dass ich einen richtigen Virenscanner benutze

Und nein, ich mein damit nicht Norton oder etwas ähnliches

#20 Andy am 03.04.2007 12:21 (Antwort)

Hey Leute , ist winlogon.exe nicht eine systemdatei ?
Wenn ich sie jetzt löschen würde , ginge mein computer jetzt in arsch ???
Bitte melden (kenn mich net so aus , bitte verstehen)

Gruß ALF

#21 ALF am 07.04.2007 13:08 (Antwort)

bitte WARNING nur einige richtige moglichkeit den winlogon.exe aus der original cd xp wieder expand und mit diesem den infizierten verandern noch wenn windows nicht anlogt sind...

DIESMAL IS ES WIRKLICH EIN VIRUS ... see bitte original home pages of antivir discuzion board

#22 mark am 29.04.2007 15:22 (Antwort)

#23 mark am 29.04.2007 15:23 (Antwort)

Also bei mir war die winlogon.exe tatsächlich ein Trojaner. Die Datei war auch größer als die Original Datei.
Folgendes hab ich gemacht um die auszutauschen, da die ja von Windows XP gesperrt ist.
NTFS4Dos runterladen (habe ntfs partition), damit eine bootfähige Diskette erstellen, dann die Original winlogon.exe von der Xp Cd auf die Diskette kopieren (passt so gearde). Rechner neu booten, copy winlogon.exe c:\windows\system32
, überschreiben? Ja.
Bei Fat32 oder Fat gehts einfacher, einfach das gleiche Spiel mit normaler Bootdiskette.
Das wars, Rechner neu starten und schon ist der Trojaner wech. Das gleiche kann man mit notepad.exe machen falls die Datei von Trojaner befallen ist.
Gruss

#24 Winlogon.exe war tatsächlich ein Trojaner am 08.03.2011 15:53 (Antwort)

Kommentar schreiben

Name
E-Mail
Homepage
Antwort zu
Kommentar	Umschließende Sterne heben ein Wort hervor (wort), per _wort_ kann ein Wort unterstrichen werden. Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert. Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet. Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden. Hier die Zeichenfolge der Spamschutz-Grafik eintragen: BBCode-Formatierung erlaubt
	Daten merken? Bei Aktualisierung dieser Kommentare benachrichtigen