Schädling? Oder kein Schädling? Frage

[3MPO]

Hallo,
ich habe eine exe Datei bei Virustotal analysieren lassen.
Das Ergebnis 35 von 41 verunsichert mich natürlich.
Da ich selbst aber solch ein Ergebnis nicht auswerten kann, wäre ich dankbar, wenn sich jemand die Zeit nehmen kann, sich das mal anzusehen.
Vielen Dank schon mal im Voraus.

LG
3MPO

**************************************

Datei keymaker.exe empfangen 2010.01.25 07:44:34 (UTC)

Ergebnis: 35/41 (85.37%)

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.50 2010.01.25 Riskware.Keygen.Nero!IK
AhnLab-V3 5.0.0.2 2010.01.23 Win-Joke/Xema.3548672
AntiVir 7.9.1.150 2010.01.24 TR/ATRAPS.Gen
Antiy-AVL 2.0.3.7 2010.01.22 Packed/Win32.Black.gen
Authentium 5.2.0.5 2010.01.24 W32/Themida_Packed!Eldorado
Avast 4.8.1351.0 2010.01.25 -
AVG 9.0.0.730 2010.01.24 Win32/Themida
BitDefender 7.2 2010.01.25 Trojan.Generic.1629044
CAT-QuickHeal 10.00 2010.01.25 Trojan.Black.a
ClamAV 0.94.1 2010.01.25 -
Comodo 3701 2010.01.25 Heur.Pck.Themida
DrWeb 5.0.1.12222 2010.01.25 Trojan.Packed.650
eSafe 7.0.17.0 2010.01.24 Win32.Packed.Black.a
eTrust-Vet 35.2.7258 2010.01.25 -
F-Prot 4.5.1.85 2010.01.24 W32/Themida_Packed!Eldorado
F-Secure 9.0.15370.0 2010.01.25 Trojan.Generic.1629044
Fortinet 4.0.14.0 2010.01.25 W32/Black.A
GData 19 2010.01.25 Trojan.Generic.1629044
Ikarus T3.1.1.80.0 2010.01.25 not-a-virus.Keygen.Nero
Jiangmin 13.0.900 2010.01.24 Packed.Black.gqn
K7AntiVirus 7.10.952 2010.01.22 Backdoor.Win32.Small.DFUJ
Kaspersky 7.0.0.125 2010.01.25 Packed.Win32.Black.a
McAfee 5871 2010.01.24 Generic.dx
McAfee+Artemis 5871 2010.01.24 Generic.dx
McAfee-GW-Edition 6.8.5 2010.01.25 Trojan.ATRAPS.Gen
Microsoft 1.5405 2010.01.25 VirTool:Win32/Obfuscator.XX
NOD32 4802 2010.01.24 probably a variant of Win32/Obfuscated
Norman 6.04.03 2010.01.25 W32/Smalldoor.DFUJ
nProtect 2009.1.8.0 2010.01.24 Trojan/W32.Black.3548672
Panda 10.0.2.2 2010.01.24 Trj/Downloader.MDW
PCTools 7.0.3.5 2010.01.25 Backdoor.Trojan
Prevx 3.0 2010.01.25 High Risk System Back Door
Rising 22.32.00.03 2010.01.25 -
Sophos 4.50.0 2010.01.25 Mal/Generic-A
Sunbelt 3.2.1858.2 2010.01.24 Trojan.Win32.Generic!BT
Symantec 20091.2.0.41 2010.01.25 Backdoor.Trojan
TheHacker 6.5.0.9.162 2010.01.25 Trojan/Black.a
TrendMicro 9.120.0.1004 2010.01.25 -
VBA32 3.12.12.1 2010.01.23 -
ViRobot 2010.1.23.2152 2010.01.23 Trojan.Win32.Black.3371238
VirusBuster 5.0.21.0 2010.01.24 Trojan.Black.BAY
weitere Informationen
File size: 3548672 bytes
MD5...: 3af1caa3206f513a77da611090f40aaf
SHA1..: 118e9d68783914b1c43514b1e9ea1f4b47c3a2de
SHA256: 910aefe6873d1927c88a5ab5a325112c69365031793d063aa11c2482081bd801
ssdeep: 98304:7IHZSbtE2IikOAY9Q5BzxYWZlV+tG5JhiyTcrBb5p:UHZSy2Ii/9ABNV+t
Gp89b5p
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x32c014
timedatestamp.....: 0x493eeb62 (Tue Dec 09 22:04:18 2008)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
0x1000 0xa7000 0x4ba00 7.98 91fdcd028b25c9930f4a3acc86095987
.rsrc 0xa8000 0x282600 0x27e400 7.82 6be374c0823a205c529a70c8d59ffd7b
.idata 0x32b000 0x1000 0x200 1.37 c94022779ce671018e15e5b10a26bf0d
Themida 0x32c000 0x158000 0x97600 7.83 ad932fa91c8dc4637bca624ea1b643db

( 2 imports )
> KERNEL32.dll: CreateFileA, lstrcpy
> COMCTL32.dll: InitCommonControls

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Generic (58.3%)
Win16/32 Executable Delphi generic (14.1%)
Generic Win/DOS Executable (13.7%)
DOS Executable Generic (13.6%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....: BetaMaster _VDOWN_
copyright....: Copyleft@2008 BetaMaster
product......: Keymaker
description..: Multi Serial _ Activation Keymaker for Nero 9.0
original name:
internal name:
file version.: 4.0.2.0
comments.....: BetaMaster // 2008
signers......: -
signing date.: -
verified.....: Unsigned
ThreatExpert info: http://www.threatexpert.com/report.aspx?md5=3af1caa3206f513a77da611090f40aaf
packers (F-Prot): Themida
packers (Authentium): Themida
http://info.prevx.com/aboutprogramtext.asp?PX5=219CFCB40052C8B7269D36B9EAAA050060D9DC00

 

[totsch]

Hallo

und dein Antivirenprogramm (??) meldet sicher auch die keymaker.exe als Virus!!??

In den meisten Fällen handelt es sich bei keygen.exe/keymaker.exe etc. um Fehlalarme, weil es sich bei solchen Dateien um "inoffizielle" Dateien
handelt (u.a. Key-Wechsler), die verschiedene (System)-Einstellungen oder Dateien (z.B.hosts-Datei) geniert/verändert/hinzufügt, was gleichzusetzen wäre, wie bei einem "echten" Virus. In diesem Fall aber meistens nicht so ist.

Nun liegt es also an dir, ob du dieser Datei/Quelle Vertrauen schenkst und die Datei ausführst oder die Finger davon lässt.

Gruss Totsch

 

[3MPO]

Nun liegt es also an dir, ob du dieser Datei/Quelle Vertrauen schenkst und die Datei ausführst oder die Finger davon lässt.

Danke für Deine schnelle Antwort.
Vertrauen ist in so einem Fall ja dann wohl eher wie beim Lotto. Man tippt richtig oder man tippt falsch.
Gibt es denn keine Möglichkeit keygen.exe/keymaker.exe etc
zweifelsfrei zu analysieren um das Risiko auszuschließen?

LG
3MPO

 

[totsch]

Gibt es denn keine Möglichkeit zweifelsfrei zu analysieren um das Risiko auszuschließen?

sicher können dir das wohl nur irgendwelche Programmier-Experten sagen, die in der Lage sind, die entsprechende exe zu "zerlegen"/analysieren.

für den Fall aller Fälle, solltest du immer ein gut funktionierendes und sauberes Image zu liegen haben. Wenn du dich dann für ein Ausführen entscheiden möchtest und danach aber feststellst, dass es sich u.U. doch um einen echten Virus gehandelt hat, hast du dieses saubere Image, welches in ca. 20 Min. wiederhergestellt ist.

eine nicht unbedingt überzeugende Behelfslösung:
Nach dem Ausführen könntest du dir von HijackThis über die automatische Logfile-Auswertung "sagen"/anzeigen lassen, ob du dir einen Schädling eingefangen hast oder nicht. Du könntest dir auch vor dem Ausführen ein Logfile erstellen und beide dann miteinander vergleichen.
Oder auch dein System danach von deiner Antivirensoftware scannen lassen.

Gruss Totsch

 

[mrakim]

In anbetracht dessen das Keygens, Cracks etc. ein beliebtes Mittel sind um Schadsoftware zu verteilen und dem überwiegend negativen Ergebnissen auf Virustotal, würde ich die Datei, wenn überhaupt nicht ohne Sicherheitsvorkehrungen ausführen.

Wenn du es versuchen willst, dann in einer Virtuellen Maschine, die vom Hostsystem abgeschottet ist.
Eine weitere Möglichkeit wäre noch Sandboxie.
Das Programm fängt Schreibzugriffe von Programmen auf das System ab, das eigentliche System bleibt also unberührt.
Bei Sandboxie solltest du aber zusätzlich darauf achten, das die möglichen Schadprogramme innerhalb der Sandbox keinen Internetzugang haben.

 

[3MPO]

Eine weitere Möglichkeit wäre noch Sandboxie.

Danke für den Tip.
Wenn ich Sandboxie installiere und dann das betreffende Prog mit der Schädlingsmeldung installiere,
kann ich danach dann ganz normal das System mit meinem Virenprog. scannen um zu sehen ob es nun ein Schädling war oder nicht?

LG
3MPO

 

[mrakim]

Ja das ist möglich.
Wobei du dabei eigentlich nur den Ordner der Sandbox in der das Programm gelaufen ist scannen musst.