Thunderbird und Avira -> Eicar Virus wird nicht gefunden

Zitat von "AnonymousUser"

Erst beim Doppelklick auf die Datei springt Antivir an, dies passiert aber auch wenn ich die Virenprüfoption im TB deaktiviere, sie scheint also nciht zu funktionieren, ...

Hi Roland,

und willkommen im Forum!
Das sehe ich etwas anders ... .
Zuerst einmal finde ich es total gut, dass du deinen Virenschutz auf diese Art testest. Wenn das mal alle machen würden ... .
Dass der on-access-Scanner den "Virus" weder beim Download noch beim Schreiben des "Schadcodes" in codierter Form in die mbox-Datei nicht findet, ist völlig in Ordnung. Du hast ja vernünftigerweise dem Scanner das Scannen des TB-Profils verboten. (Wenn du das nicht gemacht hättest, dann würde ein falsch konfigurierter Scanner [Reaktion:=> Löschen] gleich die ganze Datei mit sämtlichen Mails ins Jenseits befördern ... .)
Wenn du die eicar.com dann startest, dann erkennt der Scanner den "Virus" ordnungsgemäß.

Im Endeffekt hast du den "Virus" jetzt in deiner mbox-Datei gespeichert. Dort würde er auch bei einem Scan dieser Datei gefunden werden. Das kannst du auch problemlos machen, aber niemals (!!!) dem Scanner das Löschen oder "desinfizieren" gestatten. Das kann und wird mit gewisser Sicherheit zur Zerstörung der mbox-Datei führen. Zumindest macht die Rettung viel Arbeit.
Aber: allein dass jetzt ein Virus auf deinem Rechner gespeichert ist, bedeutet keinerlei Gefahr! Du darfst ihn eben nicht starten. Und selbst wenn, springt ja der Scanner an.

Und wie bekommst du ihn (den Virus) wieder weg?
- die infizierte Mail löschen
- den Papierkorb leeren
- zumindest den Posteingang und den Papierkorb (besser alle Ordner) komprimieren.
- und weg ist er.

Bei einem echten Virus kannst du unter Beachtung der obigen Warnung (!) das Profil mit 1-2 guten und aktuellen Scannern scannen lassen, um sicher zu gehen.

Es gibt Virenscanner, welche es gestatten, den eingehenden Traffic zu scannen. Das nennt sich "Überwachung des ein- und/oder ausgehenden Mailverkehrs" oder so ähnlich. Hier wird der Datenstrom VOR dem Schreiben in die mbox-Datei in den temp-Ordner geschrieben und gescannt. Das bietet lediglich den Vorteil, dass der Schadcode nicht erst in die mbox geschrieben wird und nicht manuell entfernt werden muss. Aber: das führt, besonders bei größeren Mailanhängen, immer wieder zu anderen Problemen (timeout usw.). Zumindest beim ausgehenden Traffic sollte man das untersagen. Ein verantwortungsbewusster Mensch scannt ja Anhänge so wie so noch einmal mit einem aktuellen Scanner, bevor er sie verschickt. Und der on-access-Scanner macht es ja ebenso.

Du sollst auch wissen, dass (lt. Aussage vieler AV-Produzenten) der on-access-Scanner oftmals nicht ganz so gute Ergebnise zeigt, wie der on-demand-Scanner des gleichen Herstellers. Also das "bewusste Scannen".
Aus diesem Grunde empfehle ich immer wieder, einen Anhang erst abzuspeichern, dort zu scannen und erst dann zu öffnen. Also niemals einen Anhang direkt aus einem Mailprogramm zu starten. Aber das glaubt mir eh niemand - oder zumindest nur diejenigen, die einmal deswegen reingefallen sind. Die Menschen sind halt (zu) bequem ... .

MfG Peter

Nun, auch da eine Antwort:

Deine erste Frage habe ich doch beantwortet ... .
Und zu deiner zweiten Frage empfehle ich dir dringlich unsere => Dokumentation
Du kannst auch beide Fragen ("Antivirus-Software ermöglichen,
eingehende Nachrichten" und "komprimieren") in unsere Forensuche eingeben. Ich will dir nur so viel verraten: komprimieren hat nichts mit zip & Co. zu tun!

MfG Peter

Hallo Roland,

also, wenn der Virenscanner auch dann nicht anspringt, wenn du die Option "Antivirus-Software ermöglichen eingehende Nachrichten unter Quarantäne zu stellen" aktivierst, ist da was faul. Das passiert eigentlich nur, wenn du (vielleicht aus einem anderen Grund) auch den Temp-Ordner aus der Überwachung genommen hast. Ist die Option aktiviert, wird die Mail erst dorthin gepackt und nicht gleich in den Mailordner - so hat die Antivirus-Software die Möglichkeit die empfangene Mail (newmsg-x) zu scannen und ggf. zu beanstanden. Prüfe daher noch mal die Ausschlüsse - evtl. ist der %Temp%-Ordner ja darunter.

schöne Grüße

Toolman

Hallo Roland,

ich habe, als ich die Anleitung für Avira gemacht habe, genau dieses Verhalten untersucht. Starte doch einfach mal den Explorer und wechsel in den %temp% ordner... z.B. über Start>Ausführen>>

Explorer %temp%

lasse das Fenster dann einfach offen (ggf. dort erst mal aufräumen wegen der Übersicht). Schicke dir dann eine Mail - und rufe diese dann ab. Bei aktivierter AV-Option sollte zumindest kurzzeitig die newmsg-x - Datei dort auftauchen. Springt der Virenscanner nicht an, kopiere den Virus aus der Mail nach %temp%. Springt der Virenscanner auch dann nicht an, funktioniert die Ordnerüberwachung des Antivirusprogramms nicht (evtl. ist diese ja deaktiviert) oder aber der Ordner ist innerhalb der Ausschlüsse. Was passiert denn, wenn du den Virus in einen beliebigen anderen Ordner kopierst? Der Virenscanner müsste in jedem Fall dann anspringen. Siehe dazu auch mal bei mir auf der Seite in der Anleitung.

speziell hier gehe ich noch mal auf die genaue Funktion ein:
http://agsm.de/forum/viewtopic.php?t=33

Die Anleitung für Avira habe ich hier - dort steht allerdings nicht, was die Option in Tb genau bewirkt.
http://agsm.de/forum/viewtopic.php?f=14&t=44

schöne Grüße

Toolman

Hallo Roland,

schau doch einfach mal in den Links meines letzten Postings... dort ist auch die Konfiguration für Avira beschrieben. Mittlerweile gibt es zwar schon eine aktuellere Version, aber so viel Unterschiede wird es dort wohl nicht geben. Evtl. erstelle ich für die aktuelle Version mal ein paar neuere Screenshots (Kaspersky hat ja auch schon länger eine neuere Version - da werde ich das bei Gelegenheit auch noch machen).

Ach ja, in der Vergangenheit konnte man erst ab Windows 2000 die Ordnerüberwachung in Avira konfigurieren - wenn du also noch Win9x als Betriebssystem verwendest, kannst du die Ordnerüberwachung in Avira nicht konfigurieren.

schöne Grüße

Toolman

Zitat

Mittlerweile gibt es zwar schon eine aktuellere Version, aber so viel Unterschiede wird es dort wohl nicht geben. Evtl. erstelle ich für die aktuelle Version mal ein paar neuere Screenshots (...)
schöne Grüße
Toolman

Bei der aktuellen AntiVir Personal (Gratis-) Version sieht der Bildschirm etwas anders aus als in deiner schönen bebilderten Konfigurations-Anleitung:

Beim Ausschließen der Dateierweiterungen (Scanner/Suche) zum Löschen der -INI Dateien gibt es jetzt fünf statt drei Einstellungsmöglichkeiten (detailliertere Beschreibungen per Mauszeiger abrufbar):
- Bootsektor Suchlaufwerke
- Masterbootsektoren durchsuchen
- Offline Dateien ignorieren
- Symbolischen Verknüpfungen folgen
- Rootkit-Suche bei Suchstart

standardmäßig ist bei den ersten dreien ein Häkchen - Änderung erforderlich?

Außerdem ist standardmäßig ein Häkchen bei "Stoppen zulassen" und die
Scanner-Priorität ist auf "mittel" voreingestellt - so lassen?