Trojaner im Archiv

Gutem Tag Kalle79,
und willkommen im Forum!

Zitat

Bin ich die Trojaner los, wenn ich einfach die Archivdatei aus meinem Profil lösche?

NEIN!
Du bist damit evtl. die Dateien los, mit deren Hilfe du dir die Schadprogramme auf den Rechner geladen und dort installiert hast. Mehr aber auch nicht!
Einen einmal mit Schadcode befallenen Rechner kannst du nicht rückstandslos reinigen. In solch einem Fall ist der Datenträger zu formatieren und das System neu aufzusetzen.

Nach deinen eigenen Aussagen hast du den Rechner bereits neu installiert. Wenn dieser weiterhin SPAM verschickt, kannst du davon ausgehen, dass dieser wieder neu infiziert ist.

Mein Rat in diesem Fall:

• Suchen und Löschen der E-Mails, mit welchen du den Schadcode erhalten hast. Dazu sortierst du die Anzeige deiner Mails (mit Hilfe der Spalten-Sortierung) so, dass du zuerst die Mails mit Anhängen angezeigt bekommst. Nun speicherst du in kleinen Gruppen (um die Übersicht zu behalten) die Anhänge in einem Downloadordner ab und scannst diese abgespeicherten Anhänge im Doenloadordner mit einem frisch aktualisierten AV-Svanner. Das machst du so lange, bis du alle Anhänge überprüft und die befallenen Anhänge und deren Mails identifiziert hast. Wenn du einen AV-Scanner besitzt, der in der Lage ist, gleich die betreffenden befallenen E-Mails anzuzeigen, kannst du die Suche auch diesem Programm überlassen. Aber niemals den schreibenden Zugriff des Scanners auf die dein TB-Userprofil zulassen!!! Nur suchen lassen!!!
• Diese erkannten Mails sind (im Thunderbird) zu löschen. Selbstverständlich auch die betreffenden abgespeicherten Anhänge (auf Dateiebene). Am besten gleich mit der Shredder-Funktion des AV-Scanners oder mit einem anderen Programm zum sicheren Löschen. Gleiches trifft auch für den Papierkorb (des Betriebssystems) zu.
• Nach dem Löschen der betreffenden E-Mails überprüfst du, ob diese auch in anderen (Mail-)Ordnern nicht mehr angezeigt werden. Posteingang, Unterordner, Archiv, Papierkorb ... Auch wenn diese nicht mehr angezeigt werden heißt das nicht, dass sie in den betreffenden mbox-Dateien nicht mehr vorhanden sind! Gelöscht heißt, weiterhin vorhanden, aber nur als gelöscht markiert und somit nicht mehr angezeigt. Also sämtliche mbox-Dateien komprimieren und somit alle als gelöscht markierte Mails löschen.
• Wenn du das alles gemacht hast, kannst du davon ausgehen, dass dein Bestand an E-Mails frei von mit Schadcode beladenen E-Mails ist. Zumindest nach Aussage deines auf der WinDOSe laufenden AV-Scanners.

Als nächstes solltest du deinen Rechner mit mehreren Scannern untersuchen, welche NICHT von deinem laufenden Windows aus gestartet werden.
Hintergrund: Moderne, gut programmierte Schadsoftware ist problemlos in der Lage, sich vor einem auf der WinDOSe installierten AV-Scanner zu verstecken bzw. diesen zu deaktivieren. Auch ist der Aussage eines einzigen AV-Scanners niemals zu trauen. Vor allem nicht, wenn es bereits Anzeichen einer Infektion gibt.

Dazu besorgst du dir (bei einem Kollegen oder direkt durch Kauf beim Heise-Verlag) die ggw. aktuelle DVD mit dem "desinfec´t 2014". Es handelt sich dabei um die Beilage zur Zeitschrift c´t 12/2014.
Von dieser DVD wird dann der Rechner gebootet. Es startet dann ein Linux, welches vier unterschiedliche AV-Scanner automatisch aktualisiert und den Rechner damit untersucht. Dies wird viele Stunden dauern!

Wenn das Ergebnis der Untersuchung negativ ist (= kein Fund), kannst du davon ausgehen, dass dieses auch der Tatsache entspricht, dein System also sauber ist.
Beim kleinsten Verdacht auf Befall gibt es nur eine Lösung: Alle Daten (auch dein TB-Userprofil) auf einen externen Datenträger auslagern, Platte formatieren und System neu aufsetzen.

MfG Peter

Hallo,

Zitat

Es geht ja um Emails, die im Archiv sind. Diese werden mir, wenn ich den Ordner anklicke gar nicht einzeln angezeigt.
Wie komme ich an die einzelnen Emails im Archiv ran?

Verstehe deine Frage nicht, da ich nicht weiß, welchen Ort du meinst: innerhalb von Thunderbird oder im Thunderbird-Profil?

Archive sind ja nichts anderes als Ordner mit einer speziell einstellbaren Archivfunktion, die dann entspr. Unterordner etwa nach Jahreszahl anlegen kann.
In diesen Unterordnern befinden sich Mails und die kann man auch in Thunderbird öffnen.
In den Datenbanken (also im Thunderbird-Profil im Windows-Explorer) gibt es keine einzelnen Mails sondern nur Dateien ohne Endung und darin befinden sich die Mails. Diese Dateien wie inbox, sent usw. kann mit einem guten Editor (nicht Notepad) öffnen und den Quelltext der Mails bearbeiten, bzw. diese ganz entfernen.

Dateien im Profil kurz erklärt.

Gruß

Hattest du die betr. Ordner schon mal repariert?

Ordner reparieren: Rechtsklick auf den Ordner, Eigenschaften, Allgemein, "Reparieren".

Gruß

Das Reparieren setzt nur die Indexdatei (*.msf) eines Ordners zurück und berührt den Mailordner nicht.
Du hattest eben vorher nicht versucht die Mails zu öffnen, die wären nämlich dann auch nicht da gewesen.
Du hast nur die Header der Mails - also Betreff, von, an - gesehen und genau die befinden sich in der Indexdatei, mehr nicht. Die Mails waren also schon vorher weg und das passt zu deiner Beschreibung.
Sind aber keine Mails mehr da, kann man sie auch nicht wiederherzaubern.
Manchmal klappt das mit Recoveryprogrammen, wenn man Glück hat, wenig Zeit vergangen ist und nur wenige Bewegungen auf der Festplatte gemacht hatte.
Allerdings ist dein Problem ein anderes: du hast keine Sicherung des Thunderbird-Profils gemacht.

Gruß

Hallo,

Zitat von "Kalle79"

nur mit dem Trojaner bin ich noch nicht weiter. Wahrscheinlich bleibt jetzt nur noch die option, thunderbird komplett neu zu installieren und ein neues Profil zu erstellen?

bitte nochmals den Beitrag von Peter_Lehmann ganz (!) lesen.