HEUR:Trojan.Script.Generic: Detected in old CloneApp Backup Files. Falsch positive Meldung? False positive warning?

Der Bericht von KSC konnte nach Neustart jetzt unter Dokumente abgespeichert werden. (In anderen Verzeichnissen nicht!)

KSC report could now be saved in the directory documents (Not anywhere else1)

Report contents:

Heute, 17.02.2021 17:06:28    K:\CloneApp444_extrahiert\cloneapp\Backup\Google Chrome\$LocalAppData$\Google\Chrome\User Data\User Data\Default\Extensions\hfnbbbkabnehoejfhcbbhdicagcoobji\1.6.0_0\injection.js    Gefunden    Schädliches Objekt wurde gefunden.    HEUR:Trojan.Script.Generic    Experten-Analyse    Datei    K:\CloneApp444_extrahiert\cloneapp\Backup\Google Chrome\$LocalAppData$\Google\Chrome\User Data\User Data\Default\Extensions\hfnbbbkabnehoejfhcbbhdicagcoobji\1.6.0_0    injection.js    Gefunden    Trojaner    Hoch    Heuristische Analyse    xxxxxxxx\Admin    Aktiver Benutzer

Heute, 17.02.2021 17:08:57    K:\CloneApp444_extrahiert\cloneapp\Backup\Opera\%AppData%\Opera Software\Opera Stable\Opera Stable\Extensions\hfnbbbkabnehoejfhcbbhdicagcoobji\1.6.0_0\injection.js    Gefunden    Schädliches Objekt wurde gefunden.    HEUR:Trojan.Script.Generic    Experten-Analyse    Datei    K:\CloneApp444_extrahiert\cloneapp\Backup\Opera\%AppData%\Opera Software\Opera Stable\Opera Stable\Extensions\hfnbbbkabnehoejfhcbbhdicagcoobji\1.6.0_0    injection.js    Gefunden    Trojaner    Hoch    Heuristische Analyse   xxxxxxxx\Admin    Aktiver Benutzer
 

Hallo Schulte, 

danke für die schnelle Aufklärung und den lieben Empfang.

Okayfreedom 1.4.3 Rev 11225 vom 05.11.2019 war tatsächlich vom Dez. 2019 bis etwa April 2020 installiert und ist dann vollständig deinstalliert worden. CloneApp hat die Browsererweiterungseinstellungen bzw. Javascript-Dateien aber in seinen Backup-Dateien belassen für den Fall, dass man das Programm noch einmal installieren sollte und darauf zurückgreifen will. Im Herbst 2020 wurde Kaspersky free vom Nachfolger KSC abgelöst. Gestern hat sich KSC nun erstmals an den beiden Javascript-Dateien gestört. 

Zwei Javascript-Dateien, die nicht auf der Systempartition liegen in zwei verschiedenen Verzeichnissen, die von CloneApp einst nahezu zeitgleich während eines Backups erstellt wurden, werden Monate später fast zeitgleich von KSC gefressen. Malwarebytes Antimalware und adwcleaner, die ohne Echtzeitschutz zeitgleich mit der vollständigen Untersuchung von KSC liefen, bissen beide nicht an. Sieht m.E. nach einem false-positive Alarm aus, denn wie soll ein Trojaner exakt diese Konstellationen hervorrufen. 

Gab es denn am 17.02.2021 im Tagesverlauf Änderungen an KSC free, die einen solchen falsch-positiven Befund erklären könnten? 

Die setupwrapper-Datei von Okayfreedom könnte ich zur näheren Untersuchung gerne einreichen. Es handelt sich um eine abgelaufene 1-Jahresversion, so dass Steganos vielleicht helfen müsste, falls sie nicht startet. Wäre aber ja vermutlich in Steganos Interesse, das zu klären und ggf. zu beheben.

Dann kann ich die beiden Quarantäne-Dateien wohl löschen, oder?

(P.S.: KSC free setzt übrigens die Tastenbelegungen von Hardcopy 2018.08.03 außer Kraft, wenn das KSC-Fenster aktiv ist; einem Screenshot-Programm, das von Lehrern gerne verwendet wird. Man kann sich dann aber noch mit Windows Bordmitteln behelfen.)

Hallo Schulte,

vielen Dank für Deine hilfreichen Ausführungen.

Mit false positive meinte ich auch nur, dass es sich bei der von KSC detectierten Javascript-Datei injection.js um die Origninaldatei von Steganos okayfreedom handelt und nicht etwa um eine Datei, die von einem Trojanervirus irgendeines Hackers infiziert wurde, nachdem okayfreedom auf meinem PC installiert war. Ich kann also davon ausgehen, dass sich vielmehr in den Heuristiken der Erkennungsalgorithmen von KSC am Tag des Alarms irgendetwas verändert hat, das dann erstmals nach über einem Jahr zu dem Zugriff auf die Datei und Verfrachten in die Quaratäne geführt hat. Das war vorliegend für mein persönliches Sicherheitsgefühl ja das relevante.

okayfreedom werde ich voraussichtlich künftig nicht nutzen. Ich habe mich für einen anderen Dienstleister entschieden. Daher ja seinerzeit die Deinstallation. Sogesehen hat KSC vorliegend die damalige Deinstallation nun einfach mal frech auf die Backup-Dateien von CloneApp erweitert. Und nachdem mein Pulsschlag sich inzwischen wieder normalisiert hat und ich mich heute ausgiebig ausgeschlafen und erholt habe, kann ich darüber entspannt lächeln. :-) Leider ist so etwas immer etwas zeitaufwendig, bis man weiß, was los ist, aber man lernt ja auch viel hinzu dadurch. Ich hoffe, wenn ich mal alt und grau bin und soviel Spannung und Aufregung nicht mehr vertrage, wird Kaspersky Labs alle Viren und Trojaner besiegt und beseitigt haben.

Das Javascript injection.js und die setupwrapper-exe-Datei von okayfreedom habe ich prüfen lassen.

File Analysis report of injection.js: 

https://opentip.kaspersky.com/CE7ED28F02647EC0CF6CE853A0026AA9F1F8764DE2C3ADF04ABCF742633BA5DA/

File Analysis report of okayfreedomwr.exe:

https://opentip.kaspersky.com/ED2621D26B2EF57BEEE67A40D65469C15E35B2D17FD4360F5A4C25D4E6997E14/

Bei den 30 festgestellten sog. suspicous activities scheint es sich um Registry- und Pfadnamensänderungen sowie Änderungen von Zeitattributen und mehrere Wildcard-Suchen im Rahmen des Installationsprozesses von okayfreedom zu handeln, was man dem zweiten Bericht entnehmen kann, wenn man angemeldet ist. Inwieweit jemand damit Schindluder treiben könnte, wenn er wollte, vermag ich nicht zu beurteilen. Ebenso wenig, ob das eine oder andere davon bei der Installation einer VPN-Software nicht vielleicht auch notwendig oder zumindest hilfreich sein mag. Vielleicht liegt dies auch daran, dass ich die Premium Contents nicht nutzen kann. Ich vermute aber eher am mangelnden Fachwissen. Sofern damit Schindluder betrieben werden kann, macht es natürlich auch Sinn, dass eine Security-Software wie KSC davor warnt und ihre heuristischen Erkennungsalgorhythmen dann anschlagen. 

In der Tat sollte man sich vor Auswahl eines VPN-Dienstleisters verschiedene (!) Testberichte anschauen, bevor man sich entscheidet. Es gibt da vieles zu Bedenken, und nicht alle Testberichte berichten umfassend genug. Manches merkt man auch erst beim Ausprobieren. Insofern sollte man zumindest keine längere Vertragsbindung eingehen, wenn man noch keine Erfahrungen mit einem Anbieter gesammelt hat. 

Ich bedanke mich ganz herzlich für Deine tolle Unterstützung, Schulte. Hat mir sehr geholfen und gut gefallen!