Trojan infectie Win32/Wacatac.B!ml wel of niet opgelost?

[TTMJ!]

Beste tweakers,

Vandaag was ik een open source programmaatje aan het binnenhalen om mijn tijdsgebruik achter de pc te tracken. Een kleine .exe van een paar honderd kb. Microsoft vertrouwde de publisher niet en blokkeerde 'm. Tegen beter weten in ('source code staat op github, vast wel ok') schakelde ik de beveiliging op basis van reputatie uit.

Het was meteen raak .

Windows Defender gaf meteen meerdere alarmbellen voor Trojan:Win32/Wacatac.B!m. Dus ik verwijderde 'm (of in quarantaine en daarna verwijderen). Ethernet kabel eruit getrokken. Meteen ook de programma uninstalled.

Paar snelle scans gedraaid. Vervolgens een Windows Defender Offline scan. Geen dreigingen. Maar ik zie wat rare dingen staan in mijn Beschermingsgeschiedenis waarmee het voor mij niet duidelijk is of de trojan nou wel of niet succesvol verwijderd is (ondanks dat Windows Defender geen dreigingen meer aangeeft):









Edit: als ik trouwens op 'Acties' klik heb ik alleen nog de optie 'toestaan' voor alle scans en de offline scan / opnieuw opstarten ook 'verwijderen' en 'quarantaine' had

Edit 2: volgens het internet / google (https://www.reddit.com/r/...oes_it_mean_by_abandoned/) betekent 'Abandoned' oftewel 'verlaten' dat het bestand al is verwijderd. Maar ik vind hier geen officiële documentatie over. Kan iemand dit bevestigen?

[ Voor 10% gewijzigd door TTMJ! op 21-06-2020 13:18 ]

[De Nelis]

https://answers.microsoft...59-4fdf-9039-6b926e7d709b

Het geeft inderdaad aan dat het bestand al verwijderd is.

[F_J_K]

Als ik goed lees kan deze malware andere payloads achterlaten - en dus ook de configuratie van Windows aanpassen zodanig dat de PC via verder nette niet herkende software verder kan worden misbruikt. Geen idee wat de kans hier is, maar vertrouw bij zoeken dus niet op automatische tools en ga handmatig kijken wat er opstart en of die applicaties de juiste handtekening hebben, wat er aan poorten open staat, of/wat er aan remote beheertools draait, etc.
Ik zou zeggen: maak een goede extra backup, check die vanaf een andre PC, formatteer.

Tip voor een volgende keer: ook als je denkt dat het OK zal zijn, bij twijfel eerst langs een dienst als virustotal.com halen om te zien wat andere scanners er van vinden.

[P1nGu1n]

Het zou een false positive kunnen zijn, als ik dit issue lees:
https://github.com/aardappel/procrastitracker/issues/63

quote: https://github.com/aardap...63#issuecomment-632402530

Virus checkers put higher probability on executables they don't know, so generate a lot of false positives on ProcrastiTracker.

ProcrastiTracker also has a keyboard & mouse hook (to know when you're active, and the count keystrokes/clicks), and hooks are also typically used by malware, further making them nervous

Nothing much I can do about any of this.

[ Voor 66% gewijzigd door P1nGu1n op 21-06-2020 13:37 ]