Plugy: CmdLineExt03.dll ein trojaner?

[markusobi]

Hi,
Seit Antivir bei mir heute ein Update gemacht hat, bekomme ich eine Virenmeldung, wenn ich Plugy starte. Hab Plugy schon neuinstalliert - hat nix geändert.
Meldung lautet:

C:\WINDOWS\system32\CmdLineExt03.dll
Ist das Trojanische Pferd TR/Agent.RL

Die DLL hängt vermutlich mit Plugy zusammen.
Ich vermute, dass sich durch das update die Virendefinition geändert hat und diese Datei kein Trojaner ist. Andererseits könnte sie auch von nem anderen Trojaner infiziert sein. Eine Vollständige Systemprüfung mit Antivir (kein Pro) ergab keinen Treffer.
Fehlalarm oder Trojaner?

 

[Aki-Akw]

Dasselbe Problem hatte ich heute auch, allerdings hat das nix mit Plugy zu tun - das hab ich net

Einer von meiner f-list hat das Problem ebenfalls und die Wahrscheinlichkeit, das sich mehrere Leute am selben Tag den selben Trojaner einfangen, scheint mir eher gering.

Der zeitliche Zusammenhang mit dem Update passt auch zu der Annahme, der angeblich enthaltene Trojaner ist ja net erst seit heute bekannt.

Wird also vermutlich ein Fehlalarm sein.

Zur Sicherheit habe ich sie allerdings mal an Avira zum checken geschickt, bisher noch keine Antwort.

Bis dahin habe ich sie in Quarantäne, auf das Rechnerverhalten hats ganz offenbar keinen Einfluss, zumindest ist mir da noch nix aufgefallen.

Zur Sicherheit sollte man vllt bis zur Klärung der Sache auf Dinge wie online-banking etc. verzichten (oder so etwas ausschliesslich mit einem vernünftigen OS machen )

gruß, Aki

 

[Nimduril]

Habe seit heute das gleiche "Problem" gehabt und mich dazu schon ein wenig eingelesen... Die CmdLineExt03.dll ist ein Ableger der gleichen .dll (CmdLineExt.dll) die (normalerweise) ständig in deinem ~\windows\system32 -Ordner residiert. Das ganze ist der Kopierschutz von Diablo2 und wird jedes mal beim Starten von D2 aktiv.

Ein einfacher Workaround ist das erstellen eines "leeren" .dll Dumps. Geht wie folgt:

Du erstellst in deinem system32 - Ordner eine neue .txt Datei mit dem Namen CmdLineExt03, stellst diese dann auf readonly (Unter den Dateieigenschaften dem Feld "schreibgeschützt" einen Haken verpassen) und benennst diese dann um. Will heissen du änderst die Dateiendung einfach in .dll anstatt .txt. So erstellt D2 keine Instanz der CmdLineExt03, weil ja schon eine da ist (In der nichts steht) und AntiVir gibt Ruhe.

Edit:
Zwecks Nachweis, dass die CmdLineExt03.dll KEIN Virus ist, sondern ein Teil des jedesmal mit D2 geladenen Brimbamboriums, ist mir noch was eingefallen: Wenn ihr schonmal einen "Access Violation" - Error in D2 hattet... Einfach mal in das Log davon schauen, ich glaube im Thread zum neuen Sanctus-Mod, ist solch ein Log gepostet worden. Da steht dann tatsächlich inmitten von GDI32.dll, kernel32.dll und anderen Promis unter den Programmbibliotheken auch das jüngste Sorgenkind ^^ Was allerdings nun Avira gegen D2 hat, weiss ich auch nicht... Vllt. Ist einer der Devs vom Massenbann betroffen gewesen

 

[destrution]

is jedenfalls definitiv nix von plugy...

 

[Aki-Akw]

.. Das ganze ist der Kopierschutz von Diablo2 und wird jedes mal beim Starten von D2 aktiv.
..

Also zumindest mit 1.12 wird die .dll nicht mehr beim Starten von D2 erstellt, vllt. weil ohne CD ja auch die Kopierschutz-Abfrage sinnlos ist ? Oder Zugriff/Erstellung erfolgt sporadisch, ka, ich habs jedenfalls jetzt ausgiebig getestet, das Luder ist weg und bleibt weg.

Wie auch immer, das wäre ja net der erste Fehlalarm von Avira, und da die Leute eigendlich auf Zack sind, sollte der falsche Alarm in einem der nächsten Updates behoben werden, sofern genug Leute meckern und die .dll einschicken.

gruß und Dank für deine Mühe, Aki

 

[markusobi]

Beruhigend zu hören, dass Antivir dran schuld ist

@Nimduril: Danke für den Tipp mit der dll


PS: @destrution: Danke fürs verschieben

 

[markusobi]

Update:

Ich habe die Datei mit Verdacht auf Fehlalarm bei Antivir hochgeladen.
Die Antwort lautete:

Die Datei 'CmdLineExt03.dll' wurde als 'FALSE POSITIVE' eingestuft. Dies bedeutet, dass diese Datei nicht gefährlich und eine Fehlmeldung unsererseits ist. Das Erkennungsmuster wird mit einem der nächsten Updates der Virendefinitionsdatei (VDF) entfernt werden.

Das Erkennungsmuster ist mit dem Update der Virendefinitionsdatei (VDF) 7.1.1.212 entfernt.

DIe Datei ist also nun zu 100% ungefährlich und Antivir meckert nicht mehr.

mfg Markus

 

[Nimduril]

Dazu auch noch mal ein kurzes Update von mir:

Es ist SecuRom... Die .dll die für diesen Ableger Pate steht ist von einem österreich'schen Softwarehersteller für Sony erstellt worden. Das mal nur am Rande, erklärt zum Beispiel warum meistens PlugY - Nutzer diese Fehlermeldung bekommen haben: Patch 1.11b braucht halt noch die CD.

Könnte also schlimmer sein. StarForce zum Beispiel... Dann hätte Avira gar nicht mal so unrecht, selbst wenn bei StarForce die Malware herstellerseitig ist ^^