ATP meldet Bedrohung durch C2/Generic-A

lade die betroffene datei doch z.B. mal bei www.virustotal.com hoch, dort bekommst du die Scanergebnisse von einer menge Virenscanner auf einmal.

Hi Ben,

leider habe ich betroffene Datei. Die Scanner finden nichts. Nur das ATP der Sophos erkennt eine Bedrohung.

Danke Argus

Dann sollte das ATP auch die Quelle nennen. 
Was genau meldet es eigentlich? Nicht das Du die DCs überprüfst, obwohl sie nur die DNS Anfrage vom tatsächlich betroffenen Client bearbeiten ...

Argus: hatten in der Vergangenheit schon mal false positives gehabt bei der ATP, im "Schadensfall" dann witzigerweise(!) keine Meldung. 

Ansonsten schauen welcher Client betroffen ist und den überprüfen. Wie K.N. schrieb, es könnten nur (harmlose) DNS Anfragen sein.

Hallo zusammen,

es ist tatsächlich so, das zwei DNS Server vom ATP gemeldet werden. Ich habe auch  schon daran gedacht, das es nur DNS Anfragen von Clients sein könnten. Leider weiß ich zur Zeit nicht wie ich die Clients finden kann, die eventuell infiziert sind. Gibt es da Logs, die ich anschauen könnte oder wie könnte man die Verursacher finden?

Vielen Dank,

Argus

Sind bestimmt Windows Server? Dann das Logging in den Eigenschaften der DNS Servern konfigurieren.

Danke für den Tipp. Habe das Logging eingeschaltet und bin gespannt auf die Ergebnisse.

Danke
Argus

Hi Argus,
Du bist mit diesem Problem nicht allein, hier habe ich das schon vor einigen Wochen geposted, eine Lösung gibt es scheinbar bis dato nicht. :-(

Hallo zusammen,

ich konnte den Übeltäter mittels DNS Logfile überführen. Leider konnte auch das Sophos Removal Tool den Virus auf dem betroffenen Client nicht beseitigen, eine Neuinstallation war die Folge.

Viele Grüße
Argus

Hallo Argus,

der Tread ist schon etwas älter, aber wie hast du den Bösewicht ausfindig machen können?