Löschen verdächtiger Dateien ist nicht möglich

Um pascha45 gleich zu Beginn seine permanenten Belehrungen vorweg zu nehmen:

1. Ich weiß, dass dies ein öffentlich zugängliches user2user-Forum ist.

(Natürlich ist es das: User fragen User - abseits des Supports. Es ist ja Sinn und Zweck eines Forums, dass User Antworten oder Tipps von anderen Usern bekommen - und nicht vom Support, oder von einem Moderator, der jede Kommunikation zwischen den Usern gleich zu Beginn abwürgt und den Fragesteller an den Support verweist.)

2. Ich weiß, wie ein Forum-Beitrag erstellt wird.
3. Ich weiß, welche Informationen benötigt werden, damit andere User auf mein Ärgernis antworten können.
4. Ich kenne die "Avira Community-Richtlinien" (sie sind fast gleichlautend, wie diejenigen aus den meisten anderen Foren).
5. Ich weiß, dass eine vermutete Fehlfunktion einer Software rein gar nichts mit der Lizenz zutun hat.
6. Ich weiß, dass eine vermutete Fehlfunktion einer Software möglicherweise in dem eingeschränkten Funktionsumfang einer Freeware gegenüber einer Vollversion begründet sein kann.

Zunächst ein paar Daten:

Ich nutze "Avira Free Security" | Version: 1.1.115.3317 | Antivirus-SDK-Version: 1.0.2301.440 | Antivirus_VDF-Version: 8.21.2.98

Mein OS: Windows 7 Ultimate 64bit | 6.1, Build 7601 | Service Pack 1

Mein PC: Asus K93SV | 24 GB RAM

Zunächst zu einem Zitat aus dem offiziellen Avira Support:

"Das bedeutet, dass die verdächtigen Malware-Dateien nicht gelöscht, sondern von ihrem ursprünglichen Speicherort an einen sicheren Ort auf Ihrem Computer verschoben werden."

Diese Aussage ist falsch. Sie werden eben nicht verschoben, sondern im Quarantäne-Ordner wird lediglich eine inhaltlich markierte Kopie erstellt, deren erste Zeile so aussieht:

{"engine":"8.4.2.12","groupId":"c7cc5d6a-328b-41a3-9053-bc893667fe05","malware":"TR/W32.Agent","os":"windows","path":"\\\\?\\E:\\temp\\Xxxxxx.exe","sha256":"dc81c7792e0655eb61d789204011047e7cbae571da553148e9f261ad735b94aa","type":0,"utc":1782739889,"vdf":"8.4.2.12"}

Die verdächtige Datei verbleibt im Ursprungsverzeichnis. "Verschieben" bedeutet jedoch, eine Datei aus dem Ursprungsort (hier "E:\temp\") zu entfernen und am Zielort einzufügen (Cut & Paste).

Links: Quarantäne-Verzweichnis, Rechts: Ursprungs-Verzeichnis)

Endgültiges Löschen, unter Umgehung des Papierkorbes (Shift+F8), ist nicht möglich, da Avira den Zugriff verweigert. Jeder Versuch, die Datei (hier "Xxxxxx.exe") manuell zu löschen, verursacht eine weitere Meldung von Avira und eine weitere Kopie im Quarantäne-Verzeichnis - und das jeden Tag und mit jeder Aktion.

Das Löschen der verdächtigen Dateien über die Avira-Software (wie es hier beschrieben wird: Wie kann ich Dateien aus der Quarantäne speichern, löschen und wiederherstellen?), löscht lediglich die von Avira angezeigte Liste, sowie die im Quarantäne-Verzeichnis auf der Festplatte erstellten Kopien.

Die verdächtige Original-Datei verbleibt auch in diesem Fall im Ursprungsverzeichnis (siehe Bild 1).

Um verdächtige Dateien sicher und endgültig zu löschen, bleiben offenbar nur zwei umständliche Wege:

1. den Rechner im abgesicherten Modus (ohne Netzwerk) neustarten und mit der DOS-Eingabeaufforderung manuell arbeiten, oder
2. den Rechner beim Booten direkt auf die DOS-Ebene zu leiten und hier dann manuell löschen:

    C:\> E:

    E:\>cd temp

    E:\temp\>erase Xxxxxx.exe

In beiden Fällen wird die Viren-Software nicht geladen und steht somit nicht im RAM. Die mögliche 3. Variante ist zwar sehr abenteuerlich, könnte aber ebenfalls funktionieren: Über den Taskmanager sämtliche Dienste und Prozesse von Avira stoppen und damit aus dem RAM entfernen.

Soweit meine Erfahrungen mit Dateien, die von der Avira-Software “einkassiert“ wurden.

Ich will nicht ausschließen, dass die beschriebene Lösch-Verweigerung von Avira mit dem veralteten OS zutun haben könnte. Aber deswegen bin ich ja hier: Um Tipps zu erfahren. Vielleicht gibt es in diesem Forum den einen oder anderen User, der ähnliche Erfahrungen gemacht und eine elegantere Lösung parat hat. Und vielleicht ist ein hilfsbereiter User schneller als pascha45, weil laut seiner Aussage ein Beitrag als "Abgeschlossen" markiert wird, sobald die Fragen von der Avira Community beantwortet sind (Wobei sich die Frage stellt, wer darüber entscheidet, wann eine Frage beantwortet ist). Wenn er also zuerst antwortet - mit seinen üblichen Standard-Formulierungen, wird der Beitrag in der Übersicht automatisch mit “Gelöst“ markiert – oder eben mit “Abgeschlossen“. Und wenn ich mir die Übersicht der Beiträge anschaue (auch ältere), wird ein Muster deutlich: pascha45 antwortet mit seinen “Standard-Sätzen“ auf die Frage/das Problem des Beitrags-Erstellers und der Beitrag wird als “Gelöst“ markiert, selbst dann, wenn gar keine Lösung oder Tipps offeriert wurden. Die Anzahl der Antworten auf einen Beitrag zeigt dies nur allzu deutlich. Und pascha45 liefert keine Antworten (vor sechs Jahren hat er das besser gemacht). Kein Wunder also, dass sich in diesem Forum so gut wie nichts tut.

Sicherlich ist seine Reaktion in manchen Fällen angebracht, aber nicht in dieser Masse. Das wirkt abschreckend auf die User und für Avira ist das äußerst schlechte Werbung.