Bundestrojaner

[smuper]

das System nicht platt sondern bereinige es" Auf meine Frage wie er bei der Bereinigung vorginge sagte er mir das er den Autostart kontrolliere und das System zuerst mit der AVG Rescue Disk bereinige und danach dann auch Malwarebytes einsetze und noch in den Autostart schaue. Abschliessend mache er noch einen Scan mit dem installiertzen Virenschutz Programm und er schaue noch manuell nach ob die infizierte bzw manipulierte Skype dat Datei auch bereinigt bzw gelöscht wurde

Im Grunde müsste mit deinem Klick auf "Antworten" jedem IT Security Analytiker auf der Welt ein kalter Schauer über den Rücken gegangen sein.

Bitte, bitte, nenne so etwas nicht Fachmann oder Spezialist. Omaliesschen bringt es schon treffend auf den Punkt, das ist ein Laie.

Ergänzung (6. Mai 2013)

Nehmen wir einfach mal an, diese Arten Malware sind so simpel. Dein Laie geht also immer nach Schema X vor, wenn er einen bestimmten Malware Namen liest. Nehmen wir weiter an, in Zukunft ändert sich dieses Verhalten und Malware Y wird komplexer. Wie will der Laie mit seinem Schema X überhaupt erkennen, dass er nun ein Problem hat? Richtig, gar nicht.

 

[DJServs]

...

Was können wir tun?

...

Du kannst nur eins tun - Neuinstallation, alles andere ist unseriös und nur was für Pseudo PC Experten!

Ich bin immernoch dafür, dass Leute die Reparaturtipps geben bei soetwas aus dem Sicherheitsforum permanent gebannt werden! Sowas ist eines seriösen PC Forums einfach unwürdig!

 

[purzelbär]

Ergänzung vom 06.05.2013 13:33 Uhr: Nehmen wir einfach mal an, diese Arten Malware sind so simpel. Dein Laie geht also immer nach Schema X vor, wenn er einen bestimmten Malware Namen liest. Nehmen wir weiter an, in Zukunft ändert sich dieses Verhalten und Malware Y wird komplexer. Wie will der Laie mit seinem Schema X überhaupt erkennen, dass er nun ein Problem hat? Richtig, gar nicht.

Wer sagt das er immer nach Schema X vorgeht? er kommt zu den Kunden hin mit dem infizierten PC, schaut sich das an und dann startet er die Bereinigungen. Und er sagte zu mir wenn eine der genannten Ransom aktiv ist mit Sperrbildschirm die nicht Dateien verschlüsselt, dann bereinigt er das System zuerst mit einer Live/Rescue Disk und anschliessend mit Malwarebytes und schaut auch nach ob noch weitere, möglicherweise schwerere Infektionen auf dem betroffenen System sind. Ist letzteres der Fall zieht er in Erwägung dem Kunden eine Datensicherung zu machen und anschliessend dem das System neu aufzusetzen. Ist aber jedoch "nur" eine der genannten Ransom aktiv, bereinigt er diese.
Ich hoffe nur der Threadseller trifft für seinen Onkel ein paar Vorkehrungen die Malwarebefall zumindest künftig erschweren.

Ich bin immernoch dafür, dass Leute die Reparaturtipps geben bei soetwas aus dem Sicherheitsforum permanent gebannt werden! Sowas ist eines seriösen PC Forums einfach unwürdig!

Fragt doch mal im Trojaner Board nach was die dort hilfesuchenden Usern raten die einen Befall mit sog. GVU, GEMA oder BKA Ransoms hatten bzw betätigt die Suchfunktion dort und schaut nach was die Helfer dort den Hilfesuchenden geraten haben.
Falls ihr keine Lust habt zu suchen, hier gibt es einen "Vorgeschmack" oder meinetwegen "Auslese" dazu: http://www.trojaner-board.de/thema/gvu trojaner.html

 

[smuper]

Du kannst nur eins tun - Neuinstallation, alles andere ist unseriös und nur was für Pseudo PC Experten!

Ich bin immernoch dafür, dass Leute die Reparaturtipps geben bei soetwas aus dem Sicherheitsforum permanent gebannt werden! Sowas ist eines seriösen PC Forums einfach unwürdig!

Das ist ein ähnlicher Blödsinn.

Fragt doch mal im Trojaner Board nach was die dort hilfesuchenden Usern raten die einen Befall mit sog. GVU, GEMA oder BKA Ransoms hatten bzw betätigt die Suchfunktion dort und schaut nach was die Helfer dort den Hilfesuchenden geraten haben.
Falls ihr keine Lust habt zu suchen, hier gibt es einen "Vorgeschmack" oder meinetwegen "Auslese" dazu: http://www.trojaner-board.de/thema/gvu trojaner.html

Die Ratgeber im TrojanerBoard sind allerdings deutlich tiefer in der Materie und geben individuelle Anweisungen.

 

[purzelbär]

Die Ratgeber im TrojanerBoard sind allerdings deutlich tiefer in der Materie und geben individuelle Anweisungen.

Darauf spielte ich ja indirekt an da werden den einzelnen Usern individuell von Helfern des Trojaner Boards geholfen und deren Anleitungen sind sehr ausführlich.

 

[SEL33]

Die Bereinigung des Systems von Ramson Trojanern dient doch in erster Linie nur dazu,das der Benutzer noch
persönliche wichtige Dateien sichern kann,ansonsten ist eine Neuinstallation von Windows fällig.

Selbst das Schmuddelblatt Chip empfiehlt eine Neuinstallation.

Komplett sicher fahren Sie jedoch nur mit einer Neuinstallation von Windows. Wir empfehlen selbst nach einer Entsperrung, die wichtigsten Daten zu sichern und das Betriebssystem neu aufzusetzen.

Quelle: http://www.chip.de/news/GVU-Trojaner-entfernen-So-entsperren-Sie-Windows_54761623.html

 

[Merle]

Das ist auch das einzig sichere.
Das Trojanerboard ist fit, ja. Ich hab da als es hier empfohlen wurde ein paar Threads gelesen. Die entfernen wirklich alle offensichtlichen, neu gelegten Spuren. Aber NIRGENDS gehen die darauf ein, dass auch eine System DLL infiziert sein worden kann (wie soll das auch feststellbar sein).
Diese "Experten" (und das mögen Sie sicher sein), liegen einfach mit dem Ende falsch. Bootfähig machen, Daten sichern (am besten nicht vom kompromittierten Rechner), alles OK. Aber die letzte Empfehlung kann und muss eine Neuinstallation sein.
Alles andere ist kurzfristig und bullshit.

 

[smuper]

. Aber die letzte Empfehlung kann und muss eine Neuinstallation sein.
Alles andere ist kurzfristig und bullshit.

Das wird je nach schwere der Infektion auch getan.

 

[Neronomicon]

Egal ob der eine Schädling oder der andere oder 10 getestete daheim im Stübchen, dieses mal nichts weiter machen und wenn es einer oder 5 es glaubhaft versichern, aber der User zum Schluß doch der Dumme ist wenn doch noch was passiert, es ist nur ratsam ins Windows zu gehen um es so zu bereinigen das man seine Daten, falls nötig noch sichern kann. Ansonsten ist eine Neuinsallation mit vorheriger Formatierung fällig.
Ich persönlich sichere meine Daten mit Paragon http://www.paragon-software.com/de/home/br-free/, auf DVD und in 10 min. ist das kompette System wiederhergestellt! Mit allen Programmen und Einstellungen, da muss man doch nicht lange überlegen was man da macht.
Achja und ich habe selber gerne experimentiert aber in Zeiten von Online-Banking wähle ich die schnellere und sichere Methode als ewig und 3 Tage rumzufummeln, und noch x- Virenscanner über das System zu jagen+ voriger Insallation dieser. Ich habe einfach nicht mehr die Zeit und die Geduld wie frühe für diese Spielchen^^. Und am Ende weiß man doch nicht wirklich ob alles weg ist.

 

[purzelbär]

Das ist auch das einzig sichere.
Das Trojanerboard ist fit, ja. Ich hab da als es hier empfohlen wurde ein paar Threads gelesen. Die entfernen wirklich alle offensichtlichen, neu gelegten Spuren. Aber NIRGENDS gehen die darauf ein, dass auch eine System DLL infiziert sein worden kann (wie soll das auch feststellbar sein).
Diese "Experten" (und das mögen Sie sicher sein), liegen einfach mit dem Ende falsch. Bootfähig machen, Daten sichern (am besten nicht vom kompromittierten Rechner), alles OK. Aber die letzte Empfehlung kann und muss eine Neuinstallation sein.
Alles andere ist kurzfristig und bullshit.

Wenn du es ja besser zu wissen scheinst als die Helfer beim Trojaner Board, warum meldest du dich dann nicht dort an und machst die Leute dort darauf aufmerksam auf das was du hier angeführt hast mit möglicherweise infizierter System DLL? Wäre interessant zu wissen wie man dann im Trojaner Board auf deine Bedenken reagieren würde falls du das dort vortragen würdest.

 

[kammerjaeger1]

So macht das der Laie halt.

Nicht nur der Laie!
Wir reden hier nicht von Spionagesoftware, die man auf Pentagonrechner o.ä. loslässt, sondern von Baukasten-Ransomware, die nur ein einziges Ziel hat: Einem gewissen Prozentsatz der betroffen User Geld aus der Tasche zu ziehen! Nicht mehr und nicht weniger!
Dazu verwendet man nur die notwendigen Mechanismen, um möglichst viele Rechner möglichst schnell und unerkannt zu infizieren. Jede weitere Veränderung am System, die nicht dieses Ziel verfolgt, würde eine zusätzliche Gefahr bergen, erkannt zu werden und die Zahl der zahlenden User würde sinken, was nicht gewollt ist.
Daher sind solche Ransomware auf max. monitären Gewinn optmiert und haben gar nicht vor, Systeme zusätzlich zu kompromittieren...

Ergänzung (6. Mai 2013)

Selbst das Schmuddelblatt Chip empfiehlt eine Neuinstallation.

Wir haben schon Ukash-Varianten entfernt, als Chip und Computer-Bild zu Beginn der "Epidemie" nicht einmal wussten, dass man das System wieder zum Laufen bringen kann und ratlos beim Thema Ukash waren. Nach deren Meinung gab es damals kein Mittel dagegen. Wir haben schon damals erfolgreich desinfiziert und die Rechner sind bis heute virenfrei!

 

[purzelbär]

Nicht nur der Laie!
Wir reden hier nicht von Spionagesoftware, die man auf Pentagonrechner o.ä. loslässt, sondern von Baukasten-Ransomware, die nur ein einziges Ziel hat: Einem gewissen Prozentsatz der betroffen User Geld aus der Tasche zu ziehen! Nicht mehr und nicht weniger!
Dazu verwendet man nur die notwendigen Mechanismen, um möglichst viele Rechner möglichst schnell und unerkannt zu infizieren. Jede weitere Veränderung am System, die nicht dieses Ziel verfolgt, würde eine zusätzliche Gefahr bergen, erkannt zu werden und die Zahl der zahlenden User würde sinken, was nicht gewollt ist.
Daher sind solche Ransomware auf max. monitären Gewinn optmiert und haben gar nicht vor, Systeme zusätzlich zu kompromittieren...

Du schon wieder in etwa bzw genauso wie du hat es damals auch ein sehr erfahrener User bei Rokop erklärt. Die Ransoms sind sozusagen alle nach dem selben Baukastenprinzip gestrickt(was aber nicht heisst das die nicht auch optimiert werden)und verfolgen im Endeffekt nur das eine Ziel: Möglichst vielen Leute das Geld aus der Tasche ziehen zu wollen.

Ergänzung (6. Mai 2013)

Egal ob der eine Schädling oder der andere oder 10 getestete daheim im Stübchen, dieses mal nichts weiter machen und wenn es einer oder 5 es glaubhaft versichern, aber der User zum Schluß doch der Dumme ist wenn doch noch was passiert, es ist nur ratsam ins Windows zu gehen um es so zu bereinigen das man seine Daten, falls nötig noch sichern kann. Ansonsten ist eine Neuinsallation mit vorheriger Formatierung fällig.
Ich persönlich sichere meine Daten mit Paragon http://www.paragon-software.com/de/home/br-free/, auf DVD und in 10 min. ist das kompette System wiederhergestellt! Mit allen Programmen und Einstellungen, da muss man doch nicht lange überlegen was man da macht.
Achja und ich habe selber gerne experimentiert aber in Zeiten von Online-Banking wähle ich die schnellere und sichere Methode als ewig und 3 Tage rumzufummeln, und noch x- Virenscanner über das System zu jagen+ voriger Insallation dieser. Ich habe einfach nicht mehr die Zeit und die Geduld wie frühe für diese Spielchen^^. Und am Ende weiß man doch nicht wirklich ob alles weg ist.

Wenn du im Thread hier richtig mitgelesen hast, dann hast du ja auch gelesen das ich damals bevor ich mit den 10 GVU Ransom Files anfing, ein Systembackup von der Parition C gemacht habe und dieses zum Schluß nach dem 10. GVU Ransom File wieder eingespielt hatte. Ich wollte seinerzeit meine damalige(und jetzige)Schutzsoftware Avast Free und Online Armor Free testen ob und wie die auf die Ausführungsversuche der 10 GVU Ransom Varianten reagieren würden. War Online Armor Free aktiv, wurden alle 10 Varianten beim Ausführen von Online Armor gestoppt und es gab die Infektion nicht. War nur Avast Free aktiv(die Version 8 schon)dann wurden wenn ich mich recht entsinne immerhin der 6 der 10 Varianten erkannt und von Avast in dessen Qurantäne verschoben.

 

[omaliesschen]

Schau dir die zitierte Vorgehensweise nochmal an. Ich sehe da kein professionelles vorgehen.

Mir kanns eh egal sein. Linux, Networkmonitor, noscript, nojava etc.

Nicht mein Problem.

 

[Merle]

@purzelbär
Ich bin nicht der Ansicht, dass ich mich mit diesen Dingen derart auskenne wie die Jungs/Mädels im Trojanerboard.
Aber wenn nur 1% Chance besteht (und das in Anspielung auf kammerjaeger1), dass da doch noch was infiziert wurde, wöllte ich danach mit diesem PC kein Onlinebanking machen.
Mag sein, eventuell machen sich die Coder nicht die Mühe. Was wenn doch, um danach direkt den nächsten Ransom nachzuladen?
Ich kann nur sagen: macht was ihr wollt. Ganz sicher ist nur eine Neuinstallation mit erneuter Partitionierung der HDD.

Alles andere ist einfach fahrlässig. Keiner sagt, dass das nie funktioniert. Aber mir wärs zu heiß. Neu installiert ist doch in einem Tag. Und wenn nicht (z.B. auf Grund einer langsamen Leitung für Updates), dann lernt man Backups schnell zu schätzen.

 

[purzelbär]

Mag sein, eventuell machen sich die Coder nicht die Mühe. Was wenn doch, um danach direkt den nächsten Ransom nachzuladen?

Du hast doch selbst gelesen was kammerjaeger1 schrieb: bis jetzt haben sich die "Macher" dieser Ransoms noch nicht die Mühe gemacht einen solchen Code zu impletieren den du nanntest weil Sie darauf aus sind ihre Ransoms "massentaugich" zu machen um damit aus einem bestimmten Baukasten heraus immer wieder neue Ransoms "bauen" zu können die auf abertausenden Windows PC's funktionieren. So wie ich das mal gelesen habe, müssen die eine vorhandene Ransom nur geringfügig ändern um eine neue Variante zu bekommen die dann erstmal nicht von klassischen Virenscannern erkannt werden kann weil deren ich nenne es mal die Identität noch nicht bekannt ist und noch nicht in den Signaturendatenbanken eingepflegt wurde. Wohl auch diesem Grund gibt es ja auch abertausende Varianten der GVU, GEMA und BKA Ransoms.

Ganz sicher ist nur eine Neuinstallation mit erneuter Partitionierung der HDD.

Da stimme ich dir sogar zu wenn man keine Systembackups hat bzw wenn man keinen PC Profi zur Hand hat der eine Bereinigung durchführen kann(ich würde 2 kennen denen ich da vertrauen würde).

Neu installiert ist doch in einem Tag. Und wenn nicht (z.B. auf Grund einer langsamen Leitung für Updates), dann lernt man Backups schnell zu schätzen.

Bei XP das immer noch sehr verbreitet ist, sitzt du aber länger dort und dann wollen ja noch alle Programme und Anwendungen installiert sein. Da sind schnell mal 20 Stunden und mehr vorüber. Was Backups betrifft: ich weiß warum ich Paragon installiert habe und warum eine externe USB Festplatte hier steht.

 

[Merle]

Jaja, Code obfuscation, pseudo Laufzeitpacker blabla.
Stimmt auch. Ist oftmals für Virenscanner schwer, wenn nicht gar unmöglich.
GERADE das sollte ein Grund sein.
Aber gut. Da rennen oft verschiedene Verständnisse von Sicherheit gegeneinander. Ich bin eher der paranoide Typ.
Und ja: Ich kann das bereinigen. Ich kann es wieder bootfähig machen. Ich bin "dieser" PC Fachmann, der es am Ende bei den Leuten richten darf. Ich hatte Kunden, die auf eine Neuinstallation ablehnend reagiert haben. Denen kann ich nicht (abschließend; 100%ig) helfen. Normal ist bei mir: Linux CD oder HDD an anderen PC, Daten runtersichern, neu Partitionieren lassen vom Windows Setup, und ab die Post.
Da waren aber wohl auch 1-2 prägende Virenerlebnisse ausschlaggebend (nicht Ransom).

 

[DJServs]

...Da stimme ich dir sogar zu wenn man keine Systembackups hat bzw wenn man keinen PC Profi zur Hand hat der eine Bereinigung durchführen kann(ich würde 2 kennen denen ich da vertrauen würde)...

Das ist ein Paradoxon, jemand der ein kompromittiertes System reinigen will kann kein Profi sein, also kannst Du auch nicht soejmanden kennen :-D

Im übrigen stelle ich jetzt mal die Frage in den Raum, was macht die Leute im Trojanerboard eigentlich zu Göttern? Die Tatsache, dass sie gegen jeglichen seriösen Sicherheitsrat (Microsoft, Chip usw) versuchen kompromittierte Systeme zu reparieren? Die Tatsache dass sie es schaffen die SYMPTOME einer Schadsoftware abzustellen? Klar wenn man ncihts mehr sieht und nichts mehr hoert muss ein PC ja clean sein.

 

[emlyn d.]

hallo,

Aber NIRGENDS gehen die darauf ein, dass auch eine System DLL infiziert sein worden kann (wie soll das auch feststellbar sein).

da gibt es z.b. die auflistung zuletzt geänderter dateien via dds, frst oder otl, die anwendung von combofix...

Auf meine Frage wie er bei der Bereinigung vorginge sagte er mir[...]

oh.

 

[omaliesschen]

So in etwa..

 

[purzelbär]

Das ist ein Paradoxon, jemand der ein kompromittiertes System reinigen will kann kein Profi sein, also kannst Du auch nicht soejmanden kennen :-D

Alles klar frag mal kammerjaeger1 und dessen Chef was die dazu sagen. Und ich für meine Person gebe deine Aussage mal weiter an die Leute die ich kenne von denen einer einen PC-Laden/Werkstatt besitzt und der andere der selbstständig ist in Sachen PC Betreuung und bei Geschäftskunden in ganz Süddeutschland unterwegs ist um sich bei Firmen um deren Computeranlagen zu kümmern(private Kunden/Heimanwender betreut er auch). Bei der Gelegenheit kann ich ihn ja auch fragen, wie er es geschafft hat einen Auftrag zu bekommen in einem Atomkraftwerk in Norddeutschland um für denen dort einen PC bauen und einrichten zu dürfen der dort in dem Atomkraftwerk eingesetzt wird. Um genauer zu sein: es ging da um einen Desktop PC für einen Kran in dem Atomkraftwerk. Würde man nach deiner Aussage gehen, hätten die Betreiber der Anlage doch nie und nimmer einen solchen PC Dienstleiter einen solchen Auftrag geben dürfen oder