Bundestrojaner

[kammerjaeger1]

Ich werde das Gefühl nicht los, dass hier einige Leute nur lesen, was sie lesen wollen!
Niemand hat behauptet, dass es nach der Bereinigung einen 100%igen Schutz gibt, denn den gibt es auch bei einer frischen Installation nicht!
Und niemand hat behauptet, dass purzelbär oder ich einen bereinigten Rechner leichtfertig aus der Hand geben würden, wenn wir nicht sicher sind, dass er sauber ist (schließlich wird auch nach Rootkits etc. gescannt) und einen besseren Schutz bekommen hat als vor der Infektion.
Dem User vorzugaukeln, ein frisch installiertes System wäre sicher, zeugt von Ignoranz ggü. der Unvorsichtigkeit des typischen Internet-Users!

Meinetwegen installiert alles neu, was Ihr in die Finger bekommt, dauerhafte Sicherheit hat der typische User dadurch auch nicht, sondern nur das trügerische Gefühl von Sicherheit! Viel mehr Sicherheit bekommt er, wenn er sich mit dem Thema Schädlingsverhalten, Entfernung, Autostartbereinigung, Browserschutz und Sensibilisierung für Systemverhalten sowie Datensicherung beschäftigt! Das hilft auf Dauer mehr als eine pauschale Neuinstallation. Das ist meine Meinung, die auf >30 Jahren Erfahrung basiert, und die ich mir auch nicht von ein paar Paranoikern nehmen lasse...

 

[purzelbär]

Mach dich doch nicht verrückt kammerjaeger1 es gibt hier halt User die deine Vorgehensweise mit der ich konfirm bin nicht akzeptieren können/wollen. Würdest du Pfusch machen, hättest du dein Geschäft nicht schon so lange und dein Geschäft wäre schon den Bach runter. Genau so ist es auch bei den beiden Geschäften meiner Bekannten. Würde einer von denen einmal einen infizierten PC nicht richtig säubern egal durch Bereinigung oder durch Neuaufsetzen dann würde das deren Image sehr schaden.

 

[empaty]

Ich glaube es ist zwecklos hier und die Entscheidung sollte dem User über lassen werden ,was er nun tut (ich hoffe das richtige )und ob er es lernen will oder nicht ,bitte liebe Leute verhaltet euch doch nicht wie im Kindergarten das hilft niemanden .

Daher mein Vorschlag der Mod sollte es hier schlisssen,der TE hat nun mehr ale genug Tips bekommen und sich bis her nicht mehr gemeldet.

Muss es den so Enden ?

 

[Merle]

Ich werde das Gefühl nicht los, dass hier einige Leute nur lesen, was sie lesen wollen!
Niemand hat behauptet, dass es nach der Bereinigung einen 100%igen Schutz gibt, denn den gibt es auch bei einer frischen Installation nicht!
Und niemand hat behauptet, dass purzelbär oder ich einen bereinigten Rechner leichtfertig aus der Hand geben würden, wenn wir nicht sicher sind, dass er sauber ist (schließlich wird auch nach Rootkits etc. gescannt) und einen besseren Schutz bekommen hat als vor der Infektion.
Dem User vorzugaukeln, ein frisch installiertes System wäre sicher, zeugt von Ignoranz ggü. der Unvorsichtigkeit des typischen Internet-Users!

Boah. IHR lest doch nur, was ihr wollt. Keiner behauptet, ihr scannt nicht gewissenhaft. Das hat hier kein einziger erwähnt. Einen Virenscanner korrekt zu bedienen erfordert auch kein Studium. Wenn der Virenscanner den potentiellen Virus aber nicht erkennt, könnt ihr auch nix machen.
Eine Neuinstallation verhindert (erneute Partitionierung natürlich vorausgesetzt) 100%ig die weiteren Konsequenzen dieser Infektion.
Nun erklärt mir mal beide: Warum sollte ein gründlicher IT-Fachmann einem Kunden nach einer Neuinstallation keinen besseren Virenscanner empfehlen können (wie ihr es vermutlich auch nach Bereinigung tun würdet)?
Das ergibt keinen Sinn. Die komplette Aussage. Vergleichst du eine Neuinstallation ohne Virenschutz mit einer Bereinigung und darauf folgendem besseren Virenschutz? Das ist aber die falsche Analogie.
Ein frisch installiertes System mit den selben ergriffenen Maßnahmen, wie ihr sie treffen würdet, wäre eine Analogie! Ich für meinen Teil empfehle Kaspersky oder Norton.
So: nun ihr. Wo liege ich hier falsch. Nennt mir faktisch einen Punkt.

Mach dich doch nicht verrückt kammerjaeger1 es gibt hier halt User die deine Vorgehensweise mit der ich konfirm bin nicht akzeptieren können/wollen. Würdest du Pfusch machen, hättest du dein Geschäft nicht schon so lange und dein Geschäft wäre schon den Bach runter.

Diese emotionale Schiene hat hier nichts verloren. Denn keiner behauptet, ihr wärt schlechte IT-ler. Nur ist in diesem einen Fall die Vorgehensweise inkonsequent. Das sehe zumindest ich so.
Deswegen geht keiner Bankrott. Es gibt genug Bereiche, in denen man glänzen kann. Nicht jeder muss alles können. Ohne Synergien wird man nie ein erfolgreiches IT-Unternehmen. Nicht jeder versteht HP und Cisco, dazu ESXi und andere Virtualisierungen, AD und die Linuxabbildungen auf Sambabasis. Sehr wenige Menschen können alles. Und das muss man sich halt auch eingestehen können.
Darum: nicht krumm nehmen. Keiner versucht euch hier per se zu degradieren. Das ist nicht der Sinn dieser Diskussion.
Aber gut. Nun bin ich echt raus. Was auch immer.

 

[purzelbär]

Darum: nicht krumm nehmen. Keiner versucht euch hier per se zu degradieren. Das ist nicht der Sinn dieser Diskussion.

Das unterstelle ich auch hier niemanden es gibt halt hier 2 "Lager": die einen die meinen das man mit einer gründlichen Bereinigung die Ransom wegbekommt(wenn nicht noch mehr Malware auf dem System ist)und die anderen die die Auffassung vertreten das das System neu aufgesetzt gehöre wenn der Threadseller kein Systembackup hatte. Wichtig wäre meiner Meinung nach auch das sich der Threadseller bzw dessen Onkel sich künftig etwas mehr beschäftigt mit dem Thema wie er in Zukunft seinen Windows PC etwas besser gegen Malwarebefall absichern kann. Und er damit anfangen würde vom neuen System von Anfang an regelmäßig Systembackups zu machen. Leider liest man nichts mehr vom Threadseller was der in der Zwischenzeit gemacht hat.

 

[omaliesschen]

Das unterstelle ich auch hier niemanden es gibt halt hier 2 "Lager": die einen die meinen das man mit einer gründlichen Bereinigung die Ransom wegbekommt(wenn nicht noch mehr Malware auf dem System ist)und die anderen die die Auffassung vertreten das das System neu aufgesetzt gehöre wenn der Threadseller kein Systembackup hatte.

Es gibt zwei Lager. 1. Einem Kompromittiertem System ist nicht mehr zu trauen und einmal in manchen Fällen kann man es bereinigen.

1. Aussage ist grundsätzlich richtig. Bisher wurde von Deiner/Eurer Seite mehrfach erwähnt dass auch nach anderer Malware "gescanned" wird um "sicherzustellen" dass keine weiteren Infektionen vorliegen.

Bei den bisherigen Schilderungen entsteht der Eindruck man verlässt sich auf die Erkennung von Schadware durch Virenscanner?

Dass ist genauso wie die Aussage "Mit unserem Schutzprogram hat Malware keine Chance".

Dieser Schutz ist rein fiktiver Natur.

Aus euren Beiträgen ergeben sich mehre Szenarien welche fehlerhaft bereinigt werden und den Hilfesuchenden ein symptomfreies aber weiterhin kompromittiertes System bescheren würden.

PS: Der Link zum Trojanerboard unterstützt eure Vorgehensweise in keinster Weise und bietet eurer Vorgehensweise daher auch keinen Rückenschutz.

 

[kammerjaeger1]

Eine Neuinstallation verhindert (erneute Partitionierung natürlich vorausgesetzt) 100%ig die weiteren Konsequenzen dieser Infektion.
Nun erklärt mir mal beide: Warum sollte ein gründlicher IT-Fachmann einem Kunden nach einer Neuinstallation keinen besseren Virenscanner empfehlen können (wie ihr es vermutlich auch nach Bereinigung tun würdet)?
Das ergibt keinen Sinn. Die komplette Aussage. Vergleichst du eine Neuinstallation ohne Virenschutz mit einer Bereinigung und darauf folgendem besseren Virenschutz? Das ist aber die falsche Analogie.
Ein frisch installiertes System mit den selben ergriffenen Maßnahmen, wie ihr sie treffen würdet, wäre eine Analogie! Ich für meinen Teil empfehle Kaspersky oder Norton.
So: nun ihr. Wo liege ich hier falsch. Nennt mir faktisch einen Punkt.

Beim ersten Satz sehe ich es genauso. Aber warum wir hier versuchen, die pauschale Neuinstallation nicht als Allheilmittel darzustellen (und somit den Fehler in der Argumentation einiger User hier festzuhalten), habe ich eigentlich schon versucht zu erklären und tue es nun zum letzten Mal:

Der Tenor bei den Empfehlungen heißt leider: "Installier neu und Du hast keine Probleme mehr."
Der Tenor heißt leider nicht (wie von Dir ja auch angerissen): "Lass Dein System von einem Fachmann mit den passenden Einstellungen und Sicherheitsmaßnahmen neu installieren und lerne, wie einige Schädlinge agieren und wie man in Zukunft solche Infektionen vermeiden kann."

Der meiste Teil der User, die hier wegen so einer Infektion auflaufen, lesen nur max. bis zu dem Punkt, wo zwei Leute sagen "installier neu, alles andere ist Frickelkram und jeder, der was anderes sagt, ist inkompetent". Was danach kommt oder worauf sie in Zukunft achten bzw. welche Software und Settings sie nutzen sollten, interessiert sie dann nicht mehr, weil das für ihr unmittelbares Problem scheinbar nicht mehr relevant ist. Und genau da liegt die größte Gefahr, weil sie sich beim nächsten Mal u.U. keinen harmlosen Ransom-Schädling einfangen, sondern echte "Killer", die ihnen z.B. email-Passwörter klauen und so Zugriff zu 99% ihrer Internetaktivitäten (Foren, Online-Shops etc.) und/oder gar Homebanking verschaffen, ohne dass die User davon etwas mitbekommen, weil sie im festen Glauben sind, ihr frisch installiertes System sei ja so unglaublich sicher, solange sie keine Fehlermeldung oder einen Alarm der Virensoftware bekommen!

Das einzige Ziel hier muss es sein, den User mehr zu sensibilisieren für Verhaltensweisen von Schädlingen. Was bringt eine Neuinstallation, wenn der Betroffene danach weiterhin (abgesehen von div. Filesharing- oder Schmuddelseiten) jedem x-beliebigen Facebook-Link folgt und jeden email-Anhang öffnet, mag der Grund/Betreff oder Absender der email auch noch so abstrus sein.
Wenn wir alle dafür sorgen können, dass der 08/15-Internetuser etwas verantwortungsbewusster denkt und liest, was er da gerade tut, dann haben weder Ransomware noch Nigeria-Connection & Co. in Zukunft eine Chance. Aber durch den plumpen Rat zur Neuinstallation erreichen wir dieses Ziel bestimmt nicht...

Ich hoffe, nun hast nicht nur Du verstanden, worum es hier eigentlich geht!

 

[omaliesschen]

"Lass Dein System von einem Fachmann mit den passenden Einstellungen und Sicherheitsmaßnahmen neu installieren und lerne, wie einige Schädlinge agieren und wie man in Zukunft solche Infektionen vermeiden kann."

Davon gibt es leider zu viele denen ich die ledigliche Erkennung nicht zutrauen würde.

Wenn ein Dieb deinen Hausschlüssel hat ersetzt Du dann das Schloss oder lässt Du das aktuelle Schloss vom Fachmann umschleifen wobei evtl. auch nur das Schloss der Haustür überarbeitet wird weil Garagenschloss sowie Hintereingangsschloss mit einer nicht geringen Wahrscheinlichkeit aufgrund diverser Umstände zum aktuellen Zeitpunkt nicht auffindbar sind.^^?

In euren Szenarien der Bereinigung werden übrigens noch nichteinmal die Startseiten der Browser oder die DNS Einstellungen überprüft. Auch versucht Ihr nicht durch die Software veränderte Dateien aufzuspüren und in die Registry schaut Ihr, gemäß euren Szenarien ebenfalls nicht.

In dem Fall sry. Kein Vertrauen in die Kompetenz.


In den kleinen PC Läden stehen in der Regel auch keine Programmierer und hinter mancher Malware steckt ein kleines oder großes Mastermind.

 

[kammerjaeger1]

Davon gibt es leider zu viele

Ach, aber dem unbedarften 08/15-User, der hier hilfesuchend fragt statt eine der tausend Anleitungen im Netz zu lesen und sich in das Thema einzuarbeiten, traust Du die Installation mit passenden Sicherheitsmaßnahmen zu, die in Zukunft sein System frei von Schädlingen halten soll?

Das ist genau die Kurzsichtigkeit und Blauäugigkeit, die ich hier anspreche!

Ergänzung (8. Mai 2013)

In euren Szenarien der Bereinigung werden übrigens noch nichteinmal die Startseiten der Browser oder die DNS Einstellungen überprüft. Auch versucht Ihr nicht durch die Software veränderte Dateien aufzuspüren und in die Registry schaut Ihr, gemäß euren Szenarien ebenfalls nicht.

In dem Fall sry. Kein Vertrauen in die Kompetenz.

Ich tue das sehr wohl. Aber man sollte vom Standard-User im ersten Topic, das er zu dem Thema liest, nicht zu viel verlangen. Aber mit dem Appell, sich näher mit dem Thema zu befassen, erreicht man dauerhaft sehr viel mehr bei ihm als mit dem Tip der Neuinstallation. Ist das wirklich so schwer zu verstehen???

 

[purzelbär]

In euren Szenarien der Bereinigung werden übrigens noch nichteinmal die Startseiten der Browser oder die DNS Einstellungen überprüft. Auch versucht Ihr nicht durch die Software veränderte Dateien aufzuspüren und in die Registry schaut Ihr, gemäß euren Szenarien ebenfalls nicht.

Aha dann schau mal: Malwarebytes scannt die Registry, entfernt angelegte Autostarteinträge und auch die angelegt skype dat Datei. Das nur mal nebenbei erwähnt Und auch andere Scanner wie zum Beispiel der Full Scan mit der Kaspersky Rescue Disk scannt, Autostart Einträge, Registry, veränderte Dateien usw.

 

[emlyn d.]

hallo,
hier
http://www.bleepingcomputer.com/forums/t/482639/windows-7-white-screen-after-logging-in/
ein fall, bei dem die ransomware wahrscheinlich direkt in verbindung mit einem anderen schädling steht.
C:\Users\andrew\AppData\Roaming\skype.ini und C:\Users\andrew\3541019.exe, dem namen nach doch sehr verdächtig, wurden laut frst beide zur selben zeit angelegt.
interessant auch, dass die "marker"-datei, also skype.ini, laut frst zwischenzeitlich geändert wurde.

 

[omaliesschen]

Ach, aber dem unbedarften 08/15-User, der hier hilfesuchend fragt statt eine der tausend Anleitungen im Netz zu lesen und sich in das Thema einzuarbeiten, traust Du die Installation mit passenden Sicherheitsmaßnahmen zu, die in Zukunft sein System frei von Schädlingen halten soll?

Wo ist der Sinn der Frage?

Wenn du eine Neuinstallation für zu unsicher hälst und dem Nutzer die Kompetenz absprichst müsste der Nutzer gemäß der der Frage innewohnenden Logik den PC nach einer Infektion wegwerfen?

Aber man sollte vom Standard-User im ersten Topic, das er zu dem Thema liest, nicht zu viel verlangen.

Also verschweigt man Ratsuchenden essentielle Schritte die zwingend notwendig sind um überhaupt die bloße Wahrscheinlichkeit einer tieferen Infektion einschätzen zu können?

Wenn etwas notwendiges kompliziert ist ist das Notwendige eben kompliziert und macht damit das Verständnis des komplizierten zur Notwendigkeit.

Aber mit dem Appell, sich näher mit dem Thema zu befassen, erreicht man dauerhaft sehr viel mehr bei ihm als mit dem Tip der Neuinstallation.

Das eine schließt das andere nicht aus. Installiere neu und beschäftige dich dann mit dem Thema.

Ergänzung (8. Mai 2013)

Aha dann schau mal: Malwarebytes scannt die Registry, entfernt angelegte Autostarteinträge und auch die angelegt skype dat Datei.

Ok. Dann anders. Du hast 5 Minuten Zeit die Frage zu beantworten. Danach nehme ich die Antwort nicht mehr ernst.

Nach was sucht der Scanner in der Registry?

 

[kammerjaeger1]

hallo,
hier
http://www.bleepingcomputer.com/forums/t/482639/windows-7-white-screen-after-logging-in/
ein fall, bei dem die ransomware wahrscheinlich direkt in verbindung mit einem anderen schädling steht.
C:\Users\andrew\AppData\Roaming\skype.ini und C:\Users\andrew\3541019.exe, dem namen nach doch sehr verdächtig, wurden laut frst beide zur selben zeit angelegt.

Hatte schon einen identische Fall und Malwarebytes hat auch diese Veränderungen erkannt.

Nach was sucht der Scanner in der Registry?

S.o..
Malwarebytes ist so gut, dass er auch solche Veränderungen erkennt, die von den entsprechenden Schädlingen stammen. Hinzu kommt die von mir angesprochene Bereinigung des Autostarts.

 

[purzelbär]

Ok. Dann anders. Du hast 5 Minuten Zeit die Frage zu beantworten. Danach nehme ich die Antwort nicht mehr ernst.

Nach was sucht der Scanner in der Registry?

Malwarebyte sucht nach Veränderungen in der Registry die von der Ransom vorgenommen wurden und löscht die Veränderung(en). Zufrieden?

Ergänzung (8. Mai 2013)

Auch wenn dir das evtl. nicht passen sollte omaliesschen Malwarebytes ist ein Scanner der auf neuartige Malware spezialisiert ist(kannst du zum beispiel bei Rokop nachlesen)und der auch auf Ransoms und deren Beseitigung spezialsiert ist und nicht nur GVU, BKA und GEMA Ransoms findet sondern zum Beispiel auch sog. Fake AV's die noch mal ne Stufe gefährlicher sind als die GVU Ransoms weil manche Fake AV Varianten im Hintergrund Rootkits, Backdoors usw runterladen. Bei Fake AV's auf meinem System würde allerdings bei mir der "Spass" aufhören und es käme sofort die Paragon Boot CD ins CD Laufwerk.

 

[emlyn d.]

Und auch andere Scanner wie zum Beispiel der Full Scan mit der Kaspersky Rescue Disk scannt, Autostart Einträge, Registry, veränderte Dateien usw.

da würden mich details interessieren.

Hatte schon einen identische Fall und Malwarebytes hat auch diese Veränderungen erkannt.

details?
um was ging es bei dem hilfesuchenden hinsichtlich der 3541019.exe genau?
um was ging es bei dem fall, den du als identisch einstufst, genau?
*
du bestätigst durch deinen beitrag, dass es falsch ist, die ransomware isoliert zu betrachten.

 

[omaliesschen]

Malwarebyte sucht nach Veränderungen in der Registry die von der Ransom vorgenommen wurden und löscht die Veränderung(en). Zufrieden?

Nicht wirklich.

Wie sieht es mit Korrelationsanalysen aus? Kann MB das?

 

[kammerjaeger1]

details?
um was ging es bei dem hilfesuchenden hinsichtlich der 3541019.exe genau?
um was ging es bei dem fall, den du als identisch einstufst, genau?
*
du bestätigst durch deinen beitrag, dass es falsch ist, die ransomware isoliert zu betrachten.

Nein, denn das Verhalten ist das gleiche. Ob die Datei dann 3541019.exe heißt oder z.B. 7777777.exe, ist völlig Banane, denn der Name wird per "Zufallsgenerator" erstellt. Und genau dieses Verhalten erkennt MBAM.
Natürlich wird auch der Rest betrachtet und keine isolierte Vorgehensweise, auch wenn das hier gerne unterstellt wird...

 

[emlyn d.]

ok, mbam erkennt also durch zufallsgenerator erstellte dateien...
dein beitrag liefert, wie erwartet, keine antwort auf meine fragen:

um was ging es bei dem hilfesuchenden hinsichtlich der 3541019.exe genau?
um was ging es bei dem fall, den du als identisch einstufst, genau?

 

[omaliesschen]

denn der Name wird per "Zufallsgenerator" erstellt.

Wir reden hier doch als kompetente Nutzer? Zufallsgenerator... Der Begriff ist fehl am Platz und die Aussage an sich vermutlich falsch.

Wie erkennt MB das?

regex? Simpler neustart der exe? Über den ASM Code?

PS: Noch unbeantwortet. Hilft google nicht?

Wie sieht es mit Korrelationsanalysen aus? Kann MB das?

 

[kammerjaeger1]

dein beitrag liefert, wie erwartet, keine antwort auf meine fragen:

Weil die Frage sinnlos ist! Wenn ich scanne und untersuche, dann umfassend und nicht nur isoliert/gezielt!

So, ich gehe jetzt scannen, äähh schlafen...