Vorhandenen Trojaner aufspüren

[Dr. McCoy]

Jedes mal alles neu installieren muss nicht sein .

Nach einer Systemkompromittierung, sprich einer aktiv gewordenen Malware? Doch, da muss man neu installieren (oder eben alternativ ein sauberes Image einspielen).
-> https://msdn.microsoft.com/de-de/library/dn151182.aspx

Zudem: "Jedes mal" deutet von der Formulierung her auf ziemlich häufige oder gar regelmäßige (entdeckte/bemerkte) Infektionen hin. Dies allein bedeutet bereits, dass das vorliegende Sicherheitskonzept kein solches ist, bzw. inkonsequent und/oder ohne das notwendige Fachwissen, ohne die notwendige Struktur, umgesetzt wird.

Also muss man bereits dort ansetzen, und nicht immer wieder versuchen wollen, verseuchte Systeme zu bereinigen. Sonst ist es nicht nur ein falscher, sondern vor allem auch noch gefährlicher Lösungsansatz, sowohl für sich selbst als auch für andere Webteilnehmer.

Wie viele waren davon betroffen ?
CCleaner: Avast muss nun schwerere Folgen der Malware einräumen : http://winfuture.de/news,99711.html...malte-wetz.de/wiki/pmwiki.php/De/RemovalTools
-> http://www.malte-wetz.de/wiki/pmwiki.php/De/VirenEntfernen

Deren Prozedere hat bei mir auch schon geholfen.

Das ist ganz schlecht, wenn Du Dein System in einem kompromittierten Zustand weiterbetrieben und nicht neu aufgesetzt hast. Solche Vorgehensweisen sind mit dafür verantwortlich, dass sich Malware teils lange und gut halten, und für eine entsprechende Weiterverbreitung, bzw. für kriminelle Aktivitäten sorgen kann. Jeder, der so handelt, stellt kriminellen Dritten damit unentgeltlich quasi eine Plattform für deren Aktivitäten zur Verfügung.

bei IT Profis ist der zu erwartende schaden auch größer und der aufwand geringer.

Falsch. Der Schaden, der von kompromittierten Privatrechnern ausgeht, ist enorm. Stichwort "Botnet(z)", Stichwort "DDoS".
-> https://www.eset.com/us/about/newsroom/corporate-blog/ddos-attacks-explained/

die meisten rechner enthalten keine Daten (da komplett online gespeichert)

Wieder falsch. Sowohl Privatnutzer als auch Firmen betreffend zeigt sich das alleine schon daran, wie viele Betroffene, und das ist nur die Spitze des Eisberges, nach der Verschlüsselung ihrer Daten durch Ransomware um Hilfe bitten, um ihre Daten wieder zu bekommen. Und selbst dann, wenn sich solche Nutzerdaten in der Cloud befinden, ist auch dies kein Hindernis:
-> http://www.zdnet.de/88279735/ransomware-virlock-verbreitet-sich-ueber-cloud-storage/

Hinzu kommt, dass Keylogger im Hintergrund Logindaten für Onlinedienste, und da fängt es schon beim Mailanbieter an, mitschneiden, speichern und versenden, sodass Dritte auch hierüber Zugang zu persönlichen Daten und wichtigen Accounts erhalten.

Und selbst wenn diese Logindaten noch nicht mitgeschnitten wurden, befindet sich der PC alleine schon durch nur eine Infektion im Zustand, Teil eines Botnetzes zu sein, darüber Spam und Malware zu verbreiten, DDoS-Attacken zu fahren, usw. Das ist alles andere als harmlos und nicht auf die leichte Schulter zu nehmen, wie Du es mit Deinen Aussagen hier suggerierst.
-> https://de.wikipedia.org/wiki/BlackEnergy

und können daher ziemlich einfach per Image "gerettet" werden.

Auch Privatnutzern steht es frei, und das wird immer wieder empfohlen, "Systembackups" in Form von Images zu erstellen. Statt z.B. in eine Security-Suite Geld zu investieren, wäre es besser in einem Imaging-Programm realisiert.

bei privatanwendern ist der aufwand jedoch deutlich höher bzw. sind die Daten oft nicht extra gesichert, oder die Sicherung zu alt usw.

Der Aufwand ist deswegen höher, weil auf vielen Wegen fachlich unrichtige, von keinem oder nur unzureichendem Fachwissen untermauerte Empfehlungen und Ratschläge gegeben werden, wie auch hier wieder in diesem Thread exemplarisch durch die von mir zitierten Absätze zu lesen, und diese Informationen von aufnehmenden Nutzern in Ermangelung einer Eigeninitiative für bare Münze genommen werden, weil sie schön "einfach und bequem" klingen. "Easy" halt.

meistens reicht hier ein reinigungstool und gut is.

Das ist völlig falsch, leichtsinnig und gefährdend für alle, die sich an solchen nicht untermauerten Empfehlungen orientieren. Lies und verstehe bitte die von mir obenstehend verlinkten Informationen zum Umgang mit kompromittierten Systemen.

bei einem stino Trojaner reicht ein cleantool, bei nem Virus eher nicht - viren sind aber quasi am aussterben.

Erneut falsch. Es gibt von Malware verschiedene Variationen, immer wieder neue angepasste Varianten, die sogar vor der Verbreitung auf Erkennung durch Virenscanner & Co hin ausgelotet und ggf. nochmal vor Inumlaufbringen modifiziert werden:
-> https://www.heise.de/security/meldung/Online-Virenscanner-vice-versa-971180.html

Außerdem kann man bei einem kompromittierten System nie sagen, dass auch nur diese eine gefundene Malware drauf ist und nicht noch weitere, die entweder durch die gleiche Lücke Zugang fand wie der eine Schädling, oder erst über ihn noch auf das System gespielt wurde.

Mit anderen Worten: Deine Vorschläge sind ausnahmslos fachlich ohne Fundament und daher in keinem einzelnen Punkt zu empfehlen.

 

[HalloDudi]

Ich weiß, dass ein Troj vorhanden sein muss, da eine Inetseite, kein Popup, aufgemacht wurde, die ich selbst nicht aufgemacht habe und ich kenne diese weiterleitungskommandos nach x sekunden Seite x öffnen, die gibt es aber auf google nicht.

Irgendwie können Backups auch keine Lösung sein, da man nicht weiß ab wann ein Virus eingeschleußt werden konnte.

Welche Sicherheitsprogramme benutzt du mccoy? Btw dachte ich immer diese Malwarebaukästen seien kaum was wert, da ein Antivirprog nach bestimmten codefragmenten innerhalb einer datei sucht die sich eigentlich nicht groß unterscheiden dürften, oder werden die in assembler gecoded?

 

[cruse]

Mit anderen Worten: Deine Vorschläge sind ausnahmslos fachlich ohne Fundament und daher in keinem einzelnen Punkt zu empfehlen.

Ich gehe halt von der Praxis aus.
Und dort reicht oft ein cleantool.

Im Falle von HalloDudi würde ich das ebenfalls behaupten.

 

[andy_m4]

Ich gehe halt von der Praxis aus.
Und dort reicht oft ein cleantool.

Das könnte man vielleicht(!) gerade noch so gelten lassen, wenn man im gleichen Atemzug den Anwender aufklärt, anmahnt zu Backups und Tipps zu brauchbaren(!) Sicherheitsmaßnahmen (darunter fällt ausdrücklich nicht: 'Hol dir mal ein aktuellen Virenscanner') gibt.

So Anleitungen a-la lass mal den und den Cleaner drüberlaufen sind schlicht unseriös und helfen langfristig dem Betroffenen überhaupt nicht (im Gegenteil!).

 

[purzelbär]

Irgendwie können Backups auch keine Lösung sein, da man nicht weiß ab wann ein Virus eingeschleußt werden konnte.

Egal ob Systembackups oder Backups Eigener Dateien die nicht verloren gehen sollen durch zum Beispiel Ransomware oder auch mal durch eine defekte Festplatte im PC, mit den Backups sollte man meiner Meinung nach anfangen wenn man Windows inkl. gewünschter Programme, Anwendungen usw neu aufgespielt und eingerichtet hat und man diese Neu bzw Ersteinrichtung dann auch mal mit meinetwegen 2 OnDemand Scannern überprüft hat um bestätigt zu bekommen das man sich bei der Installation des Systems keine Trojaner, Adware oder PUP mitinstalliert hat. Ist das dann gemacht und die ersten Backups sind erstellt, sollte man das in gewissen Zeitabständen wiederholen und dann erneute, aktuellere Backups erstellen.

Auch Privatnutzern steht es frei, und das wird immer wieder empfohlen, "Systembackups" in Form von Images zu erstellen. Statt z.B. in eine Security-Suite Geld zu investieren, wäre es besser in einem Imaging-Programm realisiert.

Zu den Usern darf ich mich zählen und das mach ich nicht nur im CB Forum, hab erst gestern bei meinem PC und dem PC meiner Frau jeweils ein Backup der wichtigen Systempartition C gemacht auf unsere USB Festplatten. Man muss noch nicht einmal als normaler User oder Heimanwender Geld für ein Backup/Image Programm ausgeben(siehe verlinkte Programme)sondern nur einmalig eine USB Festplattte anschaffen wenn man noch keine hat.
https://www.easeus.de/backup-software/todo-backup-free.html
https://www.macrium.com/reflectfree
https://www.paragon-software.com/ufsdhome/de/br-free/
https://www.backup-utility.com/de/free-backup-software.html

 

[Dr. McCoy]

Ich gehe halt von der Praxis aus.
Und dort reicht oft ein cleantool.

Nein, gerade in der praktischen Anwendung reicht es nicht. Das hatte ich Dir auch ausführlich begründet. Kompromittiert ist kompromittiert.

 

[Zaptek]

Aber woher will man wissen , ob das Backup wirklich clean ist ? Vielleicht schleppt man sein versteckten Trojaner ja schon etwas länger mit rum

 

[purzelbär]

Aber woher will man wissen , ob das Backup wirklich clean ist ? Vielleicht schleppt man sein versteckten Trojaner ja schon etwas länger mit rum

Das kommt auf den User an ob er in der Vergangenheit als Backups gemacht wurden, aufgepasst hat oder nicht. Deshalb auch mein Rat mit Backups anzufangen wenn das System neu und sorgfältig mit Bedacht aufgespielt wird.

 

[andy_m4]

Aber woher will man wissen , ob das Backup wirklich clean ist ? Vielleicht schleppt man sein versteckten Trojaner ja schon etwas länger mit rum

In der Tat ist das ein Problem was sich auch nicht wirklich lösen lässt.
Das ist analog zu dem Problem, ob es Entscheidbar ist ob ein System infiziert ist oder nicht.
Man kann zwar sozusagen nachweisen, dass ein System kompromittiert ist. Aber man kann eben nicht nachweisen, dass ein System sauber ist.

Allerdings entschärft sich das Problem etwas. Damit eine Infektion erfolgreich ist muss die Malware aktiv werden. Sprich irgendeine Malware die in irgendeiner Datei ist die aber nicht geöffnet wird, ist kein Problem und kann auch keine Schadwirkung entfalten.

Malware muss also irgendwie in Form eines Programms zur Ausführung kommen. Und prinzipiell gibt es einen Unterschied zwischen Programmen und Daten. Malware kann sich also theoretisch nur in Programmen verstecken bzw. nur dort hat sie die Chance überhaupt zur Ausführung zu kommen und aktiv zu werden.

Leider ist dieser Unterschied nur theoretischer Natur. In der Praxis erkennt man das schon daran, dass Daten Programme enthalten können. Ein prominentes Beispiel dürften bei Word die Makros sein und die damit verbundene Makrovirenproblematik. Ein Problem, was man in der Praxis hat ist, dass Daten also direkt (und gewollt) Programme und damit natürlich auch Malware enthalten können.
Ein anderes Problem ist, dass Daten ja durch Programme verarbeitet werden. Durch Fehler in Programmen kann damit auch Malware in Daten aktiv werden, die eigentlich nicht aktiv werden dürfte. Sprich es werden hierbei Sicherheitslücken in den Programmen ausgenutzt.

Alles in allem keine rosigen Aussichten, aber man kann das Risiko durch ein Backup reinfiziert zu werden zumindest deutlich abmildern.
Zum einen sollte man keine Programme backuppen. Weil das sind nunmal "natürliche Träger" von Computerviren. Dateien mit aktiven Inhalten sollte man meiden oder zumindest verhindern, dass die automatisch zur Ausführung kommen. So lässt sich ja beispielsweise in Word einstellen, ob Makros in Dokumenten zur Ausführung kommen oder nicht.

Was die Ausnutzung von Sicherheitslücken angeht, hilft es natürlich seine verwendeten Programme aktuell zu halten, um sicher zu gehen, dass alle bekannten Sicherheitslücken gestopft sind. Das gibt dann zwar immer noch keinen 100% Schutz, da es ja auch ausgenutzte aber nicht gestopfte Sicherheitslücken geben kann, aber auch hier wird das Risiko minimiert (und darum geht es ja; Risiken minimieren; auf Null setzen ist ausgeschlossen, aber reduzieren sollte man natürlich trotzdem so weit wie möglich).

Zusätzlich kann man das System noch härten. So kann man zu Beispiel unterbinden, dass ein Musikplayer auf andere Dateien Zugriff hat als auf Audiodateien. Theoretisch kann er das ja, aber brauchen tut er es für seine Funktion nicht.
Wenns jetzt zum Beispiel zur einer Malware-Ausführung im Audioplayer aufgrund einer Sicherheitslücke kommt, kann diese Malware zwar meine Audiodateien löschen, aber nicht meine in Word geschriebene Diplomarbeit weil der Audioplayer gar keine Rechte hat darauf zuzugreifen und somit auch nicht zu modifizieren.

Andere Härtungsmaßnahmen wären beispielsweise besonders gefährdete Programme wie Browser in einer isolierten Prozessumgebung laufen zu lassen. Oder gar unter einem System laufen zu lassen, was in der Praxis kaum via Browser angegriffen wird wie beispielsweise Linux oder BSD. So eine Surf-Appliance hätte dann noch den zusätzlichen Vorteil, dass sie auch abschirmt falls es die Appliance tatsächlich mal durch einen Angriff heimgesucht wird.

Überhaupt spielt Prävention eine ganz große Rolle. Denn wie gesagt. Da sichere Erkennung im Fall des Falles eben nicht möglich ist.

Aber solche Lösungen haben natürlich auch Nachteile. Mehr Komplexität im System. Damit mehr Angriffsfläche.
Letztlich gibt es nicht DAS Maßnahmenpaket was jeden und einen ein für alle mal schützt. Es kommt auch immer ein wenig drauf an und es unterliegt natürlich auch einem stetigen Wandel.

 

[purzelbär]

Was die Ausnutzung von Sicherheitslücken angeht, hilft es natürlich seine verwendeten Programme aktuell zu halten, um sicher zu gehen, dass alle bekannten Sicherheitslücken gestopft sind. Das gibt dann zwar immer noch keinen 100% Schutz, da es ja auch ausgenutzte aber nicht gestopfte Sicherheitslücken geben kann, aber auch hier wird das Risiko minimiert (und darum geht es ja; Risiken minimieren; auf Null setzen ist ausgeschlossen, aber reduzieren sollte man natürlich trotzdem so weit wie möglich).

Ist für mich selbstverständlich das ich dahinter bin, die installierten Programme auf unseren 2 PC regelmässig zu aktualisieren. Zum einem hilft dabei File Hippo AppManager und zum anderen mache ich das händisch, schau also in den Programmen nach ob die eine Updatefunktion/option haben und prüfe dann ob es Aktualisierungen gibt.

 

[andy_m4]

Ist für mich selbstverständlich das ich dahinter bin, die installierten Programme auf unseren 2 PC regelmässig zu aktualisieren. Zum einem hilft dabei File Hippo AppManager und zum anderen mache ich das händisch, schau also in den Programmen nach ob die eine Updatefunktion/option haben und prüfe dann ob es Aktualisierungen gibt.

Eigentlich ist es in der heutigen Zeit ein Unding, dass Windows da nicht von sich aus ein standardisiertes Verfahren anbietet. Die Infrastruktur wäre ja da (Windows Update). Gibt aber keine Möglichkeit für Dritthersteller sich da reinzuhängen.

 

[purzelbär]

Eigentlich ist es in der heutigen Zeit ein Unding, dass Windows da nicht von sich aus ein standardisiertes Verfahren anbietet. Die Infrastruktur wäre ja da (Windows Update). Gibt aber keine Möglichkeit für Dritthersteller sich da reinzuhängen.

Microsoft wird sich sagen: Warum sollen wir uns um die Aktualisierung von Programmen kümmern, die nicht von uns sind? Verstehe ich auch, warum soll Microsoft sich zum Beispiel um eine Automatische Aktualisierung von zum Beispiel Firefox kümmern bzw Firefox in ihr Windows Update miteinbeziehen? Was nicht von Microsoft kommt, bleibt halt bei Windows Update leider aussen vor, so schauts aus und das wird sich auch nicht ändern denke ich.

 

[andy_m4]

Microsoft wird sich sagen: Warum sollen wir uns um die Aktualisierung von Programmen kümmern, die nicht von uns sind? Verstehe ich auch, warum soll Microsoft sich zum Beispiel um eine Automatische Aktualisierung von zum Beispiel Firefox kümmern bzw Firefox in ihr Windows Update miteinbeziehen?

Ich habe ja auch nicht gesagt, dass sie sich darum kümmern sollen, sondern das sie die Infrastruktur für Drittanbieter öffnen sollen.
Und das ist ja nu auch nix Ungewöhnliches oder Neuartiges. Jedes andere Mainstream-System bietet in der Hinsicht was an.