Salü
Dieser Notebook ist in den Händen einer jungen Studentin, die
daruaf lediglich ihre Semesterarbeit schreibt.
Dann wäre wohl das OpenOffice die geeigenetste Software
gewesen.
Argument pro OpenOffice im Bezug auf einen Trojanerbefall?
B.t.w das ganz andere Thema Makroviren in Officeprodukten ist schon seit Jahren nich mehr aktuell. Ausserdem - wie bereits gesagt - in keinster Weise Bestandteil meines Postings, welchen diesen Thread angestossen hat.
Beunruhigend an diesem Trojaner war, dass wenn man den Eintrag
aus der
Registry löschte dieser sogleich wieder erstellt wurde. Mit
dem Prozessmonitor von SysInternals konnte ich jedoch keinen
aktiven „unbekannten“ Prozess feststellen.
Genau das habe ich gemeint. Der Prozessexplorer kann nur
aktive und keine verdeckten Prozesse erkennen. Um aber
verdeckte, zum Zeitpunkt jedoch inaktive Prozesse zu erkennen,
ist ein anderes Vorgehen notwendig. Nehme wirklich mal das
Tool von http://www.hijackthis.de/ bzw. Download
http://80.237.140.193/downloads/hijackthis_199.zip und lasse
mal die Registry analysieren, danach von dort aus die
Log-Datei einlesenen. Du erhältst ähnlich wie bei
Online-Scannern nach einigen Sekunden (oder Minuten) die
Auswertung.
Deine Verehrung von Hijackthis ist OK. Es ist ein Programm für Endanwender mit einer sehr guten und breiten Unterstützung der Auswertung der LogDateien. Womit man als „Helfer“ z.B. über E-Mail schnell einen Überblick über die Dienste gewinnt.
Das Tool Autoruns von Sysinternals liegt übrigens in 2 Versionen vor. Einmal mit GUI und einmal für die Kommandoebene („Autorunsc.exe“)
http://www.sysinternals.com/ntw2k/freeware/autoruns…
Das die Entwickler dieser Applikation mehr KnowHow über Winodws Internas haben, als die Sys Internals Crew wage ich ganz salopp zu bezweifeln…
http://www.sysinternals.com/ntw2k/freeware/procexp.s…
Zweitens war ein Prozess von Ebates, aktiv da der Registry Eintrag in der Run Sektion automatisch wieder aktiviert, bzw. eingesetzt wurde. D.h. er war aktiv.
Auf dieser Website siehst Du das Hijackthis Log eines von (vermutlich) mit EBates befallenen Windows PC:
http://board.protecus.de/showtopic.php?threadid=13928
Sei so nett und benennen den oder die „Ebates“ Prozess(e). Und auch die überprüfbare Quelle, womit Du den fraglichen Prozess identifizierst.
Sie ist bei solchen Systemen meist niederschmetternd. Es
werden im Großen und Ganzen drei Gruppen ausgegeben:
- Einträge, welche HiJackThis kennt und die normal, manchmal
sogar wünschenswert sind.
- Einträge, welche HiJackThis kennt und sie als böse oder
schädlich einordnet. Diese dürfen in der Registry gelöscht
werden.
- Die kleinste Gruppe von Einträgen ist die, welche
HiJackThis nicht kennt und bei denen du entscheiden musst, ob
sie böse sind. Bei mir sind zum Beispiel Einträge von O&O
DEFRAG 2000 vorhanden und brauche sie, sonst functs nicht bei
mir.
Dazu bin ich mittels eines Internetzuganges auch in der Lage. B.t.w. kenne ich i.d.R. gute 90% der Registry - Autostart Einträge.
Hast du in der Registry gelöscht, kannst du das erste mal mit
einem Scanner losmachen. Aber bitte mit einem, der es wirklich
auch kann. Symantec hat bei mir schon lange keinen Bonus mehr.
Du wiederholst Dich. Da ich dieser Aussage im letzten Posting nicht widersprochen habe, darfst Du davon ausgehen das ich tendenziell in die gleiche Richtung denke… Also bitte keine Wiederholungen.
Nach der ersten Such&Löschaktion des Scanners erscheinen dann
oft wiederum Einträge in der Registry. Wenn das geschieht,
kannst du jedes weitere Vorgehen vergessen und die
Start-Partition löschen. Dann nämlich hat sich die Malware
schon soweit eingegraben, das Scanner nicht mehr erkennen
können , wo sich diese befindet. Meist wurden dann schon
Systemdateien ausgetauscht. Manchmal zeigen die Scanner dann
noch auf leere Verzeichnisse, in welchen sich diese Dateien
mal befunden haben.
Du wirst einiges durcheinander und das Resultat Deines Horroreintopfes
enthält nicht eine einzige schlüssige und für Windows XP relevante Aussage. B.t.w es ging bei Deinem langen Monolog ursprünglich um ein Problem mit XP…
Es ist doch auch etwas beunruhigend, dass das Produkt XP im
Gegensatz zu allen anderen Windowsversionen vorher jeden Monat
von Microsoft ausgetauscht, bzw. installiert erhält…
Sei froh, das wenigsten ein BS von M$ noch nicht aufgegeben
wurde.
Entweder oder? Das sehe ich nicht. Das Windows im Produkt XP so anfällig und fehlerhaft wurde, dass es quasi nur an einem Tropf zu Mama Microsoft überlebt, finde ich unsympathisch.
- „retten“
Ich sehe es eher wie ein Arzt. Ich diagnostiziere und schätze
Problem sowie die Möglichkeiten des Vorgehens ein.
Also ich sehe das anders. In den meisten Fällen ist eine
Medikamentation (obiges Vorgehen) nicht mehr möglich und ich
sehe das eher mit den Augen eines Bestatters und als
Nachlasverwalter.
Darum auch: Wichtige Daten sichern und danach plätten
Ein jeder wie es ihm gefällt 
„Bekannte“ Käfer kann man mit einem 2 PC und Internetzugang,
orginalem Betriebssytem auf einem Datenträger, ggf bootable CD
/DVD immer entfernen.
Ich nehme dazu immer eine BartPE, welche einen
aktuellen Scanner drauf hat. Windowsfremde BootCD haben
da manchmal Probleme beim Erkennen aber auch im Zugriff. Für
den Zeitpunkt des Eintreffens dubioser Dateien, ist dies ein
guter Tip: http://www.virustotal.com/flash/index_en.html Nur
muss man dort vorher mal gewesen sein, um zu wissen wie es
funktioniert.
Danke für den Link. Hoffentlich finde ich auch mal Zeit dafür.
Der kritische Punkt dabei ist, wie stark
wird das Betriebssytem dadurch beschädigt. Bzw. wie aufwendig
wird die Restauration?
Eben hier liegt der Hase im Pfeffer und was verstehst du unter
bekannt. Bekannt ist, das moderne Malware (und dazu zählt dein
Fund) sich installiert und dann sich selbst aufgibt. Sie ist
dann sich schon lange gegen unauffällige und unbekannte
Dateien getauscht. Oft wurden Systemdateien sogar ersetzt. Du
kannst sie einfach nicht mehr finden, weil die Malware dann
EINMALIG, komplex und auf das System zugeschnitten ist. Du
findest nur noch die Spuren unbekannter Prozesse zu dubiosen
Internet-Adressen in der Registry.
Es ist das alte Problem von Huhn und Ei. Wie ich im vorhergehenden Posting bereits geschrieben habe, ist jede Software (also auch Betriebssysteme oder Sicherheitssoftware) manipulierbar. Es ist lediglich eine Frage des Willens, bzw. des dafür nötigen Aufwandes.
Ganz natürlich operieren wir Menschen mit Wahrscheinlichkeiten. Die Wahrscheinlichkeit das Dich in Berlin eine verirrte Kugel trifft besteht. Sie ist sovieles geringer als in Los Angeles, dass Du keine Kevlar Weste trägst. Du wägst die Wahrscheinlichkeiten ab und triffst basierend auf Deinem Kenntnisstand sowie Deiner Persönlichkeit und 100 anderer (irrtaionaler) Faktoren eine Entscheidung.
Selbst wenn Du Dir Dein XP direkt von Redmond - frisch ab Quelle - „zapfen“ würdest, wüsstest Du nicht ob nicht doch im Quellcode bereits
unbekannte überraschungen enthalten sind. Seien es NSA Backdoors oder
ungefährliche Eastereggs…
Jedem Menschen mit Deinem Furcht- und Hysteriepegel empfehle ich einen
MAC (derzeitig), das Betriebssytem (mit den APPS) ab „nurlesen“ Datenträgern (CD / DVD) oder eine kleine Routine zu schreiben, die Windows 1x die Woche über Nacht automatisch neu installiert - frisch ab den Quelldateien…
Wie Tauschen und Ersetzen geschieht, kannst du in dieser
mehrteiligen Serie bei Heise nachlesen:
http://www.heise.de/security/artikel/49687/0 . Aber wirklich
bis zu Ende lesen. Wenn dort von gepatschten Systemen die Rede
ist, ist ähnliches wie das Script von http://www.ntsvcfg.de/
etc. gemeint.
So viel wie das Video ist es nicht, denn dies ist eine
Strafaufgabe für Unbelehrbare.
Den Heiseartikel kenne ich gut. Zitate die mir wichtig scheinen:
1.
„Offensichtlich hängt das, was in diesem Experiment passiert, davon ab, wohin ich im Netz gehe“
2.
„Darauf lief ein Internet Explorer 6.0 mit Google Toolbar“
3.
"Statt dessen klickte ich auf „www.yahoogamez.com"“
4.
„Da ich jetzt von meinem ersten Besuch auf der yahoogamez-Seite bereits ein Cookie auf meinem Rechner hatte“
5.
„Das Skript versucht zunächst ein ActiveX-Control automatisch zu installieren, indem es eine CODEBASE angibt, die auf eine externe CAB-Datei verweist. Klappt das nicht (onerror), erscheint eine Meldung, dass man zur Installation des Spieles „Yes“ klicken müsse, und das Skript versucht es erneut“.
Da ich nicht noch mehr Zeit für Deine zusammengelesene Antwort aufwenden kann, muss ich es dabei bewenden lassen. Diese 5 Zitate definieren Umstände / Verhalten, die die Mehrheit der Benutzer die ich kenne als „gefährlich“ verstanden hat. D.h. ein Angriff basierend auf
diesen 5 Punkten ist in erster Linie ein Zeugnis für menschliches Versagen.
Grüsse
Peter
)