Spyware - richtig gehandelt?

Ich schreibs mal stichpunktartig:

  • Ausversehen auf Ja geklickt bei pop up windows und somit eine Seite als Startseite festgelegt auf der steht, dass mein PC jetzt ausspioniert wird und ich eine bestimmte Software runterladen muss um das rückgängig zu machen.

-Angezeigt: hier klicken um den Inhalt ihrer C-Platt zu sehen. Die (Spionierer…) wissen, dass sie aus Deutschland kommen und die Sprache auf ihrem PC DE(deutsch nehm ich an) ist blabla (alles Sachen von denen ich nicht weiß, ob es ganz normal ist, dass die auf einer Homepage angezeigt werden kann (auf die man von seinem eigenen PC aus zugreift). Auf C: hab ich übrigens gar nicht geklickt, könnte also auch sein, dass das einfach eine Standardauflistung einer C:Festplatte gewesen wär (?).

-War es richtig von mir einfach diese Startseite zu löschen und das Programm dass ich hätte runterladen müssen um das ausspionieren zu verhindern nicht runtergeladen hab? Wahrscheinlich wird mit meinem PC sowieso jede Menge Data Mining(-Schindluder :wink:) getrieben, da ich per Spywareprogrammen die dem Real Player und jedem anderen möglichen Programm angehängt bzw in dieses integriert sind oder…? Und wenn ich das Programm runtergeladen hätte wär ich wahrscheinlich eher in irgendwelche Schwierigkeiten gekommen?

Achja kurz zuvor hatte mein PC auch gesagt: Norton hat Virus entdeckt und gelöscht und das ganze 3 oder 4 mal nacheinander bis ich das Fenster endlich schließen konnte…?

Was kann ich jetz am besten machen? EInfach Virenscanner laufen lassen?

Vielen Dank

Grüße

  • Ausversehen auf Ja geklickt bei pop up windows und somit
    eine Seite als Startseite festgelegt auf der steht, dass mein
    PC jetzt ausspioniert wird und ich eine bestimmte Software
    runterladen muss um das rückgängig zu machen.

Bang bang, du bist tot!

-Angezeigt: hier klicken um den Inhalt ihrer C-Platt zu sehen.
Die (Spionierer…) wissen, dass sie aus Deutschland kommen und
die Sprache auf ihrem PC DE(deutsch nehm ich an) ist blabla
(alles Sachen von denen ich nicht weiß, ob es ganz normal ist,
dass die auf einer Homepage angezeigt werden kann (auf die man
von seinem eigenen PC aus zugreift). Auf C: hab ich übrigens
gar nicht geklickt, könnte also auch sein, dass das einfach
eine Standardauflistung einer C:Festplatte gewesen wär (?).

Du musst mit der nicht gerade unwahrscheinlichen Möglichkeit rechnen, dass deine derzeitige Windows-Installation nicht mehr zu retten ist. In Tom Liston’s (Handler on Duty beim Internet Storm Center) Artikel Follow the Bouncing Malware VII: Afterglow http://isc.sans.org/diary.php?date=2005-07-20 beschreibt dieser eine sehr ähnliche Situation, wie du sie hier geschildert hast, und dieser Artikel lässt den Schluss zu (erzwingt ihn allerdings nicht), dass die Schadsoftware bereits geladen ist und die Kontrolle über deinen PC nicht mehr in deinen Händen liegt.

Der Artikel ist Teil einer Serie, welche bei Heise-Security in den ersten Teilen auch auf deutsch erschienen ist (http://www.heise.de/security/artikel/49687), es ist anzunehmen, dass auch diese Folge in Kürze in Übersetzung bei Heise übersetzt zu lesen sein wird.

-War es richtig von mir einfach diese Startseite zu löschen
und das Programm dass ich hätte runterladen müssen um das
ausspionieren zu verhindern nicht runtergeladen hab?

Wie gesagt, das Programm ist möglicherweise schon da. Da brauchst du selbst nicht mehr aktiv zu werden, alles was dein PC an weiteren Schädlingen braucht, holt er sich selbst.

Überprüfen kannst du dass nur mit einem gründlichem Systemcheck von einem sicher sauberen System aus. Der bei dir installierte Norton hat da keine Chance, die ist ihm im Infektionsfalle gründlich verbaut. Festplatte also z. B. als Slave in einen anderen PC stecken und von dort aus überprüfen, oder dein System von CD (z. B. Knoppix) booten und gründlich checken.

Wahrscheinlich wird mit meinem PC sowieso jede Menge Data
Mining(-Schindluder :wink:) getrieben, da ich per
Spywareprogrammen die dem Real Player und jedem anderen
möglichen Programm angehängt bzw in dieses integriert sind
oder…? Und wenn ich das Programm runtergeladen hätte wär ich
wahrscheinlich eher in irgendwelche Schwierigkeiten gekommen?
Achja kurz zuvor hatte mein PC auch gesagt: Norton hat Virus
entdeckt und gelöscht und das ganze 3 oder 4 mal nacheinander
bis ich das Fenster endlich schließen konnte…?

Was kann ich jetz am besten machen? EInfach Virenscanner
laufen lassen?

Von einem sicheren System prüfen, und wenn sich eine Infektion nachweisen oder nicht sicher ausschliessen lässt, formatieren, neu installieren und vor allem:

Sehr gründlich über deine Gepflogenheiten im Umgang mit dem Internet und die Wahl der von dir verwendeten Programme - insbesondere Browser - nachdenken.

Gruss
Schorsch

Standardvorgehensweise bei Schädlingsbefall
Keiner der am Markt angebotenen Virenscanner ist perfekt. Es ist deshalb eine gute Idee mit einem zweiten oder dritten Antivirenprogramm zu scannen. Sehr leistungsfähige (kostenlose) Virenscanner sind escan (Kaspersky Engine) und BitdefenderFree.

Da aber alle Virenscanner Probleme mit Trojanern und Spyware haben, grundsätzlich mit Spyware- und Trojanerscanner zusätzlich prüfen: Spybot Search&Destroy und a² (emisoft). Für alle eingesetzten Programme gilt: Vor dem Einsatz aktualisieren (updaten)!

Dannach checken mit HijackThis und MSConfig.

Dann Systemwiederherstellung (nur Windows XP) deaktivieren und im abgesicherten Modus booten. Nochmal Virenscanner, Spybot und a² drüber laufen lassen und mit HijackThis überprüfen/fixen. Wenn keine Fehler mehr, neu booten und die Systemwiederherstellung wieder aktivieren.

Eine Garantie, dass der Schädling weg ist, hast du aber nicht. Hier hilft nur Formatieren und Neuinstallation der Festplatte. Eine Anleitung findest du hier http://www.trojaner-board.de/showthread.php?t=16918.

Du solltest dir aber mal grundlegende Gedanken machen, warum du den Schädling bekommen hast und entsprechende Vorsorgemaßnahmen ergreifen (Stichwort 10 goldene Regeln).

Infos und Downloads zum Thema findest du auf meiner Webpage http://www.comsafe.de
.

Danke für Eure Hilfe. Was ich jetzt aber noch nicht verstehe: Was hatte es mit dieser Startseite auf sich auf der irgendwelche ausspionierten (?) Daten standen? War das Programm dass ich hätte runterladen sollen dann tatsächlich ein Programm, dass mir geholfen hätte?! Und wenn nicht, wieso sollte ich dann dazu bewegt werden sowas runterzuladen, wenn das Programm eh schon auf meinem Rechner ist und der sich alle anderen Schädlinge die er noch braucht selber zieht?

Wenn auf dieser Startseite angezeigt werden konnte, dass ich aus Deutschland komme (und mir ist noch eingefallen, dass meine Internetverbindung auch dastand…) ist das dann ein sicheres Zeichen dafür, dass ich jetzt ein großes Problem hab oder könnte das auch so angezeigt werden?

Außerdem: Was genau hab ich jetzt dann für ein Ding auf meinem Rechner drauf?

Wenn der Rechner befallen ist, bringt mir das Antivirenprogramm das ich drauf hab nichts mehr, weil das vielleicht auch schon lahmgelegt ist - aber dann bringt es doch eigentlich gar nichts ein Antivirenprogramm draufzuhaben wenn das so bald ein Virus auf dem PC ist lahmgelegt werden kann?!

Könnt ihr mir bitte nochmal erklären, was ich jetzt genau machen kann/soll/muss und mit was für Konsequenzen ich rechnen muss? Also…was für eine Möglichkeit hab ich das Ganze zu überprüfen ohne den Rechner neuzuinstallieren…ich kenn mich mit PCs leider nicht so extrem gut aus. Ich hab zwar schon eine Anleitung gekriegt, aber die Hälfte davon hab ich leider nicht so richtig verstanden :-/

Gruß und Danke

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

„Festplatte also z. B. als Slave in einen anderen PC stecken und von dort aus überprüfen, oder dein System von CD (z. B. Knoppix) booten und gründlich checken.“

Was bedeutet denn mein System von CD zu booten und gründlich zu checken? Und was ist Knoppix? Einen anderen PC, also ein sicheres System hab ich nämlich nicht und wüsste auch nich wie ich die Festplatte ausbau und als Slave in einen anderen Rechner stecken würde, wenn ich einen hätte…deswegen wär mir die Möglichkeit per CD lieber :-/.

Wenn auf dieser Startseite angezeigt werden konnte, dass ich
aus Deutschland komme (und mir ist noch eingefallen, dass
meine Internetverbindung auch dastand…) ist das dann ein
sicheres Zeichen dafür, dass ich jetzt ein großes Problem hab
oder könnte das auch so angezeigt werden?

Das meiste dürften trivial zu ermittelnde Daten gewesen sein; dass jemand weiss, wie dein Browser heisst, dein Betriebssystem (wird vom Browser übermittelt) oder dein Standort auf der Weltkarte (Datenbankanfrage, an welchen Provider ist IP-Adresse vergeben), liegt daran dass dein PC genau diese Infos grundsätzlich herausgibt, herausgeben muss, willst du einigermassen bequem surfen. Mit Sicherheitslücken hat das nichts zu tun.

Die Anzeige deines Festplatteninhalts ist ein so alter wie primitiver Trick, folgender Link file://localhost/C:/ sollte dir dein Laufwerk C: anzeigen. Auch hier wird nichts ausgespäht, dein Browser zeigt diese Daten dir, aber sonst niemandem.

Außerdem: Was genau hab ich jetzt dann für ein Ding auf meinem
Rechner drauf?

Das musst du schon selbst ermitteln. Aber: Auch wenn es gute Gründe zur Annahme gibt, dein Rechner sei verseucht - diese Ferndiagnose stützt sich auf verdammt schwache Beine, es ist genauso gut möglich, dass nichts passiert ist. Wenn du den von dir verwendeten Browser genannt hättest, und wenn dessen Name nicht Internet Explorer gewesen wäre, wäre meine erste Diagnose ganz anders ausgefallen.

Wenn der Rechner befallen ist, bringt mir das
Antivirenprogramm das ich drauf hab nichts mehr, weil das
vielleicht auch schon lahmgelegt ist - aber dann bringt es
doch eigentlich gar nichts ein Antivirenprogramm draufzuhaben
wenn das so bald ein Virus auf dem PC ist lahmgelegt werden
kann?!

Doch, das AV-Programm kann - in gewissem Maße - verhindern, dass sich ein Schadprogramm auf deinem Rechner breitmacht und es gibt dir die Möglichkeit, Dateien manuell zu prüfen, bevor du dich per Doppelklick einem ungewissen Schicksal unterwirfst.

Könnt ihr mir bitte nochmal erklären, was ich jetzt genau
machen kann/soll/muss und mit was für Konsequenzen ich rechnen
muss? Also…was für eine Möglichkeit hab ich das Ganze zu
überprüfen ohne den Rechner neuzuinstallieren…ich kenn mich
mit PCs leider nicht so extrem gut aus. Ich hab zwar schon
eine Anleitung gekriegt, aber die Hälfte davon hab ich leider
nicht so richtig verstanden :-/

Platte in einen anderen PC so einbauen, dass dessen Originalsystem gestartet wird und von diesem System die Platte prüfen oder in deinen PC eine andere Platte als Master einbauen, Betriebssystem darauf installieren und die alte, als Slave eingehängte Platte von diesem neuen System aus prüfen. Es gibt andere Methoden, diese scheinen mir die einfachsten.

HTH
Schorsch

Hallo,

dann poste ich mal auch noch meine persönliche Meinung dazu.
Ich gebe aber zu bedenken, daß die Experten hier, die Lage besser beurteilen können, als ich.

Was hatte es mit dieser Startseite auf sich auf der
irgendwelche ausspionierten (?) Daten standen?

Nein, das ist ein beliebter ‚Trick‘, das waren vermutlich nur Daten, die jeder bekommt, ohne die das Internet nicht funktioniert.

War das
Programm dass ich hätte runterladen sollen dann tatsächlich
ein Programm, dass mir geholfen hätte?!

Eher nein. :wink:

Und wenn nicht, wieso
sollte ich dann dazu bewegt werden sowas runterzuladen, wenn
das Programm eh schon auf meinem Rechner ist und der sich alle
anderen Schädlinge die er noch braucht selber zieht?

Nur, wenn der Rechner wirklich infiziert ist. Hast Du einen Grund, das anzunehmen?

Wenn auf dieser Startseite angezeigt werden konnte, dass ich
aus Deutschland komme (und mir ist noch eingefallen, dass
meine Internetverbindung auch dastand…) ist das dann ein
sicheres Zeichen dafür, dass ich jetzt ein großes Problem hab
oder könnte das auch so angezeigt werden?

Das konnte auch so angezeigt werden. Das sind Informationen, die Du ständig im Internet hinterläßt. Du rufst ja Seiten ab und mußt dazu natürlich angeben, wo die hingeschickt werden sollen. Diese Informationen anzuzeigen ist nicht schwer.

Außerdem: Was genau hab ich jetzt dann für ein Ding auf meinem
Rechner drauf?

Wenn Du etwas hast. Die Aufforderung, die Schadsoftware manuell zu laden, läßt das Gegenteil vermuten … kann aber auch Tarnung sein. :wink: Schwer zu sagen, ich würde in dem Fall Virenscannern vertrauen, auch wenn die nicht perfekt sind.

Wenn der Rechner befallen ist, bringt mir das
Antivirenprogramm das ich drauf hab nichts mehr, weil das
vielleicht auch schon lahmgelegt ist - aber dann bringt es
doch eigentlich gar nichts ein Antivirenprogramm draufzuhaben
wenn das so bald ein Virus auf dem PC ist lahmgelegt werden
kann?!

Ich habe meine Virenscanner deinstalliert. Infektionen kann man auch anders bemerken und dann ist eine Neuinstallation ohnehin der beste Weg. Daten zum Ausspionieren gibt es auf meinem Rechner nicht, Trojaner können mich nicht schocken.
Meine Virenscanner haben mich, so lange sie liefen nur vor Angriffen geschützt, die ohnehin erfolglos geblieben wären. Die anderen Angriffe konnte der Virenscanner nicht abwehren, sind aber immer sofort aufgefallen … ohne, daß der Virenscanner von sich aus Alarm geschlagen hätte. (Zwei mal in sieben Jahren, ein Angriff davon aus dem LAN.)

Könnt ihr mir bitte nochmal erklären, was ich jetzt genau
machen kann/soll/muss und mit was für Konsequenzen ich rechnen
muss? Also…was für eine Möglichkeit hab ich das Ganze zu
überprüfen ohne den Rechner neuzuinstallieren…ich kenn mich
mit PCs leider nicht so extrem gut aus. Ich hab zwar schon
eine Anleitung gekriegt, aber die Hälfte davon hab ich leider
nicht so richtig verstanden :-/

  • Die Startadresse wieder ‚richtig‘ eintragen.
  • Temporäre Dateien löschen.
  • Prüfen, ob sich die Startseite von allein verstellt.
    . wenn sich die Startseite von selbst verstellt: Neuinstallation. :wink:
  • Beobachten, ob sonst etwas ungewöhnliches vor sich geht.
  • Trafic prüfen!!! Wenn der PC zur Virenschleuder wird, sendet er Daten, das sollte man sehen können.

Bei einem begründeten Verdacht sofort die Verbindung zum Internet unterbrechen (Stecker ziehen), Daten retten, neu aufsetzen.

Gruß, Rainer

Nix, was sich mit wenigen Worten oder Absätzen erklären liesse (Steht aber bestimmt irgendwo in den FAQ). Wenn deine Festplatte aber bereits in mehrere Partitionen geteilt sein sollte, könntest du ein neues Betriebssystem auf einer der anderen Partitionen installieren und von dort aus checken. Müsste so oder ähnlich auch in den FAQ zu finden sein.

Gruss
Schorsch

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Wenn Du etwas hast. Die Aufforderung, die Schadsoftware
manuell zu laden, läßt das Gegenteil vermuten …

Genau das hat Joe Sixpack sich wohl auch gedacht:

_While Joe is… uh… keeping busy, so is his computer. At the behest of the fine folks running fhgstr.com, Joe’s computer sends out nine HTTP GET requests, that it formulates based on this data:
[…]
and populates the „run“ key with a value entitled „winlogon.exe“, which actually points to „msole32.exe“.

Now that it has set itself up to be auto-launched at restart, it hangs in the background waiting for… well… something. I’m not really sure what triggers it, but eventually, it pops up a caution triangle containing an exclamation point in the systray, and fires up one of those cute little WinXP „notification balloon“ thingies with one of several possible warnings:
[…]
Attention! Failure to delete spyware from your PC can reslut in damage
of system resources and your personal files corruption.
Use special software to remove spyware and adware from your computer.
Click „OK“ to get all available Anti Spyware software.
[…]
System perfomance notice.
Perfomance of your system is extremely low.
The main reason is adware popups. To improve perfomance of your PC you
have to remove or block popup’s source from operating system.
Please, use special software to remove adware materials from your computer.
Click „OK“ to get full list of available „PopUp Blocking“ software.
[…]_

Gruss
Schorsch

Hi Schorsch,

Wenn Du etwas hast. Die Aufforderung, die Schadsoftware
manuell zu laden, läßt das Gegenteil vermuten …

geschickte Amputation, Glückwunsch!

Genau das hat Joe Sixpack sich wohl auch gedacht:

ähmmmm, gibt’s den Text auf Deutsch? So gut ist mein Englisch nun auch wieder nicht, daß ich so etwas flüssig lesen könnte.

Gruß, Rainer

Hallo Rainer

ähmmmm, gibt’s den Text auf Deutsch? So gut ist mein Englisch
nun auch wieder nicht, daß ich so etwas flüssig lesen könnte.

Versuche es doch mal damit http://www.webtranslate.de/HTML/translate-engl-set.htm

der hinterwäldler

Hallo Hinterwäldler,

Versuche es doch mal damit
http://www.webtranslate.de/HTML/translate-engl-set.htm

hab ich, geht nicht.
Alternativ habe ich mal Google übersetzen lassen. Ein Auszug …

Nun da es sich bis zu eingestellt hat, seien am Wiederanlauf
Automobil-ausgestoßen Sie, es hängt in der Hintergrundaufwartung

… dann doch besser den englischen Text lesen, da verstehe ich dann doch noch mehr. :wink: Aber eben leider nicht genug, um mitlachen zu können.

Gruß, Rainer

Hallo Rainer

Versuche es doch mal damit
http://www.webtranslate.de/HTML/translate-engl-set.htm

hab ich, geht nicht.
Alternativ habe ich mal Google übersetzen lassen. Ein Auszug

Wieso, bei mir gehts:
Der erste Absatz dauerte nur 5 Sekunden den Rest darfst du selber:

Zitatanfang —
Während Joe ist … uh … und beschäftigt bleibt, so ist sein Computer?
Am Geheiß von den guten Leuten, die fhgstr.com führen, schickt Joes Computer neun HTTP aus bekommen Bitten, die er auf Grundlage von diesen Daten formuliert:
[…] und bevölkert den „Lauf“ Schlüssel mit einem Wert, der „winlogon.exe“ berechtigt ist, das tatsächlich auf „msole32.exe“ zeigt.
— Zitatende

der hinterwäldler

Hallo Hinterwäldler,

Wieso,

keine Ahnung. Mag die Seite eventuell Firefox nicht?
Beim Klick auf den Butto passiert … nichts. :wink:
Auch nach Minuten nicht.

bei mir gehts:
Der erste Absatz dauerte nur 5 Sekunden den Rest darfst du
selber:

… na gut, dann mach ich halt doch mal den IE auf. ( grrrrr )

Zitatanfang —
Während Joe ist … uh … und beschäftigt bleibt, so ist sein
Computer?
Am Geheiß von den guten Leuten, die fhgstr.com führen, schickt
Joes Computer neun HTTP aus bekommen Bitten, die er auf
Grundlage von diesen Daten formuliert:
[…] und bevölkert den „Lauf“ Schlüssel mit einem Wert, der
„winlogon.exe“ berechtigt ist, das tatsächlich auf
„msole32.exe“ zeigt.
— Zitatende

Gruß, Rainer