Hilfe, Trojaner auf meinem Rechner - was tun? (Arbeitsthread)

[Shihatsu]

Huhu, ich hab mal was geschrieben für das Behandeln eines durch den Brunnenfall nassgewordenen Kindes - ich bitte um Feedback, Reschdschraipunksgehilf und ein paar anregungen (z.B.: soll da noch was rein wie man das in Zukunft vermeidet? Sollen allgemeine Sicherheitstips mit rein?...)... Los gehts:


Hilfe, Trojaner auf meinem Rechner - was tun?

Auslöser bzw Motivation für diesen Text war folgende Diskussion in unserem Schädlingsbekämpfungsthread. Ich dachte mir ich schreib dazu mal ein paar Sätze.

Wenn man erst einmal ein Programm auf dem Rechner hatte, das der allgemeinen Definition von Trojaner entspricht, hat man die Kontrolle über seinen eigenen Computer vollständig verloren. Dabei sind 2 Dinge zu beachten:
1) Der Trojaner ist aufgrund irgendeiner Schwachstelle auf das System gelangt - diese Schwachstelle können auch andere, unentdeckte Trojaner ausnutzen bzw schon ausgenutzt haben. Das ist unabhängig davon zu betrachten ob die Schwachstelle nun Software oder Wetware (aka Mensch) ist/war.
2) Moderne Trojaner laden eigentlich immer irgendwelche Komponenten nach - vom "harmlosen" Spambot über weniger harmlose Keylogger bis hin zu ausgewachsenen Rootkits. Gerade das macht das befallene System ab dem Zeitpunkt völlig "un"vertrauenswürdig - niemand kann sagen was auf dem System läuft, was nach draussen gesendet wird und was von draussen hereinkommt. Softwarefirewalls, Router, "echte" Firewalls und Virenscanner versagen hier vollkommen und auf ganzer Linie. Das einzige das einen jetzt noch vor Schaden bewahren könnte (man beachte den Konjunktiv), wäre eine richtig dicke Firewall - bestehen aus mehrfach gestaffelten Hardware-Bausteinen und dem hochbezahlten Logfile-Wühler aka Sysadmin.
Fazit: der befallene ist gefickt. Sein Rechner ist gefickt. Und, ab hier wirds gerade für Otto-Normal-Privatanwender eklig: Seine Daten sind gefickt. Alle? Japp. Alle. Auf Windows-Systemen ist es brutal einfach, eine Trojaner-komponente z.B. in einer MP3 zu verstecken. Ihr hört die MP3, und et voila, der Trojaner baut sich neu auf, in eurem gerade frisch aufgesetzten System. Das heisst: ein einmal verseuchtes System ist mitsamt seiner Daten verloren.

An der Stelle steht der Anwender jetzt vor einer einsamen Entscheidung: gehe ich das Risiko ein und lösche nur C:? Oder ist es mir zu gefährlich und ich lösche Alles? Das kommt ganz darauf an - mache ich z.B Online-Banking? Brauch ich meine 60GB Pr0n? Brauch ich meine 80GB Musik? Arbeite ich mit dem Rechner? All das spielt dabei dann eine Rolle...

 

[Benrath]

das heisst demzufolge,, dass ich meine daten die ich gerne speichern würde gefickt sind? an den anderen thread angelehnt

wie sieht das denn aus wenn ich wichtige sachen auf CDs brenne.. kann ich die dann nicht im nachhinein bevor ich mir die sachen wieder rüberziehe überprüfen, nachdem ich neu aufgesetzt habe?

und reicht erst mal ein versuch C: zu formatieren und dann gleich als erstes noch mal alles checken?

 

[aMrio]

ach, das mit dem in .mp3 verstecken wußte ich gar nicht, thx für die info. guter post btw.

an die fragen von benrath würde ich mich gerne anschließen ~

 

[Shihatsu]

Ich bitte euch darum, diese Fragen erst einmal zurückzustellen bis es den eigentlichen thread gibt, sonst gibt das n zu grosses durcheinander, Dankööö...

 

[HERR 2FICKENDEHUNDE]

sollte man nicht viel eher eine anleitung dafür geben, wie man sich gegen sowas schützt? was hilft es mir, wenn das ganze schon zu spät ist? ich denke die einzige sinnvolle methode, ist präventiv maßnahmen zu ergreifen, die die möglichkeit ausschliest, das sowas überhaupt passiert. dazu gehört beispielsweise unter winxp nicht mit adminrechten zu arbeiten, regelmässig updates zu ziehen um bekannte lücken zu schliessen, und andere vernünfitge sicherheitsmassnahmen, sprich hw firewall über router einzurichten usw. qasi ein sicherheitspaket zu schnüren, mit dem man sich vor sowas schützen kann - nur mal so als vorschlag

 

[Shihatsu]

Das wäre dann ja der hier, da das ding mit auf meinem mist gewachsen ist, werd ich das mal nach erlaubnis hier rüber holen...

 

[Sodom&Gomorrha]

Auch wenn das nicht zum Lösungsansatz beiträgt:

- Habe einen Einzel-PC mit XP Home und keinen Router, eine Software-Firewall als Monitor für ausgehende Verbindungen (Kerio) und einen Antivir drauf. Zufall, Glück ?
Seit Jahren keine Viren - ich bin weder besonders sicherheitsfanatisch noch habe ich brisante Daten auf dem Rechner hier.

Das Einzige, was ich selber tue, ist eben die Updates ziehen, nicht jeden Anhang öffnen und benutze den Firefox/habe ein paar wenige Windows-Dienste abgeschaltet, die ich nicht benötige.

Zu Shihatsus Problem:
Ich sehe da auch keinen sinnvollen Ausweg, womit man ohne allzuviel Arbeit sicherstellen kann, daß die privaten Daten vom befallenen Rechner sauber sind.
Maximal über eine Live-CD oder ein schnell mal installiertes Linux auf dem Rechner mit entsprechendem Antiviren- und anderen Programmen drauf - diese aktualisiert - und dann gucken, welche Dateien genau befallen sind. Wobei ich auch als Linux-Noob denke, daß schon sehr sicher vorausgesagt werden kann, was genau befallen ist und was nicht (vor allem auf einem völlig zerschossenen, und verseuchten Windows einem Virenscanner zu vertrauen, ist fast schon Selbstmord).

Anschließend vielleicht offline einen aktuellen Virenscanner unter Windows auf den Rechner installieren, alle Dateien wo möglich säubern (wobei ... MP3- und doc.-Dateien von Schädlingen befreien ? Wird nicht die Datei eher zerstört ?), diese Daten sichern und mittels eines sauberen Formatieren alles plattmachen und anschließend neuinstallieren, offline SP2 und Patches drauf usw.
Siehe auch den Post von zwei koitierenden Hunden.

 

[Shihatsu]

löl ich habe das problem nicht - benrath hat es. und es geht erstmal nicht um das problem an sich, sondern einen thread dazu...

 

[HERR 2FICKENDEHUNDE]

kurze frage: befallene mp3´s werden von herkömmlichen virenscanner nicht gefunden? falls ja, würd ich einfach auf die befallenenverzichten, wenn sie nicht zu säubern sind.


€: im übrigen kann man ein fw auch so konifgurieren, das der verkehr von innen nach aussen blockiert wird, bzw ports explizit freigschalten werden müssen, um eine kommunikation nach draussen überhaupt erst möglich zu machen. das ist zwar deutlich mehr aufwand, könnte in diesem speziellen fall aber helfen.

zusätzlich sind ip´s und domainen sperrbar, ein zwischengeschalteter proxy könnte unter umständen das problem auch schon beheben. ich denke es gibt mehrere ansätze, das nachladen oder allein nach "draussen" verbinden zu verhindern. interessant wäre dafür erstmal zu wissen, wo geht die verbindung hin, über welchen port usw. allerdings erfordert das alles aufwand und natürlich auch ein nicht ganz unerhebliches wissen, wie sowas geplant und konfiguriert werden muss.

 

[SchlumpfVI]

Bei Viren wärs nich so schlimm, nur bei Trojanern? Hab mir über den kack Emailverteiler von meiner Fachhochschule 2 von den kack Dingern runtergeladen, hab zwar nie den Anhang angeklickt, aber wenn Thunderbird sone Mail runterläd, ist der Schaden doch schon da, oder? Die Viren werden auch nur von Bitdefender gefunden, nicht von Antivir - werd nachher mal das Hijacklog posten ~