Hallo zusammen!
Letzte Woche war ja wieder einmal der monatliche Patchday bei Microsoft, und einige Windows-XP-User erlebten ein böses Erwachen: Der Rechner begrüßte sie mit einem Bluescreen und ließ sich überhaupt nicht mehr starten, nicht einmal im abgesicherten Modus.
Des Rätsels Lösung: Nicht das neueste Patch war schuld, sondern ein Fehler in einem Rootkit(!), der durch das Patch erst sichtbar gemacht wurde: http://www.golem.de/1002/73115.html
Die Schadsoftware versteckt sich so gut im System des Opfers, dass Anti-Viren-Software wenig Chancen hat, diese zu entdecken oder zu entfernen. Symantec empfiehlt den manuellen Austausch der Datei und nicht die Desinfizierung durch den Virenscanner. Neben dem Austausch der Systemdatei atapi.sys sollte auch eine Neuinstallation des Systems in Betracht gezogen werden, da auch nach einer Reparatur nicht ausgeschlossen werden kann, dass das System weiterhin infiziert ist.
Den letzten Satz kann man nur unterstreichen.
CU
Olaf
Archiv Windows XP 25.916 Themen, 128.567 Beiträge
Die gefühlte Sicherheit bei Microsoft Systemen ist inzwischen irgendwie bei Null.
Zumindest bei mir :-/
Zumindest bei mir :-/
Nichts im Leben ist wirklich sicher.
Allerdings kann ich Microsoft nicht verstehen, warum die nicht Geld anbieten für gefundene Sicherheitslücken in deren Produkten.
Oder tun die das schon?
Noch besser wäre bei Microsoft eine Abteilung mit hochkarätigen Programmierern, die nur die Aufgabe haben, nach Sicherheitslücken zu suchen.
Naja, an und für sich hat sich seit Einführung von Vista an der Sicherheitsfront eine ganze Menge getan, z.B. dass bei bestimmten systemkritischen Aktionen - ganz nach dem Vorbild von Mac OS X und Linux - ein Administratorpasswort angefordert wird.
Ich finde eher, dass der Golem-Artikel Microsoft in ein etwas besseres Licht rückt. Denn nicht das Update an sich ist schuld an dem Bluescreen, sondern ein Fehler in einem Rootkit, dass sich jemand irgendwo eingefangen hat.
Klar, man könnte natürlich fragen, warum Betriebssysteme überhaupt erlauben, dass sich Schadsoftware gegen den ausdrücklichen Willen des Benutzers einnistet. Aber das hängt wohl mit der Komplexität zusammen, auch mit der Vernetzung - moderne BS gehen ja immer davon aus, dass man in einem Riesen-Firmmennetzwerk mit 1000 Benutzern hängt...
CU
Olaf
Ja entweder, oder! Oder? ;-)
"Nickles-Studio Hamburg" :))
Ja, oder! Nicht jeder Rootie oder andere Malware ist ein grund für eine Neuinstallation. Mir dem guten Process Explorer und dem VirusTotal Uploader ist schon einiges Problem aus der Welt geschafft worden...
Würdest du dich denn nach Anwendung eines geeigneten Removal-Tools wieder 100% sicher mit dem System fühlen? Ist es nicht eher so dass nach einer solchen Säuberungsaktion immer noch schädliche Reste der Malware im System verbleiben können, die man zunächst gar nicht bemerkt?
Ganz ehrlich, ich hätte kein gutes Gefühl, mit einem solchen System später wieder Online-Banking zu machen, um nur ein Beispiel zu nennen. Ich wäre auch eher für Neuinstallation.
CU
Olaf
Dafür hat der liebe Gott ja das Festplattenimage erfunden.
Ganz genau... und das wäre noch ein weiteres Argument dafür, mit dem einmal kompromittierten System *nicht mehr* weiterzuwurschteln.
CU
Olaf
Ganz ehrlich, ich könnte auch auf dem Weg zum/vom Schalter überfahren werden, ich könnte (und wurde auch schon mal) dem Taschendiebstahl zum Opfer fallen. Aber ich bin trotzdem noch regelmößig auf offenen Straßen anzutreffen, sogar in Problemvierteln, sogat zu den unwirklichsten Zeiten, wo der 08/15-Bürger schon alle drei ABUS-Schlösser und die Außenrollos längst verriegelt hat.
Knapp ein Drittel meiner Stammseien nimmt an dubiösen Partnerprogrammen teil, die dauerverseucht sind und entsprechendes Content in die Banner injizieren, sodass jeder normale Sicherheitsscanner sofort Dropper-Alarm schlägt. Dir nach dürfte ich dann gar nicht ins Netz gehen dürfen :)
Hierzu volle Zustimmung... und ich weiß wovon ich Rede, bei meiner letzten London-Reise war ich sogar in Deptford (O-Ton meines Hoteliers: "...da traut sich nicht einmal mehr die Feuerwehr hin, wenn ein Auto brennt...").
Nun ist die Empfehlung aber auch nicht, dem Internet fernzubleiben - mir ging es mehr darum, wenn man weiß, dass ein System durch Schadsoftware vermurkst ist, dann macht es wenig Sinn, das schlecht und recht wieder geradezubiegen... um so weniger, wenn es erstklassige Imaging-Software gibt, die in wenigen Minuten ein arbeitsfähiges System wiederherstellt.
Der Knackpunkt ist wahrscheinlich eher: Die meisten Leute, die sich etwas einfangen, benutzen solche Software nicht - und die, die so umsichtig sind mit Images zu arbeiten, fangen sich oft gar nicht erst was ein ;-)
CU
Olaf
Images sparen auch die lästige Windows Produkt Aktivierung jedes mal nach der Installation.
Das geht irgendwann ja nach ein paar Aktivierungen auch nur noch telefonisch.
Auch wenn inzwischen die halbe Hardware ersetzt worden ist?
Dann würde ich, falls eine neue Aktivierung infolge neuer Hardware erforderlich war, eine aktuelle Sicherung herstellen.
Gruß weka
Was man natürlich in jedem Fall machen kann: altes Image inkl. Aktivierung zurücksichern und trotzdem noch einmal neu aktivieren, wenn es wirklich nötig wird. Danach dann eine neue Version des Images inkl. der neuen Aktivierung anfertigen.
CU
Olaf
Nur dann muß ich nach dem Rückspielen des alten Image die zur neuen Hardware erforderlichen Treiber erneut installieren und ggf. das BS neu aktivieren.
Das entfällt, wenn ich das neue System vorher gesichert habe.
Beide Wege führen zum Ziel.
Gruß weka
Um genau und treffsicher beurteilen zu können, welche Malware auch manuell sauber entfernt werden kann, muss man schon sehr tief in die Materie eingedrungen sein und darüberhinaus sein Wissensstand quasi ständig auf dem Laufenden halten, was recht schwer sein dürfte.
Unberücksichtigt ist dabei:
Befindet sich wirklich nur der entdeckte Schädling auf dem Rechner oder ist er nur die Spitze eines sichtbar gewordenen Eisbergs?
Am ehesten würde ich noch denjenigen ausreichende Entscheidungskompetenz zutrauen, die "beruflich" fast nichts anderes tun als derartigen Mist zu produzieren.
Was mir auch zu denken gibt, ist, dass selbst in den Trojanerforen (wo es ja vor allem um die manuelle Beseitigiung von Schädlingen geht) nahezu immer geraten wird, das infizierte System zu starten, um Schädlingen vom infizierten System aus beizukommen - nicht aber, dies von einer gebooteten Live-CD aus zu tun.
Ich schließe daraus, dass es anscheinend immer noch keine Live-CD mit all den Tools gibt, die zur Beseitigung von Schädlingen geeignet sein könnten.
Persönlich schaue ich mir durchaus infizierte Rechner genauer an, sehe, wo sich entdeckte Schädlinge vorzugsweise aufhalten und bekomme so manche Eindrücke von ihnen.
Ich bin mir auch recht sicher, dass ich manche Rechner vor mir gehabt habe, die durchaus manuell zu reinigen gewesen wären.
Aber ich will dem Kunden einen garantiert sauberen Rechner am Ende meiner Arbeit übergeben - nicht das unnötige Risiko eingehen, etwas aus Mangel an Möglichkeiten übersehen zu haben.
Und ich möchte auch denjenigen Kunden gegenüber, die töricht genug sind, sich gleich einen neuen Schädling einzufangen, klar sagen können, dass es nicht an mir liegen kann - und das geht nur, wenn ich deren System komplett neu aufsetze.
Mir ist klar, dass es unter den erklärten Gegnern jeglicher Reinigungsprozeduren etliche gibt, die ebenfalls ohne wirkliche Kenntnis von den Schädlingen vor allem "in Bausch und Bogen" verdammende Standpunkte vertreten.
Manuelle Reinigungen setzen aber erstens einen recht hohen Windows-Kenntnisstand des Users voraus (was die meisten Fragesteller hier nicht haben) und zweitens genaue Sachkenntnis, die über die im Internet vorzufindende Anleitungen hinausgehen.
Denn Anleitungen sind im Nu veraltet, da die Programmierer von Schädlingen nicht untätig sind und ihre Schädlinge ähnlich rasch modifizieren wie Antivirenhersteller ihre Virendatenbanken.
Persönliches Know-How ist da sehr gefragt...
Und drittens muss das so gereinigte System über einen längeren Zeitraum mit Argusaugen überwacht werden, um festzustellen, ob sich durch den Kontakt mit dem Internet nicht doch wieder Schädlinge neu zusammenfinden.
Eigentlich stelle ich fast immer nur große Ahnungslosigkeit fest - sowohl bei den Gegnern wie auch bei den Anhängern manueller Beseitigungen.
Gruß
Shrek3
Was soll sich ein 'Schadsoftware-Beseitigungs-Laie' auch ein Kopf machen, wenn er von seinem einmal sauber aufgesetzten System ein Backup/Image gemacht hat, und dieses, entweder sofort nach offensichtlichen Befall, oder in regelmässigen Zeitabständen, rückinstalliert?
Muss ja nicht jeder gleich seinen Doktor in dieser Materie machen.
:)
Hier muss ich mich einmal outen - auch ich bin einer von diesen "Ahnungslosen", ganz klar. Schon deswegen, weil ich selbst über keine einzige Erfahrung mit Schädlingen im System verfüge, geschweige denn mit einer Säuberung dessselben davon.
Und eben deswegen, weil ich mir auch nicht im Ansatz zutraue zu beurteilen, ob so ein Removal-Tool den Schädling wirklich "mit Strunk und Stil ausgerottet" hat, schon deshalb würde ich immer - um ganz sicher zu gehen - den Weg der Neuinstallation gehen. Die Motivation ist dabei die gleiche wie bei dir - um meinen Kunden gegenüber auf der ganz sicheren Seite zu sein.
Der einzige Unterschied: "Meine Kunden", das bin ich selbst und ganz allein :-)
CU
Olaf
Wenn ich mehr Zeit (und Lust) hätte, würde ich mir ja durchaus gerne das eine oder andere infizierte System mal manuell vorknöpfen - eine gewisse sportliche Herausforderung sähe ich darin durchaus. ;-)
Auch, wenn jetzt einige ungläubig den Kopf schütteln mögen - aber ausgerechnet Prossecco wäre einer der wenigen hier im Forum, dem ich noch attestieren würde, über einigermaßen Kenntnisse zur Beseitigung von Schädlingen zu verfügen.
Wenn... - ja wenn trotz seiner sprachlichen Schwierigkeiten sichtbar würde, dass dahinter ein Kopf steckt, der zu glasklarem und umsichtigen Denken in der Lage ist.
Doch in seinen bisherigen Postings fand auch nicht einmal der Gedanke Berücksichtigung, dass der Schädling, dem er sich widmete, nur einer von mehreren auf dem Rechner sein könnte - er bezieht diesen Aspekt auch nicht ansatzweise in seine Überlegungen mit ein, gibt dem User demzufolge keine Hinweise, geschweige denn Instrumentarien in die Hand.
Für ihn gibt es anscheinend nur den sichtbar gewordenen Schädling.
Auch die Frage, wie man den Rechner im Anschluss an einer manuellen Beseitigung besser im Auge behalten kann, darf nicht zu kurz kommen.
Oberflächliche und recht verantwortungslose Herangehensweise.
Nun gut - so viel wollte ich eigentlich gar nicht schreiben, ist ja ein halber Roman geworden. ;-)
Gruß
Shrek3
Also diese Geschichte mit den Prämien für Sicherheitslücken, ich glaube diese Büchse wollen die einfach nicht öffnen.
Scheinbar hat man sich bei Microsoft damit abgefunden das ihr System eh nie wirklich sicher und gleichzeitig für Laien bedienbar sein kann und patcht weiter fröhlich vor sich hin.
Es gibt Leute die nach Sicherheitslücken in eigenen Programmen suchen bei MS. Ist wohl eine integrierte Gruppe
in Microsoft Research, wenn die was finden hängen sie es natürlich nicht an die grosse Glocke sondern patchen oder verschweigen es einfach.
Erschreckend ist wie nutzlos offenbar Virenscanner bei Rootkits immer noch sind.
Ich denk zur Zeit über einen Linux Server als Proxy für zu Hause nach um aufälligen Traffic
zu bemerken. Hat da jemand Erfahrung mit ?
sicher und gleichzeitig für Laien bedienbar sein kann und patcht weiter fröhlich vor sich hin.
Vielleicht denke ich in diesem Punkt etwas zu simpel... aber müsste es nicht möglich sein, ein BS so zu stricken, dass es nur das tut, was sein Benutzer von ihm will - und nicht dass irgendwelche wildfremden Hallodris die Möglichkeit bekommen, über das Internet irgendwelche nicht gewollte Schadsoftware zu installieren?
Wenn man solche Fragen aufwirft, erhält man meist so schwammige Wischi-Waschi-Antworten wie, "Menschen sind nicht perfekt, Software und somit Betriebssysteme sind es daher auch nicht" - klar, nur müsste es doch rein prinzipbedingt eine Möglichkeit für das System geben, auseinanderzuhalten, ob der lokale Nutzer eine Softwareinstallation gewünscht hat oder nicht.
Nur ein Beispiel: Wenn ich mir am Mac Software herunterlade und das erste Mal anklicke, erscheint eine Altertbox, die mich fragt: "Dieses Programm wurde dann und dann aus dem Internet heruntergeladen. Es wird jetzt zum ersten Mal geöffnet. Sind Sie sicher, dass Sie das wollen?"
Ich will damit nicht sagen, dass Mac OS X deswegen absolut sicher ist - vielleicht gibt es da auch Programme, die schädlich sind und diese Frage nicht stellen. Aber die Idee dahinter finde ich erst einmal gut... wobei sich mir die Frage stellt, wie das Progamm überhaupt auf meine Festplatte hätte gelangen sollen, wenn nicht von mir ganz bewusst heruntergeladen. Also hätte die Fragestellung im Grund schon viel früher auftreten sollen.
CU
Olaf
Solange ein fehlbares menschliches Wesen, mit den Rechten etwas zu installieren, vor der Kiste sitzt, wird das System (OS) nie sicher sein.
Ein GoogleAd mit Malicous Code das eine noch nich bekannte Sicherheitslücke ausnutzt und aus die Maus.
Blöde Anwender gibts immer klar, aber auch verantwortungsvolle und halbwegs versierte Anwender haben im Prinzip keine Chance.
Das würde mich mal interessieren.
Ich würde jedem der Teil eines Bonetzes ist, eine solches Rootkit wünschen, der Wunsch ist ehrlich gemeint. Dann würde wenigstens der PC mal neu installiert.
Jeder kann das meinen was es denkt und es sein sollte. Wenn die Maschine ein Fiessling hat. Frage ich mich dann wieso all mit ihren besten antiviren aussage, welche FW es genuege tun sollte rum posaunen.
Mein XP hat den Patch unbeschaden ueberstanden. Laeuft weiter normalo.
Gruss
Sascha
Also hab ich den Rootkit nicht. Bei mir laufen alle Rechner nach diesem Patch noch.
Wo kommt denn dieser her?
Gruß weka