Nickles Blog 212 Themen, 8.716 Beiträge

Bundespolizei-Trojaner schnell entfernen

Michael Nickles / 349 Antworten / Flachansicht Nickles

Zurzeit werden viele Leute vom sogenannten "Bundespolizei-Trojaner zermürbt". Plötzlich erscheint auf dem Bildschirm ein großer Hinweis, der angeblich von der Bundespolizei kommt, weil eine ungesetzliche Tätigkeit enthüllt wurde:
 

Peng. Der Hinweis ist schlagartig da und nimmt den kompletten Bildschirm ein. Ein Arbeiten mit dem Rechner ist nicht mehr möglich. Der Versuch, die Seite per Taskmanager zu schließen, klappt nicht und auch ein Neustart des Systems bringt nichts als erneut den Vollbild-Hinweis. Zur Entfernung des Trojaners fordern die Erpresser eine Zahlung von 100 Euro über das anonyme Bezahlsystem Ukash.
 
Wer im Internet dann in einem Forum rumjammert, der kriegt in der Regel zwei Dinge: Spott und schlechten Rat. Spott, weil man angeblich zu blöd war, sein System ausreichend gegen Trojaner zu schützen.
 
Ich war anscheinend zu blöd dazu. Vor ein paar Tagen war der Trojaner beim Versuch eine Internetseite aufzurufen einfach da. Gestern Nacht kam mein Nachbar aufgeregt rüber gerannt. Er hatte das Dings ebenfalls drauf - trotz Viren-/Trojaner-/Malware-Schutzpaket.
 
Der richtige Rat bei derlei Fällen lautet typischerweise das System platt machen, Windows neu installieren. Dieser Rat IST richtig, aber in der Praxis für "Normalanwender" oft nicht sofort umsetzbar. Wie kriegt man das Ding also auf die Schnelle weg?
 
Es ist wohl so, dass sich der Trojaner in den "Autostart-Ästen" der Registry versteckt - also beispielsweise HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run und HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run. Die dort eingetragene ausführbare Datei kriegt allerdings einen zufälligen Dateinamen, was eine exakte Entfernungsanleitung unmöglich macht. Dieser meist empfohlene Lösungsansatz ist also eher unbrauchbar.
 
Weit verbreitet ist auch der Tipp, den Trojaner sofort nach Windows-Start per Taskmanager abzuschießen, damit man sich dann um seine dauerhafte Entfernung kümmern kann. Auch dieser Tipp ist Bullshit, weil man keine Chance hat den zuständigen Prozess im Taskmanager schnell genug zu erkennen.
 
Tipp drei ist die Beschaffung eines kostenlosen Malware-Entfernungs-Tools, das den Trojaner lyncht. Empfohlen wird beispielsweise der "Avira DE-Cleaner". Den kann man kostenlos runterladen und damit einen bootfähigen USB-Stick anfertigen, der das System dann säubern soll. Man braucht also einen zweiten PC um diesen Stick anfertigen zu können. Ich habe den Avira DE-Cleaner spaßeshalber mal ausprobiert:

 
Nach einer halben Ewigkeit war der Avira DE-Cleaner mit dem Scannen der Laufwerke durch und teilte mit, dass keine Schadsoftware gefunden wurde. Anscheinend mutiert der "Bundespolizei"-Trojaner zu schnell, als dass ihn Tools erkennen können.
 
Die schnelle Lösung: Was bei meinem Rechner und auch auf dem meines Nachbarn funktionierte ist ein Trick, der so billig ist, dass viele gewiss nicht dran denken. Beim Start von Windows einfach ins erweiterte Startmenü gehen (also F8-Taste hämmern).
 
Dort gibt es eine Option namens " Letzte als funktionierend bekannte Konfiguration wieder herstellen". Das spült den Trojaner mit einer kleinen Portion Glück weg. Natürlich kann man das auch unter Windows machen, wenn man es noch schafft, schnell genug an den Systemwiederherstellungs-Mechanismus ran zu kommen.
 
Solange der Trojaner noch voll aktiv im System ist, schafft man das nicht schnell genug. Aber es gibt Fälle, wo es ein Malware-Scanner schafft, den Virus wenigstens teilsweise zu grillen - dann kann dieser Tipp dann den Rest erledigen.
 
Natürlich ist ein auf diese Weise "gerettetes" System nicht unbedingt sauber. Man weiß nie, was ein Trojaner angestellt hat, wo er überall drinnen hockt. Der einzige sichere Weg ist deshalb eine Neuinstallation des Betriebsystems. Ich habe in meinem Fall auf eine Neuinstallation verzichtet und bislang von dem Trojaner nichts mehr gespürt.
 
Ich werde das System halt mal eine Weile im Auge behalten. Es platt machen und neu aufsetzen werde ich nur dann, wenn ich exakt rauskriege WARUM mich dieser Trojaner erwischt hat. Angst davor, dass jetzt eine "Bombe" in meinem Rechner hockt, habe ich nicht.
 
Im Hinblick auf die endlosen Sicherheitslücken bei Betriebssystemen und Software, möchte ich gar nicht wissen, wie viele "Bomben" sowieso schon vorhanden sind, die von Schutz-Software nicht erkannt werden.

bei Antwort benachrichtigen
ja bonameser
jo das geht! wapjoe
Gerne! winnigorny1
So kompliziert ist das... mi~we
patchen hilft samusaran1
Das! :3 BastetFurry
Guck mal hier: ... winnigorny1
Mach mal Waldschrat_70
Danke! winnigorny1
Zu langsam! :-p winnigorny1
das gewissen winnigorny1 „Ich bin es eigentlich müde, immer und immer wieder zu wiederholen! - Lies...“
Optionen

Viel wichtiger als Sicherheitsoftware ist es, ein BS ständig Upzudaten und zu patchen, sowie Updates und Patches angeboten werden; ebenso natürlich die installierten Programme.

Genauso wichig ist es, alle Browser-Plugins wie Flashplayer, AcrobatReader etc.pp. aktuell zu halten, denn moderne Malware kommt fast nur noch über solche bekannt gewordenen Sicherheitslücken via DriveByDownload auf den Rechner (natürlich auch über Mail, falls man auf verseuchte Anhänge klickt).


.

Alle Programmme sind immer top aktuell gehalten! Deshalb auch meine Frage wie das dann passieren kann? Die Einstellungen sind schon auf automatische Update alle 24 Stunden beim Antivirus sogar noch kürzer eingestellt.
Der Rechner und die installierten Programme alle sind so was von neu das mich das ja eben wundert.
Der hier genannte " Virus" oder wie ich sage "aufgezwungenes Standbild" über autostart Programm ist vielleicht nicht das was man so im herkömmlichen Sinne ein Spionage Programm nennen kann.

Mich würde mal interssieren ob jemand wirklich ein Spionage Virus in diesem Zusammenhang gefunden wurde und " ob Daten auch zum eigenen Nachteil nachweislich Erlangt und das Bankkonto leergeräumt wurde"

Das Booten mache ich noch sobald ich noch was geklärt habe. Das benötige ich die Buchhaltung noch.

bei Antwort benachrichtigen