Schlagwort: Trojaner

Ein versierter PC User (nein, das ist nicht mir passiert!), verwendet für Internetbanking und diverse Onlinegeschäftsaktivitäten ausschließlich eine Linuxdistribution, da dieses OS weniger anfällig für diverse  Trojaner und andre Malware ist. Obwohl ansonsten sehr linuxlastig unterwegs, wird ab und an auch gespielt. Die „Spielerei“ findet dann in MS Windows statt.

Um sicherzustellen, dass sich auch unter MS Windows nichts „Böses“ in das System einnistet, wird eine namhafte Anti-Virus-Suite verwendet. (Es handelt sich hierbei NICHT um einen kostenlosten Scanner).

Weiter im Text: …nach der Gaming-Session will man sich schnell mal im Internet über aktuelle Reiseangebote gen Süden informieren… noch bevor man so richtig realsiert, dass man sich wohl besser FRÜHER -und zwar in der Vorsaison zwecks günstigerer Konditionen- um den Urlaub gekümmert hätte, „macht der PC so komische Sachen“:

• Der PC ist gesperrt
• zeigt eine Polizeiwarnung an (wobei das sehr stark variiert, da es zig Varianten des Trojaners gibt. In Österreich bekommt man oft das Originallogo der Polizei angezeigt, in Deutschland das der deutschen Polizei, manchmal aber auch FBI etc.)
• man müsse 2 x EUR 50,00 überweisen (Stichwort Ukash)
• es wurde unerlaubter Inhalt angeschaut
• Taskmanager, abgesicherter Modus etc funktionieren NICHT mehr

Nun komme ich ins Spiel ;).

Mein erster Gedanke war: „Nimmste Desinfect von Heise, bootest von selbiger Live CD und scannst die Kiste“. Also hochgefahren, Virendefinitionen auf den letzten Stand aktualisiert und gescannt. Nach einiger Zeit schließlich die Ernüchterung. Keine infizierten Elemente gefunden!

Naja, dann weichen wir eben auf Bitdefender Live CD aus… Resultat: Nichts gefunden.

Dann mache ich etwas, was eigentlich gar keine gute Idee ist: Ich schließe die Platte per USB Adapter an meinen PC an und lasse die gesamte Platte von Norton Antivirus 2012 durchsuchen. Auch Norton attestiert der Platte, dass sie clean ist. Ebenso ergeht es mir mit Malwarebytes Antimalware.

Offenbar handelt es sich hierbei um eine bislang noch nicht bekannte Version eines Trojaners oder dgl.

Aber ein paar „Rettungsanker“ habe ich ja noch:

• GMER (findet aber keine Auffälligkeiten)
• Nai Getsusp (meldet schließlich einige Suspect-Files)

Um sicher zu gehen nehme ich Kontakt mit dem McAfee (NAI) Support auf und  übermittle die Suspect-Files.

Einen Tag später schickt mir Mcafee (NAI) eine Extra.dat. Dies is eine zusätzliche Virendefinitionsdatei, die in dem Fall den Trojaner : PWS – ZBOT finden und entfernen soll.

Auf einem PC, auf dem McAfee Virusscan läuft, spiele ich die Extra.dat ein und lasse wiederum einen Scan der Festplatte laufen.

Schließlich und endlich findet Virusscan den „Zbot“ und entfernt ihn.

Und die Moral von der Geschicht

…100% Sicherheit gibt es nicht!

Was man anhand dieses Beispiels eindrucksvoll vor Augen geführt bekommt ist, dass man sich – obwohl eigentlich ein recht guter Schutz besteht –  immer noch etwas „einfangen“ kann.

Mir stellt sich  allerdings die Frage, ob diese drive-by Attacke möglich gewesen wäre, wenn der User NICHT mit Adminrechten gearbeitet hätte.

Heute habe ich eine -vermeintlich von Debitel stammende – Spammail erhalten. Diese Spamemail hatte den Anhang Daten.zip.

Nachdem ich in Österreich lebe bzw. kein Debitelkunde bin, kam mir die Sache natürlich sofort komisch vor. Kurzerhand also den Anhang auf www.virustotal.com hochgeladen und schon hagelte es Trojanerwarnungen.

Dabei handelt es sich offenbar um eine weitere Variante des Trojan.Ransomlock.p (Symantec), der den PC sperrt und danach EUR 100,- für eine „Freischaltung“ haben will.

Also bei folgender Email bitte aufpassen, wobei der Inhalt wahrscheinlich variiert:

Sehr geehrter xxx, diese Mail wurde bei der Vertragsunterzeichnung von 1 DebitelE-Plus Mobilfunk Verträgen angegeben. Die Simkarten wurden bei der Unterzeichnung zu Verfügung gestellt.

Sicher ist es Ihnen entgangen, dass die Bezahlfrist der nachfolgenden Rechnung abgelaufen ist. Auf unsere Mahnungsschreiben haben Sie ebenso nicht reagiert. Summe Mai: 942,48 Euro Wir bitten Sie, den Gesamtbetrag in den nächsten 5 Tagen zu überweisen.

Die Handys sollten an Ihre Adresse versendet werden.

Leider waren mehrfache Zustellversuche nicht erfolgreich. Wir bitten Sie uns mitzuteilen was mit den beiden Mobilfunkgeräten (iPhone 4S) gemacht werden soll. In Beilage senden wir Ihnen die Vertragskopie, die Ausweiskopie des Vertrages, Rechnungen so wie den Einzelverbindungsnachweis. Teilen Sie uns bitte mit an welche Adresse die Telefone versendet werden sollen.

Mit besten Grüßen

(..Hier steht dann eine Gmbh..
…die ich entfernt habe … da die damit wahrscheinlich nix am Hut hat)