Viren, Würmer, Dropper, Backdoor-Programme & Trojaner auf einem Windows-XP-System: ein Fall aus der Praxis

Mitwirkende:

• Ein Fujitsu-Siemens Notebook (Amilo)
• Windows XP (SP2, Firewall)
• Internet Explorer 6
• 3 Benutzer (Vater, Sohn & Tochter)
• Eine endlose Zahl von Schädlingen

nach oben

Symptome:

"Nichts geht mehr", so die Anwender.

• zugeschissen mit Spielen und Filesharing-Software
• der Sohnemann mit Passwort-geschütztem Administrator-Konto
• und die anderen Benutzer auch gleich mal als Administrator eingerichtet
• mehrere Virenscanner auf der Festplatte (keiner aktiv und nicht ein einziger aktuell)
• Überwachung der Antivirenprüfung im XP-Sicherheitscenter abgeschaltet
• das Browsen im Internet besteht nur noch aus ständig aufgehenden Fenstern mit Werbeinhalten
• der Taskmanager läßt sich nicht mehr starten, um Tasks abzuschießen
• die Maschine läßt sich mit regulären Methoden teilweise nicht mehr herunterfahren

nach oben

Maßnahmen Teil 1:

• Virenscan:
  Nach Download und Einsatz des für den Privateinsatz kostenfreien Virenscanners Avira AntiVir PersonalEdition Classic (s.a. diesen Artikel) hat die anständig beleumundete Software erschütternde Ergebnisse erbracht:
  Mit "scharf" eingestellter Konfiguration mußte sich der Virenscanner durch 3.700 Verzeichnisse mit insgesamt über 270.000 Dateien durchwühlen, was stattliche 4 Stunden brauchte ... und zur rekordverdächtigen Trefferanzahl von mehr als 36.000 gefundenen Viren-Infektionen führte.
  Nachfolgend die Ergebnisse des Scan-Vorgangs:

  Der Screenshot des Scan-Ergebnisses:

  Die Hitliste der 53 verschiedenen Viren: Signatur des Wurmes WORM/VB.DW 26.189 Signatur des Wurmes WORM/IRCBot.857088 10.156 Ist das Trojanische Pferd TR/Dldr.Qool.ax.4.B 5 Ist das Trojanische Pferd TR/Dldr.VB.afb.2 5 HEUR-DBLEXT/Crypted 4 Ist das Trojanische Pferd TR/Dldr.Qoologic.AX.1 4 Ist das Trojanische Pferd TR/Click.Small.JF.6 3 Ist das Trojanische Pferd TR/Dldr.Small.buy.1 3 Ist das Trojanische Pferd TR/Dldr.Zlob.SH.3 3 Signatur des Droppers DR/Agent.Y.1 3 Ist das Trojanische Pferd TR/Click.VB.FL 2 Ist das Trojanische Pferd TR/Click.VB.IS.7 2 Ist das Trojanische Pferd TR/Dldr.Adload.gw 2 Ist das Trojanische Pferd TR/Dldr.Huge.L 2 Ist das Trojanische Pferd TR/Dldr.Huge.M 2 Ist das Trojanische Pferd TR/Dldr.VB.ach.1 2 Ist das Trojanische Pferd TR/Dldr.VB.aeo 2 Signatur des Droppers DR/Dldr.NSIS.Agent.U 2 Signatur des Droppers DR/Softomate.Q.1 2 Ist das Trojanische Pferd TR/Click.Small.JF.8 1 Ist das Trojanische Pferd TR/Click.VB.DW.2 1 Ist das Trojanische Pferd TR/Click.VB.LY.6 1 Ist das Trojanische Pferd TR/Click.VB.LY.7 1 Ist das Trojanische Pferd TR/Dldr.Adload.bo.1 1 Ist das Trojanische Pferd TR/Dldr.Adload.BQ.15 1 Ist das Trojanische Pferd TR/Dldr.Adload.BQ.2 1 Ist das Trojanische Pferd TR/Dldr.Adload.BV 1 Ist das Trojanische Pferd TR/Dldr.Adload.BX 1 Ist das Trojanische Pferd TR/Dldr.Adload.EZ.2 1 Ist das Trojanische Pferd TR/Dldr.Agent.ahv 1 Ist das Trojanische Pferd TR/Dldr.DollarRevenue.P 1 Ist das Trojanische Pferd TR/Dldr.FakeAV.A.1 1 Ist das Trojanische Pferd TR/Dldr.Huge.N 1 Ist das Trojanische Pferd TR/Dldr.PurityScan.CL.2 1 Ist das Trojanische Pferd TR/Dldr.Qoolog.AT.3 1 Ist das Trojanische Pferd TR/Dldr.Small.cpu 1 Ist das Trojanische Pferd TR/Dldr.Small.ctp 1 Ist das Trojanische Pferd TR/Dldr.TSUpdat.F.3 1 Ist das Trojanische Pferd TR/Dldr.TSUpdate.O 1 Ist das Trojanische Pferd TR/Dldr.VB.abm.8 1 Ist das Trojanische Pferd TR/Dldr.VB.adw.1 1 Ist das Trojanische Pferd TR/Dldr.VB.afl.1 1 Ist das Trojanische Pferd TR/Dldr.VB.aik 1 Ist das Trojanische Pferd TR/Dldr.VB.alg.1 1 Ist das Trojanische Pferd TR/DollarRevenue.C 1 Ist das Trojanische Pferd TR/Drop.TSUpdat.A.1 1 Ist das Trojanische Pferd TR/Drop.Web.381.5.A 1 Ist das Trojanische Pferd TR/Drop.Web.381.5.B 1 Ist das Trojanische Pferd TR/Drop.Web.381.5.C 1 Ist das Trojanische Pferd TR/Spy.Banbra.df.199 1 Ist das Trojanische Pferd TR/Spy.Banker.vk.1 1 Ist das Trojanische Pferd TR/StartPage.aju 1 Signatur des Backdoorprogrammes BDS/VB.ary.3 1

• Neustart:
  Mit bereinigten Registry-Run- und anderen Autostart-Einträgen klappt's dann auch mit dem flotten Reboot.
  Noch schnell geprüft, ob der residente Teil des Virenscanners geladen wurde (auf so was steh' ich überhaupt nicht, aber den gemeinen Computer-Benutzer kann man "ohne" nicht mehr vor die Türe schicken) und ob das Windows-XP-Sicherheitscenter mit allem zufrieden ist (automatische Windows-Updates, Virenscanner mit aktuellen Virensignatur-Dateien und aktivierte Firewall).
  Klar, daß als Browser ein aktueller Firefox installiert wird.
• Das erste Mal wieder online:
  
  • Der Virenscanner holt brav seine Signatur-Updates ab
  • Von den automatischen Windows-Updates leider keine Spur
  • Dafür gehen aber ungefragt Browser-Fenster auf (wenn auch weniger als zuvor)

nach oben

Maßnahmen Teil 2:

So konnte ich die Maschine ja schlecht zurückgeben; nach einer Woche wäre alles wieder so verseucht wie zuvor.

Also ging der Kampf weiter ...

• Unerwünschte Einträge in der Registry:
  Wer sich einen Blick unter die "Motorhaube" seines Windoof-Systemes traut, dem sei HiJackThis empfohlen. (Thank you Merijn, you've done more than a great job!).
  Das Tool ist nichts für Weicheier oder Angsthasen.
  Ursprünglich gedacht, um Registry-Einträge aufzuspüren, die das Browser-Verhalten manipulieren, ist es hervorragend geeignet, um allem möglichen auf die Schliche zu kommen, was sich beim Start von Windows so einnisten möchte. Vergesst msconfig, in einer Windows XP-Registry gibt es laut c't so um die 60 Orte, an denen sich Einträge verstecken können, die beim Start von Windows bzw. der Anmeldung von Benutzern Programme automatisch ausführen.
  Auf einem aufgeräumten XP-System sollte da ziemlich wenig stehen. Einträge, an denen auf keinen Fall rumgefummelt werden sollte, sind z.B. Verweise auf "userinit" oder Aufrufe für einen Speicher-residenten Virenscanner.
• Die Benutzerkonten:
  Nachdem klar war, daß noch eine Vielzahl weiterer Schädlinge auf dem Rechner hausten, die erst mit Spybot Search & Destroy und HiJackThis dingfest gemacht worden konnten, dämmerte es mir, daß diese Art ungebetener Gäste, die der Virenscanner auf der Festplatte nicht fand, sich in den Benutzer-bezogenen Unterverzeichnissen des "Dokumente und Einstellungen"-Ordners tummelten.
  Entsprechend mußten sie und ihr Wechselspiel mit unerwünschten Registry-Einträgen auch Benutzer-orientiert bekämpft werden. Es folgte ein endloses Neubooten des Rechners mit jeweiligen Scans, bis ich mir sicher war, diese Geister ausgetrieben zu haben.
  

  Klar, daß der verantwortliche Sohnemann (19 Jahre) sein eigenes Konto Passwort-geschützt hatte.

  Schließlich sollten die teilweise mehr als merkwürdigen Pornovideos und seine GigaByte-große Filesharing-Sammlung nicht dem Rest der Familie zur Verfügung stehen, was aber sehr wohl der Fall war, denn schließlich hat er die anderen Mitbenutzer alle auch mit Administratoren-Rechten ausgestattet. Gerade die fetten Software-Pakete waren Viren-verseucht, da die in den zip-Paketen gepackten setup.exe-Programme infiziert waren.

  Ebenso klar, daß er auf dem Weg zur Selbstverwirklichung in die Gothic-Disco Der Keller meine Frage nach dem Administratorpasswort nur unwillig übelgelaunt beim Gehen wenig verständlich ins Off raunte.

  Unklar, warum ich ihm den Drecks-XP-Rechner nicht einfach an den Gothic-Schädel geschmissen habe, zu irgendwas müssen die Kisten ja gut sein.

  Bild verfremdet zur Wahrung der "Persönlichkeits"-Rechte.

  Mit dem Teufel kennt er sich aus, vom "wahren Bösen" hat er leider keine Ahnung, wie auch ein großer Teil seines Umfeldes die Herkunft aus der MTV-Talkshow-ich weiß nicht und keine Ahnung-Generation nicht verleugnen kann - aber das ist ein ganz anderes Thema; hier noch schnell ein Webfundstück aus dem Dunstkreis: Hi Kennsch mich noch?? Wie alt bisch du und woher kommsch du?? und hi deien isch au net schlechjt.
  Zurück zum Thema:

• und ihre Rechte:
  Jetzt standen eigentlich nur noch Änderungen an den Einstellungen der Benutzerkonten an, um sicherzustellen, daß keiner der Anwender mit Administrator-Rechten ausgestattet war - und was mußte ich sehen, als ich die Benutzer-Verwaltung aufrief: ein leeres Fenster !
  Damit war klar, daß die Windows-XP-Installation als solche keinen Pfifferling mehr wert war, zumal mir auf dem bisherigen Weg schon einige Ungereimtheiten aufgefallen waren: wichtige Systemtools wie z.B. regedit oder cmd ließen sich nicht per Start-Ausführen zum Leben erwecken. Stattdessen kam jeweils die ominöse Fehlermeldung "... ist keine gültige Win32-Anwendung" oder so ähnlich. Wenn ich aber ins system32-Verzeichnis schaute, war z.B. regedit sehr wohl zu finden und ließ sich auch ausführen. Im darüberliegenden windows-Verzeichnis waren gleichnamige 0-Byte-Dateien angelegt worden, über die Windoof beim Aufruf halt zuerst stolperte - es führte also kein Weg an manuellen Eingriffen und einer Neuinstallation vorbei.

nach oben

Maßnahmen Teil 3:

Die Maschine konnte ich so immer noch nicht zurückgeben.

Der Kampf hörte nicht auf ...

• Die Neuinstallation:
  Abgesehen von 2 fehlenden bzw. fehlerhaften Dateien und der unerträglich langen Dauer lief die Update-Installation ganz gut über die Bühne, selbst ein online-Update während dieser Prozedur war willig - und das allerbeste: die wieder mal nötige Aktivierung hat zur Abwechselung mal online funktioniert ohne das fruchtlose Rumgemache mit der depperten Microsoft-Aktivierungs-Hotline.
  Die Maschine bootete danach sogar und siehe da: das Fenster der Benutzerverwaltung wollte mir wieder seinen Inhalt zeigen.
• Die Benutzerverwaltung:
  Das war dann wirklich unkompliziert - einfach einen neuen Notebook-Administrator angelegt und alle anderen Benutzer zu solchen mit "eingeschränkten Rechten" degradiert - und schon hatte das minderjährige Schwesterchen keinen Zugriff mehr auf die merkwürdigen Pornovideos des administrierenden Sohnemannes.
• Die Benutzer gehen online:
  Ich durfte mich wieder der Reihe nach an allen Benutzerkonten anmelden und schauen, ob "online" mittlerweile Ruhe eingekehrt ist - und prompt gehen beim Schwesterchen wieder Browserfenster auf und der Desktop ist seltsam verunstaltet.

nach oben

Maßnahmen Teil 4:

Die Maschine war immer noch nicht in Ordnung.

Es war noch nicht vorbei ...

• Der Active Desktop:
  Eine weitere Heimtücke der Firma Microsoft, die bereits mit Windows 95c eingeführt wurde.
  Der Windows-Desktop verbindet sich über den hochgradig Sicherheits-löchrigen Internet Explorer mit dem Internet und macht damit ein weiteres, Scheunentor-großes Sicherheitsloch auf, selbst wenn ein vorsichtiger Benutzer diesen Webbrowser gar nicht mehr verwendet. Eine Webrecherche wollte keine aus meiner Sicht befriedigenden Ergebnisse bringen, wie man den blöden Active Desktop wirklich abschalten kann. Klar kann man in den verschachtelten Einstellungsdialogen rumklicken, aber so richtig abschalten läßt sich das damit nicht.
  Lösen kann man solche Probleme z.B. mit XPlite, das u.a. die Internet-Verbindung auf dem Desktop sowie den im System integrierten Internet Explorer löscht und damit die System-Stabilität erhöht. Mit 40,-$ ist die Sache nicht ganz billig und das war's mir dann in diesem Fall auch nicht wert.
• und wieder alle Benutzer checken
  mit Spybot Search & Destroy und HiJackThis und ganz am Schluß nochmal ein Komplett-Virenscan im Admin-Modus.
  Danach scheint Ruhe eingekehrt zu sein, es gehen keine ungefragten Browserfenster mehr auf, die Desktops zicken nicht mehr rum, die Autostart-Einträge in den Benutzerkonten sind ok und ich erklärte die Arbeit für beendet.

nach oben

Fazit:

Endlose Scans, immer wieder Ursachenforschung und Problembehebung sowie das Warten auf nicht beiliegende Installations-CDs ließen den Job auf 2 1/2 Tage anschwellen. Ob und wie lange das erreichte Ergebnis vorhält, wissen die Götter. Ein persönliches "Danke schön" habe ich von keiner der beteiligten Personen erhalten, was auch kein Wunder ist, da ich das Ganze gratis erledigt habe (enger Bekanntenkreis).

Was nichts kostet, ist auch nichts wert.

nach oben