Gebrauch der Notfall-CDs von ESET, Kaspersky und Comodo

Transkript

1 FORSCHUNGSZENTRUM JÜLICH GmbH Jülich Supercomputing Centre D Jülich, Tel. (02461) Beratung Netzwerk, Tel. (02461) Technische Kurzinformation FZJ-JSC-TKI-0411 Dr. Frank Mohr, JSC-KS Gebrauch der Notfall-CDs von ESET, Kaspersky und Comodo Inhalt 1. Einleitung Verwendung der ESET SysRescue Normale Verwendung Erzeugen eines USB-Sticks Verwendung der Kaspersky Rescue Disk Verwendung der Comodo Rescue Disk Normale Verwendung Verwendung im Textmodus Troubleshooting Einleitung Mit den Lösungen ESET SysRescue, Kaspersky Rescue Disk 2018 und Comodo Rescue Disk stehen den Mitarbeitern des Forschungszentrums Jülich (auch für den privaten Einsatz) drei leistungsfähige Notfall-CDs zur Verfügung, um Windows- und auch Linux-Partitionen auf Malware zu untersuchen. Dabei sollen eventuelle Infektionen erkannt und auch bekämpft werden. Voraussetzung hierfür sind tagesaktuelle Virensignaturen, weswegen alle Lösungen entsprechende Update-Prozeduren besitzen. Es wird dringend empfohlen, vor der eigentlichen Untersuchung auch tatsächlich ein solches Update durchzuführen, damit die Notfall-CDs ihre volle Leistungsfähigkeit entfalten können. Das JSC empfiehlt die Anwendung mit der hier gewählten Priorität: Zuerst die ESET SysRescue, dann Kaspersky Rescue Disk 2018 und schließlich die Comodo Rescue Disk. 1

2 Grundsätzlich kann keine Garantie dafür übernommen werden, dass die Notfall-CDs mit allen vorliegenden Hard- und Softwarekombinationen korrekt funktionieren oder dass die Update- Prozeduren mit allen verfügbaren Netzwerkadaptern zusammenarbeiten. Sollten diesbezüglich Probleme auftreten, sind einige Tipps in den jeweiligen Anleitungen sowie in Kapitel 5-Troubleshooting aufgeführt; ebenso können Sie sich an die JuNet-Hotline unter der Durchwahl 6440 wenden. Darüber hinaus kann ebenfalls keine Garantie übernommen werden, dass jede Infektion durch die CDs korrekt erkannt und geheilt werden kann. Wird ein System von einer Notfall-CD als nicht oder nicht mehr infiziert gemeldet, sollte dies vorsichtshalber von mindestens einer der anderen Notfall-CDs noch bestätigt werden. Einmal befallene Systeme sind zunächst als nicht mehr vertrauenswürdig anzusehen, auch wenn eine Notfall-CD eine erfolgreiche Bekämpfung meldet. In Abhängigkeit der Umstände ist mittelfristig eine erneute Untersuchung oder gar eine Neuinstallation sinnvoll. Als Alternative zu den drei Notfall-CDs soll für Windows-Installationen noch der Microsoft Safety Scanner erwähnt werden, der im konkreten Bedrohungsfall kostenlos heruntergeladen und 10 Tage lang benutzt werden kann. Es handelt sich dabei um ein Sicherheitstool, welches nur nach Bedarf gestartet wird, also nicht permanent im Hintergrund arbeitet und daher auch keinen Virenscanner ersetzt. Auf bereits infizierten Windows-Systemen hilft es jedoch bei der Bekämpfung der Schadsoftware, wenn der vorhandene Virenscanner als nicht mehr vertrauenswürdig betrachtet werden muss. Die Möglichkeit des Downloads sowie eine Kurzeinführung und weiterführende Links finden Sie unter Ebenfalls für Windows-Installationen ist der Windows Defender Offline geeignet, der bei einer vermuteten Infektion eine Untersuchung auf Schadsoftware durchführen kann, ohne das verdächtige Betriebssystem booten zu müssen. Auch dieser wird nur bei Bedarf ausgeführt, ersetzt also keinen Virenscanner. Eine Kurzanleitung sowie die Möglichkeit des Downloads finden Sie unter 2

3 2. Verwendung der ESET SysRescue Sie finden ein ISO-Image der ESET SysRescue auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\01-eset-sysrescue\ welches in regelmäßigen Abständen aktualisiert wird (was jedoch nicht das tagesaktuelle Updaten der Virensignaturen ersetzt!). Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Alternativ können Sie auch einen bootfähigen USB-Stick erzeugen. Folgen Sie dazu zunächst den Ausführungen in Kapitel 2.2, bevor Sie mit der Verwendung in Kapitel 2.1 fortfahren Normale Verwendung Legen Sie die CD in das CD-/DVD-Laufwerk des betroffenen Systems ein ODER setzen Sie den erzeugten USB-Stick ein und booten Sie vom gewählten Medium. Deklarieren Sie dazu das CD-/DVD-Laufwerk bzw. den USB-Stick als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Es erscheint das Bootmenü der Notfall-CD: 3

4 Im Normalfall können Sie <Run ESET SysRescue> einfach mit <Return> bestätigen. Nach einer Wartezeit von 30 Sekunden startet der Bootvorgang selbsttätig, wenn Sie keine Eingabe machen. Möchten Sie zuvor das SysRescue-Medium selbst auf Fehler prüfen lassen, wählen Sie <Check disc for defects>. Erhalten Sie die Meldung <Check finished: no errors found>, so ist das Medium einwandfrei erstellt worden. Drücken Sie eine beliebige Taste, um in das Bootmenü zurückzukehren. Mittels <Test memory> können Sie noch den Hauptspeicher des Systems auf Probleme überprüfen lassen. Mittels <Boot from first hard disk> veranlassen Sie den normalen Start des Systems, ohne die Notfall-CD zu verwenden. Sollte es im weiteren Verlauf zu Problemen, insbesondere mit der Hardwareerkennung, kommen, können fortgeschrittene Benutzer mittels <F4> zusätzliche Bootoptionen anzeigen lassen. Eine Hilfe dazu erhalten Sie im Bootmenü mit <F1> und dann <F5 Special boot parameters, overview.> Warten Sie, bis die Notfall-CD alle benötigten Dateien und Einstellungen geladen hat. Zunächst wird der Lizenzvertrag angezeigt; um diesen bestätigen zu können, müssen Sie noch zwei Auswahlen treffen: 4

5 Live Grid: Wenn Sie hier <Enable Live Grid Early Warning System> wählen, werden bei Bedarf Informationen über gefundene Malware an den Hersteller versendet, um die Früherkennung neuer Bedrohungen zu verbessern. Wenn Sie dies nicht wünschen, wählen Sie <Disable > aus, die Notfall-CD ist natürlich auch ohne voll funktionstüchtig. Potentially Unwanted Applications: Wählen Sie hier <Enable > aus, so prüft die Notfall-CD auch auf Programme, die keine Malware im engeren Sinne sind, aber Vertraulichkeit und Performanz Ihres Systems herabsetzen können. Dies betrifft z.b. bestimmte Werbemaßnahmen oder Spyware. Wenn Sie die Prüfung nicht für notwendig halten, wählen Sie <Disable >, die Prüfung auf Malware findet dennoch normal statt. Nach der Auswahl beider Felder können Sie den Lizenzvertrag mittels <I accept the terms in the License Agreement> bestätigen. Es erscheint das Hauptmenü der Notfall-CD. Bei einer bestehenden Verbindung zum öffentlichen Netz erhalten Sie eventuell bereits jetzt die folgende Meldung, dass ein Update der Virusmusterdefinitionen erfolgreich durchgeführt wurde: 5

6 In diesem Fall müssen Sie kein weiteres Update mehr vornehmen, Sie können direkt weiter unten mit der Verwendung der Notfall-CD fortfahren. Haben Sie dagegen noch keine solche Meldung gesehen, klicken Sie im Hauptmenü auf <Update>. Wenn Sie die folgende Ansicht erhalten, besteht eine Verbindung zum öffentlichen Netz und es wird gerade ein Update durchgeführt: In diesem Fall brauchen Sie nur abzuwarten, bis das Update abgeschlossen ist und die folgende Meldung erscheint: Sie können dann weiter unten mit der normalen Verwendung der Notfall-CD fortfahren. 6

7 Erhalten Sie dagegen die nachfolgend gezeigte Meldung An error occured while downloading update files., so konnte ein Update der Virusmusterdefinitionen nicht erfolgreich durchgeführt werden. Vermutlich bestand zum Zeitpunkt des Updateversuchs keine Verbindung zum öffentlichen Netz. Beheben Sie das Problem und starten Sie einen erneuten Versuch mittels Klick auf <Update virus signature database>. Ziehen Sie ggfs. die Tipps unter Kapitel 5 Troubleshooting hinzu. Fortgeschrittene Benutzer können eine manuelle Konfiguration der Netzwerkverbindung versuchen, indem Sie im Menü der Benutzeroberfläche unter erst <Preferences> und dann <Network Connections> wählen. Die Verwendung der Notfall-CD ist auch ohne ein Live-Update möglich, jedoch ist bei veralteten Virusmusterdefinitionen die Erkennung aktueller Bedrohungen nur stark eingeschränkt möglich. Nach dem Update klicken Sie im Hauptmenü der Notfall-CD auf <On-demand scan>. 7

8 Klicken Sie auf <Custom scan >, um eine vollständige Untersuchung des Systems mit hoher Intensität durchzuführen. Alternativ können Sie mit <Smart scan> auch einen schnelleren Scan durchführen, der im Gegenzug nur mit niedrigerer Intensität durchgeführt wird. Empfohlen wird daher der Custom scan, auf den sich auch die folgenden Screenshots beziehen. 8

9 Achten Sie darauf, dass im Feld <Scan profile:> die Auswahl <In-depth scan> eingestellt ist, wählen Sie diese ggfs. aus. Damit ist der Scan hoher Intensität voreingestellt und Sie müssen keine weiteren Angaben machen. Alternativ können Sie auch mit Klick auf <Setup > die Scanparameter einsehen und verändern: 9

10 Verlassen Sie diese Ansicht wieder mittels <OK>, sofern geöffnet. Wählen Sie nun in der vorherigen Ansicht alle Laufwerke (LocalDisk ) aus, die von der Notfall-CD überprüft werden sollen. Wenn Sie nicht sicher sind, welche Laufwerke von einer Infektion betroffen sein könnten, wählen Sie alle Laufwerke aus. Aktivieren Sie auf jeden Fall auch die Überprüfung der Bootsektoren (<Boot sectors>). Klicken Sie nach der Laufwerksauswahl auf <Scan>. Es beginnt die eigentliche Untersuchung des Systems. 10

11 Mit <Pause> und <Stop> kann der laufende Scan unter- bzw. abgebrochen werden. Im Feld Number of threats: finden Sie die Angabe, wie viele (mögliche) Infektionen bereits gefunden wurden. Nach Abschluss des Scans erhalten Sie eine Zusammenfassung. Sofern keine Bedrohungen gefunden wurden, sind die Werte Number of infected objects und Number of cleaned objects jeweils 0. 11

12 Wurden dagegen Bedrohungen gefunden, zählen diese Werte entsprechend hoch: 12

13 Mittels Klick auf <Show scan log> können Sie sich Informationen über die Funde anzeigen lassen: Verlassen Sie diese Ansicht mittels <Close>. In der vorherigen Ansicht können Sie nun nach Bedarf mittels <Scan setup > die Scanparameter ändern und danach mittels <New scan> einen neuen Scan veranlassen. Außerdem sei noch auf die Tools im Hauptmenü hingewiesen: 13

14 <Log files> bietet die Möglichkeit, die Ergebnisse aller Scanvorgänge der laufenden Sitzung erneut anzeigen zu lassen. <Protection Statistics> stellt die Scanergebnisse in einem Schaubild dar. Mittels <Submit file for analysis> können Sie eine verdächtige Datei an ESET zur Diagnose übermitteln; dies funktioniert allerdings nur, wenn Sie bei der Bestätigung des Lizenzvertrages Live Grid Early Warning System aktiviert haben. Alle gefundenen Bedrohungen werden von der ESET SysRescue zunächst in einen Quarantäne-Ordner verschoben, eine Übersicht können Sie mit <Quarantine> aufrufen: 14

15 Im hier gezeigten Beispiel wurden zwei Infektionen gefunden. In den Spalten finden Sie den Zeitstempel des Fundes (Time), Pfadangabe und Dateinamen (Name), die Dateigröße (Size), eine Kurzbeschreibung der Infektion (Reason, hier ein Trojaner vom Typ Netbus.160.A) und die Anzahl (Count). Sie können auf jeden Eintrag der Liste per Rechtsklick ein Kontextmenü öffnen: 15

16 Mittels <Quarantine > können Sie die Datei aus dem vordefinierten Quarantänebereich in ein beliebiges anderes Verzeichnis verschieben. Mit <Delete> löschen Sie die Datei endgültig. Mittels <Restore> stellen Sie die verdächtige Datei in ihrem ursprünglichen Verzeichnis unverändert wieder her. Dies sollten Sie natürlich nur tun, wenn die Datei als sicher betrachtet werden kann. Mit <Restore to > wird die verdächtige Datei in einem Verzeichnis Ihrer Wahl wiederhergestellt. <Submit file for analysis> überträgt die Datei an ESET zur weiteren Analyse. Dies funktioniert allerdings nur, wenn Sie bei der Bestätigung des Lizenzvertrages Live Grid Early Warning System aktiviert haben (siehe oben). Nach Beendigung der Untersuchung können Sie die Notfall-CD mittels Klick auf verlassen und das System herunterfahren (<Shutdown>) oder neu booten (<Reboot>). 16

17 2.2. Erzeugen eines USB-Sticks Öffnen Sie auf einem vertrauenswürdigen Windows-PC das Verzeichnis \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\01-eset-sysrescue\ und führen Sie die Datei eset_sysrescue_live_creator_enu.exe aus. Ggfs. müssen Sie anschließend bestätigen, der Anwendung Administratorrechte zu verleihen. Es erscheint die Hauptansicht des Live USB Creators. Stecken Sie einen USB-Stick mit mindestens 1 GB Speicherkapazität ein. Achtung: Alle auf dem Stick bereits vorhandenen Daten werden gelöscht! Wenn der PC eine Verbindung zum öffentlichen Netz hat, klicken Sie auf <Create USB drive>. Ansonsten aktivieren Sie zunächst <Use previously downloaded ISO file> und wählen Sie in der folgenden Dialogbox die ISO-Datei der Notfall-CD im oben genannten Verzeichnis aus. Bestätigen Sie mit <Öffnen> und klicken dann auf <Create USB drive>. 17

18 Sie erhalten eine Übersicht der verfügbaren USB-Sticks. Im Beispiel oben ist ein Stick SanDisk Ultra USB Device mit 14,6 GB verfügbarem Speicher und dem Laufwerksbuchstaben G: vorhanden. Sie können alle Laufwerke verwenden, die unter <State> mit einem Haken markiert sind. Wählen Sie das gewünschte Laufwerk an, so dass es grau hinterlegt wird. Klicken sie dann auf <Create USB drive>. Anschließend werden Sie nochmals gewarnt, dass alle Daten auf dem USB-Stick gelöscht werden. Quittieren Sie die Meldung mit <Yes>. 18

19 Die Notfall-CD wird nun heruntergeladen und auf den USB-Stick kopiert. Während des Vorgangs erhalten Sie evtl. Meldungen des Virenscanners, dass ein neues Medium eingesteckt wurde; diese können Sie ignorieren. Nach Abschluss des Kopiervorgangs erhalten Sie die folgende Meldung: 19

20 Sie können die Anwendung mit <Close> schließen, den USB-Stick entnehmen und die eigentliche Untersuchung des verdächtigen Systems vornehmen, siehe Kapitel

21 3. Verwendung der Kaspersky Rescue Disk 2018 Sie finden ein ISO-Image der Kaspersky Rescue Disk 2018 auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\02-kaspersky-rescue-disk-2018 welches in regelmäßigen Abständen aktualisiert wird (was jedoch nicht das tagesaktuelle Updaten der Virensignaturen ersetzt!). Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Legen Sie diese CD in das CD-/DVD-Laufwerk des betroffenen Systems ein und booten Sie von dieser. Deklarieren Sie dazu das CD-/DVD-Laufwerk als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Alternativ können fortgeschrittene Benutzer die Kaspersky Rescue Disk 2018 auch auf einem USB-Stick installieren, eine ausführliche Anleitung dazu finden Sie unter Quittieren Sie die Meldung Press ESC to load Kaspersky Rescue Disk innerhalb von zehn Sekunden mit <Esc>, ansonsten wird das System ohne Start der Notfall- CD normal gebootet. In nächsten Bildschirm können Sie die gewünschte Sprache mit den Tasten < > und < > auswählen und mit <Return> bestätigen. Für diese Kurzanleitung wurde die englische Sprache gewählt. 21

22 Es erscheint ein weiteres Menü, in welchem Sie durch Anwahl der entsprechenden Punkte die Rescue Disk 2018 normal starten können (<Kaspersky Rescue Disk. Graphic Mode>) oder in einem vereinfachten Grafikmodus, falls im Graphic Mode Probleme auftreten sollten (<Kaspersky Rescue Disk. Limited graphic mode>). Die Bedienung der Notfall-CD ist in beiden Fällen identisch, die Abbildungen in dieser Kurzanleitung beziehen sich auf den Graphic Mode. Außerdem können Sie Sich durch Anwahl des Eintrags <Hardware Info> Informationen zur erkannten Hardware anzeigen lassen, wodurch allerdings ein Neustart notwendig wird. Die weiteren Menüpunkte erlauben es, die Rescue Disk 10 zu verlassen und den normalen Bootvorgang des Systems zu veranlassen (<Boot from Hard Disk>), einen Neustart einzuleiten (<Reboot>) oder das System auszuschalten (<Shut Down>). Starten Sie die Rescue Disk 2018 zunächst im normalen Grafikmodus, indem Sie den entsprechenden Menüpunkt mit <Return> bestätigen. Es wird nun die eigentliche Notfall- CD gebootet, was insbesondere auf virtuellen Maschinen durchaus mit einer Wartezeit von einigen Minuten verbunden sein kann. Sollte Ihr System jedoch auch nach längerer Zeit keine Reaktion mehr zeigen, so ist es mit dem Grafikmodus nicht kompatibel und muss neu gestartet werden; versuchen Sie in diesem Fall den Limited graphic mode oder verwenden Sie eine der anderen Notfall-CDs. 22

23 Es erscheint die Benutzeroberfläche der Rescue Disk 2018 und die Lizenzbedingungen werden angezeigt. Aktivieren Sie beide Checkboxes im unteren Bereich und klicken Sie auf <Accept>. Es erscheint das Fenster des eigentlichen Kaspersky Rescue Tool. 23

24 Erscheint dagegen die nachfolgende Meldung, besteht keine Verbindung zum öffentlichen Netz, weswegen kein Update der Virusmusterdefinitionen durchgeführt werden konnte. Wurde der Update-Vorgang nicht korrekt ausgeführt, schauen Sie in Kapitel 5- Troubleshooting nach und starten Sie die Notfall-CD neu, damit die Netzwerkerkennung erneut durchgeführt wird. Fortgeschrittene Nutzer können über die Bordmittel der Benutzeroberfläche eine manuelle Konfiguration versuchen. Je nach Alter der Virusmusterdefinitionen erhalten Sie im Hauptfenster des Kaspersky Rescue Tool eine gelb hinterlegte Meldung, dass die Virusdatenbank nicht mehr aktuell ist: 24

25 Klicken Sie in diesem Fall auf <Update now> (sollten Sie keine solche Meldung erhalten haben, überspringen Sie diesen Schritt einfach). Es wird ein Online-Update der Virusmusterdefinitionen durchgeführt, was natürlich nur bei einer aktiven Verbindung zum öffentlichen Netz funktionieren kann, siehe oben. Während des Update-Vorgangs erscheint ein Terminal-Fenster mit dem aktuellen Status: Nach erfolgreichem Abschluss kehrt die Notfall-CD wieder in die Hauptansicht zurück, Sie müssen dabei ggfs. den Lizenzvertrag erneut bestätigen. Wählen Sie in der Hauptansicht <Change parameters> an. Erweitern Sie im nächsten Dialog alle Einträge mittels der <+>-Schaltflächen. 25

26 Im hier gezeigten Beispiel erkennt die Rescue Disk eine Windows 7-Installation ( Windows 7 x86 ) und zwei Laufwerke bzw. Partitionen (im Screenshot unten abgeschnitten). Sie können nun auswählen, welche Objekte einer Untersuchung unterzogen werden sollen: Hauptspeicher (Fileless objects), Autostart-Objekte (Startup objects), das Systemlaufwerk (System drive) und Bootsektoren (Boot sectors). Im unteren Bereich können Sie zusätzlich ganze Festplatten bzw. Partitionen zu- und abwählen. Wählen Sie alle Einträge bzw. Partitionen aus, die befallen sein könnten und geprüft werden sollen. Sind Sie nicht sicher, welche dies sind, wählen Sie alle aufgeführten Einträge aus. Bootfähige Partitionen sollten auf jeden Fall eingebunden werden. Wählen Sie auch den Eintrag <Boot sectors>. Bestätigen Sie Ihre Auswahl mit <OK>. Zurück in der Hauptansicht des Kaspersky Rescue Tools können Sie die eigentliche Untersuchung nun mit <Start Scan> beginnen. Während der Untersuchung sieht der Bildschirm wie folgt aus: Mittel <Stop scan> kann die Untersuchung vorzeitig beendet werden. Der Hinweis no threats found zeigt an, dass bislang keine verdächtigen Dateien gefunden wurden; andernfalls ist an dieser Stelle die Meldung detected 1 object zu finden (oder höher). 26

27 Nach Abschluss der Untersuchung wird eine Zusammenfassung angezeigt, sofern verdächtige Elemente gefunden wurden. Wurden solche nicht gefunden, kehrt das Kaspersky Rescue Tool ohne weitere Meldung in die Hauptansicht zurück. 27

28 Im gezeigten Beispiel wurden drei Infektionen gefunden. Es wird jeweils die Bezeichnung ausgegeben, z.b. Backdoor.Win32.Netbus.160.a, gefolgt vom Dateinamen samt Pfadangabe und dem Typ der Malware, z.b. Trojan program. Im Auswahlfeld hinter jedem Listeneintrag schlägt das Rescue Tool eine Aktion vor, wie mit der Infektion umgegangen wird. Es kommen in Frage: <Skip>: Ignorieren, keine weitere Aktion. <Cure>: Das Rescue Tool versucht, die Infektion aus der Datei zu entfernen, wobei diese intakt bleiben soll. <Delete>: Die infizierte Datei wird gelöscht. <Copy to quarantine>: Die infizierte Datei wird in einen Quarantäne-Bereich verschoben, um bei zukünftigen Systemstarts nicht mehr aktiviert zu werden. Der Benutzer kann nun für jeden Listeneintrag eine individuelle Aktion einstellen. Andernfalls kann mit den Schaltflächen im oberen Bereich auch eine einheitliche Aktion für alle Listeneinträge gewählt werden: <Copy all to quarantine> für den Quarantäne- Bereich, <Neutralize all> für Heilung/Löschung (je nachdem, ob Heilung möglich) und <Skip all> zum Ignorieren. Mittels <Restore default actions> können die vom Rescue Tool vorgeschlagenen Aktionen wiederhergestellt werden. Bestätigen Sie Ihre Auswahl mit <Continue>. Abhängig von den gefundenen Bedrohungen schlägt die Notfall-CD vor, einen intensiveren, deutlich zeitaufwändigeren Scanvorgang durchzuführen. Wählen Sie zu dessen Durchführung <Disinfect and start an advanced scan>; möchten Sie diesen dagegen nicht durchführen, können Sie diesen Schritt mit <Disinfect without advanced scan> überspringen. 28

29 Wurden die gewählten Aktionen durchgeführt, kehrt die Notfall-CD in die Hauptansicht zurück. Mittels Klick auf <Quarantine> können Sie eine Übersicht der Dateien im Quarantäne-Bereich aufrufen: Mittels Klick auf <Report> können Sie eine Übersicht aller Scan-Vorgänge aufrufen. Erweitern Sie den Eintrag eines Vorgangs mittels der Schaltfläche <+>, um weitere Informationen anzeigen zu lassen. Nun können Sie sehen, welche Aktionen die Notfall-CD durchgeführt hat und ob sie erfolgreich verlaufen sind. 29

30 Im Beispiel oben ist beim Zeitindex 10:30: der Versuch einer Heilung fehlgeschlagen, weswegen die Datei schließlich gelöscht wurde. Um die Nutzung der Notfall-CD zu beenden, klicken Sie auf und wählen Sie <Leave>. Wählen Sie anschließend zwischen <Restart> für einen Neustart und <Shut Down> für das Ausschalten der Maschine. 30

31 4. Verwendung der Comodo Rescue Disk 4.1. Normale Verwendung Sie finden ein tagesaktuelles ISO-Image der Comodo Rescue Disk auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\03-comodo-rescue-disk\ Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Legen Sie diese CD in das CD-/DVD-Laufwerk des betroffenen Systems ein und booten Sie von dieser. Deklarieren Sie dazu das CD-/DVD-Laufwerk als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Fortgeschrittene Benutzer können mittels entsprechender Tools aus dem ISO-Image einen bootfähigen USB-Stick erzeugen, die Verwendung ist identisch. Es erscheint der Bootdialog der Notfall-CD. 31

32 Wählen Sie <Enter the Graphic Mode> an und bestätigen Sie mit <Return>, um die Notfall-CD zu starten. Nach zehn Sekunden wird die Notfall-CD automatisch gestartet. Sollte es im weiteren Verlauf zu Problemen beim Bootvorgang oder mit der Grafikdarstellung kommen, wählen Sie stattdessen <Enter the Text Mode> an, bestätigen mit <Return> und folgen den Anweisungen in Kapitel 4.2 zum Textmodus der Notfall-CD. Warten Sie, bis die Notfall-CD alle benötigten Dateien und Einstellungen geladen hat. Dies kann einige Minuten dauern, insbesondere auf virtuellen Maschinen. Es erscheinen die Lizenzbedingungen, welche Sie mit <Accept> bestätigen können. Sollten Sie die Schaltfläche <Accept> nicht sehen können, weil die Darstellung am unteren Bildschirmrand abgeschnitten wird, besteht evtl. ein Problem mit der Netzwerkverbindung. Beachten Sie in diesem Fall die Angaben in Kapitel 5 zum Troubleshooting. Es erscheint die Hauptansicht der Comodo Cleaning Essentials. 32

33 Sollte die Meldung erscheinen, dass eine neue Version vorliegt (siehe unten), so können Sie diese mittels <Close> schließen, für ein Update der Virusmusterdefinitionen ist dieser Download nicht notwendig. 33

34 Klicken Sie auf <Full Scan>, um eine vollständige Untersuchung des Systems zu beginnen. Alternativ kann mit <Smart Scan> eine Kurzuntersuchung besonders gefährdeter Bereiche gestartet werden, die aber eine geringere Zuverlässigkeit bietet. Mittels <Custom Scan> kann der Scanvorgang auf bestimmte Partitionen bzw. Ordner beschränkt werden, was nur empfehlenswert ist, wenn Infektionen bereits vorab auf bestimmte Bereiche eingegrenzt werden konnten. In der nachfolgenden Kurzanleitung wird davon ausgegangen, dass ein Full Scan gewählt wurde. Sollten Sie die unten gezeigte Meldung erhalten, so besteht keine Internetverbindung, weswegen kein Update der Virusmusterdefinitionen erfolgen kann. Mittels Klick auf <Skip> kann die Untersuchung trotzdem durchgeführt werden, was aber nicht empfehlenswert ist, da die Zuverlässigkeit der Prüfung eingeschränkt ist. Klicken Sie daher auf <Exit>, beheben Sie das Problem (siehe Kapitel 5 Troubleshooting) und starten Sie die Comodo Cleaning Essentials erneut, indem Sie auf dem Desktop deren Icon doppelklicken. Fortgeschrittene Benutzer können die Netzwerkverbindung ggfs. manuell konfigurieren, indem sie auf dem Desktop rechts oben das Symbol anwählen. klicken und <Configure> 34

35 Sofern ein Update der Virusmusterdefinitionen vorliegt, wird dieses nun heruntergeladen. Anschließend beginnt die eigentliche Untersuchung des Systems. In der Mitte der Ansicht sehen Sie den Fortschritt der Untersuchung. Im Feld Threat(s) Found sehen Sie, wie viele verdächtige Objekte bislang gefunden wurden; Sie können bereits im noch laufenden Scanvorgang dieses Feld anwählen und damit eine Liste der Objekte anzeigen lassen. Mittels <Pause> können Sie die Untersuchung unterbrechen und später fortsetzen, mit <Stop> abbrechen und mit <Exit> die Comodo Cleaning Essentials verlassen. Nach Abschluss des Scanvorgangs (Fortschrittsangabe zeigt 100%) erscheint die Meldung Finished. Sofern keine Bedrohungen gefunden wurden, können Sie mittels <Finish> quittieren, woraufhin die Comodo Cleaning Essentials beendet werden. Wurden dagegen Bedrohungen gefunden, bestätigen Sie diese Ansicht mit <Next>. 35

36 Sie erhalten nun eine Übersicht der gefundenen, verdächtigen Objekte: 36

37 Sie erhalten für jedes Objekt eine Pfadangabe, den Dateinamen und eine Kurzbeschreibung der Bedrohung, im gezeigten Beispiel Backdoor (unerlaubte Einrichtung eines Fernzugriffs auf das System). Schieben Sie mit der horizontalen Bildlaufleiste den Bildausschnitt ganz nach rechts, um für jedes Objekt die geplante Aktion anzeigen zu lassen (Spalte Operation >). Die von Comodo Cleaning Essentials vorgeschlagene Aktion ist von der Art der Bedrohung abhängig. Sofern dies möglich erscheint, wird Clean bzw. Repair vorgeschlagen, wobei der Schadcode aus der betroffenen Datei entfernt wird, ohne diese zu löschen. Sollte die Reinigung nicht erfolgreich verlaufen, wird die Datei in einen Quarantäne-Bereich verschoben. Mittels Klick auf <Operation >> werden die anderen möglichen Aktionen angezeigt: Ignore um die Bedrohung unverändert zu lassen und Report um die Bedrohung dem Hersteller der Notfall-CD als Falschmeldung anzuzeigen, sofern zutreffend. Wählen Sie also Ihre gewünschte Aktion aus und bestätigen Sie mit <Apply>. Anschließend werden Sie informiert, ob die Aktionen erfolgreich ausgeführt wurden. Bestätigen Sie mit <Exit>. Die Abfrage, ob Sie die Ansicht tatsächlich schließen wollen, können Sie mit <Yes> bestätigen. Die Comodo Cleaning Essentials werden daraufhin beendet. Sie können bei Bedarf den Scanvorgang mit einer höheren Intensität wiederholen lassen. Doppelklicken Sie dazu auf dem Desktop auf <COMODO Cleaning Essentials>; Sie kommen damit erneut in die Hauptansicht. Wählen Sie rechts oben <Options> an. 37

38 Aktivieren Sie das Feld <Scan for suspicious MBR modifications>, die anschließende Sicherheitswarnung sollte jedoch vor der Quittierung mittels <Yes> unbedingt beachtet werden, da Änderungen am Master Boot Record (MBR) auch beabsichtigt sein können. Sollten Abweichungen am MBR gefunden werden, so entscheiden Sie abhängig von Ihren Softwareinstallationen, ob diese harmlos sein könnten. Setzen Sie außerdem das Feld <Heuristics Scanning Level> auf High. Beachten Sie jedoch, dass durch diese Einstellung auch die Wahrscheinlichkeit von Falscherkennungen erhöht wird. Sollten sich auf dem zu untersuchenden System verdächtige Dateien von sehr großem Volumen befinden, kann außerdem der Wert im Feld <Do not scan files larger than> entsprechend erhöht werden. Durch diese Einstellungen erhöht sich die Dauer eines Scanvorgangs, aber auch die Genauigkeit. Bestätigen Sie den Dialog mit <OK> zu starten Sie eine erneute Untersuchung. Sie können die Nutzung der Notfall-CD beenden, indem Sie auf dem Desktop links oben auf <C Applications> klicken und <Logout> wählen. Klicken Sie danach auf <Reboot System> für einen Neustart oder auf <Shutdown Computer>, um das System auszuschalten. 38

39 4.2. Verwendung im Textmodus Nach dem Start der Notfall-CD im Textmodus sehen Sie zunächst die Lizenzbedingungen, die Sie mit <Return> bestätigen können. Es erscheint das Hauptmenü der Comodo Rescue Disk. Sie können die Menüpunkte mit den Pfeiltasten < > und < > anwählen und mit <Return> bestätigen. In den Untermenüs können Sie die verschiedenen Auswahlmöglichkeiten mit der <Tab>-Taste anwählen. Wählen Sie <Full Scan>, um eine vollständige Untersuchung des Systems zu beginnen. Alternativ kann mit <Smart Scan> eine Kurzuntersuchung besonders gefährdeter 39

40 Bereiche gestartet werden, die aber eine geringere Zuverlässigkeit bietet. Mittels <Custom Scan> kann der Scanvorgang auf bestimmte Partitionen beschränkt werden, was nur empfehlenswert ist, wenn Infektionen bereits vorab auf bestimmte Bereiche eingegrenzt werden konnten. In der nachfolgenden Kurzanleitung wird davon ausgegangen, dass ein Full Scan gewählt wurde. Sollten Sie nach Auswahl eines Scanvorgangs die unten gezeigte Meldung erhalten, so besteht keine Internetverbindung, weswegen kein Update der Virusmusterdefinitionen erfolgen kann. Mittels <Skip> kann die Untersuchung trotzdem durchgeführt werden, was aber nicht empfehlenswert ist, da die Zuverlässigkeit der Prüfung eingeschränkt ist. Wählen Sie daher <Back>, beheben Sie das Problem (siehe Kapitel 5 Troubleshooting) und starten Sie die Comodo Rescue Disk erneut, um die Netzwerkerkennung erneut durchzuführen. Sie können auch eine manuelle Konfiguration der Netzwerkanbindung versuchen. Wählen Sie dazu im Hauptmenü <Network Setup>. Wählen Sie den Punkt <Static IP> an und aktivieren Sie ihn mittels der Leertaste. Wählen Sie nun mit der <Tab>-Taste nacheinander die Punkte <IP Address>, <Netmask>, <Gateway> und <DNS Server> an und geben Sie die Werte ein, die Ihnen von der JuNet-Administration oder Ihrem IT-Ansprechpartner übermittelt wurden. Bestätigen Sie Ihre Eingaben mit <OK>, die Notfall-CD kehrt in das Hauptmenü zurück. Starten Sie nun, wenn nicht schon geschehen, einen Full Scan. Die Notfall-CD führt zunächst ein Update der Virusmusterdefinitionen aus. 40

41 Wurde das Update erfolgreich durchgeführt, beginnt ohne weitere Meldung die eigentliche Untersuchung des Systems. Währenddessen sieht der Bildschirm wie folgt aus: Mittels der Tasten <Strg>+<C> können Sie den Scanvorgang vorzeitig abbrechen, die Notfall-CD kehrt daraufhin in das Hauptmenü zurück. Wenn ein verdächtiges Objekt gefunden wird, erscheint eine solche Meldung: 41

42 In der Zeile Name: sehen Sie eine Kurzbeschreibung der Bedrohung, hier Backdoor für die unerlaubte Einrichtung eines Fernzugriffs auf das System. In der Zeile File: sehen Sie die Pfadangabe des Objekts. Sie haben nun die folgenden Möglichkeiten: <Clean> oder <Repair>: Hierbei wird versucht, den Schadcode aus der betroffenen Datei zu entfernen, ohne diese zu löschen. Sollte die Reinigung nicht erfolgreich verlaufen, wird die Datei in einen Quarantäne-Bereich verschoben. <Ignore>: Die Bedrohung wird unverändert gelassen. <Report>: Die Bedrohung wird dem Hersteller der Notfall-CD als Falschmeldung angezeigt. <Clean All>: Die Aktion Clean wird auf dieses und alle weiteren gefundenen Objekte angewendet. <Ignore All>: Die Aktion Ignore wird auf dieses und alle weiteren gefundenen Objekte angewendet. <Report All>: Die Aktion Report wird auf dieses und alle weiteren gefundenen Objekte angewendet. Wählen Sie die gewünschte Aktion mit den Pfeiltasten < > und < > an und bestätigen Sie mit <Return>. Sollten Sie unsicher sein, welche Aktion die Richtige ist, wählen Sie <Clean>. Vermeiden Sie es, die < All>-Optionen zu wählen, um den Überblick über die gefundenen Bedrohungen zu behalten. Nach Abschluss des Scanvorgangs und aller gewählten Aktionen kehrt die Notfall-CD in ihr Hauptmenü zurück. Sie können den Scanvorgang mit einer höheren Intensität wiederholen lassen; wählen Sie dazu <2. Options> an. 42

43 Aktivieren Sie mit der Leertaste das Feld <Scan for suspicious MBR modifications>. Beachten Sie jedoch, dass Änderungen am Master Boot Record (MBR) auch beabsichtigt sein können, z.b. durch bestimmte Backup-Lösungen. Sollten Abweichungen am MBR gefunden werden, so entscheiden Sie abhängig von Ihren Softwareinstallationen, ob diese harmlos sein könnten. Setzen Sie außerdem das Feld <Heuristics Scanning Level> mit den Pfeiltasten < > und < > auf High. Beachten Sie jedoch, dass durch diese Einstellung auch die Wahrscheinlichkeit von Falscherkennungen erhöht wird. Sollten sich auf dem zu untersuchenden System verdächtige Dateien von sehr großem Volumen befinden, kann außerdem der Wert im Feld <Do not scan files larger than> entsprechend erhöht werden. Durch diese Einstellungen erhöht sich die Dauer eines Scanvorgangs, aber auch die Genauigkeit. Bestätigen Sie den Dialog mit <OK> zu starten Sie eine erneute Untersuchung. Im Hauptmenü der Comodo Rescue Disk sollen darüber hinaus noch die folgenden Wahlmöglichkeiten erwähnt werden: <3. View Logs>: Zugriff auf die von der Notfall-CD erzeugten Log-Dateien. <4. Quarantine Items>: Anzeige aller Objekte, die in den Quarantäne-Bereich verschoben wurden (sofern vorhanden). Sie können für jedes Objekt wählen, ob es gelöscht werden soll (<Delete>) oder wiederhergestellt (<Restore>). Mittels <Clear All> werden alle gelisteten Objekte gelöscht, mittels <Close> kehren Sie in das Hauptmenü zurück. <10. Restart Computer>: Die Nutzung der Notfall-CD wird beendet und das System neu gestartet. <11. Shutdown Computer>: Die Nutzung der Notfall-CD wird beendet und das System abgeschaltet. 43

44 5. Troubleshooting Sollte die Internet-Verbindung unter den Notfall-CDs nicht korrekt funktionieren, überprüfen Sie bitte die nachfolgenden Punkte (deren aufgeführte Reihenfolge nicht verbindlich ist, hier muss vielmehr situationsabhängig entschieden werden): Der verwendete Netzwerkadapter muss richtig gewählt werden, die Notfall-CDs wählen den Adapter zunächst automatisch. Eventuell werden einige WLAN-Adapter sowie USBbasierte Lösungen nicht korrekt erkannt; binden Sie das betroffene Gerät daher für die Dauer des Update-Vorgangs mittels einer internen Netzwerkkarte über einen kabelgebundenen Anschluss an, sofern möglich. Achten Sie bei fest integrierten Netzwerkadaptern darauf, dass diese im BIOS bzw. UEFI aktiviert sind. Achten Sie bei nachgerüsteten Netzwerkkarten darauf, dass der verwendete Slot/Anschluss im BIOS bzw. UEFI aktiviert ist. Prüfen Sie, ob das System tatsächlich mit einem JuNet-Anschluss verbunden ist. Der Updatevorgang kann nur Erfolg haben, wenn der gewählte Netzwerkanschluss dem zu prüfenden System Zugang zum öffentlichen Netz bereitstellt. Für die korrekte Funktion des Update-Vorgangs muss das betroffene System idealerweise seine Netzwerk-Konfiguration vom DHCP-Server beziehen (oder ansonsten manuell konfiguriert werden). Sollte das System aufgrund der Infektion für die JuNet-Nutzung gesperrt sein, ist ein Update-Vorgang daher nicht möglich. Halten Sie in diesem Fall Rücksprache mit der JuNet-Hotline unter der Durchwahl Beachten Sie, dass die Verwendung von KVM-Switches bei der Anwendung der Notfall- CDs zu Problemen mit der Bildschirmdarstellung führen kann. Binden Sie den PC in diesem Fall für die Dauer der Maßnahmen direkt an einen Monitor an. Führen auch diese Maßnahmen nicht zum Erfolg, wenden Sie Sich an Ihren IT- Ansprechpartner, IT-Dienstleister oder die JuNet-Hotline Ein Fortfahren mit der Nutzung der verschiedenen Notfall-CDs ist zwar auch ohne Update möglich, jedoch ist die Wahrscheinlichkeit beschränkt, dass eventuelle Infektionen mit Malware erkannt und beseitigt werden können. Sollte ein Update trotz aller Versuche nicht möglich sein, achten Sie darauf, die aktuellen Versionen der Notfall-CDs herunterzuladen. 44