Virenalarm was nun. Juni 2013 Holger Geiger

Transkript

1 Juni 2013

2 2

3 INHALTSVERZEICHNIS 1 VIRENALARM - WAS NUN? MAIL-ANHÄNGE DOWNLOADS KASPERSKY RESCUE DISK - EXTERNER TEST DER FESTPLATTE FALSCHE MELDUNGEN FAKE MELDUNGEN VIRUS TOTAL ONLINE-DIENST WEITERE MÖGLICHKEITEN DATEN SICHERN / RETTEN WAS GEHT WINDOWS STARTET NOCH$ WINDOWS STARTET NICHT MEHR$ SICHERUNGSDATEIEN PRÜFEN WINDOWS KOMPLETT NEU INSTALLIEREN

4 1 Virenalarm - Was nun? Wie gefährlich ist die Meldung? Was ist mit meinen Dateien, Fotos? Kann ich sie noch retten? Bekomme ich meinen PC wieder sauber? Wenn der Virenscanner Alarm schlägt bedeutet das noch nicht, dass der Computer mit einem Schädling/Virus infiziert ist. Befallen ist der PC dann, wenn Sie den Virenscanner manuell ausgeführt haben und ein Virus/Infektion gefunden wurde. Der Virenscanner kann Alarm schlagen wenn eine mit Anhang(Attachment) empfangen wird. Wenn Sie die angehängte Datei noch nicht geöffnet (ausgeführt bzw. doppelgeklickt) haben, ist Ihr PC noch nicht infiziert. Nachfolgend soll eine Hilfestellung gegeben werden wie Virenalarme eingeschätzt und entsprechende Maßnahmen ergriffen werden können. Die häufigste Infektion mit Viren entstehen durch s mit Anhängen, Downloads von Webseiten oder durch Übertragung mit CD/USB-Sticks. Die Gefahr und Vorgehensweise bei einem Virenalarm ist etwas unterschiedlich. Eine gesunde Skepsis hilft bei s und Webseiten schon viel. Glauben Sie nicht alles was Sie per geschickt bekommen oder auf Webseiten veröffentlicht wird. An der Haustüre würden Sie auch nicht jedem alles abnehmen/abkaufen oder? 2 Mail-Anhänge Aktuell werden die meisten Viren durch verbreitet. Derartige s sind häufig schon an seltsamen Absenderadressen sowie fehlender oder merkwürdiger Anrede erkennbar. Die Viren stecken üblicherweise im Dateianhang. Hierauf kann am leichtesten reagiert werden: E- Mail-Anhang nicht öffnen löschen - fertig! Stellen Sie sich folgende Fragen Stammt die mit Anhang von einem unbekannten Absender? Haben Sie ggf. überhaupt irgendwo etwas bestellt damit Sie eine Rechnung erhalten könnten? Wenn Sie keinen Urlaub oder Flug gebucht haben löschen Sie derartige s ohne die Anhänge zu öffnen. Infizierte Massen-Mails werden häufig zufällig und wahllos verschickt in der Hoffnung dass einige der Empfänger den Inhalt ernst nimmt und die Anhänge öffnet. Haben Sie die mit Anhang von einem bekannten Absender erhalten und mistrauen dem Anhang? Weitere Vorgehensweise/Check wie im Abschnitt VIRUSTOTAL ONLINE DIENST (Seite 7) beschrieben. 4

5 3 Downloads Virenverseuchte s erhalten sie automatisch, unaufgefordert ohne dass Sie dies verhindern können. Bei einem Download von einer Webseite hingegen laden Sie die Datei auf Ihre Festplatte. Meldet der Virenscanner während bzw. nach dem Download eine Infektion wird folgendes empfohlen: - Datei vorläufig nicht öffnen! - Brauchen Sie diese Datei wirklich? Falls nicht Datei löschen Ihr PC ist noch nicht infiziert. - Benötigen Sie die Datei wirklich stellt sich die Frage ob es sich um einen Fehlalarm handelt und die Datei von einer vertrauenswürdigen Quelle/Webseite stammt. Suchen sie im Internet weitere Informationen indem Sie nach dem heruntergeladenen Dateinamen suchen vielleicht haben andere Benutzer ähnliche Meldungen bekommen. Weitere Vorgehensweise/Check wie im Abschnitt VIRUSTOTAL ONLINE DIENST (Seite 7) beschrieben. Fehlalarme Sogenannte Hackertools verursachen häufig Fehlalarme bei Virenscannern. Diese Programme können beispielsweise WLAN- Schlüssel oder die Installations-IDs von Windows Programmen auslesen. Schlägt der Virenscanner hier Alarm ist es vermutlich dann kein Problem wenn sie das Programm selbst, manuell installieren oder starten. Kriminelle können derartige Programme aber auch heimlich auf Ihren PC schmuggeln/installieren. Eine Garantie kann jedoch nicht übernommen werden. 4 Kaspersky Rescue Disk - Externer Test der Festplatte Viren können bereits auf Ihren PC gelangen bevor Ihr Virenscanner diese erkennt. Eine sichere Methode den PC zu prüfen ist eine bootfähige Antiviren-Rescue-CD. Z.B. die Kaspersky Rescue Disk 10. Diese CD bootet selbständig und lädt aktuelle Virendefinitionen aus dem Internet. Da Windows in diesem Zustand nicht läuft kann der Virus auch seinen Schutzmechanismus nicht aktivieren. 5

6 Vorgehensweise Suchen Sie im Internet nach Kaspersky Recue CD 10. Laden Sie die ISO-Datei herunter. Die gängigen Brennprogramme können ISO-Dateien direkt auf CD brennen. Legen Sie die CD in den PC und starten Sie diesen neu. Ggf. muss die Bootreihenfolge im PC geändert werden damit dieser von CD startet. Nachdem die Programmoberfläche geladen ist müssen Sie die Virenkennungen vom Internet updaten(menüpunkt) und anschließend einen vollständigen Scan durchführen. Werden Viren/Schädlinge gefunden können diese gelöscht oder in Quarantäne verschoben werden. Das Programm bietet an eine Protokolldatei zur späteren Nachvollziehbarkeit der Funde und Änderungen zu speichern. Vorsicht Je nachdem wo ein Virus/Infektion gefunden wurde kann die Entfernung unterschiedlich schwierig oder auch gar nicht möglich sein. Wird der Virus/Infektion im Windows-Verzeichnis oder darunter gefunden, versucht Windows nach Entfernung und anschließendem Neustart u.u. die Systemkonfiguration wieder herzustellen, so dass auch der Virus/Infektion wieder aktiviert wird. Es empfiehlt sich nach dem Starten von Windows nochmals eine erneute Prüfung mit der Rescue Disk durchzuführen. Wird erneut eine Virus/Infektion gefunden sollte die Windows- Systemwiederherstellung abgeschaltet und eine erneute Prüfung durchgeführt werden. 5 Falsche Meldungen Fake Meldungen Gefälschte Meldungen werden von manipulierten oder gefälschten Security-Tools erzeugt. Die Namen derartiger Programme machen einen guten Eindruck. Häufig gibt es auch eine zugehörige Webseite die seriös erscheint. Beispiele: Spyware Protect(ion), Windows Defender 2013, AntiVir System Professional. Derartige Programme versuchen dem Anwender glaubhaft einen Virusbefall/Infektion seines Systems vorzumachen und Ihn zum Kauf einer kostenpflichtigen Version die das Problem beseitigt zu verleiten. Bezahlen Sie auf keinen Fall damit wird das Problem nicht behoben! 6

7 Vorgehensweise Siehe Absatz Kaspersky Rescue Disk (Seite 5). Alternativ kann derartigen Meldung versucht werden mit dem Programm Remove Fake Antivirus die Schadprogramme zu entfernen. BKA-Trojaner Startet Ihr PC mit einer Meldung des Bundeskriminalamtes haben Sie sich vermutlich den Lösegeld-Trojaner des BKA eingefangen. Sie werden bei jedem Start aufgefordert eine Strafe zu bezahlen. Bezahlen Sie auf keinen Fall. Die Cybermafia versucht damit Geld zu bekommen und an Ihre Zugangsdaten zu kommen. Sichern Sie ihre Daten auf eine externe Festplatte oder USB-Stick kopieren (Seite 8). Versuchen sie den Virenbefall/Infektion mit der Kaspersky Rescue Disk (Seite 5) zu entfernen. Mit hoher Wahrscheinlichkeit müssen Sie jedoch Windows neu installieren. 6 Virus Total Online-Dienst Meldet Ihr Virenscanner bei einer Datei die sie dringend benötigen einen Virusbefall/Infektion versuchen Sie herauszufinden ob die Meldung tatsächlich echt ist. Speichern Sie die Datei zunächst ohne sie zu öffnen auf der Festplatte. Laden Sie die Datei zum kostenlosen Onlinedienst zur Prüfung hoch. Der Dienst untersucht die Datei mit ca. 40 verschiedenen Virenscannern. Wenn dort einige Virenalarme registriert werden sollten sie die Datei nicht verwenden. Neue Viren werden meist zuerst nur von wenigen Virenscannern erkannt. Nur wenn der Test keine Viren findet ist die Datei voraussichtlich clean. Eine 100%ige Gewährleistung gibt es jedoch nicht. 7

8 7 Weitere Möglichkeiten Einige Hersteller von Antivirenprogrammen stellen teilweise spezielle Tools zur Verfügung die genau gegen einen speziellen Virus vorgehen und versuchen diesen beseitigen. Die Programme können von den Herstellerseiten kostenlos heruntergeladen werden. Sie werden meist direkt ohne Installation ausgeführt. Teilweise gibt der Hersteller auf seiner Webseite auch Tipps/Vorgehensweisen zur Beseitigung. Eine grundlegende Vorgehensweise kann jedoch nicht gegeben werden. Der sicherste Weg um einen sauberen PC zu bekommen ist das Betriebssystem neu zu installieren. Hierzu sollte jedoch die Systempartition komplett gelöscht und neu erzeugt werden. 8 Daten sichern / retten was geht4 Bevor sie mit der Bereinigung des PCs beginnen sollten Sie Ihre! Daten sichern. Es besteht keine Gewähr dass nach Entfernung des Virusbefall/Infektion Ihr PC/Windows wieder fehlerfrei bzw. überhaupt startet/läuft. Je nach Datenmenge ist dies am Einfachsten mit einer externen USB-Festplatte durchzuführen. Diese gibt es ab ca. 50 Euro. 8.1 Windows startet noch4 Wenn Windows noch startet können Sie die Festplatte einfach anschließen und mit dem Explorer die Daten kopieren. Denken sie auch an Ihre s, Favoriten vom Internet Explorer. 8

9 8.2 Windows startet nicht mehr4 Wenn Windows nicht mehr startet kann versucht werden mit einer Live-CD auf die Festplatte zuzugreifen und die Daten auf eine externe Festplatte zu kopieren. Dies kann mit jeder gängigen Linux Version. Z.B. Ubuntu oder auch mit der Kaspersky Rescue Disk durchgeführt werden. Vorgehensweise Schließen Sie in ausgeschaltetem Zustand die externe USB- Festplatte an den PC an. Starten Sie den PC von der Live- CD/Kaspersky Rescue Disk. Bei der Kaspersky Rescue Disk wählen sie DEUTSCH aus und bestätigen die Lizenzbedingung mit 1. Die interne Festplatte und die USB-Festplatte werden automatisch in das System eingebunden. Unter Linux werden die Laufwerke etwas anders als bei Windows als Ordner angezeigt. Die Dateien können wie mit dem Windows Explorer auf die externe Festplatte oder USB-Stick kopiert werden. 8.3 Sicherungsdateien prüfen Ihre Daten sollten Sie nach dem Backup mit der Kaspersky Rescue Disk (Seite 5) prüfen um sicher zu gehen dass Sie der Virus/Infektion nicht mitkopiert haben. 8.4 Windows komplett neu installieren Schlagen alle Versuche fehlt bleibt nur noch die Neuinstallation von Windows. Dies würde jedoch den Rahmen sprengen, da hier je nach Hersteller verschiedene externe Treiber von CD eingebunden werden müssen. In jedem Fall sollte die Systempartition komplett gelöscht und neu erstellt werden. 9

10