Gebrauch der Notfall-CDs von AVG, Avira und Kaspersky

Transkript

1 FORSCHUNGSZENTRUM JÜLICH GmbH Jülich Supercomputing Centre D Jülich, Tel. (02461) Beratung Netzwerk, Tel. (02461) Technische Kurzinformation FZJ-JSC-TKI-0411 Dr. Frank Mohr, JSC-KS Gebrauch der Notfall-CDs von AVG, Avira und Kaspersky Inhalt 1. Einleitung Verwendung der AVG Rescue CD Normale Verwendung Problembehebung beim Update Verwendung von Avira Rescue System Normale Verwendung Problembehebung beim Update Verwendung der Kaspersky Rescue Disk Der Grafikmodus der Rescue Disk Der Textmodus der Rescue Disk Troubleshooting Einleitung Mit den Lösungen AVG Rescue CD, Avira Rescue System und Kaspersky Rescue Disk 10 stehen den Mitarbeitern des Forschungszentrums Jülich (auch für den privaten Einsatz) drei leistungsfähige Notfall-CDs zur Verfügung, um Windows- und (im Fall der Avira Rescue System sowie der Kaspersky Rescue Disk 10) auch Linux-Partitionen auf Malware zu untersuchen. Dabei sollen eventuelle Infektionen erkannt und auch bekämpft werden. Voraussetzung hierfür sind tagesaktuelle Virensignaturen, weswegen alle Lösungen entsprechende Update-Prozeduren besitzen. Es wird dringend empfohlen, vor der eigentlichen Untersuchung auch tatsächlich ein solches Update durchzuführen, damit die Notfall-CDs ihre volle Leistungsfähigkeit entfalten können. 1

2 Das JSC empfiehlt die Anwendung mit der hier gewählten Priorität: Zuerst die AVG Rescue CD, dann Avira Rescue System und schließlich die Kaspersky Rescue Disk 10. Beachten Sie bitte, dass Linux-Partitionen nur mit der Avira-Lösung sowie der Kaspersky Rescue Disk 10 geprüft werden können. Grundsätzlich kann keine Garantie dafür übernommen werden, dass die Notfall-CDs mit allen vorliegenden Hard- und Softwarekombinationen korrekt funktionieren oder dass die Update- Prozeduren mit allen verfügbaren Netzwerkadaptern zusammenarbeiten. Sollten diesbezüglich Probleme auftreten, sind einige Tipps in den jeweiligen Anleitungen sowie in Kapitel 6-Troubleshooting aufgeführt; ebenso können Sie sich an die JuNet-Hotline unter der Durchwahl 6440 wenden. Darüber hinaus kann ebenfalls keine Garantie übernommen werden, dass jede Infektion durch die CDs korrekt erkannt und geheilt werden kann. Wird ein System von einer Notfall-CD als nicht oder nicht mehr infiziert gemeldet, sollte dies vorsichtshalber von mindestens einer der anderen noch bestätigt werden. Einmal befallene Systeme sind zunächst als nicht mehr vertrauenswürdig anzusehen, auch wenn eine Notfall-CD eine erfolgreiche Bekämpfung meldet. In Abhängigkeit der Umstände ist mittelfristig eine erneute Untersuchung oder gar eine Neuinstallation sinnvoll. Als Alternative zu den drei Notfall-CDs soll noch der Microsoft Safety Scanner erwähnt werden, der im konkreten Bedrohungsfall kostenlos heruntergeladen und 10 Tage lang benutzt werden kann. Es handelt sich dabei um ein Sicherheitstool, welches nur nach Bedarf gestartet wird, also nicht permanent im Hintergrund arbeitet und daher auch keinen Virenscanner ersetzen kann. Auf bereits infizierten Systemen hilft es jedoch bei der Bekämpfung der Schadsoftware, wenn der vorhandene Virenscanner als nicht mehr vertrauenswürdig betrachtet werden muss. Die Möglichkeit des Downloads sowie eine Kurzeinführung und weiterführende Links finden Sie unter 2. Verwendung der AVG Rescue CD 2.1. Normale Verwendung Sie finden ein ISO-Image der AVG Rescue CD auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\01-avg-notfall-cd\ welches in regelmäßigen Abständen aktualisiert wird (was jedoch nicht das tagesaktuelle Updaten der Virensignaturen ersetzt!). Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Legen Sie diese CD in das CD-/DVD-Laufwerk des betroffenen Systems ein und booten Sie von dieser. Deklarieren Sie dazu das CD-/DVD-Laufwerk im BIOS als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Wählen Sie das richtige Laufwerk aus und bestätigen Sie mit <Return>. Es erscheint das Bootmenü der Notfall-CD: 2

3 Im Normalfall können Sie dieses Menü einfach mit <Return> bestätigen, da der Start der Notfall-CD als erster Menüpunkt bereits voreingestellt ist. Nach einer Wartezeit von 10 Sekunden startet der Bootvorgang selbständig, wenn Sie noch keine Eingabe gemacht haben. Sollte es im weiteren Verlauf zu Problemen mit der Bildschirmanzeige kommen, können Sie auch die Menüpunkte <AVG Rescue CD with Disabled Framebuffer> und <AVG Rescue CD with Resolution Selection> ausprobieren; bei letzterem kann der verwendete Grafikmodus manuell gewählt werden. Warten Sie, bis die Notfall-CD alle benötigten Dateien und Einstellungen geladen hat. Zunächst wird der Disclaimer angezeigt, den Sie mit <ACCEPT> bestätigen müssen. Sie können mit den Tasten < > und < > durch den Text blättern. 3

4 Danach testet die Notfall-CD die Internet-Verbindung, da vor der eigentlichen Untersuchung des Systems ein Update der Virensignaturen durchgeführt werden sollte. Verläuft der Test erfolgreich, wird keine weitere Meldung ausgegeben und die Ansicht wechselt zum Hauptmenü der Notfall-CD. Wenn der Test dagegen fehlschlägt, wird die Meldung Info: Internet connection is not available o.ä. ausgegeben. Bestätigen Sie diese Meldung mit <Return>, woraufhin Sie ebenfalls in das Hauptmenü der Notfall-CD gelangen. Folgen Sie dann der Anleitung in Kapitel 2.2, um die Problembehebung für Updates zu durchlaufen. Grundsätzlich können Sie in den Menüs mit den Tasten < > und < > durch die Menüpunkte wechseln. 4

5 Zunächst sollte ein Update der Virusmusterdefinitionen durchgeführt werden. Wählen Sie dazu den Menüpunkt Update aus und bestätigen Sie mit <Return>. Wählen Sie nun die Art des Updates: Die Option Online ist bereits voreingestellt und kann mit <Return> bestätigt werden, um ein Update über das öffentliche Netzwerk durchzuführen. Den nächsten Dialog Update Priority Configuration können Sie mit <Select> bestätigen, da die optimale Variante <Virus database update> bereits voreingestellt ist. Die Varianten <Program update> und <Optional update> bieten kein Update der Virensignaturen und sollten daher nicht gewählt werden. Der Update-Vorgang beginnt nun, er dauert einige Minuten und wird (bei erfolgreicher Durchführung) mit der Meldung Update was successfully completed. abgeschlossen. Quittieren Sie mit <Return>. Sollte die Meldung Update failed: The connection failed o.ä. erscheinen, so ist vermutlich die Internet-Verbindung unterbrochen worden. Beheben Sie das Problem und führen Sie den Update-Vorgang erneut aus. 5

6 Sie befinden Sich nun wieder im Hauptmenü der Notfall-CD. Wählen Sie den Menüpunkt <Scan> an, um die eigentliche Untersuchung des Systems durchzuführen, und drücken Sie <Return>. Im nächsten Dialog können Sie wählen, ob ganze Festplattenpartitionen (<Volumes Scan selected volumes.>), einzelne Verzeichnisse (<Directory Scan selected directory only.>), nur der Bootsektor eines Laufwerks (<Boot Sector Scan only boot sector of selected devices.>) oder nur die Windows-Registry (<Registry Scan only windows registry.>) durchsucht werden sollen. Im Normalfall empfiehlt sich die Untersuchung ganzer Partitionen; einzelne Verzeichnisse oder Bootsektoren bzw. die Windows-Registry sollten nur dann eingegrenzt werden, wenn die Infektion(en) bereits in diesen zweifelsfrei lokalisiert werden konnte(n). Bestätigen Sie daher den ersten Eintrag mit <Return>; in dieser Anleitung wird davon ausgegangen, dass die Durchsuchung ganzer Partitionen gewählt wurde. Im nächsten Dialog wählen Sie die zu untersuchende Partition; es werden alle durchsucht, die mit einem Stern [*] markiert sind. Drücken Sie die Leertaste, um Partitionen aus der Untersuchung ein- oder auszugrenzen. Beachten Sie, dass die Laufwerksbezeichnungen der von Linux-Systemen gewohnten Namensgebung entsprechen. Im nachfolgenden Screenshot ist nur eine Festplattenpartition im System vorhanden: Grundsätzlich sollten Sie alle Partitionen durchsuchen lassen, die im Verdacht einer Infektion stehen. Sind Sie unsicher, welche dies sind, so lassen Sie alle vorhandenen Partitionen durchsuchen. Bootfähige Partitionen sollten auf jeden Fall durchsucht werden! Bestätigen Sie Ihre Auswahl mit <Return>. Im nächsten Dialog können Sie verschiedene Parameter der Untersuchung einstellen. Wie bereits oben werden hier alle Optionen berücksichtigt, die mit einem Stern [*] versehen sind; mit der Leertaste können Sie Optionen zu- und abschalten. 6

7 Scan inside archives: Es werden auch Archive durchsucht. Diese Option wird empfohlen. Report password protected files: Im Prüfbericht werden passwortgeschützte Dateien gemeldet. Diese Option ist nur in Verbindung mit <Scan inside archives> möglich und muss nicht zwingend aktiviert werden, sofern sich kein akuter Verdacht gegen diese Dateien richtet. Report archive bombs: Eine archive bomb ist eine mehrfach gepackte Datei, die den installierten Virenscanner bezüglich seiner Ressourcenauslastung überfordern soll und damit der Entdeckung entgehen will. Wird diese Option aktiviert, werden auch archive bombs gemeldet, was empfohlen wird. Sie ist nur in Verbindung mit <Scan inside archives> möglich. Use heuristics for scanning: Es wird die heuristische Suche verwendet, was die Wahrscheinlichkeit der Erkennung von Bedrohungen erhöht, die derzeit noch nicht bekannt sind. Diese (voreingestellte) Option wird daher dringend empfohlen. Scan for potentially unwanted programs und Scan for enhanced set of Potentially Unwandet Programs: Diese Optionen suchen zusätzlich nach Schadsoftware im erweiterten Sinne, die sich in bestimmten Bereichen Administratorrechte verschaffen will. Dies betrifft z.b. Sniffer oder ohne Wissen des Users installierte FTP-Server und IRC-Clients. Es wird empfohlen, diese beiden voreingestellten Optionen beizubehalten. Scan cookies: Bei Aktivierung dieser Option werden auch http-cookies untersucht, was nicht zwingend notwendig ist. Recognize hidden extensions: Mit dieser Option werden auch versteckte Dateiendungen wie Beispiel.doc.exe erkannt, die Aktivierung macht daher durchaus Sinn. Report documents with macros: Besteht der Verdacht, das System könnte mit Makroviren befallen sein, macht die Aktivierung dieser Option Sinn. Hierdurch werden Dokumente mit Makros dem Prüfbericht hinzugefügt. Enable paranoid mode: Aktiviert eine noch sorgfältigere Überprüfung, die jedoch deutlich mehr Systemressourcen erfordert. Die Prüfung dauert daher deutlich länger, ist aber auch noch gründlicher als der Standard-Scan. Scan windows registry: Es wird auch die Windows Registry durchsucht, was dringend empfohlen wird. 7

8 Wenn Sie Ihre Einstellungen vorgenommen haben, drücken Sie <Return>. Der eigentliche Scanvorgang beginnt nun, Sie können ihn bei Bedarf mit <Return> unterbrechen. Während der Untersuchung sieht der Bildschirm wie folgt aus: Sofern keine Infektionen oder sonstigen Bedrohungen gefunden wurden, sieht der Bildschirm nach Abschluss des Vorgangs so aus (alle Zähler mit Ausnahme von Files scanned zeigen 0): 8

9 Verlassen Sie diese Ansicht mit <Return>, wodurch sie wieder das Hauptmenü erreichen. Sie können nun die Scanoptionen verändern und erneut scannen oder die Benutzung der Notfall-CD durch die Menüpunkte <Reboot> oder <Shutdown> beenden. Wurden dagegen Infektionen gefunden, werden diese nach folgendem Schema dargestellt: <Pfadangabe/Dateiname> <Bedrohungstyp> <Name der Bedrohung> 9

10 Wie im obigen Beispiel: /mnt/sda1/dok[ ]/Hinweis.exe Trojan horse Pakes.AOQ Verlassen Sie auch diese Ansicht mit <Return>. Sie gelangen nun in die Ansicht, wie mit den gefundenen Infektionen verfahren werden soll: 10

11 Im obigen Beispiel wurde nur eine Infektion gefunden. Handelt es sich um mehrere, so können diese auf die gewohnte Weise mittels der Leertaste markiert werden [*] oder mittels <Select All> alle markiert werden. Dann wählen Sie <Action>. Im nächsten Dialog können Sie für die soeben gewählten Infektionen zwischen den folgenden Alternativen wählen: <Heal>: Es wird versucht, die Datei(en) von der Infektion zu befreien, ohne sie zu löschen. <Rename>: Die Datei wird lediglich umbenannt. <Delete>: Die infizierte(n) Datei(en) zu löschen stellt die sicherste Variante dar, wodurch allerdings Datenverlust entstehen kann und das Risiko besteht, dass das Betriebssystem oder bestimmte Anwendungen evtl. nicht mehr funktionstüchtig sind. <Report File>: Zeigt erneut einen Bericht über den Scanvorgang an. In dieser Anleitung wird davon ausgegangen, dass die infizierte Datei gelöscht werden soll. Wählen Sie also <Delete> an und drücken Sie <Return>. 11

12 Die erfolgreiche Löschung wird durch diese Meldung bestätigt: Sollte dagegen eine Fehlermeldung erscheinen, dass die Datei nicht gelöscht, geheilt oder umbenannt werden konnte, so ist davon auszugehen, dass die Infektion weiterhin besteht und mit dieser Notfall-CD nicht erfolgreich bekämpft werden konnte. Bestätigen Sie die Meldung mit <Return>. Sie befinden Sich wieder im Hauptmenü der Notfall-CD und können diese beenden, indem Sie <Reboot> (Neustart) oder <Shutdown> (Herunterfahren) wählen Problembehebung beim Update Sie befinden sich im Hauptmenü der Notfall-CD: Versuchen Sie nun, die Netzwerkeinstellungen von Hand vorzunehmen: Wählen Sie <Network> und bestätigen Sie mit <Select>. Den nächsten Dialog können Sie einfach bestätigen, die Konfiguration eines Netzwerkinterfaces (<Interface>) ist bereits voreingestellt. Im nächsten Dialog erhalten Sie eine Übersicht über alle verfügbaren Netzwerkadapter; falls mehrere vorhanden sind, wählen Sie einen Netzwerkadapter mit Zugang zum öffentlichen Netzwerk. 12

13 Die gewählte Option wird mit (*) markiert. Quittieren Sie das Dialogfeld mit <Return>. Im nächsten Dialog können Sie wählen, ob die Netzwerkkonfiguration per DHCP bezogen oder manuell eingestellt werden soll. Versuchen Sie zunächst die bereits voreingestellte Variante <DHCP Dynamic network configuration>, indem Sie mit <Return> bestätigen. Erfolgt die Meldung Network interface eth? configured, wurde die Konfiguration vorgenommen. Quittieren Sie diese mit <Return>, woraufhin die Internetverbindung erneut getestet wird. Wird nun die Meldung Internet connection test successful. ausgegeben, können Sie mit der Verwendung der Notfall-CD in Kapitel 2.1 fortfahren. Erscheinen dagegen eine Fehlermeldung, so ist keine Konfiguration per DHCP möglich. Versuchen Sie dann die manuelle Einstellung, indem Sie die Meldung bestätigen und im Dialog Network Configuration zum Eintrag <Static Static network configuration> wechseln. Beachten Sie auch hier, dass Ihre Auswahl erst übernommen wird, wenn Sie sie mit der Leertaste bestätigen. Quittieren Sie nun mit <Select>. Im nächsten Dialog Network Static Configuration können Sie IP-Adresse, Netzmaske, Standardgateway und DNS-Server eintragen, die auf das zu prüfende System zutreffen; diese Angaben können Sie bei Ihrem Administrator oder Netzwerkansprechpartner erfragen. Nach Abschluss der Eingaben wechseln Sie mit der Tabulator-Taste in den unteren Bereich des Dialogfeldes und bestätigen mit <Select>. 13

14 Die nachfolgenden Schritte entsprechen den bereits oben geschilderten. Es wird erneut die Internetverbindung getestet; verläuft der Test erfolgreich, können Sie mit der Verwendung der Notfall-CD fortfahren, indem Sie in das Hauptmenü zurückkehren und den Punkt <Update> anwählen. Folgen Sie dann wieder den Ausführungen in Kapitel 2.1. Verläuft der Test immer noch nicht erfolgreich, nehmen Sie ein Update per USB-Stick vor: Halten Sie dazu einen USB-Stick mit mindestens 100 MB freiem Speicherplatz bereit, der frei von Malware ist; lassen Sie ihn im Zweifelsfall vom Virenscanner eines nicht-infizierten Systems überprüfen. Besuchen Sie von einem vertrauenswürdigen PC aus den AVG-Downloadbereich zur Rescue CD unter Suchen Sie in der Rubrik Updates den Eintrag Virendefinitionen. Laden Sie die zugehörige Datei herunter und speichern Sie sie im Hauptverzeichnis des USB-Sticks. Der Dateiname sollte ähnlich wie u14iavi6673wq.bin lauten. Werfen Sie danach den USB-Stick aus und stecken Sie ihn in einen freien USB-Port des zu untersuchenden Systems. Warten Sie einige Sekunden, bis das System die neue Hardware erkannt hat, und wählen Sie im Hauptmenü der Notfall-CD den Menüpunkt <Mount>, um eine erneute Erkennung der angeschlossenen Laufwerke auszulösen. Sie sollten kurz die folgende Meldung sehen: Wählen Sie im Hauptmenü der Notfall-CD den Eintrag <Update> und im nächsten Dialog den Eintrag <Offline>. Sie erhalten eine Ansicht aller erkannten Laufwerke und Partitionen; wählen Sie den USB-Stick aus (sein Eintrag sollte ähnlich lauten wie <VFAT 2.0G>, wenn es sich beispielsweise um einen 2GB-Stick handelt). Beachten Sie, dass Ihre Auswahl nur übernommen wird, wenn Sie sie mit der Leertaste bestätigen! Sie erkennen dies daran, dass der Eintrag des USB-Sticks mit einem Stern (*) markiert wird. Verlassen Sie den Dialog nun mit <Select>. Es wird nun ein Hilfetext für den nächsten Dialog angezeigt. Quittieren Sie diesen mit <Continue>. 14

15 In der nächsten Ansicht müssen Sie das Verzeichnis auswählen, in das Sie die *.bin-datei kopiert haben. Wenn Sie (wie oben beschrieben) das Hauptverzeichnis verwendet haben, müssen Sie hier nur mit <Select> bestätigen. Ansonsten wählen Sie durch Verwendung der Tasten < > und < > das korrekte Verzeichnis aus und bestätigen dann. Auch den nächsten Dialog können Sie einfach bestätigen, die korrekte Option priority 2 Virus database update. ist bereits voreingestellt. Der erfolgreiche Abschluss des Updates wird anschließend durch die Meldung Update was successfully completed. angezeigt. Sie können dann mit der Verwendung der Notfall-CD in Kapitel 2.1 fortfahren. Erhalten Sie dagegen eine Fehlermeldung, so wurde vermutlich ein Verzeichnis ausgewählt, welches nicht die Update-Datei enthielt. Beheben Sie das Problem, indem Sie das USB- Update mit der korrekten Verzeichnisangabe wiederholen. 15

16 3. Verwendung von Avira Rescue System 3.1. Normale Verwendung Sie finden ein tagesaktuelles ISO-Image von Avira Rescue System auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\02-avira-notfall-cd\ Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Legen Sie diese CD in das CD-/DVD-Laufwerk des betroffenen Systems ein und booten Sie von dieser. Deklarieren Sie dazu das CD-/DVD-Laufwerk im BIOS als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Wählen Sie das richtige Laufwerk aus und bestätigen Sie mit <Return>. Es erscheint der Bootdialog der Notfall-CD. Sie können (wenn gewünscht) mit der Pfeiltaste < > und <Return> auf deutsche Sprache umschalten, siehe linke untere Bildschirmecke. Drücken Sie erneut <Return>, um Avira Rescue System zu starten. Alternativ können Sie mit den anderen Menüpunkten auch eine Überprüfung der Avira-CD (<CD/DVD auf Fehler prüfen>) bzw. des Hauptspeichers (<Arbeitsspeicher 16

17 testen>) vornehmen oder das System normal booten (<Von der ersten Festplatte booten>), also ohne Verwendung von Avira Rescue System. Sollte es im weiteren Verlauf zu Problemen mit der Bildschirmanzeige o.ä. kommen, stehen fortgeschrittenen Benutzern mittels <F6> verschiedene Bootoptionen zur Verfügung, die je nach verwendeter Hardware bessere Resultate erbringen können. Warten Sie, bis die Notfall-CD alle benötigten Dateien und Einstellungen geladen hat. Dies kann einige Minuten dauern, insbesondere auf virtuellen Maschinen. Bestätigen Sie zunächst die Lizenzvereinbarung mit <Akzeptieren>. Es erscheint die Hauptoberfläche von Avira Rescue System: 17

18 Avira Rescue System arbeitet weitgehend selbständig, klicken Sie zum Start auf <Assistent starten>. 18

19 Sie können nun die zu untersuchende Partition auswählen; es werden alle blau hinterlegten durchsucht. Sie wählen Partitionen zu oder ab, indem Sie die Taste <Strg> gedrückt halten und die gewünschte Partition anklicken. Im Beispiel oben wird nur die Partition C: durchsucht. Grundsätzlich sollten Sie alle Partitionen durchsuchen lassen, die im Verdacht einer Infektion stehen. Sind Sie unsicher, welche dies sind, so lassen Sie alle vorhandenen Partitionen durchsuchen. Bootfähige Partitionen sollten auf jeden Fall durchsucht werden! Klicken Sie auf <Weiter>. Daraufhin versucht der Assistent selbständig ein Update der Virusmusterdefinitionen, erkennbar an der Ausgabe Erkennung wird aktualisiert. Verläuft das Update erfolgreich, fährt der Assistent mit der eigentlichen Untersuchung fort, erkennbar an der Ausgabe Ihr System wird überprüft. 19

20 Wenn das Update dagegen fehlschlägt, wird die Meldung ausgegeben, dass Sie nicht mit dem Netzwerk verbunden sind. Folgen Sie dann der Anleitung in Kapitel 3.2, um die Problembehebung für Updates zu durchlaufen. Wurde die Untersuchung erfolgreich abgeschlossen, ohne Malware o.ä. zu finden, erscheint der folgende Bildschirm (Funde: zeigt den Wert 0): 20

21 Mit einem Klick auf <Weiter> gelangen Sie zu einer Ergebniszusammenfassung: 21

22 Mit einem Klick auf <Bericht> erhalten Sie noch einen ausführlicheren Überblick über die Untersuchung und den Update-Vorgang. Mit <Erneut prüfen> können Sie die Untersuchung erneut durchführen; <Herunterfahren> und <Neu starten> beenden die Benutzung der Notfall-CD entsprechend. Wird dagegen während der Untersuchung eine Infektion mit Malware etc. gefunden, wird unter Funde: die Anzahl der gefundenen Objekte angezeigt, im folgenden Beispiel ein Objekt: Mit einem Klick auf <Weiter> gelangen Sie zur Ergebniszusammenfassung, die in diesem Beispiel aussagt, dass eine Infektion gefunden und die betroffene Datei umbenannt wurde. 22

23 Mit einem Klick auf <Bericht> erhalten sie ausführlichere Informationen; scrollen Sie bis zum Ende des Berichts, Sie finden im Bereich Details Angaben zur gefundenen Infektion. 23

24 Unter Fund: sind Pfad und Dateiname der betroffenen Datei aufgeführt. Virus Typ: besagt in diesem Fall, dass es sich um ein trojanisches Pferd handelt, hinter Virus Name: ist dessen genaue Bezeichnung zu finden sowie die Information, dass die Datei umbenannt wurde. Mit einem Klick auf <Speichern> können Sie bei Bedarf den Bericht auf einem der vorhandenen Laufwerke abspeichern. Ist Ihre Arbeit mit dem Avira Rescue System beendet, klicken Sie oben rechts auf die Schaltfläche und wählen Sie <Herunterfahren > Problembehebung beim Update Klicken Sie in der rechten oberen Bildschirmecke auf die Schaltfläche aufklappenden Menü den Punkt <Verbindungen bearbeiten >.. Wählen Sie im Wählen Sie, je nachdem welcher der beiden Punkte in Ihrem Fall zutrifft, entweder im Reiter Kabelgebunden den Eintrag <Kabelnetzwerkverbindung 1> oder im Reiter Funknetzwerk den Eintrag <Funknetzwerkverbindung 1> aus. Diese Anleitung bezieht sich auf den Fall, dass eine kabelgebundene Netzwerkverbindung benutzt wird; bei drahtlosen Verbindungen ist das Vorgehen entsprechend. Wählen Sie in jedem Fall eine Netzwerkverbindung mit Zugang zum öffentlichen Netzwerk aus. Klicken Sie auf <Bearbeiten >. 24

25 Sie sehen im Feld <MAC-Adresse des Gerätes> die Hardware-Adresse des gewählten Adapters. Prüfen Sie zunächst durch einen Abgleich dieser Adresse, ob der korrekte Adapter gewählt wurde. Wenn nicht, schließen Sie das Dialogfenster mit <Abbrechen> und wählen Sie eine andere Verbindung aus, sofern vorhanden. Wurde ein Netzwerkadapter nicht korrekt erkannt, können Sie eine manuelle Eintragung versuchen. Klicken Sie dazu auf <Hinzufügen> und tragen Sie im nächsten Dialog die korrekte MAC-Adresse des Adapters ein. Achten Sie darauf, dass die Checkbox <Automatisch verbinden> aktiviert ist. Tragen Sie dann im Reiter IPv4-Einstellungen die IP-Konfiguration ein, wie es im Folgenden beschrieben wird. Ist der korrekte Adapter gewählt, prüfen Sie im Reiter IPv4-Einstellungen die aktuelle IP-Konfiguration. Voreingestellt sollte Automatisch (DHCP) unter Methode sein; ändern Sie den Wert auf Manuell. 25

26 Wählen Sie im Bereich Adressen die Schaltfläche <Hinzufügen> und tragen Sie nach dem im Bild gezeigten Schema die Werte für <Adresse>, <Netzmaske>, <Gateway> und <DNS-Server> des Systems ein, Sie können diese Daten bei Ihrem Administrator oder Netzwerkansprechpartner erfragen. Wählen Sie dann <Speichern > und versuchen Sie erneut die Ausführung des Assistenten wie in Kapitel 3.1 beschrieben. Bei der Verwendung eines drahtlosen Netzwerkadapters ist das Vorgehen entsprechend, Sie benötigen jedoch zusätzlich noch die SSID des zu verwendenden Netzwerks. Tragen Sie die SSID des Netzwerkes ein, für das Ihr System angemeldet ist. Fortgeschrittenen Nutzern steht noch die Möglichkeit zur Verfügung, im linken Bildschirmbereich durch Klick auf die Schaltfläche eine Shell zu öffnen. Außerdem können durch Klick auf die Schaltfläche die Systemeinstellungen geöffnet werden, die weitere Konfigurationsmöglichkeiten bieten. 26

27 4. Verwendung der Kaspersky Rescue Disk 10 Sie finden ein ISO-Image der Kaspersky Rescue Disk 10 auf dem PCSRV unter \\pcsrv.zam.kfa-juelich.de\public\notfall-cds\03-kaspersky-rescue-cd-10 welches in regelmäßigen Abständen aktualisiert wird (was jedoch nicht das tagesaktuelle Updaten der Virensignaturen ersetzt!). Brennen Sie dieses mittels entsprechender Software als bootfähige CD. Legen Sie diese CD in das CD-/DVD-Laufwerk des betroffenen Systems ein und booten Sie von dieser. Deklarieren Sie dazu das CD-/DVD-Laufwerk im BIOS als primäres Bootmedium oder drücken Sie vor dem Bootvorgang rechtzeitig <F8> bzw. die entsprechende Tastenkombination Ihres Bootloaders, so dass Sie den Dialog zur Auswahl des Bootmediums erhalten. Wählen Sie das richtige Laufwerk aus und bestätigen Sie mit <Return>. Alternativ können fortgeschrittene Benutzer die Rescue Disk 10 auch auf einem USB-Stick installieren, was jedoch mit zusätzlichem Aufwand verbunden ist. Eine ausführliche Anleitung dazu finden Sie unter Es erscheint der egrüßungsbildschirm der Rescue Disk 10. Drücken Sie eine beliebige Taste um fortzufahren; nach einer Wartezeit von 10 Sekunden ohne Tastendruck bricht die Notfall- CD ab, wodurch der normale Bootvorgang des Systems gestartet würde. 27

28 In nächsten Bildschirm können Sie die gewünschte Sprache mit den Tasten < > und < > auswählen und mit <Return> bestätigen. Für diese Kurzanleitung wurde die deutsche Sprache gewählt. Nun wird der Endnutzer- Lizenzvertrag der Notfall-CD angezeigt, welchen Sie mit <1> bestätigen können. Es erscheint ein weiteres Menü, in dem Sie durch Anwahl der entsprechenden Punkte die Rescue Disk 10 im Grafikmodus (<Kaspersky Rescue Disk. Grafikmodus>) oder im Textmodus (<Kaspersky Rescue Disk. Textmodus>) starten können. 28

29 Außerdem können Sie Sich durch Anwahl des Eintrags <Hardwareinformation> Informationen zur erkannten Hardware anzeigen lassen, wodurch allerdings ein Neustart notwendig wird. Die weiteren Menüpunkte erlauben es, die Rescue Disk 10 zu verlassen und den normalen Bootvorgang des Systems zu veranlassen (<Betriebssystem starten>), einen Neustart einzuleiten (<Computer neu starten>) und das System auszuschalten (<Computer ausschalten>). Starten Sie die Rescue Disk 10 zunächst im Grafikmodus, indem Sie den entsprechenden Menüpunkt mit <Return> bestätigen. Es wird nun die eigentliche Rescue Disk 10 gebootet, was insbesondere auf virtuellen Maschinen durchaus mit einer Wartezeit von einigen Minuten verbunden sein kann. Sollte Ihr System jedoch auch nach längerer Zeit keine Reaktion mehr zeigen, so ist es mit dem Grafikmodus nicht kompatibel und muss neu gestartet werden. Fahren Sie in diesem Fall mit der Anleitung zum Textmodus in Kapitel 4.2 fort oder verwenden Sie eine andere Notfall-CD. Andernfalls folgen Sie den nachfolgenden Erläuterungen zum Grafikmodus in Der Grafikmodus der Rescue Disk 10 Es erscheint die eigentliche Benutzeroberfläche, auf der zunächst noch Hinweise auf das Mounten der erkannten Partitionen sowie die Einrichtung der Netzwerkanbindung eingeblendet werden. Nach Abschluss des Startvorgangs sieht der Bildschirm wie folgt aus: 29

30 Eine eventuelle Meldung, die Datenbanken seien stark veraltet, können Sie einfach schließen. Um ein Online-Update durchzuführen wechseln Sie in den Reiter <Update> und klicken auf den Button <Update ausführen>. Warten Sie, bis der Update-Vorgang vollständig abgeschlossen wurde. Wurde der Update- Vorgang korrekt durchgeführt, so wird im Feld Datenbank-Status aktuell angezeigt und im Feld Datenbanken vom: eine aktuelle Datumsangabe. 30

31 Wurde der Update-Vorgang nicht korrekt ausgeführt, schauen Sie in Kapitel 6-Troubleshooting nach und starten Sie die Notfall-CD neu, damit die Netzwerkerkennung erneut durchgeführt wird. Fortgeschrittene Nutzer können links unten im Kaspersky-Startmenü den Eintrag <Terminal> wählen und eine manuelle Netzwerk-Konfiguration vornehmen. Um die eigentliche Untersuchung durchzuführen, wählen Sie im Reiter <Untersuchung von Objekten> im unteren Bereich alle Partitionen aus, die geprüft werden sollen. Sie sollten hier alle Partitionen angeben, die befallen sein könnten; sind Sie nicht sicher, welche dies sind, wählen Sie alle aufgeführten Einträge aus. Bootfähige Partitionen sollten auf jeden Fall eingebunden werden. Wählen Sie auch den Eintrag <Laufwerksbootsektoren> aus. Sollen nur einzelne Ordner untersucht werden, können Sie diese nach Klick auf die Schaltfläche <Hinzufügen> auswählen. 31

32 Nun kann die Untersuchung durch einen Klick auf den Button <Untersuchung von Objekten starten> gestartet werden. Soll sie wieder unterbrochen werden, ist dies mittels des Buttons <Untersuchung von Objekten abbrechen> möglich. 32

33 Wird die Suche ohne Malware-Funde abgeschlossen, kehrt die Rescue Disk 10 nach Abschluss der Suche ohne weitere Meldung wieder in die Hauptansicht zurück. Wird Malware gefunden, zeigt Kaspersky dies mit Dialogboxen wie im folgenden Beispiel an: 33

34 Unter Objekt wird der Pfad zur gefundenen Datei angegeben, darunter der Name der Bedrohung (im Beispiel hier Backdoor.Win32.Netbus.160.a). Im Bereich darunter können Sie wählen, wie mit der Bedrohung verfahren werden soll: Ist eine Desinfektion möglich, können Sie den obersten Menüpunkt anwählen, woraufhin Kaspersky eine Reparatur der befallenen Datei versucht. Sie werden darüber informiert, ob der Reparaturversuch erfolgreich war oder nicht. Im obigen Beispiel ist eine Reparatur nicht möglich, weswegen der Punkt mit Desinfektion ist nicht möglich bezeichnet und ausgeblendet ist. Sie haben in diesem Fall die Wahl zwischen <Löschen (empfohlen)>, um die betroffene Datei zu löschen, und <Überspringen>, um zunächst keine Aktion durchzuführen. Beachten Sie, dass nach dem Löschen von Systemdateien das Betriebssystem evtl. nicht mehr startfähig ist! War die Löschung erfolgreich, erhalten Sie hierüber eine Meldung sowie den Hinweis, dass eine Sicherungskopie der gelöschten Datei erzeugt wurde. Ganz unten in der Dialogbox finden Sie noch eine Checkbox <Auf alle Objekte anwenden>, um die getroffene Entscheidung auf weitere Funde auszudehnen und nicht mehr von Kaspersky gefragt zu werden. Befinden Sie sich wieder in der Hauptansicht der Notfall-CD, können Sie durch Klick auf den Button <Bericht> im oberen Bereich eine Übersicht über die erkannten Bedrohungen anzeigen lassen. 34

35 Schließlich sei noch die Möglichkeit erwähnt, einen Dateiexplorer zu öffnen, indem im Kaspersky-Startmenü der Eintrag <Dateimanager> angewählt wird. Dies bietet beispielsweise die Möglichkeit, die Rettung wichtiger Dateien durch Umkopieren auf vertrauenswürdige Medien zu versuchen. Beachten Sie bei der Übertragung jedoch, dass hierdurch die Möglichkeit einer Infektion des nächsten Systems besteht, wenn es sich um befallene Dateien handeln sollte! Verlassen Sie nach Abschluss der Arbeiten die Notfall-CD, indem Sie im Startmenü den Punkt <Computer ausschalten> anwählen und die anschließende Meldung mit <Ja> quittieren Der Textmodus der Rescue Disk 10 Wählen Sie im Menü den Eintrag <Kaspersky Rescue Disk. Textmodus> an und bestätigen Sie mit <Return>. Es wird nun die Rescue Disk 10 gebootet, was insbesondere auf virtuellen Maschinen durchaus mit einer Wartezeit von einigen Minuten verbunden sein kann. Sollte Ihr System jedoch auch nach längerer Zeit keine Reaktion mehr zeigen, so ist es mit der Rescue Disk 10 nicht kompatibel und muss neu gestartet werden. Fahren Sie in diesem Fall mit der Verwendung einer anderen Notfall-CD fort. 35

36 Es erscheint das Benutzermenü der Notfall-CD. Zunächst sollten Sie ein Update der Virusmuster durchführen. Wählen Sie dazu mit den Tasten < > und < > den Menüpunkt <Update ausführen> an und bestätigen Sie mit <Return>. Die Ansicht wechselt wie folgt, sofern erfolgreich eine Verbindung zum öffentlichen Netzwerk aufgebaut werden konnte: Der Update-Vorgang war erfolgreich, wenn diese Ansicht mit der Meldung Update completed abschließt und zur Hauptansicht zurückkehrt. Sie können dann mit der Verwendung der Notfall-CD weiter unten fortfahren. War der Update-Vorgang nicht erfolgreich, erhalten Sie verschiedene Timeout-Meldungen o.ä. Versuchen Sie in diesem Fall eine manuelle Netzwerkkonfiguration: Wählen Sie den Menüpunkt <Netzwerk konfigurieren> an und bestätigen Sie mit <Return>. Wählen Sie in der nächsten Ansicht den Punkt <Netzwerkadapter konfigurieren> an und bestätigen Sie wieder mit <Return>. In der nächsten Ansicht erhalten Sie eine Übersicht über alle erkannten Netzwerkadapter. Wählen Sie einen Netzwerkadapter, der eine Anbindung an das öffentliche Netzwerk erlaubt (siehe Kapitel 6-Troubleshooting), mit den Tasten < > und < > aus und bestätigen Sie Ihre Auswahl mit der Leertaste. Vor dem gewählten Adapter erscheint nun ein Stern (*). 36