Trojaner und Rootkits

Transkript

1 Trojaner und Rootkits jagen So spüren Sie verborgene Trojaner und unsichtbare Rootkits auf Ihrem Computer auf. Neue Reinigungs-Tools entfernen die Schädlinge zuverlässig. Trojaner schleichen sich mit besonders fiesen Tricks auf fremden PCs ein. Oft tarnen sie sich als vermeintlich harmloses Programm oder Dokument versendet von Kriminellen per Spam- Mail. Andere Trojaner verbreiten sich unauffällig über manipulierte Werbebanner, die gelegentlich auch auf seriösen Webseiten zu finden sind und die Sicherheitslücken im Browser auszunutzen versuchen. Die Betrüger greifen zu allen Mitteln: So haben sie ihre Schadprogramme schon als Windows-Update getarnt, als Kompakt Der Artikel beschreibt, wie sich Trojaner und Rootkits verbreiten und wie Sie die heimliche Gefahr bekämpfen. Ein Trojaner lädt meist zusätzliche Schadprogramme herunter, die den PC-Nutzer ausspionieren und persönliche Daten stehlen. lassen sich nur mit Spezial-Tools entfernen. Alle Security-Tools finden Sie auf Heft-CD und -DVD oder kostenlos im Internet. Rechnung, Mahnung oder Lotteriegewinn, als kostenlosen Codec zum Abspielen von Filmen und sogar als Sicherheits-Tool. In Wahrheit verbirgt sich unter der harmlosen Oberfläche jedoch ein gefährliches Schadprogramm, das weiteren Infektionen eines Computers Tür und Tor öffnet. Sicherheitsexperten nennen einen Trojaner, der einen PC verseucht und weitere Schadsoftware nachlädt, einen Dropper. Das Wort stammt vom englischen Verb to drop, was auf Deutsch fallen lassen bedeutet. Die zusätzli- 86

2 INTERNET Mit der 30-Tage-Demo von Trojan Hunter lassen sich Trojaner aufspüren, allerdings nicht entfernen. Aufgrund der guten Erkennung eignet sich Trojan Hunter jedoch trotzdem zur Suche nach Trojanern. Verwenden Sie zum Entfernen der Übeltäter dann die Freeware-Tools, die der Abschnitt Reinigungs-Tools gegen Hunter, meist ist dies C:\Programme \TrojanHunter 5.0. Optimieren Sie als Nächstes die Einstellungen des Programms. Starten Sie Trojan Hunter und klicken Sie dann links unten auf Options. Setzen Sie je ein Häkchen in die Kästchen vor Enable script checker, Warn on runtime-packed files that cannot be un- Trojaner ab Seite 89 beschreibt. So geht s: Starten Sie das Setup von Trojan Hunter. Klicken Sie auf Next, wählen Sie I accept the agreement aus und bestätigen Sie danach zwei Mal mit Next. Schließen Sie die Installation mit einem Klick auf Finish ab, starten Sie das Programm aber noch nicht. Aktualisieren Sie zuerst die Signaturen. Laden Sie dazu die Datei www2.misec.net/rulefiles/ zip/update.zip herunter und entpacken Sie ihren Inhalt in den Unterordner RuleFiles im Installationsordner Trojan Hunter 5.0: So sehen die optimalen Scan-Einstellungen für von Trojan das Anti-Trojaner-Tool aus (Bild A) chen Schädlinge öffnen meist eine Hintertür (englisch: Backdoor) auf dem PC, protokollieren Tastatureingaben (englisch: Keylogger) und erstellen Screenshots von Bildschirminhalten und versenden diese über das Internet. Eine der gefährlichsten Schädlingsarten sind Rootkits. Nicht weil sie prinzipiell andere Funktionen als Trojaner oder Backdoor-Programme hätten, sondern weil sie sich so tief im System verankern, dass sie für Windows und für viele Virenscanner nicht mehr zu sehen sind. aufspüren Ein Schädling kommt selten allein. Die meisten aktuellen Trojaner laden weitere Malware herunter. Es ist deswegen notwendig, nicht nur nach Trojanern, sondern auch nach Spy- und Adware sowie nach Rootkits zu suchen. Trojaner jagen Das Tool Trojan Hunter 5.0 (40 Dollar, eingeschränkte 30-Tage-Demo unter und auf ) ist auf die Jagd nach Trojanern spezialisiert. Das Programm untersucht nicht nur sämtliche Dateien auf der Festplatte, sondern prüft auch den Arbeitsspeicher, die Registrierungsdatenbank und alle geöffneten Ports. Inhalt jagen aufspüren Trojaner jagen S.87 Spyware jagen S.88 Rootkits jagen S.88 Reinigungs-Tools gegen Trojaner SD Fix S.89 Vundofix S.89 Anti-Malware 1.32 S.90 Infektionen verhindern Virenscanner einrichten S.92 Windows aktualisieren S.92 Anwendungen aktualisieren S.92 Sichere Internetprogramme S. Software-Übersicht S.87 Anti-Malware 1.32: So funktioniert das Tool S.90 Software-Übersicht Programm Adblock Plus (Werbefilter) Anti-Malware 1.32 (Reinigungs-Tool) Avast Home Edition (Virenscanner) Avira Anti-Rootkit (Rootkit-Killer) Firefox (Browser) Gmer Noscript (Javascript-Blocker) Personal Software Inspector (Update-Tool) SD Fix (Reinigungs-Tool) Spybot Search & Destroy (Anti-Spyware) Thunderbird (Mail-Programm) Alle Trojan Hunter 5.0 (Trojaner-Scanner) Vundofix (Reinigungs-Tool) Quelle thunderbird -Programme finden Sie auf Heft-CD und -DVD in der Rubrik Internet, Trojaner. Seite auf CD und DVD nur auf DVD 87

3 packed und Warn on executable files with double extensions (Bild A). Starten Sie Ihren PC nun im abgesicherten Modus neu. Drücken Sie dazu mehrmals die Taste [F8], bevor das Windows-Logo wieder erscheint. Wählen Sie aus dem Bootmenü Abgesicherter Modus aus und bestätigen Sie mit der Eingabetaste. Nachdem Windows fertig gestartet ist, rufen Sie Trojan Hunter auf und klicken auf Full Scan. Die Überprüfung dauert je nach Größe der Festplatte bis zu einer Stunde. Gefundene Schädlinge zeigt das Tool im Feld Scan Report an. Dieser Teil des Fensters lässt sich nicht größer ziehen, so dass man die Liste mit den Pfeiltasten durchgehen muss (Bild B). Nach dem Scan fordert Trojan Hunter Sie auf, die Vollversion zu erwerben, Scan mit Trojan Hunter: Bei der Suche nach Trojanern und anderen Schädlingen im abgesicherten Modus lässt sich das Feld Scan Report nicht größer ziehen (Bild B) um gefundene Schädlinge auch zu entfernen. Das ist jedoch nicht nötig. Probieren Sie erst die Freeware-Programme aus dem Abschnitt Reinigungs- Tools gegen Trojaner ab Seite 89 aus. Klicken Sie deshalb auf No und rufen Sie danach File, Save Scan Report währtes Programm, das viele Werbeund Spionage-Tools erkennt und entfernt. So geht s: Führen Sie das Setup von Spybot Search & Destroy durch. Bei einer aktiven Internetverbindung lädt reiche Liste gefährlicher Webseiten in die Hosts-Datei auf Ihrem PC ein. Diese Seiten werden dann geblockt. Mit einem Klick auf Überprüfen starten Sie die eigentliche Suche nach Spyware. Entfernen Sie nach dem Scan auf. Sichern Sie den Bericht. das Programm während der Installation alle gefundenen Bedrohungen mit Sobald Sie die Programme eingesetzt haben, die die folgenden Abschnitte und der Abschnitt Reinigungs-Tools gegen Trojaner empfehlen, sollten Sie den Scan mit Trojan Hunter noch einmal durchführen. Falls dann immer noch Trojaner gefunden werden, geben Sie die Namen der Schädlinge bei Google ein. Eventuell finden Sie zur Bereinigung ein spezielles Removal-Tool von einem der großen Antiviren- Hersteller oder auch Tipps in Foren. Spyware jagen Spy- und Adware landet oft im Zuge einer PC-Infektion mit einem Trojaner auf der Festplatte. Spybot Search & Destroy (kostenlos, www. automatisch die aktuellen Spyware- Signaturen herunter. Beim ersten Start öffnet Spybot einen Assistenten, mit dem Sie eine Sicherung der Registrierungsdatenbank anlegen und Ihren PC immunisieren. Dabei fügt das Programm eine umfang- Markierte Probleme beheben. Wenn nur verfolgende Cookies (englisch: Tracking Cookies) gefunden wurden, besteht kein Grund zur Sorge (Bild C). Rootkits jagen Rootkits sind eine besonders bedrohliche Gefahr, weil sie nur mit speziellen Tools zu entdecken sind. Ein Rootkit verhindert mit einem eigenen Systemtreiber, dass es im Windows- Explorer angezeigt wird. So tarnen sich diese Schädlinge auch vor den meisten Antivirenprogrammen. Obwohl das Rootkit aktiv ist und in der Regel alle Funktionen eines Trojaners wie Backdoor und Keylogger hat, nimmt es der Virenscanner nicht wahr. Ein Tool gegen Rootkits wie safer-networking.org/de/spy Spybot 1.6.0: Wenn das Tool statt echter Spyware nur verfolgende Cookies Avira Anti-Rootkit botsd und auf ) ist ein be- findet, besteht keine Gefahr (Bild C) (kostenlos, 88

4 INTERNET de/tools/4/avira_antirootkit Sie von SD Fix dazu aufgefordert _tool.html und auf ) vergleicht werden, um Ihren die Daten auf der PC neu zu starten. Das Festplatte mit denen im Arbeitsspeicher Freeware-Tool führt anschließend und entdeckt und entfernt die heimlichen eine Bereini- gung mit dem integrierten Schädlinge. Anti-Rootkit-Tool Gmer So geht s: Installieren Sie (kostenlos, Avira Anti-Rootkit und durch, die wieder einen starten Sie das Programm anschließend über Start, Moment dauert. Drücken Sie eine beliebige Taste, Avira Rootkit Detection, wenn der Check durchgelaufen Avira Rootkit Detection. Klicken Sie auf Start scan. Eventuell gefundene Rootkits entfernen Sie anschließend mit Quarantine ist. SD Fix öffnet da- nach einen Report im TXT- Format, der Informationen über gefundene und entfernte Schädlinge enthält. all und zwei Mal OK (Bild D). Ihr PC muss Avira Anti-Rootkit : Ein Klick auf Quarantine all entfernt gefundene Rootkits von Ihrem PC (Bild D) Vundofix nun neu gestartet werden. Mit Vundo-Trojaner bezeichnen Führen Sie die Suche nach Rootkits danach noch einmal durch, um sicherzustellen, dass keine Vertreter dieser besonderen Schädlinge mehr vorhanden sind. Abgesicherter Modus aus. Nur in diesem Modus bereinigt SD Fix Ihren Computer, weil Schädlinge sich so nicht aktivieren und ihren Selbstschutz nutzen können. Sobald Windows im abgesicherten Sicherheitsexperten eine weit verbreitete Trojaner-Familie, die mit Pop-ups nervt und Werbung für verschiedene gefälschte Sicherheitsprogramme macht. Das Freeware-Tool Vundofix (kostenlos, Modus läuft, drücken Sie [Windows R], fix.atribune.org) ist auf die Entfernung Reinigungs-Tools geben C:\SDFix\RunThis.bat ein dieser Trojaner spezialisiert (Bild F). gegen Trojaner und bestätigen mit OK. Ein blaues So geht s: Rufen Sie die Seite Mit speziellen Reinigungsprogrammen entfernen Sie hartnäckige Trojaner von Ihrem Computer. Diese Tools verfügen bis auf Anti-Malware 1.32 über keine schicke Oberfläche, sondern sind ganz auf ihre Aufgabe hin optimiert: heimlichen Schädlingen den Garaus zu machen. Fenster öffnet sich (Bild E). Drücken Sie [Y], um die Bereinigung zu starten, die je nach Festplatte eine Weile dauert. Drücken Sie eine beliebige Taste, wenn vundofix.atribune.org auf und laden Sie das Reinigungs-Tool mit einem Klick auf Download VundoFix herunter. Starten Sie Vundofix anschlie- SD Fix Die Freeware SD Fix (kostenlos, kennt und entfernt mehrere Hundert Trojaner. Außerdem bereinigt das Programm die Windows- Registrierungsdatenbank von Malware-Einträgen. So geht s: Starten Sie SDFix.exe, um die Software automatisch in den Ordner C:\SDFix auszupacken. Booten Sie anschließend Ihren PC neu und drücken Sie noch bevor das Windows- Logo erscheint mehrmals [F8]. Sie sehen nun ein Bootmenü. Wählen Sie SD Fix 1.240: Die Jagd nach Trojanern ist im abgesicherten Modus am effektivsten, weil sich die Übeltäter dann nicht schützen können (Bild E) auf CD und DVD nur auf DVD 89

5 ßend mit einem Doppelklick. Klicken Sie auf Scan for Vundo, um mit dem Check zu beginnen. Sobald der Vorgang abgeschlossen ist, entfernen Sie alle gefundenen Schädlinge mit Fix Vundo und YES. Vundofix 7.0.6: Das Tool erkennt und entfernt die verbreiteten Anti-Malware 1.32 Trojaner der Vundo-Familie (Bild F) Anti-Malware 1.32 (kostenlos, und Laufwerk ein Häkchen setzen. Mit auf ) zählt zu den mächtigsten Reinigungs-Tools Scan starten beginnen Sie mit der Suche gegen Trojaner. Anders als die anderen beiden bereits vorgestellten Reinigungsprogramme arbeitet es auch mit Signaturen. So geht s: Führen Sie das gut dokumentierte Setup durch und aktualisieren Sie anschließend die Signaturen. Nur so erkennt das Tool auch die neuesten Gefahren. Markieren Sie auf dem Reiter Scanner die Option Vollständigen Suchlauf durchführen und klicken Sie auf Scan. Es öffnet sich ein kleines Fenster, in dem Sie vor jedes zu prüfende nach Trojanern auf Ihrem PC. Be- stätigen Sie das Ende des Scans mit einem Klick auf OK und klicken Sie danach auf Ergebnisse anzeigen. Schließen Sie zuerst alle geöffneten Windows-Anwendungen, bevor Sie mit Entferne Auswahl die gefundenen Schädlinge in Quarantäne verschieben (siehe unten stehenden Kasten). Es kann sonst zu Problemen bei der Desinfektion kommen. Auf manchen PCs öffnet sich ein Fenster Windows-Dateischutz mit dem Hinweis, die Windows-CD einzulegen. Das geschieht, wenn einer der Schädlinge eine wichtige Systemdatei infiziert und beschädigt hat. Legen Sie in diesem Fall die geforderte CD ein und lassen Sie Windows die Originaldateien wieder herstellen. Anti-Malware öffnet nach Ende des Scans automatisch den Text- Editor mit einem Protokoll, welche Schädlinge gefunden und entfernt wurden. Sie finden diese Datei auch im Ordner Logs unterhalb des Installationsverzeichnisses von Anti-Malware. Eventuell fordert Sie Anti-Malware außerdem auf, den Computer neu zu starten, um besonders hartnäckige Schädlinge zu entfernen (Bild G). Klicken Sie in diesem Fall auf Ja, um den PC neu zu booten. Infektionen verhindern Schützen Sie Ihren PC vor Trojanern und anderen Schädlingen. Die wichtigsten Maßnahmen sind ein laufend Anti-Malware 1.32: So funktioniert das Tool Bevor Anti-Malware 1.32 (kostenlos, und auf ) eine verseuchte Datei oder einen Registry- Schlüssel löscht, verschiebt es ihn zuerst in Quarantäne. So verhindert das Tool das versehentliche Löschen wichtiger Daten. 1 Scanner Hier starten Sie einen neuen Scan und löschen gefundene Schädlinge. 2 Update Über diesen Reiter aktualisieren Sie die Signaturen. 3 Quarantäne 1 Hier löschen Sie Schädlinge endgültig von Ihrem PC und stellen desinfizierte 5 Programme wieder her. 4 Scan-Berichte An dieser Stelle sammelt Anti-Malware alle bisherigen Scan-Ergebnisse. 5 Anbieter Die falsch bezeichnete Spalte Anbieter listet die Namen der gefundenen 6 Schädlinge auf. 6 Entferne Auswahl Ein Klick auf diesen Button verschiebt die markierten Schädlinge in die Quarantäne. 90 auf CD und DVD nur auf DVD

6 aktualisierter Virenscanner, So geht s: Überprüfen alle Updates für Windows und installierte Sie die Update-Einstellungen unter Windows. Programme Rufen Sie dazu Start, einzuspielen sowie der Systemsteuerung, Automatische Einsatz von sicherer Updates Software für das Internet. auf und wählen Sie die Option Benachrichtigen, aber nicht automatisch Virenscanner downloaden einrichten Der Virenscanner Avast Home Edition (kostenlos, oder installieren aus. So informiert Sie das Betriebssystem, wenn neue Updates bereitstehen,.com und auf ) wird spielt sie aber in der Regel mindestens erst dann ein, wenn Sie einmal täglich es wollen. aktualisiert, verbraucht im Betrieb wenig Systemressourcen Personal Software Inspector : Auf dem Reiter Unsicher listet das Tool alle Anwendungen und Programme auf, die Sie unbedingt aktualisieren sollten (Bild I) aktualisieren nervt außerdem nicht Veraltete Programme mit Werbung (Bild H). So geht s: Sofern Sie bereits einen anderen Virenscanner mit Hintergrundwächter installiert haben, sollten Sie diesen vor der Installation von Avast entfernen. Zwei aktive Hintergrundwächter können sich in die Quere kommen und zum Beispiel zu Fehlalarmen führen. gistrierungsschlüssel enthält. Markieren Sie diesen mit der Maus und drücken Sie [Strg C]. Schließen Sie das Willkommensfenster mit OK. Klicken Sie danach mit der rechten Maustaste auf das Avast-Icon im System-Tray unten rechts und wählen Sie Über avast!, Lizenz-Schlüssel aus. Fügen Sie den Schlüssel mit [Strg V] ein und auf Ihrem PC stellen ein hohes Sicherheitsrisiko dar, weil sie oft bekannte Lücken enthalten, die von Angreifern und Virenautoren gezielt ausgenutzt werden. Achten Sie deswegen darauf, die Anwendungen auf Ihrem PC stets aktuell zu halten. Am einfachsten erledigen Sie diese Aufgabe mit einem Spezial-Tool wie Installieren Sie Avast und klicken Sie bestätigen Sie anschließend zwei Mal dem Personal Software Inspector bei der Frage nach einer Ladezeit-Antivirus-Prüfung mit OK (kostenlos, auf Ja, um nach dem vulnerability_scanning/personal und Neustart Ihres PCs eine Suche nach Windows aktualisieren auf ). Viren noch vor dem Laden des Betriebssystems durchzuführen. Nach dem Neustart öffnet sich automatisch ein Willkommensfenster von Avast. Klicken Sie auf den oberen Link und füllen Sie das Registrierungsformular im Browser aus. Sie erhalten nach kurzer Zeit eine , die einen Re- Schädlinge versuchen besonders oft, sich über Lücken in Windows auf einem fremden PC einzuschleichen. Es ist deswegen wichtig, den eigenen Computer immer auf einem aktuellen Stand zu halten und die von Microsoft bereitgestellten Sicherheits-Patches zügig einzuspielen. So geht s: Installieren Sie den Personal Security Inspector und starten Sie das Tool anschließend mit einem Klick auf JA. Das Programm beginnt sofort damit, nach veralteter Software zu suchen. Anschließend zeigt es Ihnen die gefundenen Probleme auf. Auf dem Reiter Unsicher finden Sie die veraltete Software, die Sie als Erstes aktualisieren sollten (Bild I). Ein Klick auf den blauen Pfeil neben einem rot markierten Programm führt zu einer Download-Seite oder teils auch direkt zur Download-Datei. Gelegentlich sind jedoch englische Programmversionen statt der deutschsprachigen verlinkt. Klicken Sie dann oben rechts Anti-Malware 1.32: Besonders hartnäckige werden Sie erst los, nachdem Sie den Computer neu gestartet haben (Bild G) auf ERWEITERT, um zusätzliche Funktionen anzuzeigen. 92

7 Avast 4.8: Hinter der wenig ansprechenden Oberfläche des für Privatanwender kostenlosen Virenscanners verbirgt sich ein solides Schutzprogramm (Bild H) Sichere Internetprogramme den Open-Source-Programme auf Heft- Die Microsoft-Programme für und zum Surfen im Internet enthalten immer wieder gravierende Sicherheitslücken, CD und -DVD. Die Firefox-Erweiterungen Adblock Plus (kostenlos, die zu Verseuchungen des PCs _Plus und auf ) sowie Noscript führen. Weitaus sicherer sind die Alternativen aus der Mozilla-Werkstatt Thunderbird (kostenlos, zilla-europe.org/de/products/thunder (kostenlos, und auf ) blockieren nicht nur störende Werbebanner, sondern auch gefährliche Javascripts sowie die besonders heimtückischen Drive-by-Downloads (Bild J). Bei einem Drive-by- Download wird der PC bereits beim Besuch einer vermeintlich harmlosen Seite infiziert. Teilweise manipulieren die Kriminellen dazu Werbebanner, die sie in große Werbenetze einschleusen. So landen die Banner dann auch auf eigentlich seriösen Seiten. Kopieren Sie die Firefox-Erweiterung Noscript : Mit dem Add-on erlauben Sie Erweiterungen auf Javascript nur auf vertrauenswürdigen Webseiten (Bild J) Ihre Festplatte und bird und auf ) und Firefox (kostenlos, ziehen Sie die XPI- Dateien in das geöffnete Firefox-Fens- ter. Starten Sie danach Ihren Browser fox und auf ), weil sie meist schneller neu, um die Add-ons zu aktivieren. gepatcht werden und nicht auf ris- kante Techniken des Internet Explorers wie ActiveX setzen. Andreas Th. Fischer internet@com-magazin.de Außerdem lässt sich der Browser Firefox mit kostenlosen Erweiterungen Weitere Infos weiter absichern. So geht s: Wenn Sie bislang weder Webdienst, der verdächtige Dateien untersucht Firefox noch Thunderbird auf Ihrem Computer installiert haben, finden Sie Gut besuchtes Sicherheitsforum die Installationsprogramme für die bei- auf CD und DVD nur auf DVD