"BKA"-Trojaner - 1 bes. aggressive (Windows-)Variante in Umlauf > Vorgehen

M

MarcusAgrippa

Active member
Themenstarter
Registriert
16 Juni 2010
Beiträge
4.082
Zuletzt bearbeitet von einem Moderator:
Ist - erfahrungsgemäss - eigentlich der Windows 7 "Systemreparaturdatenträger" (Systemst. > Sichern > Systemrep...träger erstellen) vollständig? (Daran hat es nämlich bei früheren Windowsversionen manchmal gehapert)

Helios schrieb:
Hilfreiche Seite : gerade der TDSSKiller
Zum Vergrößern anklicken....
Gleich mal gespeichert...
 
Zuletzt bearbeitet:
Uuupppsss... da bin ich überfragt! Nie gebraucht. Sonst wer?
 
afo schrieb:
Ach, du willst nach dem Systemstart erst noch dein Screenshot-Utility, VPN-Software, Connector zum Homeserver, Virenscanner, und so weiter von Hand starten müssen?
Ganz zu schweigen davon, dass das Betriebssystem selbst auch kein monolithischer Block ist, sondern aus Komponenten und Diensten besteht die abhängig von der Konfiguration gestartet werden, oder eben nicht.
Zum Vergrößern anklicken....

Da liegt wahrscheinlich schon das Problem. Windows Nutzer/Entwickler können es sich nicht vorstellen, dass sie ohne die unzähligen Möglichkeiten beim Hochfahren und Anmelden bestimmte Programme zu starten auskommen könnten. Da könnte wirklich ein Blick über den Tellerrand (Linux) oder eigene, wenn auch laaaaange zurückliegende Vergangenheit (DOS) hilfreich sein.

Warum MS bei Vista wo ohnehin viele Zöpfe, einige meinen zu viele Zöpfe, abgeschnitten haben nicht die Gelegenheit genutzt haben da radikal aufzuräumen bleibt mir ein Rätsel.
 
Gummiente schrieb:
Da liegt wahrscheinlich schon das Problem. Windows Nutzer/Entwickler können es sich nicht vorstellen, dass sie ohne die unzähligen Möglichkeiten beim Hochfahren und Anmelden bestimmte Programme zu starten auskommen könnten. Da könnte wirklich ein Blick über den Tellerrand (Linux) oder eigene, wenn auch laaaaange zurückliegende Vergangenheit (DOS) hilfreich sein.
Zum Vergrößern anklicken....
Äh? init und autoexec.bat sind dir ein Begriff? (...Edit: ad hominem bringt uns auch nicht weiter. ;)...)
 
Zuletzt bearbeitet:
Gummiente schrieb:
Da liegt wahrscheinlich schon das Problem. Windows Nutzer/Entwickler können es sich nicht vorstellen, dass sie ohne die unzähligen Möglichkeiten beim Hochfahren und Anmelden bestimmte Programme zu starten auskommen könnten. Da könnte wirklich ein Blick über den Tellerrand (Linux) oder eigene, wenn auch laaaaange zurückliegende Vergangenheit (DOS) hilfreich sein.
Zum Vergrößern anklicken....

Und bei Linux gibts weniger Möglichkeiten? Sammeln wir doch mal...
- initramfs-Hook
- Initscript
- /etc/*/local.start o.ä. (bietet jedes Init-System irgendwie)
- D-Bus
- udev (wenn man sich ne passende rule frickelt)
- Desktopumgebung
- XSession
- xinitrc
...fallen mir da so spontan ein. Alle haben verschiedene Semantik und sind für verschiedene Zwecke sinnvoll, wie es bei Windows auch der Fall ist - von der Rückwärtskompatibilität zu älteren Systemen mal abgesehen. Wenn du wirklich nen Weg suchst, Malware im System zu verankern, dann findest du den - auf jedem System!
 
Nur sind im Linux diese Möglichkeiten deutlich besser vor Veränderungen durch nomale User geschützt.
 
das teil hat sich mein vater vor einer woche eingefangen (allerdings die leichte variante ohne verschlüsselung der daten)

zu 99% war eine alte javaversion schuld
win xp sp 3



entfernt wurde das teil herkömlich durch löschen der verseuten datein, verknüpfungen und registy einträgen.
erst einmal mit kaspersky secure boot gestartet und löschen lassen. dann im abgesicherten moduls per hand autostart geändert und paar verdächtige datein und einträge gelöscht
und als 3. punkt dann normal gestartet und 2 3 programme durchlaufen lassen.


jetzt funktioniert alles wieder. ob er komplett weg ist, wer weiß das schon.
demnächst gibt es eh einen neuen laptop und windos 7
 
falcon5540 schrieb:
Und bei Linux gibts weniger Möglichkeiten? Sammeln wir doch mal...
- initramfs-Hook
- Initscript
- /etc/*/local.start o.ä. (bietet jedes Init-System irgendwie)
- D-Bus
- udev (wenn man sich ne passende rule frickelt)
- Desktopumgebung
- XSession
- xinitrc
...fallen mir da so spontan ein. Alle haben verschiedene Semantik und sind für verschiedene Zwecke sinnvoll, wie es bei Windows auch der Fall ist - von der Rückwärtskompatibilität zu älteren Systemen mal abgesehen. Wenn du wirklich nen Weg suchst, Malware im System zu verankern, dann findest du den - auf jedem System!
Zum Vergrößern anklicken....

Wenn Du so zählst müsstest Du auch alle Daemons und vor allem inetd als DEN Sünder mit auf die Liste nehmen während ich ihn eher in den rc Scripten verorten würde die ich für durchaus legitimes Mittel zum Starten von Programmen sehe weil irgendwo schließlich Programme starten müssen. Ebenso halte ich initscript durchaus angebracht um ein definiertes Umschalten zwischen den verschiedenen Nutzungsszenarien zu ermöglichen.

Was die GUI bzw. Desktopumgebung macht würde ich auch nicht dazuzählen wollen weil es die Einstellungen eines Benutzers betrifft und nicht die aller Nutzer am System. Sonst müsste man auch z.B. die Shells mit auf die Liste nehmen denn wer weiss was für tolle .profile oder .bashrc einer gebastelt hat?

Ich habe zumindest eine leise Ahnung was Du mit deiner Aufzählung gemeint haben könntest aber beim Anblick auf AutoRuns unter Windows XP war ich nur beeindruckt und mich gefragt ob das alles notwendig ist.

Dass es immer möglich sein wird mit genug Energie Malware zu platzieren habe ich nie bestritten aber das Entfernen dürfte viel einfacher fallen wenn man wüsste ich muss nur rm -rf ~/.kde durchführen um es loszuwerden und in ganz schweren Fällen rm -rf ~ oder wenn es schnell gehen soll su - user2.

Probleme wie "einer fängt sich beim Surfen ohne root Rechte einen neuen Kernel ein" überlasse ich lieber den Zusammenstellern der diversen Distributionen.
 
onkel_axel schrieb:
das teil hat sich mein vater vor einer woche eingefangen (allerdings die leichte variante ohne verschlüsselung der daten)
zu 99% war eine alte javaversion schuld
win xp sp 3
Zum Vergrößern anklicken....
dann hat dein vater unheimlich glück im unglück gehabt. es gibt inzwischen versionen, die alles komplett verschlüsseln, was auch bisher noch nicht wiederhergestellt werden kann.

gruß in't huus

gatasa
 
Der Tip von Deufel funktioniert, mit gezogenem Netzwerkkabel kommt man um den "schönen" Startbildschirm rum und kann aufräumen.

ATh

Nachtrag: Die kritische Datei heißt deo0_sar.exe und liegt im Verzeichnis \user\xxx\AppData\Local\Temp. (Heißt bei anderen Versionen
des Trojaners eventuell anders.)

Zum Löschen muß man von einer Linux-Live-CD booten.

Nachtrag2:

Zum Aufräumen: 1. Malwarebytes + 2. Avira + 3. CCCleaner + 4. Systemwiederherstellung wieder einschalten
 
Zuletzt bearbeitet:
ATh schrieb:
Der Tip von Deufel funktioniert, mit gezogenem Netzwerkkabel kommt man um den "schönen" Startbildschirm rum und kann aufräumen.

Nachtrag: Die kritische Datei heißt deo0_sar.exe und liegt im Verzeichnis \user\xxx\AppData\Local\Temp.
Zum Vergrößern anklicken....

Kann ich genau so bestätigen! Eben grad auf einem Rechner beseitigt.
Das Ding installierte sich dort wohl direkt beim starten des Browsers und laden der üblichen Tabs. Einige Foren, Facebook und ebay! Also nichts ungewöhliches/illegales/pornographisches.
Java und Browser (Opera) sogar auf aktuellstem Stand! Antivirus nur der gratis Avira.
Ich hab der Besitzerin erstmal empfohlen allen Scriptdreck komplett auszustellen. (auch wenn dann nicht alles tut wie gewohnt) Was anderes scheint ja nicht zu helfen Momentan.
Schon sehr ärgerlich sowas!
 
Ist schon interessant, wie viele Personen sich diesen BKA-Trojaner einfangen, obwohl das System und die Programme angeblich auf dem neusten Stand sind... frage mich, wie die Infektion zu Stande kommt. Selbst hatte ich noch nicht das "Vergnügen". Benutze aber auch eine sehr komplexe Sicherheitslösung.
 
Werde ich gerne tun, Mornsgrans :D ... bin mir aber fast zu hundertprozentig sicher, dass ich ihn nicht einfange... geht asymptotisch gegen Null :D...

Addendum: würde es bei mir gerne mal mit meiner Sicherheitslösung ausprobieren. Kann mir jemand einen Link zusenden, auf welchem er den BKA-Trojaner eingefangen hat?
 
Zuletzt bearbeitet:
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • thinkstore24.de
  • ok2.de - Notebook Computer Server
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben