Frühjahrs-Virenputz ;) Suche Tools um Rechner komplett auf Viren+ROOTKits zu scannen [Archiv]

drmaniac

2012-04-06, 16:41:40

Servus,

so einmal im Jahr wollte ich den Rechner einfach mal gründlich scannen.

Lösungen, die man per z.B. USB-Stick bootet nehme ich auch gerne an.

Zwar läuft auf dem Rechner ein Norton Internet Security Kit, aber sicher ist sicher ab und zu :)

Könnt ihr gute Tools empfehlen?

Ich kenne z.B. diese hier

Avira De-Cleaner
Der scannt den kompletten Rechner, ohne Installation
Der DE-Cleaner von Avira fängt da an, wo andere Virenscanner versagen: Tückische PC-Schädlinge nisten sich so tief im System ein, dass sie weder erkannt noch entfernt werden können. Eine Überprüfung mit Aviras DE-Cleaner ist dann der letzte Ausweg vor der Neuinstallation des Systems. Beim Überprüfen des Computers sucht das Tool nicht nur nach Malware im Windows-System, sondern deckt auch sogenannte Rootkits auf, die sich gut verstecken und beim Hochfahren des PC unbemerkt ausgeführt werden. Außerdem ermittelt die Software, ob Ihre Interneteinstellungen von einem DNS-Changer verändert wurden.
Download: http://www.chip.de/downloads/Avira-DE-Cleaner_47574057.html

Kaspersky Windows Unlocker

kann man auf USB Stick ziehen oder eine CD brennen

Egal ob Gema-Trojaner, Bundespolizei- oder BKA-Virus: Die neueste Trojaner-Generation schleust sich per Drive-By über infizierte Web-Seiten ein, sperrt den Zugriff zum Rechner und verlangt Lösegeld für dessen Freischaltung. Doch statt zu zahlen, kann man sich die Hoheit über den Computer auch mit dem "Kaspersky Windows Unlocker" zurückerobern. Dazu muss zuvor das Programm auf eine CD gebrannt oder einen USB-Stick kopiert werden, von dem Sie anschließend den Rechner starten. Auf diese Weise kann die Kaspersky-Software die Kontrolle über den PC übernehmen, die Festplatten nach versteckten Schädlingen durchsuchen und Windows-Blockaden zuverlässig vom System entfernen.
Download: http://www.chip.de/downloads/Kaspersky-WindowsUnlocker_54217363.html

Knopix boot CD Lösungen usw fänd ich auch nice :)

aufkrawall

2012-04-06, 16:53:11

Gleich wird man dir sagen, dass du dein System auf jeden Fall neu aufsetzen sollst.
*gähn*

Danach geht dann die Diskussion ums beste AV los...

Oliver_G

2012-04-06, 16:55:02

Guck mal auf http://www.trojaner-board.de/
Da gibts spezielle, kleinere Tools, die auf Root Kits scannen etc.
Manche sind aber mit Vorsicht zu genießen!

drmaniac

2012-04-06, 16:58:59

Gleich wird man dir sagen, dass du dein System auf jeden Fall neu aufsetzen sollst.
*gähn*

Danach geht dann die Diskussion ums beste AV los...

Na dann würde ich demjenigen antworten, dass ich das nicht will. lol.

Ich hab ja keine aktive Infektion noch vermute ich, dass ich mir was eingefangen habe. Ich will einfach einen checkup machen.

Ich kaufe ja auch kein neues Auto wenn es nur zur Inspektion muss hihi

.

aufkrawall

2012-04-06, 17:05:33

Na gut, dann nerve ich jetzt mit meinem Ratschlag, den ich dann immer mache :D :
Lass mal HitmanPro drüber laufen:
http://www.surfright.nl/en/downloads/

PatkIllA

2012-04-06, 18:06:06

Auf jeden Fall sollte es dann aber was bootbares von CD/Stick sein und nicht auf dem zu scannenden OS laufen.
Da haben doch viele Hersteller was zum runterladen.
Lass doch einfach die Tools durchlaufen, die du schon selbst genannt hast.

Gast

2012-04-06, 18:10:47

Und natürlich beachten: Die Boot-Medien nicht auf dem System herunterladen und erstellen das später geprüft werden soll.

qiller

2012-04-06, 18:54:56

http://oli.new-lan.de/2012/02/mit-sardu-multiboot-usb-cd-dvd-datentrager-erstellen/

mfg Oli

aufkrawall

2012-04-06, 18:57:27

Auf jeden Fall sollte es dann aber was bootbares von CD/Stick sein und nicht auf dem zu scannenden OS laufen.

Nun ja, für ein aktuelles Win 7 x64 gibts nicht so viele Rootkits, die sollte Hitman erkennen.

HeldImZelt

2012-04-06, 19:09:01

Auf jeden Fall sollte es dann aber was bootbares von CD/Stick sein und nicht auf dem zu scannenden OS laufen..
+1

Ich hab ja keine aktive InfektionDich ich in diesem Glauben zu lassen ist das Ziel sämtlicher Viren. Eine verbindliche Indikation ist das nicht.

drmaniac

2012-04-06, 22:30:04

Erstmal Danke an alle die geantwortet haben :)!

http://oli.new-lan.de/2012/02/mit-sardu-multiboot-usb-cd-dvd-datentrager-erstellen/

mfg Oli

DAS Ding ist ja mal genial!

Nicht nur, dass es auf Knopfdruck ein Dutzend ISOs direkt von den Webeiten der Antiviren Herstellern runterläd

Kaspersky Rescue,
AVG Rescue,
Bit Defender Rescue
usw usw

und davon einen bootbaren USB Stick erstellt.

Nein, man kann sogar noch alle möglichen anderen ISOs (von Windows7 Setup über Truecrypt Rescue CD bis hin zu Hirens Boot CD, Ultimate Boot CD, Partitions Tools, verschiedenste Linux'e usw) einbinden.

Dann hat man einen bootbaren USB Stick mit allen möglichen Schnickschnack den man beim booten auswählen kann :biggrin:

TOP!

CyberCSX

2012-04-06, 23:32:47

Egal ob Gema-Trojaner, Bundespolizei- oder BKA-Virus: Die neueste Trojaner-Generation schleust sich per Drive-By über infizierte Web-Seiten ein, sperrt den Zugriff zum Rechner und verlangt Lösegeld für dessen Freischaltung. [...] Quatsch. SINLOS !

Leider hab ich bei Chip kein acount und bin zu faul mir einen zu machen.
Das zeug bekommt man weg einfach mit MALWAREBITES.

Der Schädlicg macht nicht anderes ausser in Sekundenschnelle alle browser Fenster zu Schliessen und ein Anderes in Fullscreen zu Öffnen, Blockiert dabei Tasck, mouse u. Tastatur, gibt frei nur die Zahlung Anmeldefunktion was in den formular in der Seite ist und die dazugehörige Links.

Kommt Dieses, der Erste Schritt, man zihet den Kabell vom Rooter so das man das Internet Unterbricht so das der Schädling nicht mehr Kommunizieren kann, Man druckt die Reset taste am Rechner und danach die kiste neu gebootet hat, ist die seite weg. Nun Läst man Entweder MALWARE BITES Über der kiste laufen oder wer MSEsentials und den dreck zu Beseitigen und ist Gut. Ist der Mist weg, Kabell am rooter wieder Einstecken und weiter surfen.

Der Gesammte Firlefatz was da oben Erklärt ist mit USB usw, ist sinlose zeitverlust.

Wer Malware Bites Aktiv am Rechner hat mit den Eingeschalteten Aktivschutz bekommt den Mist Überhaupt nicht.

Ich war selber mal Betroffen von den BKA mist und wollte Sehen wie es Funktioniert. Da stellte ich meine Videocamera vor den Monitor, ging absichtlich auf infizierte seiten und Zeichnete alles auf, anschliesend wiedergabe in Slow Motion und ich könnte es eindeutig Erkennen wie er alle Mozilla Fenster Schliest und ein Full Screen in Explorer Öffnet. :biggrin:

Das ist nicht anderes alls ein Einfacher Java trik jedoch mitr Große wirkung was nur die AktiveX lücken in den browsern ausnüzt. Er öffnet ein Fenster in Explorer weil der Browser Am Anfäligsten ist.

aufkrawall

2012-04-06, 23:36:47

Was du da redest, ist in etwa so korrekt wie deine Rechtschreibung.

qiller

2012-04-06, 23:41:13

@CyberCSX, mein Rating:

1---------|------10

...nicht schlecht, aber noch Luft nach oben.

@drmaniac: Freut mich, dass ich helfen konnte.

mfg Oli

CyberCSX

2012-04-06, 23:43:39

Was du da redest, ist in etwa so korrekt wie deine Rechtschreibung.Ah, ja ?

Wen ich mal zeit habe werde ich noch eine Aufzeichnung machen und es auf Youtube Hochladen gesammt Beseitigung Vorgang um Dir es BEWEISEN das es Sehr Korrekt ist was ich geschrieben habe und dann mal sehen mit welche gegenargumente du kommst.
Ich wüste das Panikierte chip u. Computerbild Leser sich nichts Sagen lassen aber sas es so häftig wurde, hab ich mir nicht vorgestellt. :biggrin:

Übrigens:

Der mist kommt i.d.r. auf Englisch Sprachige PORNO SEITEN was von Deutsche auf USA Servern gehostet sind, diese TGP Datenbanken oder Video Galerien was massenweise vorhanden sind und wen ihr weniger auf derartige WIXVORLAGEN Surft, fängt ihr euch das zeug auch nicht ein :biggrin:

PatkIllA

2012-04-06, 23:54:26

Updates und Hirn reichen in 99,9xxx Prozent der Fälle auch und beim Rest helfen extra Tools meist auch nicht mehr.

aufkrawall

2012-04-07, 00:06:48

Updates und Hirn reichen in 99,9xxx Prozent der Fälle auch und beim Rest helfen extra Tools meist auch nicht mehr.
So seh ich das auch.
Vielleicht noch DEP, ALSR usw. mit EMET nutzen so wie den IE meiden.

PatkIllA

2012-04-07, 00:13:41

Vielleicht noch DEP, ALSR usw. ... nutzenDas ist doch mittlerweile bei allen Browsern an.
so wie den IE meiden.Ist das wirklich noch so ein Problem? Bzw ein größeres als bei anderen Browsern?
Gerne vergessen werden ja die PlugIns, da man die nicht so sieht.

aufkrawall

2012-04-07, 00:18:51

Das ist doch mittlerweile bei allen Browsern an.

Auch die ganze Palette?
http://www.ld-host.de/uploads/images/4f7c3493ea89ede55b8b3378a107973e.jpg (http://www.ld-host.de/)

Ist das wirklich noch so ein Problem? Bzw ein größeres als bei anderen Browsern?
Gerne vergessen werden ja die PlugIns, da man die nicht so sieht.
So wie es aussah, hatte sich Spaßtiger erst kürzlich was über einen "0"day Exploit eingefangen, obwohl der IE, und alles andere angeblich auch, aktuell war.
http://www.forum-3dcenter.org/vbulletin/showthread.php?t=523130&page=2

MS lässt sich zu viel Zeit mit Updates.

PatkIllA

2012-04-07, 00:32:31

Auch die ganze Palette?
http://www.ld-host.de/uploads/images/4f7c3493ea89ede55b8b3378a107973e.jpg (http://www.ld-host.de/)
Hatte nur bei DEP und ASLR im ProcessExplorer geschaut.
[QUOTE=aufkrawall;9241625]So wie es aussah, hatte sich Spaßtiger erst kürzlich was über einen "0"day Exploit eingefangen, obwohl der IE, und alles andere angeblich auch, aktuell war.Eine zwei Majorversionen altes Mailprogramm ist schon mal eine ordentliche Lücke.
MS lässt sich zu viel Zeit mit Updates.Wobei die selten ausgenutzt werden, bevor die Updates rauskommen. Die anderen Browser werden ja bei Hackwettbewerben ja auch regelmäßig übernommen.

aufkrawall

2012-04-07, 00:46:54

Eine zwei Majorversionen altes Mailprogramm ist schon mal eine ordentliche Lücke.

Nun ja, bei dem Updatezyklus von Mozilla sind "Majorversionen" auch nicht mehr das, was sie mal waren. ;)
In dem verlinkten Artikel steht doch, dass genau die Seite, die Spaßtiger geöffnet hatte, 0day-Malware verbreitet hat und der damals aktuelle IE anfällig dafür war.

Wobei die selten ausgenutzt werden, bevor die Updates rauskommen. Die anderen Browser werden ja bei Hackwettbewerben ja auch regelmäßig übernommen.
Die Lücken können schon Monate ausgenutzt werden.
Ob es so ist, merkt man erst, wenn es zu spät ist.

Mit aktuellen Chrome- oder Firefox-Versionen wär so was bestimmt nicht passiert.

HeldImZelt

2012-04-07, 00:53:27

Der mist kommt i.d.r. auf Englisch Sprachige PORNO SEITEN
Kann gar nicht sein. Ich war bestimmt schon auf 99% aller Pornoseiten und habe mir da noch nie was weggeholt. Es juckt zwar seitdem so komisch, aber ich habe bestimmt nur was falsches gegessen...

PatkIllA

2012-04-07, 01:02:40

Nun ja, bei dem Updatezyklus von Mozilla sind "Majorversionen" auch nicht mehr das, was sie mal waren. ;)Es werden fast immer auch Sicherheitslücken behoben
In dem verlinkten Artikel steht doch, dass genau die Seite, die Spaßtiger geöffnet hatte, 0day-Malware verbreitet hat und der damals aktuelle IE anfällig dafür war.
Kann ja sein, aber bei Monaten altem Emailclient habe ich bedenken, dass sonst alles aktuell ist. Man muss das Update ja sogar aktiv wegklicken und das ist gron fahrlässig.
Die Lücken können schon Monate ausgenutzt werden.Wenn die öffentlich ausgenutzt werden geht das sehr schnell bis die behoben werden.
Mit aktuellen Chrome- oder Firefox-Versionen wär so was bestimmt nicht passiert.Zero Day Exploits gabs wohl bei allen schon.
Kann gar nicht sein. Ich war bestimmt schon auf 99% aller Pornoseiten und habe mir da noch nie was weggeholt. Es juckt zwar seitdem so komisch, aber ich habe bestimmt nur was falsches gegessen...
Ich habe auch recht wenig Sorgen auf diverse Seiten zu gehen

CyberCSX

2012-04-07, 01:03:13

Kann gar nicht sein. Ich war bestimmt schon auf 99% aller Pornoseiten und habe mir da noch nie was weggeholt. Es juckt zwar seitdem so komisch, aber ich habe bestimmt nur was falsches gegessen...Ich kann dir einige links schiken aber dann, jukt es dich mit sicherheit nicht mehr dort wo es dich jukt sondern wo anders.:biggrin:
Ist zwar nebensächlich. Fakt ist aber, das 90% kommt der mist nur von dort.

PS:

für Mozilla gibt es auch ein Addon. Die Hauptaufgabe diesen, ist eigentlich die Adds und Tracking von google und nicht nur zu sperren so das der user verhalten nicht aufgezeichnet werden kann.
Leistet aber ganze arbeit da er im verzeichniss auch den mist aufnimmt und im Protokol anzeigt. Der Addon nennt sich "Do Not Track Plus".

drmaniac

2012-04-07, 01:04:00

Könnt ihr für OT Postings bitte einfach in die Lounge gehen? Danke sehr.

Aktuell scanne ich gerade mal mit Bit Defender On-Demand den Rechner.
Eine Stunde ist er schon dabei. Gut das es bei der gebooteten Xubuntu Plattform einen Browser gibt um sich nicht allzu sehr zu langweilen...

Im übrigen finde ich diese DriveBy 0Day Exploid Infectionen ziemlich übel.
Je nach dem welche Add Server gehackt werden kann man sich auch bei ganz normalen alt bekannten und eigentlich sauberen Webseiten infizieren. Selten aber...

Ich selber nutze zum surfen eh nur noch eine VM.
Windows7Prof. komplett in einer Ram Disk welche beim booten per Script als Image von der SSD ins Ram geschaufelt wird.
Soll heissen, selbst WENN sich da was austoben sollte... sobald mein Rechner runterfährt ist alles in diesem Windows "Geschichte" ;)

Übertrieben oder Paranoid? Mag sein. Aber wir sind doch hier Technik Freaks und Ressourcen sind billig heutzutage (Ram Preise...)

PatkIllA

2012-04-07, 01:05:46

Ich kann dir einige links schiken aber dann, jukt es dich mit sicherheit nicht mehr dort wo es dich jukt sondern wo anders.:biggrin:
Welchen Sicherheitslücken nutzen die denn aus, die extra Tools erkennen?
Ich frage mich nämlich auch, wie die Leute das immer hinkriegen.

CyberCSX

2012-04-07, 01:19:47

@ PatkIllA

Stichwort JAWA. Das ist nicht anderes alls ein Jawa basierter Tool was AktiveX Manipuliert. Ein einfaches 10 Minuten Skript was man sehr Fein Sauberlich via Google Adds Laden kann aus eine oder Mehrere mirror Seiten via "js" file was im header der seite verlinkt ist. Diese aktiviert sich beim aufrufen im hintergrund und die file automatisch im temp runter ladet und greift anschlieslich AktiveX an, ähnlich wie früher die 0190er dialer im modem zeitalter was die standard leitung kapte und sich unbemerkt einwählte. quasi der gleiche prinzip.

In Mozilla funktioniert der dreck nicht sondern nur in Explorer deswegen schliest er diesen und öffnet ein explorer fenster in full screen.

PS

Noch ein kleiner tipp für alle was auf schweineseiten gehen und risiken eingehen:

Macht euch doch ein bootfähigen USB Stik wo UBUNTU drauf geladen ist, Bottet die kiste vom USB stik so das Ubuntu im DEMO MODUS Startet und Surft doch wo Ihr wollt nach Belieben und dann habt ihr auch kein dreck mehr auf der Platte und müst nicht in regelmäsige Abstände Nachts stundenlang hocken und den virus Scann laufen lassen. :wink:

PatkIllA

2012-04-07, 01:24:17

@ PatkIllA

Stichwort JAWA. Das ist nicht anderes alls ein Jawa basierter Tool was AktiveX Manipuliert. Ein einfaches 10 Minuten Skript was man sehr Fein Sauberlich via Google Adds Laden kann aus eine oder Mehrere mirror Seiten via "js" file im header der seite verlinkt ist und was sich aktiviert beim aufrufen im hintergrund und die file automatisch im temp runter ladet und aktiviert, ähnlich wie früher die 0190er dialer im modem zeitalter was die standard leitung kapte und sich unbemerkt einwählte. quasi der gleiche prinzip.
Erstmal heißt das Java, was du anscheinend noch mit JavaScript verwechselst, dafür aber gleichzeitig Browsern, die gar kein AvtiveX können darüber angreifen.
Und ohne offene Sicherheitslücke wird auch nichts im temp runtergeladen oder ungewollt ausgeführt.

edit:
Und auch mit der Ergänzung IE passt das alles nicht. ActiveX ist auch keine Sicherheitslücke an sich und man kann selbst steuern was der IE da ausführt. Genauso wie man sich in allen Browsern nicht alle möglichen PlugIns installieren sollte.

aufkrawall

2012-04-07, 01:26:40

Es werden fast immer auch Sicherheitslücken behoben

Trotzdem führt sich meist nichts ohne Klick aus.

Kann ja sein, aber bei Monaten altem Emailclient habe ich bedenken, dass sonst alles aktuell ist. Man muss das Update ja sogar aktiv wegklicken und das ist gron fahrlässig.

Genau das habe ich ja auch gesagt.

Wenn die öffentlich ausgenutzt werden geht das sehr schnell bis die behoben werden.

Kommt drauf an, in welchem Maßstab die genutzt werden.

Zero Day Exploits gabs wohl bei allen schon.

Die werden aber schneller geschlossen und Chrome hat ne Sandbox.

CyberCSX

2012-04-07, 01:36:10

Und ohne offene Sicherheitslücke wird auch nichts im temp runtergeladen oder ungewollt ausgeführt.
.Mit "temp" ist gemeint der "TEMPORARY INTERNET FILES" und nicht der Windows Temp und in diese "TEMPORARY INTERNET FILES" Verzeichniss kommt der Gesammte Internet Dreck, inklusive cockies.
Wen sich da nichts runter läd wurdest du nicht surfen können. Nach der Internet Session (mit Explorer), nimm mal den Bildbetrachter AcdSee 2 oder 3 (ältere Verssionen) setze in den obtionen / extras in diesen (Versteckte Dateien Anzeigen) auf Ausgewählt / Markiert, im Hauptfenster stelle anstat Miniaturen auf Details um und gehe mal in diese Versteckte Verzeichnisse was sich in diesen TEMPORARY INTERNET FILES Verzeuichniss befinden und du wirst große augen machen was du da alles finden wirst, an bildhien, js files, html, php usw.

PatkIllA

2012-04-07, 01:56:03

Das ist nur ein Cache und da muss man keine großen Augen machen, denn das sind all die Daten die dem Browser beim Surfen so unterkommen.
Man kann sehr wohl auch ohne Daten dort surfen (zum Beispiel im Private Mode) und außerdem sind alle Daten die dort liegen schon durch den Browser gelaufen und die Sicherheitslücke schon längst ausgenutzt. Nur vom da liegen passiert erstmal gar nichts.
Und zwischen Browser und Internet kommen zusätzliche Tools nur sehr eingeschränkt und können dann auch nur später versuchen Schlimmeres zu verhinden.
PHP liegt da übrigens auch nicht rum (sehr seltene Fehlkonfiguration beim Server mal ausgeschlossen.)

aufkrawall

2012-04-07, 02:38:26

Was vorkommt ist, dass Malware sich im Cache-Ordner einnistet/einrichtet.
Dafür muss sie aber natürlich erst mal, wie du schon sagtest, irgendwie aktiv geworden sein.

CyberCSX

2012-04-07, 07:46:42

Eigentlich ist es unwichtigh wie sich der mist aktiviert. Wichtig ist das die nicht da herein kommen dürfen und wen die da herein kommen und sich aktivieren trots antivirus programme, stellt sich die frage was diese antivirus programme taugen und was nicht.

Malwarebites z.B. blockiert diesen vorgang schon beim aufruf der seite, gibt meldung und verhindert das laden der seite so das es nicht mal zur cache fülung kommt. Im browser sihet man nur eine weisse seite und genau so muss es sein bei ein aktiv schutz.

Ich hatte auch Avira so wie auch MSEsentials am rechner was mir da ein aktiven browserschutz vorgaukeln aber keiner der beiden macht so was. Die machen sich bemerkbar erst wen der müll im chace ist, wen sie es noch schaffen weil i.d.r. ist der müll so schnell das es meistens zu spät ist und dann beginnt das übliche beseitigung abenteuer was eigentlich vermeidbar sein müste.

aufkrawall

2012-04-07, 13:13:37

Was du meinst, ist ein HTTP-Scanner (AV fungiert als lokaler Proxy).
Die machen meist mehr Probleme als sie helfen (noch mehr als AVs allgemein).

PatkIllA

2012-04-07, 13:16:10

Was du meinst, ist ein HTTP-Scanner (AV fungiert als lokaler Proxy).
Die machen meist mehr Probleme als sie helfen (noch mehr als AVs allgemein).
Und lassen sich mit HTTPS auch ganz leicht umgehen.
Die Browser haben doch alle Blacklists von URLs.

aufkrawall

2012-04-07, 14:15:45

Und lassen sich mit HTTPS auch ganz leicht umgehen.

Na ja, zumindest muss man vorher irgendwie an ein Zertifikat rankommen.
Kann man sich zwar einfach kaufen, aber die Mehrheit der Exploits kommt sicher über unverschlüsselte Verbindungen.

Die Browser haben doch alle Blacklists von URLs.
Jeder kocht halt sein eigenes Süppchen. Der eine erkennt, was der andere nicht erkennt usw.

Perfekt schützt gar nichts, also kann mans IMO auch bei Brain belassen...

PatkIllA

2012-04-07, 17:40:15

Bei der aktuellen ct ist desinfec't auf DVD dabei.
Die werde ich mal durchlaufen lassen.

Lokadamus

2012-04-07, 18:21:08

Perfekt schützt gar nichts, also kann mans IMO auch bei Brain belassen...mmm...

:| Falsche Formulierung. Virenscanner, Router und ähnliches sollen helfen, das System zu schützen. Wer meint, er wäre danach 100% geschützt, hat es falsch verstanden. Die Sachen dienen nur zur Ergänzung.
Wenn man sich nur auf Brain verlässt, mag der eine oder andere relativ gut damit durchkommen, andere fangen sich über diesen Weg aber nur Sachen ein.