Guten Tag,
ich mache mir momentan einige Sorgen, dass früher ober später bei der
selbstständigen Tätigkeit eines Familiemitgliedes
(1-Frau-und-Rechner-Betrieb) schlimmstenfalls einer der
Erpressungstrojaner einfällt.
Das Kunden unerwartet Emails mit gezippten Anhängen und
Office-Dokumenten schicken ist alltäglich.
Der EDV-Schaden lässt sich durch Vorsicht, Backups, eingeschränkte
Rechte und aktuelle Software zwar begrenzen, nichtsdestotrotz wäre er
wohl trotzdem beachtlich.
Es gibt nur wenige Kunden, deren Aufträge oft in weniger als einem Tag
bearbeitet werden müssen. Davon will man keinen verlieren, weil Termine
aufgrund von EDV-Wiederherstellung nicht eingehalten werden konnten.
Meine Idee ist es, dass (ohne dabei den gewohnten Betrieb zu sehr zu
verändern) der gesamte Internetverkehr (Email, Browser) und die Arbeit
mit Office nur noch in einer virtuellen Maschine durchgeführt wird.
Buchhaltungs-, Backup- und andere sensitive (internetunabhängige)
Software würden ausserhalb der virtuellen Maschine laufen.
Für den notwendigen Austausch von Dateien würde ein Excange-Ordner
ausreichen. Die fertig bearbeiten Office-Dokumente sollen über diesen
Ordner ausserhalb der VM gebracht werden, um den Zugriff eines evtl.
Trojaners im nächsten Dokument zu unterbinden.
Meine Idee ist es, einen evtl. Schaden auf die VM zu beschränken.
Solange der Trojaner keine Möglichkeit hat aus der VM auszubrechen,
müsste man nur die VM abschießen und ein Backup davon neu booten.
Ist das ein geeignete Methode um mehr Sicherheit zu schaffen?
Stephan
Ist durchaus geeignet. Auch aus einem anderen Grund, denn manche solcher
Mistviecher halten die VM für die Sandbox der Verhaltensanalyse eines
Enterprise-Virencheckers und bleiben friedlich.
Aber wenn, dann nimm eine VM-Software mit Fähigkeit zu
Snapshot/Commit/Rollback. Ist vom Verfahren her einfacher als
Backup/Restore vom Image.
In der verschärften Version gibts das auch mit nichtpersistentem Image,
bei dem beim Abschalten der VM automatisch alle Änderungen flöten gehen.
Nimmt man sonst gerne für Demo/Lehrsysteme, aber hierfür taugt es auch.
Achte aber darauf, dass die VM keinen Zugang zu Network-Shares anderer
Rechner im Netz hat. Auch nicht auf versteckte Admin-Shares (C$ oder
so).
Schaden wird eine VM nicht. Zusätzlich kann in dieser auch Linux laufen;
Firefox und LibreOffice sehen ja deswegen nicht anders aus. Weiterhin
kann man die VM auch auf "nonpersistent" stellen, d.h. nach dem
Herunterfahren gehen alle Änderungen verloren (bei Updates muß mann dann
aber das erst wieder ab- und nachher anschalten).
Absolut sicher ist das nicht. Wenn die Person meint, ein .doc mit Makro
oder .pif oder .scr auf dem BuHa Rechner öffnen zu müssen, ist das Kind
im Brunnen.
Backups werden von einem dedizierten System gemacht, was selbstständig
die Quellen mountet. Dann kann keiner der Rechner im Backup Ärger
machen.
Wenn die BuHa auf z.B. MySQL läuft kann man außerdem am Backuprechner
einen Slave erstellen und dort z.B. stündlich einen Dump machen.
Von frisch installierten Systemen einen Dump mit Clonezilla auf den
Backuprechner zu legen schadet auch nicht für einen schnellen Restore.
VM bietet leider nicht mehr die Sicherheit als früher.
Der Trojaner scannt das Netz auch nicht verbundene Laufwerke, also auch
reine Freigaben können angegriffen werden.
Das andere ist manche erkennen das sie auf einer VM gestartet wurden und
verhalten sich friedlich. Erst auf einer richten Hardware legen sie los.
Mario G. schrieb:> Das andere ist manche erkennen das sie auf einer VM gestartet wurden und> verhalten sich friedlich. Erst auf einer richten Hardware legen sie los.
Was ja so lange kein Problem ist, wie man die "Rechnung" in der VM
anschaut. Wenn man sie erst einmal in die Hostmaschine schiebt, um sie
anzusehen, dann kann man sich den Aufwand mit der VM auch sparen.
Ich persönlich plane einen Schritt weiter zu gehen: Einen Rechner mit
Linux am Internet. Die anderen nicht am Internet aber auch am Linux
Rechner um auf einen freigegeben Ordner zum Datenaustausch zugreifen
kann.
Dazu die Frage: Da die Win Rechner damit keinen Internetzugang mehr
haben, kann man die Updates eigentlich auf den Linux Rechner runterladen
und dann verteilen? Wie würde so etwas gehen?
nanana schrieb:> Da die Win Rechner damit keinen Internetzugang mehr> haben
Das hältst du nicht durch. Natürlich besteht für Rechner ohne Internet
keine gefahr, bloss kann man auch nicht damit arbeiten, die meisten
jedenfalls nicht.
Georg
Georg schrieb:> Das hältst du nicht durch. Natürlich besteht für Rechner ohne Internet> keine gefahr, bloss kann man auch nicht damit arbeiten
Vielleicht habe ich mit da etwas missverständlich ausgedrückt: Internet
wird auf dem Linuxrechner gemacht (d.h. Email senden/empfangen,
recherchieren, ...) der seinen eigenen Monitor bekommt. Oder welche
Schwierigkeiten siehst Du?
nanana schrieb:> Oder welche Schwierigkeiten siehst Du?
Sobald der Crypto-Trojaner das Laufwerk Deines "geschützten" PCs sieht
und schreiben darf, hast Du schon verloren. Nur die Platte ohne Strom im
Safe ist relativ sicher, besser ist aber mehrere gut beschriftete zu
haben, um Vertauschungen od. Irrtümer wie rm -r auszuschließen.
oszi40 schrieb:> Sobald der Crypto-Trojaner das Laufwerk Deines "geschützten" PCs sieht
Naja, die Idee wär ja eher, dass die Windows Rechner keinen
Internetzugang haben. Und bis jetzt laufen die Crypto-Trojaner ja nicht
auf Linux.
Stephan schrieb:> Ist das ein geeignete Methode um mehr Sicherheit zu schaffen?
Die mehr Sicherheit besteht darin, dass wenn die VM infiziert ist der
Host sauber bleibt, bei richtiger Einstellung und Verwendung!
Das Problem auf der anderen Seite ist ein hoher Aufwand: große
Imagedateien, doppelte Lizenzen, unhandlich beim sicheren Datenaustausch
zwischen VM und Host, Rechenaufwendiger, ...
Des Weiteren, denke ich mal, dass man beim Host nicht auf eine
Internetverbindung verzichten kann: Updatewahn der Programme,
Bequemlichkeit, ...
Sollte man sich jetzt dennoch den Crypto-Trojaner auf der VM holen, dann
sind die Daten darauf erst einmal verschlüsselt. Jetzt kommt es darauf
an, wie alt die letzte Sicherung der VM ist und ob die entscheidenden
Dateien darin auch enthalten sind? Eine Wiederherstellung ist auch nicht
gerade einfach für einen Laien. Ob hier 24 Stunden dennoch eingehalten
werden können?
Linux wäre eine Alternative, aber dann muss man sich etwas umgewöhnen.
Man kann sich aber dennoch den Crypto-Trojaner auf Linux einfangen,
diese infiziert zwar nicht das System, kann es aber als Wirt
missbrauchen (z.B. Worddatei mit infizierten Makro).
A. K. schrieb:> Die Stände gibt bei VMware automatisch, täglich, stündlich,
Kannst Du alles machen, brauch aber Platz und das letzte funktionierende
Backup von Weihnachten wurde wahrscheinlich wegen Platzmangel
gelöscht...
oszi40 schrieb:> Kannst Du alles machen, brauch aber Platz
Yep. Ungefähr so viel wie ein inkrementeller Backup.
> Backup von Weihnachten wurde wahrscheinlich wegen Platzmangel> gelöscht...
Wenn du die Folgen eines weihnachtlichen Kryptotrojaners erst zu Ostern
bemerkst, dann brauchst du keinen PC, sondern einen Arzt. ;-)
Versteckspiel ist nicht so deren Art. Die springen dir mit dem nackten
Arsch direkt ins Gesicht, weil sie unbedingt bemerkt werden wollen.
Ein VM-Snapshot ist ausserdem kein Backup im klassischen Sinn. Den
räumst du nicht mal eben auf. Allein schon weil du den nicht als File
findest, auch nicht als Kenner.
nanana schrieb:> Oder welche> Schwierigkeiten siehst Du?
1. Als Konstrukteur kann ich nicht ohne direkten Internetzugriff
arbeiten. Ich brauche z.B. dauernd Datenblätter, Preise und
Verfügbarkeit von Bauteilen und und und, da kann ich nicht dauernd zum
Linux-Rechner wechseln.
2. In der Praxis in einem Betrieb muss zum Beispiel alle paar Minuten
ein Brief gespeichert werden, oder die Buchhaltung muss auf ihre Daten
zugreifen, und zwar ununterbrochen, das ist schliesslich ihre Arbeit,
das geht nicht über ein Austauschverzeichnis. Also ist die Datenbank
direkt zugreifbar und steht daher auch dem Trojaner zur Verfügung, da
nützt auch die VM nichts.
Generell gilt, dass man sehr sicher sein kann, wenn man einfach nichts
arbeitet. Aber als allgemeingültige Lösung kann man das nicht
betrachten.
Georg
Das ist zwar keine Direkte Antwort auf die Frage, aber eine mögliche
Lösung für das Problem:
Im Bekanntenkreis gibt's auch nen Ein-Mann-und-Computer-Selbstständigen
mit der gleichen Angst.
Dort wurde Acronis True Image und ne recht große extern Festplatte
angeschafft, die Software ist nicht Zwingen dafür nötig, ich würd da
z.B. Clonezilla, oder so verwenden, aber Trueimage kann man anklicken :)
Jeden Abend nach Feierabend wird die externe Festplatte angeschteckt,
von der TrueImage Bootcd gebootet und ein inkrementelles BAckup der
Kompletten Festplatte gemacht. Rechner wird hinterher Automatisch
herunter gefahren.
Am nächsten Morgen wird die Festplatte vom PC getrennt bevor dieser
eingeschaltet wird (stimmt so nicht ganz, die Platte hat nen AN-Taster,
geht aber automatisch aus, die macht das also selber).
Damit kann man in ca 45 Minuten auf den Stand eines alten Backups zurück
rollen. Zusätzlich kann man am besten morgens, realistisch aber Abends
die Größe des Backups von gestern kontrollieren, also nicht der gesamte
Datenbestand, sondern die Größe der Differenz zum Vortag. Wenn der Auf
einmal höher könnte das ein Anzeichen dafür sein das ein Trojaner Daten
verschlüsselt hat.
Der Ansatz schlägt direkt 2 Fliegen mit einer Klappe, du hast dann auch
ein sinvolles backup gegen Datenverlust.
Dirk D. schrieb:> Jeden Abend nach Feierabend wird die externe Festplatte angeschteckt,> von der TrueImage Bootcd gebootet
Sprechen wir mal in 1..2 Jahren wieder drüber. Ich würde wetten dass das
dann keiner mehr macht. Erfahrung aus einigen Jahrzehnten im Betrieb.
Georg
>Ich würde wetten dass das dann keiner mehr macht.
Lässt sich doch recht bequem einrichten.
- Statt den Rechner herunterzufahren, drückst du den AN-Taster der
Platte
- Du gehst nach Hause
- Sobald das Betriebssystem die Platte erkennt startet es das Backup
- Nach dem Backup fährt der Rechner herunter
- Ein Master-Slave Steckdose schaltet die Platte aus. Bleibt aus bis der
AN-Taster gedrückt wird.
- Am nächsten Tag bekommst du eine Meldung, ob das Backup geklappt hat
Bleibt das Problem - der Trojaner kennt des Backup-System und verhält
sich ruhig, bis die die Backup-Platte eingeschaltet wird.
Noch einer schrieb:> Bleibt das Problem - der Trojaner kennt des Backup-System und verhält> sich ruhig, bis die die Backup-Platte eingeschaltet wird.
Dann drehst du die Nummer eine Runde weiter und nimmst ein NAS System
statt einer USB Disk. Das selbst regelmässig Snapshots seines
Filesystems durchführt. An die der Trojaner nicht rankommt, zumindest
nicht schreibend.
Diese Methode eignet sich auch für Arbeitsgruppen, wenn dort die
entsprechenden Daten liegen. Laufzeitaufwand entsteht praktisch keiner
und der zusätzliche Platz ergibt sich aus der Änderungsrate der Files.
Die nötige Technik wäre z.B. in BSD/ZFS oder Linux/btrfs drin.
Noch einer schrieb:> Sobald das Betriebssystem die Platte erkennt startet es das Backup
Da hast du etwas wesentliches übersehen - wie Dirk zu recht beschreibt,
wird zum Backup neu von einer CD gestartet, sonst ist ja ein tagsüber
eingefangener Trojaner voll aktiv. Das musst du erst mal automatisieren.
Dazu kommt: das Backup könnte auch ganz einfach aus technischen Gründen
schiefgehen, und ich kann dir glaubhaft versichern, sowas kommt vor!
Oder das System ist beim Backup bereits korrupt, warum auch immer, das
schafft man auch ganz ohne Trojaner. Macht man immer dasselbe Backup,
hat man anschliessend das vorherige Backup nicht mehr, das neue auch
nicht und auch kein funktionierendes System - Gratulation. Man braucht
also mindestens 2 alternierend verwendete Backup-Systeme. Natürlich
könnte ein kleiner Roboter die Festplatten umstecken...
Meines Wissens gibt es Trojaner, die erst nach 10 Tagen oder so
überhaupt aktiv werden, dann ist meistens auch kein sauberes Backup mehr
vorhanden. Ich gebe ehrlich zu, dass mir dazu auch nichts mehr einfällt,
denn die früher mal benutzte Lösung, jeden Tag eine DVD zu beschreiben
und aufzuheben funktioniert heute längst nicht mehr.
Georg
Georg schrieb:> Meines Wissens gibt es Trojaner, die erst nach 10 Tagen oder so> überhaupt aktiv werden,
Auch bei den Kryptotrojanern? Die haben es normalerweise recht eilig.
Damit das Geld fliessen kann, bevor die Kanäle verstopft werden.
> dann ist meistens auch kein sauberes Backup mehr> vorhanden.
Selbst wenn du es hast, wirst du dann im gewerblichen Umfeld lieber
Lösegeld zahlen, als einige Wochen Arbeit in den Schornstein zu
schreiben.
Man sollte daher zumindest in einer solchen Umgebung zwischen dem
PC-System und den genutzten Daten unterscheiden. Damit ein versifftes
System schnell neu aufgesetzt werden kann, ohne umständlich die Daten
von gestern mit einem einige Wochen alten Systembackup rekombinieren zu
müssen.
Das Risiko, dass der Zeitzünder-Trojaner immer noch dort im .doc oder so
rumliegt, das bleibt natürlich. Aber zunächst einmal hast du wieder eine
funktionsfähige Umgebung mit fast aktuellen Daten.
Wer schon mal Images vom System erstellt hat, weiß, dass das Erstellen
einfach ist, aber beim Wiederherstellen einem graue Haare wachsen. Das
Erstellen dauert auch ein wenig und die Images sind etwas unhandlich.
Ich würde da empfehlen, nur das zu sichern, was auch wichtig ist. Alle
entsprechenden Ordner heraussuchen und auf ein anders Laufwerk sichern.
Zur Automatisierung gibt es entsprechende Tools. Vorteilhaft hierbei
wäre auch der Einsatz von portabler Software (z.B. Browser,
E-Mail-Programm).
Und, wie Georg das bereits erwähnt hat, ein alternierendes Backup-System
verwenden. Jeden Tag eine DVD oder CD brennen wäre auch eine gute Idee.
So wie ich gelesen habe, verschlüsselt der Crypto-Trojaner erst die
Datei und dann wird das Original gelöscht. Man müsste also die
Löschrechte auf dem zu sichernden Laufwerk entziehen, Schreib- und
Leserechte könnte das Laufwerk haben.
Unsicherheitsexperte schrieb:> Man müsste also die> Löschrechte auf dem zu sichernden Laufwerk entziehen, Schreib- und> Leserechte könnte das Laufwerk haben.
Nachdem so ein Trojaner auch mit lokalen Windows-Snapshots kurzen
Prozess macht, wenn er kann, ist das nur sinnvoll, wenn er sich das
Recht nicht einfach geben kann. Auch nicht per Durchwinken der üblichen
Abfrage von Windows.
Ich schätze mal auch, dass der Crypto-Trojaner die Windowseinstellung
mit den Zugriffsrechten umgehen könnte. Wenn nicht, dann bestimmt in der
nächsten Version.
Es gibt doch bestimmt spezielle Tools um so was zu bewerkstelligen?
Die Idee mit einer Sicherung per DVD wird nun immer interessanter, da
man hier nicht so einfach löschen kann.
Eigentlich dachte ich auch das Cryptotrojaner nich lange fackeln und
zuschlagen. Aber was ist bei einer Stadt und einem Krankenhaus hier in
Deutschland passiert? Die hatten ihre ganzen Rechner/Server
verschlüsselt? Da scheinen dann auch Zugriffsrechte per User nix mehr zu
helfen? Ich bin da auch ratlos zzt. Denke auch über ClientVM und andere
Backupstrategien nach...
Jörg E. schrieb:> Da scheinen dann auch Zugriffsrechte per User nix mehr zu helfen?
Doch. Aber am einfachsten arbeitet es sich, wenn jeder im Haus auf alles
im Netz zugreifen darf. Rechte sind was für Weicheier, Backups auch.
Gute Admins sind teuer, Geld hat man keines und ausserdem behindern sie
nur die Arbeit.
Jörg E. schrieb:> Eigentlich dachte ich auch das Cryptotrojaner nich lange fackeln und> zuschlagen.
Interessante Frage - wie lange braucht der elendige Wurm, um ein
Terabyte zu verschlüsseln? Bei welcher CPU und Festplattenauslastung?
Und was passiert in der Übergangszeit zwischen Beginn und Ende der
Verschlüsselungsaktion?
Wenn ich hier mein Arbeitssystem mit 4TB Datenplatte anschaue - da
dauert bei 100MB/s ja schon der Datentransfer im Bereich von Tagen. Und
die CPU müsste während der Zeit wohl auch auf ein paar Kernen glühen.
Marcus H. schrieb:> Und was passiert in der Übergangszeit zwischen Beginn und Ende der> Verschlüsselungsaktion?
Wenn keiner merkt, dass die Filenamen in Reichweite allmählich alle zu
*.zzz oder *.ttt oder so werden...
Mal ernsthaft, was ist an einem ordentlichen Backup so schwer?
Von jedem Rechner wird mit Clonezilla nach der Basis-Installation
(Treiber, Updates, Grundkonfig, usw) ein Image gemacht, welches nie
gelöscht wird. Die Userdaten werden automatisch via rsync gesichert, und
zwar im 30 Tage Zyklus. Danach werden über rsync's Backup-Flag
gelöschte/geänderte Dateien in ein extra Verzeichnis kopiert und
abschließend in ein tar.gz gepackt.
Das mach ich schon seit Jahren so; geht ohne Probleme. Bei Windows
ähnlich, aber halt mit FreeFileSync. CZ-Image (inkl Verify) dauert ~15
Min, das mache ich alle paar Wochen einfach mal so.
Auf Arbeit gibt's eine Freigabe für alle, und jeder hat noch eine
private Freigabe. Von all dem macht der NFS Server jede Nacht auch ein
Backup mit obiger Rotation.
Worst Case ist ein Arbeitstag verloren; damit kann ich leben. Reimaging
eines Clients geht via CZ-PXE über's LAN in <1 Stunde.
Ich hätte erwartet, dass ich das Teil in den Festplattentreiber hängt.
Während der Verschlüsselung ist der Zugriff aufs Filesystem transparent,
wenn alles verschlüsselt ist, geht schlagartig nichts mehr.
Bin ein bisschen versucht eine dieser "dringenden Rechnungen" zu öffnen.
Nur um zu sehen, wie der Ablauf ist.
Liest hier jemand mit, der so ein Teil schon im Betrieb erlebt hat?
Georg schrieb:> Dirk D. schrieb:>> Jeden Abend nach Feierabend wird die externe Festplatte angeschteckt,>> von der TrueImage Bootcd gebootet>> Sprechen wir mal in 1..2 Jahren wieder drüber. Ich würde wetten dass das> dann keiner mehr macht. Erfahrung aus einigen Jahrzehnten im Betrieb.>> Georg
Prinzipiell geb ich dir da recht, bei den meisten Leuten wird das so
sein, hab ich Letztens erst bei meinem Vater festgestellt.
Der Jung macht seine Backups, jeden Tag, darauf würd ich meinen Arsch
verwetten :)
Wie wichtig einem Backups sind darf und muss man schließlich selbst
entscheiden, ich hab da auch immer groß reden wenn jemand Daten verliert
weil er kein backup hatte, auch in der Hoffnung das das ermutigt..
Marcus H. schrieb:> Liest hier jemand mit, der so ein Teil schon im Betrieb erlebt hat?
Ich sass nicht davor, sah aber die Folgen.
Der verschlüsselte Files bestimmter Typen, wie MS-Office, und machte
dabei aus filename.docx beispielsweise filename.docx.ttt. Quer durch, wo
immer er welche fand, einschliesslich Network-Shares.
Laut Medien kommt anschliessend eine Meldung mit der frohen Botschaft
auf den Schirm. Hier nicht, aber der Anwender vermisste Files bereits
bevor der Trojaner fertig war und der Trojaner kam dank Firewall auch
nicht zu seinem Server durch, um dort den Schlüssel abzulegen.
Es gibt natürlich verschiedene Typen. Darunter offenbar auch welche, die
ohne Serverkontakt überhaupt nichts tun. Denn in einigen Fällen kam es
nur zum Kontaktversuch mit dem Server, ohne erkennbare Folgen.
> Ich hätte erwartet, dass ich das Teil in den Festplattentreiber hängt.
Nö, leider nicht. Das wäre auch ein Schuss in den Ofen, denn ein
"Kunde", dessen PC abnippelt und danach nicht mehr startet, der zahlt
nicht. Weil er von seinem Glück nichts weiss.
Wär mir aber aus Admin-Sicht lieber so, denn dann wäre der Trojaner
nicht im Netz unterwegs und die Sache hätte keine weiteren Folgen. Auf
den PCs ist (offiziell) eh nichts drauf, was eines Backups würdig wäre
und in 2-3h ist der PC frisch installiert.
Marcus H. schrieb:> Liest hier jemand mit, der so ein Teil schon im Betrieb erlebt hat?
Ich hatte mal einen Crypto-Trojaner auf dem PC, aber eher eine harmlose
Variante (ältere Version). Dabei kam ein Hinweisfenster mit
Erpressungsversuch nach dem Systemstart, dieses lies sich nicht
schließen, Maus- und Tastatureingaben wurden geblockt. Verschlüsselt
wurde aber nichts.
Das schlimme daran war, wie ich mir diesen eingefangen habe. Nicht ein
E-Mail-Anhang auch kein Download, sondern eine Sicherheitslücke im
Webbrowser! Also einfach beim Websurfen hat sich dieser nebenbei
installiert und ausgeführt. Die Antivirensoftware hat ihn nicht erkannt.
Nur die Firewall fragte, ob ein Programm ins Internet darf.
Wollt ihr den neuen Crypto-Trojaner mal bei der Arbeit zusehen, dann
sucht mal nach Videos "Locky in Action", hier ein paar Beispiele:
https://www.youtube.com/watch?v=GyZMJr7RfBEhttps://www.youtube.com/watch?v=MDqAX6gOCXY
Unsicherheitsexperte schrieb:> Also einfach beim Websurfen hat sich dieser nebenbei> installiert und ausgeführt.
Ja, die sieht man auch alle naselang im Protokoll der Firewall.
> Die Antivirensoftware hat ihn nicht erkannt.
Das ist normal. Die finden den allenfalls, wenn er schon ein paar Tage
alt ist. Da ist die Welle mit genau diesem Modell aber schon durch und
die nächste Welle mit einem leicht veränderten noch nicht erkannten
Modell schon unterwegs. Antivirensoftware ist zwar ganz generell nicht
völlig nutzlos, aber sehr viel bringt sie nicht, wenn der Angriff
relativ frisch ist.
Die Mail-Varianten eines solchen Trojaners waren freilich etwas speziell
gebaut. Schädlingsbekämpfungsmittel pflegen nur Files bestimmter Typen
näher zu untersuchen, wie natürlich EXEs und den üblichen Office-Kram.
Das Dings nannte sich auch .docx, war aber keines. Mehrere
Sicherheitsorgane merkten, dass es kein Office-Ding ist, und sahen weg.
Windows freilich schaffte es trotzdem, darin ausführbaren Code zu
erblicken. Windows hat einen 6. Sinn für sowas und die Autoren solcher
Trojaner sind nicht blöd, die tunen das Zeug so, dass es durchschlüpft.
Die Mail-Varianten kommen in Wellen. Für maximal ein paar Stunden wird
man damit eingedeckt, danach ist Ruhe. Ein paar Tage später kommt die
nächste veränderte Welle.
