Unsauberer Dateiaufruf beim windowsstart

Gero schrieb:
> Wie auch immer, ich suche nun den Eintrag wo die Name.exe im Autostart
> hinterlegt ist.

Autoruns

https://technet.microsoft.com/de-de/sysinternals/bb963902.aspx

Gero schrieb:
> Du bist echt der härteste PC-Profi auf Gottes großer Erde!!111
> Der eigentliche Trojaner (nicht virus!!!) wurde sofort nach der
> infektion gelöscht. Zurück geblieben ist der autostarteintrag des
> kopierskriptes, also von autoit!

Und woher willst du wissen, das sich dabei nicht noch andere Viren an 
anderen Orten eingenistet haben? Ein Virus kommt selten allein. Und ein 
Trojaner bezeichnet Übrigens nur eine Art von Virus, nämlich alle Viren 
die zusammen mit oder getarnt als etwas anderes kommen.

> Aber wenn du großer Larry sagst dass das nicht ausreicht, dann vernichte
> ich jetzt die HDD und brenn' den Rechner ab!

Etwas radikal, aber durchaus Effektiv. Es ist tatsächlich die einzige 
Möglichkeit, sicherzustellen, dass wirklich alle Viren vernichtet 
wurden.

Hallo,

Daniel A. schrieb:
> Und woher willst du wissen, das sich dabei nicht noch andere Viren an
> anderen Orten eingenistet haben?

das kannst nichtmal Du mit absoluter Sicherheit von Deinem System 
behaupten.
Eine passender zero-Day Exploit, ein Klick auf einen falschen Link o.ä., 
wo sich immernoch alles normal verhält usw.

> Ein Virus kommt selten allein. Und ein
> Trojaner bezeichnet Übrigens nur eine Art von Virus, nämlich alle Viren
> die zusammen mit oder getarnt als etwas anderes kommen.

Naja, Virus hat eigentlich mal die Schadprogramklasse bezeichnet, die 
eine eigene Verbreitungsroutine hat. Die sind recht selten geworden, 
weil die Wege dafür immer weniger geworden sind bzw. besser abgesichert 
wurden.
Disketten, wo generell vom System nach einem Boorsektor gesucht wurde, 
USB-Sticks und HDs, wo per Autorun im Hintergrund zugeschlagen wurde 
usw.

Trojaner sind Programe, die sich möglichst als etwas anderes ausgeben.
Meist werden nur Lader hinterlegt, die dann aus dem Netz nachladen, was 
gerade passt. Das kann prinzipiell auch Tage nach der Infektion 
passieren.
Bei den heutigen Trojanern muß der User meist (ungewollt) etwas 
mithelfen.
Mailanhang öffnen, passende Webseite aufrufen, runtergeladenes Programm 
installieren oder starten usw.

Präpariertes Produkt-PDF auf einer Lieferantenseite velinkt, eine 
Acrobat-Lücke, die noch offen war und schon hatte ich etwas Arbeit mit 
dem Rechner.
Natürlich hatte der Betreffende seit ein paar Tagen den update-Hinweis 
mit "später" beantwortet. Der wollte Arbeiten und nicht updaten...
Kamen ja damals dauernd, die Sicherheitsupdates.

Daran hat sich auch nicht viel geändert, das größte Problem sitzt vor 
dem Computer und da muß man auch zuerst ansetzen.

Gruß aus Berlin
Michael

Michael U. schrieb:
> Daniel A. schrieb:
>> Und woher willst du wissen, das sich dabei nicht noch andere Viren an
>> anderen Orten eingenistet haben?
>
> das kannst nichtmal Du mit absoluter Sicherheit von Deinem System
> behaupten.
> Eine passender zero-Day Exploit, ein Klick auf einen falschen Link o.ä.,
> wo sich immernoch alles normal verhält usw.

Das stimmt, aber mein Risiko ist sehr viel geringer. Ich nutze nur Linux 
Systeme, für welche es weniger Viren gibt. Ich lade Programme nur über 
die Paketverwaltung herunter, und führe keine fremden Skripts aus die 
ich nicht vollständig durchgelesen & Verstanden habe. Ich arbeite auch 
nicht als root, und überprüfe gelegentlich die Dateien aller 
installierten Programme & Configfiles auf Änderungen mittels debsums, 
gelegentlich auch per live cd. Eventuell automatisiere ich dass auch 
mal, über audit oder so.
Natürlich habe ich dann immer noch ein minimales Restrisiko, ein Virus 
zu übersehen. Deshalb habe ich mein Backup so eingerichtet, dass es sich 
jede Nacht zu meinem System verbindet um die Daten zu kopieren, aber 
sich nichts auf zum Backupserver verbinden kann. Dadurch bin ich für den 
Fall, mir irgendwie Ransomware einzufangen, ebenfalls vorbereitet und 
kann einfach das letzte Backup zurück spielen. Und dann habe ich noch 
überall ein Grub und BIOS-Passwort gesetzt, und verwende UEFI mit Secure 
Boot. Fremde Zertifikate habe ich soweit wie möglich aus meinen Systemen 
entfernt, insbesondere die von MS. Das Bios habe ich aber noch nicht 
ersetzt, die Intel Management Engine noch nicht deaktiviert, und meine 
Festplatten habe ich noch nicht verschlüsselt, und ich muss meine 
Funktastatur dringend gegen eine Kabeltastatur ersetzen. Gegen 
staatliche Spionage habe ich mich abgesichert, indem ich Mailserver, DNS 
& co. selbst Hoste. Der Umstieg von Google auf DuckDuckGo ist mir noch 
nicht ganz gelungen. Und ich muss noch mein Android Phone ersetzen, dass 
ich seit mein Ubuntu Phone Physisch kaputt gegangen ist wieder verwende, 
und ich noch keinen Ersatz gefunden habe, der mich vollständig 
überzeugt. Und dann habe ich noch SSH-Tunnel von allen Geräten in einen 
LXC Container auf meinem Server, mit dem ich den SSH Port dieser Geräte 
zu diesem weiterleite. Falls diese gestohlen würden, und mit dem 
Internet verbunden werden, kann ich mich darauf Verbinden und nachsehen 
wer das Ding hat. Dann habe ich noch einen 2ten öffentlichen W-Lan, der 
alles über einen Tor Transparent Proxy umleitet, für Dinge die mein ISP 
nicht unbedingt wissen muss. Und meine Server aktualisiere ich über die 
offiziellen Repositories im Tor Netz, für Ende zu Ende Verschlüsselung 
usw. Und ich verwende kein Systemd, damit ich alle Dienste und Features 
meiner Systeme kenne. Und dann bekomme ich noch eine E-Mail und eine 
Twitter Nachricht von meinem Twitter Bot bei jedem Login auf meinem 
Server, egal ob über su, direkt an den TTYs, über SSH oder sonst wie.

Natürlich gibt es immer noch zahlreiche Dinge die ich noch sicherer 
machen oder Verbessern könnte, und immer noch gewisse Restrisiken, aber 
ich denke das alles ist schonmal ein Anfang.

Daniel A. schrieb:
> und führe keine fremden Skripts aus die ich nicht vollständig
> durchgelesen & Verstanden habe

Du lässt also in Deinem Webbrowser Javascript praktisch nie zu?

Doch, dass schon. Ich meinte hauptsächlich Shellscripts. JavaScript ist 
nicht viel unsicherer als andere Inhalte. Der letzte Firefox exploit den 
das FBI damals verwendet hatte basierte beispielsweise auf einem Bug in 
der Verarbeitung von Animationen in SVG Grafiken. Es gab auch schon 
Exploits, welche Musikdateien ausnutzten, etc. Das meiste an JavaScript 
basierten Vieren wird vermutlich sowieso von meinem DNS Basierten AD 
Blocker abgefangen. Vermutlich sollte ich die Dateisystemzugriffe des 
Browsers noch mit selinux oder apparmor weiter einschränken, und/oder in 
ein chroot oder LXC Container oder etwas vergleichbares packen, aber 
dazu hatte ich noch keine zeit.

Gero schrieb:
> ich habe mir vermutlich (aus eigener Dummheit und Unachtsamkeit) etwas
> am Computer eingefangen.

Also wenn ich Unregelmäßigkeiten entdecke, dann brate ich immer das 
letzte Systemabbild über.
Irgendwelche eigenen Reparaturversuche mache ich nicht.

Gero schrieb:
> dann vernichte
> ich jetzt die HDD und brenn' den Rechner ab!

Löschen und Komplettsicherung eines bekannt sauberen Abbilds 
zurückspielen sollte reichen, das ist die übliche Vorgehensweise. Die 
ganze Hardware gleich komplett auszutauschen wird meist nicht 
praktiziert, auch wenn Szenarien denkbar sind die auch das erfordern.

Bernd K. schrieb:
> Die
> ganze Hardware gleich komplett auszutauschen wird meist nicht
> praktiziert, auch wenn Szenarien denkbar sind die auch das erfordern.
Das hat doch eine Einrichtung (Behoerde oder Uni) hier in Deutschland 
gebracht. Eine Uni (nicht in Deutschland) wollte nach einem Vortrag 
ueber die Snowdenenthuellungen den Beamer vernichten um keine Probleme 
mit NSA & Co. zu bekommen. Im Beamer haetten sich ja geheime 
Informationen festsetzen koennen und so...