Was tun bei Virusbefall?

Martin schrieb:
> Sollte man gleich das Betriebssystem neuinstallieren?

Ja

Es gibt Informationen beim BSI. Die Polizei interessiert dein Rechner 
eher wenig bis überhaupt gar nicht.

Für den Fall sollte man immer eine 250er HD oder SSD rumliegen haben.

Erstmal mit einer Linux-Live-CD schauen ob da wirklich Schadprogramme 
drauf sind.

Schlaumaier schrieb:
> Soll in DE auch eingeführt werden (falls es das nicht schon ist).

Nicht ohne höchst richterlichen Beschluß. So einfach wird es deutschen 
Behörden nicht gemacht.

Irgendwie muss ich grad an die Tipps&Tricks-Sektion aus der 
Computerbild, ca. Ende der 90er denken.

Martin schrieb:
> Sollte man gleich das Betriebssystem neuinstallieren?

Nur, wenn man sehr sehr viel Langeweile hat. Bei mir würde sowas 
mindestens einen Monat dauern, ehe wieder alle Anwendungen und 
Einstellungen aktuell sind. An vieles würde ich mich erstmal nicht mehr 
erinnern und müßte rumprobieren. Und für viele Anwendungen müßte man 
sich erstmal die Freischaltung neu holen. Pech, wenn es den Anbieter 
nicht mehr gibt oder er Deine ältere Version nicht mehr supporten will. 
Manche Anbieter weigern sich auch, eine neue Freischaltung zu erzeugen, 
wenn man die alte Installation nicht ordnungsgemäß abgemeldet hat.

Ich nehme daher die Boot-DVD des Backuptools und überbrate die SSD mit 
einem sauberen Systemabbild. Das dauert nur wenige Minuten und alles ist 
wieder bereit. Und man muß auch nicht ständig nervige Abfragen 
beantworten, d.h die ganze Zeit über am PC sitzen.

Peter D. schrieb:
> Martin schrieb:
>
>> Sollte man gleich das Betriebssystem neuinstallieren?
>
> Nur, wenn man sehr sehr viel Langeweile hat. Bei mir würde sowas
> mindestens einen Monat dauern, ehe wieder alle Anwendungen

Einfach die Liste der installierten Pakete auf einem USB-Stick speichern
und bei der Neuinstallation vom Paketmanager abarbeiten lassen. Das
dauert höchstens ein paar Stunden.

> und Einstellungen aktuell sind.

Die persönlichen Einstellungen stehen im Benutzerverzeichnis und sind
damit nach dem Einspielen des Backups automatisch wieder aktiv.

René H. schrieb:
> Schlaumaier schrieb:
>
>> Soll in DE auch eingeführt werden (falls es das nicht schon ist).
>
> Nicht ohne höchst richterlichen Beschluß.
Das geht auch eine Nummer kleiner; im Prinzip kann das der Herr Assessor 
vom Antsgericht.
> So einfach wird es deutschen
> Behörden nicht gemacht.
Zum Glück halten sich alle deutschen Behörden immer an alle Gesetze, 
haben das auch in der Vergangenheit immer getan und werden dies auch in 
der Zukunft selbstverständlich stets tun. Ausnahmslos, immer und 
überall.

Insbesondere wird niemals ein Amtsträger seine Befugnisse überschreiten. 
So etwas machen die einfach nicht. Niemals.

Ich würde mich insoweit eher, aber auch nicht vollständig,  darauf 
verlassen wollen, dass Mitarbeiter des Herstellers ihre erforderliche 
Mitwirkung verweigern, sofern nicht ein richterlicher Beschluss 
vorliegt. Denen ist ihr Ruf etwas wert; und dieser Wert lässt sich in 
Euro darstellen. Oder hast Du schon einmal gehört oder gelesen, dass 
deren Gäste im Keller (zunächst) lebendigen Leibes aus unaufklärbarer 
Ursache verbrennen?

Yalu X. schrieb:
> Einfach die Liste der installierten Pakete auf einem USB-Stick speichern
> und bei der Neuinstallation vom Paketmanager abarbeiten lassen. Das
> dauert höchstens ein paar Stunden.
>> und Einstellungen aktuell sind.
>
> Die persönlichen Einstellungen stehen im Benutzerverzeichnis und sind
> damit nach dem Einspielen des Backups automatisch wieder aktiv.

Und was machst du mit den vielen vielen Einstellungen die nicht im /home 
liegen?

Le X. schrieb:
> Yalu X. schrieb:
>
>> Einfach die Liste der installierten Pakete auf einem USB-Stick speichern
>> und bei der Neuinstallation vom Paketmanager abarbeiten lassen. Das
>> dauert höchstens ein paar Stunden.
>>> und Einstellungen aktuell sind.
>>
>> Die persönlichen Einstellungen stehen im Benutzerverzeichnis und sind
>> damit nach dem Einspielen des Backups automatisch wieder aktiv.
>
> Und was machst du mit den vielen vielen Einstellungen die nicht im /home
> liegen?

Das sind sehr wenige (zumindest bei mir) und betrifft vor allem die
Config-Dateien in /etc. Diese würde ich nicht alle blind vom Backup
einspielen, sondern genau diejenige, an denen tatsächlich Änderungen
vorgenommen worden sind, manuell mit der jeweiligen Version aus der
Neuinstallation mergen.

Yalu X. schrieb:
> Diese würde ich nicht alle blind vom Backup
> einspielen, sondern genau diejenige, an denen tatsächlich Änderungen
> vorgenommen worden sind, manuell mit der jeweiligen Version aus der
> Neuinstallation mergen.

Ok, aber dazu musst du sie ja doch irgendwann gesichert haben.
Speicherst du sie dir nach jedem Editieren weg?

Das ist ne ernstgemeinte Frage, vielleicht kann ich ja mein 
backup-Konzept verbessern.
Momentan mach ich einfach ein rsnapshot von /, wobei Benutzerdateien auf 
einer separaten Partition liegen die häufiger gesichert wird als die 
Systempartition.

Yalu X. schrieb:
> Das sind sehr wenige (zumindest bei mir)

Bei mir sinds viele, liegt aber wahrscheinlich daran dass ich auf PC und 
Tablet Arch nutze. Wie auch immer, eine Liste mit installierten Paketen 
erachte ich als wertlos. Trotzdem liest man das sehr oft.

Le X. schrieb:
> Yalu X. schrieb:
>
>> Diese würde ich nicht alle blind vom Backup
>> einspielen, sondern genau diejenige, an denen tatsächlich Änderungen
>> vorgenommen worden sind, manuell mit der jeweiligen Version aus der
>> Neuinstallation mergen.
>
> Ok, aber dazu musst du sie ja doch irgendwann gesichert haben.
> Speicherst du sie dir nach jedem Editieren weg?

Nein, das halte ich für übertrieben. Im konkreten Szenario (Virenbefall)
sollte das Sichern in den meisten Fällen auch noch direkt vor der
Neuinstallation möglich sein, es sei denn, die Viren haben bereits
einige der Dateien verändert oder gelöscht. Dann bleibt einem wohl
nichts anderes übrig, als die Einstellungen erneut manuell vorzunehmen.

> Das ist ne ernstgemeinte Frage, vielleicht kann ich ja mein
> backup-Konzept verbessern.

Manche Leute verwalten ihr /etc in einem Git-Repository. Das kann ganz
praktisch sein, wenn man versehentlich etwas falsch konfiguriert, das
daraus resultierende Fehlverhalten aber erst Wochen später bemerkt und
man sich nicht mehr an die gemachten Änderungen erinnern kann. Git kann
in diesem Fall der Erinnerung wieder auf die Sprünge helfen. Das bringt
natürlich auch nur dann etwas, wenn man relativ oft (am besten nach
jeder Änderung) committet und pusht.

> Yalu X. schrieb:
>
>> Das sind sehr wenige (zumindest bei mir)
>
> Bei mir sinds viele, liegt aber wahrscheinlich daran dass ich auf PC und
> Tablet Arch nutze.

Ich benutze ebenfalls Arch. Wieso hat man da mehr geänderte
Einstellungen in /etc als anderen Distros?

> Wie auch immer, eine Liste mit installierten Paketen
> erachte ich als wertlos.

Warum ist diese Liste für dich wertlos?

Yalu X. schrieb:
>> Wie auch immer, eine Liste mit installierten Paketen
>> erachte ich als wertlos.
>
> Warum ist diese Liste für dich wertlos?

Gegenfrage: was soll ich davon haben? ;-)

Das Gros der Arbeit die ich die letzten Jahre in mein System gesteckt 
habe war ja nicht die Auswahl der Pakete sondern die Konfiguration 
derselbigen.
OK, ich krieg mit solcher Liste innerhalb 5 Minuten gigabyteweise Pakete 
installiert.
Aber mein System sieht trotzdem aus, und verhält sich größtenteils 
trotzdem wie ein frisch gebootstrappededs Arch Linux mit nur den 
Basispaketen.

Das fängt bei Trivialitäten wie der /etc/keyboard, hostname oder 
locale.conf an.
Aber wo sind meine Benutzerkonten und Gruppenzugehörigkeiten?
Netzwerkeinstellungen, zeroconf, mountpoints, udev-Regeln, cronjobs, 
agetty-Einstellungen für Autologin oder BootToX (das Ganze evtl. noch 
silent). sudo- und sshd-config usw. Bei meinen Servern kommt dann noch 
so Zeugs wie Samba-Konfig (und user) dazu, apache/php-Konfig, die 
Nextcloud-Datenbank usw...

Ich bin ja weit davon entfernt mich als Poweruser zu bezeichnen, aber 
selbst mir fallen spontan dutzende Baustellen ein die ich nie wieder neu 
aufmachen möchte ;-)

Yalu X. schrieb:
> Ich benutze ebenfalls Arch. Wieso hat man da mehr geänderte
> Einstellungen in /etc als anderen Distros?

Das ist natürlich rein subjektiv.
Grundsätzlich kannst du auch mit Debian oder Ubuntu quer durch /etc 
pflügen.
Da dort aber vieles bereits im default sinnvoll (lies: für eine breite 
Nutzerbasis) vorliegt oder im Installer gesetzt wird würde ich sagen, 
ich komme bei Arch Linux tendenziell mehr mit Konfigdateien in 
Berührung. YMMV.

Yalu X. schrieb:
> Manche Leute verwalten ihr /etc in einem Git-Repository

Die Historie nachzuverfolgen ist ganz spaßig, ich hab das mal mit den 
dotfiles in ~ gemacht.
Da ich aber mittlerweile alles snapshotte mache ich das nicht mehr.

Le X. schrieb:
> Aber wo sind meine Benutzerkonten und Gruppenzugehörigkeiten?
> Netzwerkeinstellungen, zeroconf, mountpoints, udev-Regeln, cronjobs,
> agetty-Einstellungen für Autologin oder BootToX (das Ganze evtl. noch
> silent). sudo- und sshd-config usw. Bei meinen Servern kommt dann noch
> so Zeugs wie Samba-Konfig (und user) dazu, apache/php-Konfig,

Die meisten Sachen sind unter /etc, die userspezifischen Sachen sind 
überwiegend unter .config/ in deren Verzeichnissen. Normalerweise sind 
die Nutzerdaten eh im Backup drin, so dass man da nicht groß suchen 
muss, und wenn man jeweils /etc zusammen mit der Paketliste sichert, 
kann man sich einen Haufen Arbeit sparen, wenn man es mal aus 
irgendeinem Grund wieder aufsetzen möchte.

Wenn man noch Kram drauf hat der sich nicht an die Konventionen hält 
(oft unter /opt zu finden, samt Configs), bietet es sich an, diese Daten 
bei der Konfiguration im Backupscript zu hinterlegen – auf diese Weise 
hat man dann keinen Aufwand mehr damit.

Die Paketliste isoliert ist ohne großen Wert – aber zusammen mit den 
dazugehörigen Konfigurationen und Daten in einem Script für’s Restore 
hinterlegt, lässt sich damit das System quasi mit einigen Tastendrücken 
wiederherstellen. Dazu die Nutzdaten aus dem regulären Backup 
zurückspielen, und wenn man beim Sichern nicht geschludert hat, war’s 
das auch schon.

Jack V. schrieb:
> Die meisten Sachen sind unter /etc, die userspezifischen Sachen sind
> überwiegend unter .config/ in deren Verzeichnissen.

Ähem, das war eine rhetorische Frage. Ich weiß, wo das Zeugs liegt ;-)
Ich hab Yalu geantwortet warum ich eine Paketeliste als wertlos 
erachte.

Aber egal, wir driften ab.

Ich A. schrieb:
> Und allen die kein unixoides System nutzen, sondern Windows bringt
> euer
> Gerede über /; /home; etc; .config, etc mal genau garnix.

Fairerweise muss man sagen, da hast du recht.
Ob das themenbezogene, gefährliche Halbwissen irgendjemanden etwas 
bringt möchte ich aber mindestens anzweifeln.

Ich A. schrieb:
> Und allen die kein unixoides System nutzen, sondern Windows bringt euer
> Gerede über /; /home; etc; .config, etc mal genau garnix.

Das muss es ja auch nicht, da Windows-User wegen des installierten
Virenscanners von dem Problem gar nicht betroffen sind. Sollte so ein
Virus wider Erwarten doch einmal durchschlüpfen, besteht eine einfache
und effektive Lösung in der Besorgung eines neuen Aldi-/Lidl-PCs mit
vorinstalliertem Windows.

Da die meisten Linux-User (vermutlich aus ideologischen Gründen) keinen
Virenscanner installieren, sind sie viel stärker gefährdet. Zudem ist
unter Linux die Beseitigung der Viren viel schwieriger, weil die o.g.
einfache Lösung nur sehr eingeschränkt anwendbar ist.

;-)

Also ich gehe dann aufs ganze, ich starte die vermeintliche Datei erneut 
und schaue über "Procmon" was genau passiert, welche Registryschlüssel 
und Dateien verändert werden und mache alles Rückgängig.

Ganz viele Viren sind kein Hexenwerk, das es eher Prinlich ist das ganze 
System neu zu installieren.. kommt aber drauf an welcher Virus es ist.

Die Jungs von www.Trojaner-board.de sind auch immer hilfsbereit damit 
man sich sicher sein kann das das System vielleicht doch clean ist.

oszi40 schrieb:
> Ob Deine wieder benötigten Linuxpakte  nach x Jahren noch im gleichen
> Zustand verfügbar sind, habe ich auch Zweifel.

Bei einem aktuell gehaltenen System sind sie in genau dem Zustand 
verfügbar, in dem sie sowieso auf dem System wären. Deswegen Paketliste, 
und nicht alte Spiegelung, die man dann erstmal auf den aktuellen Stand 
ziehen müsste.

Dieter schrieb:
> Das hilft allerdings nicht, wenn Du Dir einen BIOS-UEFI-Virus
> eingehandelt hast.

Wofür man sich allerdings schon etwas anstrengen muß. Z.B. alle docm in 
Mails unbekannter Absender immer ausführen. Versprechen von guten Jobs, 
Gewinne oder Sexvideos sind da besonders geeignet.