Suchen

Virenschutz 10 Maßnahmen bei Malware-Befall

Autor / Redakteur: Thomas Joos / Stephan Augsten

Bei einem Malware-Befall sollten Administratoren das gesamte Netzwerk prüfen. Es gilt nicht nur, die Malware zu entfernen, auch der aktuelle Virenschutz steht zur Debatte. Sämtliche Einfallstore müssen nach Möglichkeit geschlossen werden, um weitere Angriffe zu verhindern.

Die erste Maßnahme bei einem Malware-Befall lautet grundsätzlich, den Netzwerk-Stecker zu ziehen.
Die erste Maßnahme bei einem Malware-Befall lautet grundsätzlich, den Netzwerk-Stecker zu ziehen.
(Bild: Archiv)

Sobald Viren ins Netzwerk eingefallen sind, sollte sichergestellt werden, ob es sich um einen Einzelfall handelt, oder ob mehrere Rechner befallen sind. Wenn die Malware installierte Sicherheitsmechanismen wie Antivirus-Lösungen oder Intrusion-Prevention-Systeme ungehindert passieren konnte, müssen natürlich auch diese auf den Prüfstand gestellt werden.

Grundsätzlich gibt es mehrere Wege, wie eine Malware ins Unternehmen gelangen kann. Zu den klassischen Einfallstoren gehören Browser, E-Mails und infizierte USB-Sticks. Die genannten Schritte sollen sicherstellen, dass nach einer Bereinigung kein weiterer Befall im Netzwerk stattfinden kann.

Am besten wird man eine Malware natürlich los, wenn man ein sauberes Backup einspielen kann. Leider ist dies nicht immer möglich, es könnten beispielsweise wichtige Daten verloren gehen – und damit sind auch IT-forensische Beweismittel gemeint. In den folgenden Abschnitten gehen wir deshalb darauf ein, worauf Administratoren bei einer Malware-Bereinigung achten sollten.

1. Verseuchte Rechner vom Netzwerk trennen

Administratoren müssen so schnell wie möglich sicherstellen, dass im Netzwerk keine verseuchten Computer mehr Schaden verursachen können. Das heißt, der erste Schritt besteht zunächst in der Eindämmung der Gefahr. Sind einzelne Rechner befallen, sollten diese also sofort vom Netzwerk getrennt werden. Viren, Würmer und Trojaner versuchen sonst, sich im Netzwerk über Schwachstellen zu verbreiten und weitere Rechner zu verseuchen.

Ein infizierter Rechner sollte im Idealfall nicht gelöscht, sondern später genau untersucht werden. Produktivitätseinbußen gilt es zu ignorieren, ein Anwender darf auf einem infizierten System ohnehin nicht arbeiten. Grundsätzlich kann es sogar sinnvoll sein, die Internet-Leitung während einer IT-forensischen Untersuchung zu sperren und nur für Administratoren zugänglich zu machen.

2. Mögliche Einfallstore und Schwachstellen schließen

In Windows 7, 8.1 und 10 lässt sich die Verwendung von USB-Stick, SD-Karten und externen Festplatten über Richtlinien einschränken.
In Windows 7, 8.1 und 10 lässt sich die Verwendung von USB-Stick, SD-Karten und externen Festplatten über Richtlinien einschränken.
(Bild: Thomas Joos)
Das Netzwerk ist weitgehend sicher, sobald die befallenen Rechner nicht mehr angeschlossen sind. Wie bereits erwähnt gilt es dabei auch festzustellen, wo die Quelle des Angriffs lag, um diese stillzulegen. Vornehmlich kommen folgende Einfallstore in Frage:

  • USB-Sticks, SD-Karten, externe Platten und andere Datenträger die Anwender von zu Hause oder anderen Unternehmen mitnehmen
  • Cloud-Speicher von Anwendern mit verseuchten Dateien
  • Schlecht konfigurierte, unsichere und nicht aktuelle Firewalls und Browser
  • Verseuchte Software aus Raubkopien
  • E-Mails mit Viren und nicht ausreichender Virenschutz auf den Mail-Servern
  • Rechner externer Mitarbeiter und Partner

3. Virus identifizieren und Gegenmaßnahmen definieren

Bevor Rechner gescannt werden, sollten sich Administratoren im Internet über die Malware informieren. Neben den Standardlösungen gibt es oft weitere Maßnahmen und Tools, die helfen können, einen bestimmten Virus zu entdecken. Außerdem sollte klar sein, welchen Schaden der Virus anrichtet und worauf beim Entfernen geachtet werden muss.

Vor diesem Hintergrund sollten auch Prozesse, Registry-Schlüssel, ausführenden Dateien und andere Objekte des Angreifers bekannt sein. Sind mehrere Viren eingefallen, muss abgewogen werden, welche Informationen eingeholt werden soll. Ohne Informationen gestaltet sich das Entfernen allerdings schwierig, da nicht klar ist, ob alle Komponenten befallen sind.

4. Befallene Rechner scannen und Viren entfernen

Zweifelsohne ist das Bereinigen von Rechnern der wichtigste Schritt im Kampf gegen Malware. Hier sollten Administratoren auf zusätzliche Lösungen und Tools setzen, da der interne Virenschutz offensichtlich versagt hat. Außerdem gibt es für viele Viren spezielle Tools, die beim Entfernen helfen.

Rettungs-CDs wie die von Kaspersky entfernen Malware recht zuverlässig vom Rechner.
Rettungs-CDs wie die von Kaspersky entfernen Malware recht zuverlässig vom Rechner.
(Bild: Thomas Joos)
Allgemein helfen oft Live-CDs verschiedener Hersteller. Mit diesen werden die befallenen Rechner gebootet und die Viren entfernt. Einige Rettungsmedien können auch noch Daten kopieren. Folgende Live-CDs sind die bekanntesten: Kaspersky Live-CD, BitDefender Rescue CD, F-Secure Rescue CD, AVG Rettungs-CD, Windows Defender Offline.

Der Adw-Cleaner entfernt Adware ohne Installation.
Der Adw-Cleaner entfernt Adware ohne Installation.
(Bild: Thomas Joos)
Es kann nicht schaden, betroffene Rechner mehrmals und auch mit verschiedenen Live-CDs zu scannen. Wenn der Rechner generell bereinigt ist, sollte das Betriebssystem gestartet und mit dem Security-Tool AdwCleaner überprüft werden. Die Anwendung ist auch ohne Installation ein zuverlässiger Virenkiller. Am Ende sollte der Rechner noch einmal mit dem Echtzeitschutz des eingesetzten Virenscanners überprüft werden, um auf Nummer Sicher zu gehen.

Mit dem Process Explorer lassen sich verdächtige Prozesse genauer untersuchen.
Mit dem Process Explorer lassen sich verdächtige Prozesse genauer untersuchen.
(Bild: Thomas Joos)
Administratoren sollten zusätzlich die jeweiligen Registry-Schlüssel, Prozesse und ausführende Dateien überprüfen. Hier helfen Tools wie der Sysinternals Process Explorer. Dieser kann verdächtige Prozesse ebenfalls nach Viren scannen und online nach bestimmten unbekannten Prozessen suchen.

5. Restliche Rechner im Unternehmen überprüfen

Selbst wenn eine großflächige Infektion unwahrscheinlich ist, sollten auch alle anderen Computer im Netzwerk überprüft werden. Bei tausenden Rechnern ist das natürlich nicht ohne weiteres möglich. Hier sollten Administratoren auf Windows-Tools setzen, die über Verwaltungsprogramme wie SCCM oder Anmeldeskripte verteilt werden.

6. Virenschutz im Netzwerk optimieren und neu planen

Nachdem der Angriff abgewehrt wurde, sollte überprüft werden, welche Sicherheitsmechanismen versagt haben. Sollte eine Client-Anwendung Mängel aufweisen, ist es eine Überlegung wert, Server-Lösungen im Netzwerk einzusetzen, die ständig nach Viren und anderen Angreifern suchen.

Unternehmen haben beim Einsatz mehrerer Server oft ein Problem damit, Sicherheitseinstellungen einheitlich zu verteilen und optimal zu gestalten. Der kostenlose Microsoft Security Compliance Manager (SCM) enthält zum Beispiel Vorlagen und Empfehlungen für eine Absicherung über Gruppenrichtlinien.

Im Fokus steht dabei die Absicherung von Windows-Servern, aber auch Clients. In der neuen Version beherrscht das Tool auch die Absicherung von Exchange Server 2007 SP3/2010 SP3 und Exchange Server 2013 SP1.

7. Windows, Software und Firmware aktuell halten

Viren kommen oft über nicht aktualisierte Anwendungen, Treiber, Betriebssysteme und Firmware ins Netzwerk. Administratoren sollten sicherstellen, dass sämtliche Software-Komponenten aktuell sind. Außerdem sollte eine Strategie erarbeitet werden, wie die Geräte künftig automatisch aktuell gehalten werden können.

8. Künftige Vorfälle durch bessere Planung verhindern

Vulnerability Scanner wie OpenVAS untersuchen Netzwerke auf Schwachstellen und mögliche Einfallstore für Viren.
Vulnerability Scanner wie OpenVAS untersuchen Netzwerke auf Schwachstellen und mögliche Einfallstore für Viren.
(Bild: Thomas Joos)
Nachdem das Netzwerk bereinigt ist, können sich Verantwortliche im Unternehmen Gedanken darüber machen, wie sich zukünftige Sicherheitsvorfälle vermeiden lassen. Hier spielen ein besserer Virenschutz, Regeln für den Datenaustausch, Richtlinien und vieles mehr eine wichtige Rolle. Eine vernünftige Planung verhindert Angriffe, bevor sie passieren. Ein prominentes Beispiel für solche Vulnerability Scanner ist die Open-Source-Lösung OpenVAS.

9. Benutzer über richtige Vorgehensweisen informieren

Am Ende der Aktion sollten die Benutzer darüber informiert werden, was passiert ist und welche Maßnahmen ergriffen wurden. Außerdem empfiehlt es sich, die Anwender in die Sicherheitsplanung mit einzubeziehen und bezüglich Sicherheitsgefahren und dem Umgang mit Malware zu schulen. Die Anwender müssen verstehen, wie sich ein Virenangriff durch den vernünftigen Umgang mit dem Internet und der IT vermeiden lässt.

10. Maßnahmenkatalog für zukünftige Angriffe etablieren

Falls es einen entsprechenden Katalog noch nicht gibt, sollten sich Verantwortliche damit befassen, wie sie zukünftig vorgehen, wenn trotz aller Maßnahmen ein Virus in das Netzwerk einfällt. Der Plan sollte eine genaue Reihenfolge der Maßnahmen enthalten: Welche Tools werden eingesetzt? Welche Personen müssen informiert werden? Welche weiteren Aktionen sind seitens der Administratoren, Anwender und anderen Mitarbeiter erforderlich?

(ID:43221707)

Über den Autor

 Thomas Joos

Thomas Joos

Freiberuflicher Autor und Journalist