Seek and Destroy

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

CA Deutschland GmbH

Würmer und Trojaner sind geduldig

Bei der Erkennung von Backdoors und Würmern hilft außerdem ein Blick in die exportierten Services von Windows. Hierzu tippt man in der Kommando-Konsole den Befehl „netstat –a“ ein. Es erscheint eine Liste, die beispielsweise folgenden Eintrag haben könnte:

C:\WINDOWS>netstat -aAktive VerbindungenProto Lokale Adresse Remoteadresse StatusTCP Computername:31337 0.0.0.0:45178 ABHÖRENUDP Computername:31337 *:*

Diese Zeilen bedeuten, dass ein Programm hinter dem TCP-Port 31337 auf eine Verbindung wartet. Dies ist ein typisches Verhalten für Trojaner und Backdoors. Erfahrene Anwender wissen sofort, dass hinter diesem Port der Trojaner Back Orifice steckt. Weniger versierte User müssen nur nach „port 31337“ im Internet suchen und finden rasch dieselbe Information.

Sollte eine eventuell installierte Personal Firewall eine unbekannte ausgehende Verbindung anmahnen, so ist dieser Meldung unbedingt nachzugehen. In Firmennetzwerken sollte der Admin regelmäßig in das Logfile der Firewall schauen. Stellt er dort Verbindungen oder Drops über ungewöhnliche Ports fest, so steht daneben gleich die IP-Adresse des verursachenden PCs, der sich somit leicht finden und isolieren lässt.

Schädlinge ausmerzen

Der erste Schritt zur Bereinigung eines Rechners ist die Ausführung des Virenscanners mit allen eingeschalteten Optionen. Dies kann und sollte man auch ohne konkreten Verdacht bisweilen tun. Ist ein identifizierter Schädling namentlich bekannt, so sieht man auf der Homepage der Anti-Virus-Tool-Hersteller nach oder recherchiert im Internet.

Oft findet man Anleitungen zum sicheren Entfernen, sofern der Virenscanner das nicht so einfach leistet. Denn findet die Software schadhaften Code und kann diesen entfernen, so ist die Geschichte damit nicht zwangsläufig beendet. Viele Viren und Würmer tauchen immer wieder auf.

Wenn das passiert, so könnte die automatische Systemwiederherstellung schuld daran sein. Diese sollte der Anwender also ausschalten und dem Scanner eine neue Chance geben. Hilft dies ebenfalls nicht, ist der nächste Schritt ein Boot in den abgesicherten Modus und ein erneuter Suchlauf.

Nützliche Werkzeugkästen

Ist danach immer noch kein Erfolg zu vermelden, benötigt man ein Linux-Live-OS wie Knoppix oder Ultimate-Boot (UBCD) für Windows und startet den Rechner von dort aus. Beides sind Betriebssysteme, die sich direkt vom Datenträger booten lassen.

Die Toolboxen werden kostenlos als brennbare CD-Images im Internet angeboten und enthalten zahlreiche Virenscanner. Leider ist das DOS-basierte UBCD nur für erfahrene User geeignet und seit 2006 nicht aktualisiert worden – als Notfall-Kit ist es allerdings durchaus noch verwendbar.

Nach dem Neustart muss im Rechner-BIOS zunächst das CD- bzw. DVD-Laufwerk des Rechners als primäres Boot-Gerät eingestellt werden, sofern das nicht die Standardeinstellung ist. Anschließend kann das System von der jeweiligen Live-CD aus gestartet und gefahrlos durchsucht werden.

Bei Spyware-Befall sieht der Vorgang ähnlich aus, allerdings ist ein Virenscanner ist diesem Fall nicht das optimale Werkzeug. Ein Anti-Spyware-Tool ist für solche Aufgaben besser geeignet.

(ID:2002027)