Infizierte PCs sind oft hoffnungslose Fälle
06. Apr 2006 14:09, ergänzt 14:22

Gegen Schad-Software helfe oft nur, den Computer komplett neu aufzusetzen, rät ein Microsoft-Experte. Firmen sollten solche Vorgänge sogar automatisieren.

Nicht feststellbar, ob System sauber ist

«Wenn Sie es mit Root Kits und anderen fortgeschrittenen Spyware-Programmen zu tun haben, dann ist die einzige Lösung, von vorne anzufangen», wird Danseglio von der Website «Techworld» zitiert. «In manchen Fällen gibt es einfach keinen anderen Weg, als die Systeme komplett abzuschießen.»

Hauptproblem bei dieser Art von Schad-Software ist es, dass sich nach einer Infektion praktisch überhaupt nicht feststellen lässt, ob das System vollständig gereinigt ist — auch wenn alles gut aussieht und funktioniert, heißt das nicht, dass sich keine Spuren der Software mehr auf der Festplatte befinden.

Das Problem mit den Root Kits hat in der jüngeren Vergangenheit deutlich an Bedeutung gewonnen. Danseglio nannte das Beispiel einer amerikanischen Regierungsorganisation, bei der mehr als 2000 Rechner infiziert waren — ohne eine Chance, die Systeme mit milden Maßnahmen zu säubern. Um so etwas zu vermeiden, riet er eindringlich dazu, Schutzprogramme wie Spybot — Search and Destroy, Rootkitrevealer oder Microsoft Windows Defender zu verwenden — Vorbeugung sei die beste Medizin. (nz)

22.05.2006 11:42

Word-Trojaner wird von Virenscannern nicht immer erkannt

Der vergangenen Samstag entdeckte Trojan-Dropper Ginwui[1], der ein bisher unbekanntes Sicherheitsleck in Microsoft Word ausnutzt, wird von vielen Virenscannern nur in Teilen oder überhaupt nicht erkannt. Dies ergab ein Test von Andreas Marx von AV-Test[2] am heutigen Montagvormittag mit diversen Virenscannern.

Die beiden aufgetauchten, unterschiedlichen DOC-Dateien erzeugen bei Ansicht mit Microsofts Word mehrere ausführbare Dateien und weitere Word-Dokumente. Dabei handelt es sich um ein Dokument zur Verschleierung der schädlichen Aktivitäten, das Word nach dem Programmabsturz wiederherzustellen versucht, sowie um zwei Trojaner, die sich tief ins System einnisten und dort unter anderem die Tastatur überwachen und ins Internet verbinden, um auf weitere Anweisungen des Virenautors zu warten.

Bei dem Test erkannten BitDefender, eTrust-VET, F-Secure, Kaspersky, Microsoft OneCare, NOD32 und Symantecs Antivirus alle DOC- und EXE-Dateien. Nur teilweise schafften dies AntiVir, Dr. Web, eSafe, eTrust-INO, Fortinet, Ikarus, McAfee, Panda, QuickHeal, Sophos, Trend Micro und VirusBuster. Die Virenscanner Avast!, AVG, ClamAV, Command, Ewido, F-Prot, Norman und VBA32 sind durchgefallen, da sie Ginwui überhaupt nicht erkannten.

Der Vorfall zeigt, dass ein Antivirenprogramm nur begrenzt vor so genannten Zero-Day-Attacken schützen kann. Letztlich hilft nur, bei den Anwendern immer wieder Sicherheitsbewusstsein zu schaffen — was vielen Administratoren wie ein Kampf gegen Windmühlen vorkommt. Die Antivirenindustrie versucht, mit neuen Techniken wie Behavioural Blocking gegen solche Angriffe gewappnet zu sein. Diese können jedoch auch nur Schaden begrenzen.