Virensuche im abges. Modus

E

eshoxx

Lt. Commander

Registriert

Mai 2010

Beiträge

1.652

• 16. Oktober 2014

• #1

Hallo zusammen,


eine Frage an euch:

Ich habe vor viiiielen Jahren irgendwo mal gelesen, dass manche Viren nur/erst im abges. Modus erkannt werden oder gelöscht werden können.
Ist das prinzipiell so richtig?
Quelle war ein Forenbeitrag auf... ich meine chip?

Ich selbst nutze ESET und suche immer mal wieder im abges., erst mit, dann ohne Netzwerktreiber.
Gebe mich halt noch der Illusion (?!) hin, dass das im Vergleich zum Desktopbetrieb noch mal "mehr" oder "was anderes" bringt.

Was meint ihr?

Bitte, wenn möglich, sachlich begründet.
Danke!


Alles andere hilft mir nicht dabei, mit diesem ggf. Irrglaube aufzuräumen.

 

Valeria

Admiral

Registriert

Nov. 2013

Beiträge

7.478

• 16. Oktober 2014

• #2

Angeblich ist es am besten eine LIVE-CD zu benutzen anstatt das eigene Betriebssystem zu benutzen.

 

S

SpamBot

Admiral

Registriert

Juni 2010

Beiträge

9.009

• 16. Oktober 2014

• #3

Das ist nur halb wahr. Ein guter Virus hebelt als erstes deinen Virenschutz aus und/oder versteckt sich. Im abgesicherten Modus hat man auf jeden Fall bessere Chancen da hier mit etwas Glück der "Autostart" des Virus nicht funktioniert.
Am besten checkt man aber den Computer mit einer/einem Live CD/USB-stick, da hier der Virus das System nicht manipulieren kann...

 

E

eshoxx

Lt. Commander

Ersteller dieses Themas

Registriert

Mai 2010

Beiträge

1.652

• 16. Oktober 2014

• #4

Theobald93 schrieb:

Angeblich ist es am besten eine LIVE-CD zu benutzen anstatt das eigene Betriebssystem zu benutzen.

Zum Vergrößern anklicken....

Danke für deinen Post.

Bitte nicht böse nehmen: Hilft mir aber nicht für meine Frage an sich weiter, sondern wirft nur eine weitere These auf

 

A

Adam Gontier

Gast

• 16. Oktober 2014

• #5

Ich habe vor viiiielen Jahren irgendwo mal gelesen, dass manche Viren nur/erst im abges. Modus erkannt werden oder gelöscht werden können.
Ist das prinzipiell so richtig?

Zum Vergrößern anklicken....

Nein, man kann selbst im abgesicherten Modus nicht alle Viren entdecken.

 

Jesterfox

Legende

Registriert

März 2009

Beiträge

44.484

• 16. Oktober 2014

• #6

Das Problem ist das wenn der Virus gestartet und im System aktiv ist er sich vor Virenscannern verstecken kann. Der abgesicherte Modus kann bei ein paar Varianten den Autostart verhindern, aber nicht bei allen (es gibt Möglichkeiten sich so ins System zu hängen das man auch im abgesicherten Modus gestartet wird).

Wenn man von einer BootCD startet wird ein komplett getrenntes System gestartet und keine Datei der Festplatte verwendet. So hat ein Virus keine Chance vor dem Scan aktiv zu werden und sich "zu verstecken" (z.B. in dem Dateizugriffe umgeleitet werden)

 

D

Daaron

Fleet Admiral

Registriert

Dez. 2011

Beiträge

13.487

• 16. Oktober 2014

• #7

...außer du hast einen theoretisch möglichen Virus, der sich NICHT auf der Festplatte befindet, sondern z.B. im BIOS/UEFI oder sich in der Firmware deiner USB-Komponenten eingenistet hat. Das Ding kann dann, sobald Netzwerkverbindung besteht, beliebige Payload nachladen.
Gerade dieser BadUSB - Vektor ist, sollte er mal aktiv genutzt werden, schlichtweg tödlich für jede moderne IT.

 

E

eshoxx

Lt. Commander

Ersteller dieses Themas

Registriert

Mai 2010

Beiträge

1.652

• 16. Oktober 2014

• #8

uiuiui...


Hab jetzt mal mit Unebootin und Avira Rescue CD, einen live Virus-USB Stick erstellt.

Hoffe dass das jetzt wirklich die "sicherste" Methode ist?
Läuft gerade durch.

Wir dadurch denn zumindest der Check im abges. Modus obsolet?


Danke euch

 

D

Daaron

Fleet Admiral

Registriert

Dez. 2011

Beiträge

13.487

• 16. Oktober 2014

• #9

Der Check im abges. Modus ist so oder so Banane, denn er findet eh nur Mist. LiveCDs sind das einzig Brauchbare.

 

Jesterfox

Legende

Registriert

März 2009

Beiträge

44.484

• 16. Oktober 2014

• #10

Ok, das ein Virus einem im laufendem betrieb das BIOS / UEFI umflasht wurde zwar schon öfters als Szenario aufgezeigt, aber in der Praxis ist das afaik noch nie aufgetreten. Ausschließen kann man es natürlich nie, erfordert aber eine Sicherheitslücke in der Hardware die explizit genutzt werden muss.


Bad USB ist ne ganz andere Hausnummer, da geb ich dir recht. Würde das aber auch nicht als klassischen Virus titulieren und mit herkömmlichen Scannern kommt man da eh nicht weit. Da müssen andere Sicherheitskonzepte her.


@TE: ja, der Scan vom externen Boot-Medium ist besser als nur abgesicherter Modus und man muss nicht beides machen.

 

E

eshoxx

Lt. Commander

Ersteller dieses Themas

Registriert

Mai 2010

Beiträge

1.652

• 16. Oktober 2014

• #11

@TE: ja, der Scan vom externen Boot-Medium ist besser als nur abgesicherter Modus und man muss nicht beides machen.

Zum Vergrößern anklicken....

U made my evening Thx

 

E

emlyn d.

Lieutenant

Registriert

Mai 2010

Beiträge

554

• 16. Oktober 2014

• #12

eshoxx schrieb:

Hab jetzt mal mit Unebootin und Avira Rescue CD, einen live Virus-USB Stick erstellt.

Hoffe dass das jetzt wirklich die "sicherste" Methode ist?

Zum Vergrößern anklicken....

Hallo,
wenn es um (relativ) frische Malware geht, nutzt Dir der Stick herzlich wenig.
Meiner Meinung nach ist die Anwendung von FRST sinnvoller.

 

D

Daaron

Fleet Admiral

Registriert

Dez. 2011

Beiträge

13.487

• 17. Oktober 2014

• #13

Warum sollte der Stick nix taugen? Jedes Live-System hat auch einen (bei CDs natürlich flüchtigen) Auto-Updater. Damit hast du die aktuellsten AV-Definitionen.
Wenn man z.B. auf die Desinfec't - CD von der c't zurück greift, dann beschießt man die Kiste mit ner ganzen Batterie guter AV-Scanner mit aktuellen Definitionen. Was dann überlebt, das hätte man nur mit komplexer Intrusion Detection Software erwischen können.

 

R

Randy89

Captain

Registriert

Mai 2013

Beiträge

3.287

• 17. Oktober 2014

• #14

Auch aktuelle AV-Definitionen erkennen nicht immer brandaktuelle Schädlinge. Warum gibt es z.B. bei Heise folgenden Bericht:

Dixon experimentierte ein wenig mit dem Format und konnte eine XDP-Datei erstellen, die bei Virustotal von keiner der 42 AV-Engines erkannt wurde – und das, obwohl sie einen Exploit für eine zwei Jahren alte und längst gepatchte Reader-Lücke enthielt.

Zum Vergrößern anklicken....

Und natürlich könnte man auch http://virusscan.jotti.org/de dazunehmen, aber wenn schon die Windows-Scanner keinen Schädling anzeigen, werden die Linux-Pendante meist ebenfalls keinen anzeigen und wenn Linux-Scanner welche anzeigen, machen das die Windows-Scanner in der Regel auch.

Nicht missverstehen; Live-Linux-Systeme sind gut als zusätzliche Meinung; das Non-Plus-Ultra sind diese allerdings nicht, weil es unter Umständen auch Malware gibt, die
1. sich evtl. nur mit der Verhaltenserkennung mitten im Betrieb aufspüren läßt und
2. wenn man sich die Änderungen im Betriebssystem anschaut.

Für 2. gibt es solche Tools wie FRST.