Achtung - Virus

[Arcturus]

Also bei uns wird sowas neu aufgesetzt.
Ist natürlich auch von den IT-Firmenrichtlinien abhängig.
Falls es welche gibt.

 

[JamesFunk]

Uh, da reagiere ich allergisch...kannst oder willst du nicht lesen?

- Tool wurde vorgeschlagen
- du kannst nen Profi anrufen und bezahlen, sollte sich eine Firma doch leisten können
- du nimmst dir die 2h und setzt das system neu auf bzw....lädst dir ein Backup auf den Rechner? (du hast doch Backups....)

Du hast was vorgeschlagen, was das System zerschiessen kann. Das kommt nicht in Frage.

Hab die zip mal bei Virustotal hoch geladen nur Malwarebytes hat da was erkannt also hast du schon das richtige Programm verwendet.

Cool, danke.
Poste bitte mal den Link zu dem Thread, wo du es hochgeladne hast!

Puh, das ist aber schon hart, heutzutage weiss doch eigentlich jedes Kind, dass man sowas nicht öffnet.
Und ich würde auf jeden Fall neu aufsetzen, das Ding kann sich tief im System verankert haben. Dafür spricht ja auch, dass der Virenscanner blockiert wird.
Das Risiko ist zu groß, dass sich da ein Keylogger oder sonstwas eingenistet hat.
Das ist nunmal die einzige wirklich sichere Methode, grade im beruflichen Umfeld.
Gibts bei euch keine IT-Sicherheitseinweisungen?

Ist passiert, sah auch wirklich echt aus.
Es wird aber kein Virenscanner blockiert.

Ich mach jetzt Feierabend, schaue später nochmal rein.


Backups haben wir natürlich. Aber nicht vom System, sondern den Daten.

 

[AnfängerEi]

Mit dem zuständigen Admin würde ich mal über eine Abmahnung reden.

Entweder unfähiger Admin oder er hat die schriftliche Anweisung das jeder Admin-Rechte bekommt....

Naja, wenn der TE sich hier Hilfe sucht, denke ich nicht, dass es einen Admin gibt und auch keine Sicherheitsvorkehrungen oder Anweisungen gegeben hat. Es gibt bestimmt auch kein Backup geschweige denn Sicherungen der Daten. Sonst würde der TE hier nicht versuchen den einzig sicheren und waren Weg zu "umgehen"

 

[Frostborn]

Ich wiederhole nochmal: Warum keine Systemwiederherstellung?

 

[Gleipnir]

im Büro kam heute eine Fishing Email von der Telekom an.
Die sieht auch sehr echt aus und leider ist das Sekretariat dem Link:

Glaube kaum das die wirklich echt aussieht. Man bekommt doch keine außerplanmäßige Rechnung, der Betreff sieht seit Jahren gleich aus (RechnungOnline Monat XXXX (Buchungskonto: "Kundennummer"), in der Mail wird man persönlich angesprochen, die Rechnungssumme genannt und der Name der zip sieht auch schon seit Jahren gleich aus (Jahr-Monat-Rechnung-Kundennummer).

Solche Mails schwirren schon seit 1-2 Jahren immer wieder herum und ich hatte die auch schon im Postfach, aber bis auf das selbe Design fehlten alle genannten "Merkmale".

 

[Luxuspur]

deiner Meldepflicht nachkommen wenn dadurch jetzt Kundendaten abhanden kommen! Geschäftlich und da musst du in einem Computerforum fragen? Ich hoffe du bist nicht in der IT angestellt!

5. Meldepflicht bei Datenverlusten


Als weitere Neuregelung nach den Datenmissbrauchsskandalen sieht das BDSG vor, dass in bestimmten Fällen die verantwortliche Stelle die Aufsichtsbehörde, aber auch den Betroffenen zu unterrichten hat.

Eine Meldepflicht wird nur bei einer unrechtmäßigen Übermittlung oder einer sonstigen unrechtmäßigen Kenntniserlangung von Daten ausgelöst. Folgende Daten müssen betroffen sein:

•besonders schutzwürdige Daten nach § 3 Abs. 9 BDSG (Daten über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben),
•personenbezogene Daten, die einem Berufsgeheimnis unterliegen (Daten von Rechtsanwälten, Ärzten und Apothekern),
•personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen oder
•personenbezogene Daten zu Bank- oder Kreditkartenkonten.


In der Praxis werden insbesondere die Bank- oder Kreditkartenkonten als Auslöser einer Meldepflicht auftreten. Weitere Voraussetzung für die Meldepflicht ist aber, dass eine schwerwiegende Beeinträchtigung der Rechte der Betroffenen oder der geschützten Interessen droht. Hier wird es wohl genügen, dass aufgrund des Verlustes von Bank- oder Kreditkartendaten eine unrechtmäßige Abbuchung von Geldbeträgen wahrscheinlich ist.

Die verantwortliche Stelle muss in diesem Fall unverzüglich die Aufsichtsbehörde informieren und darlegen, welche möglichen nachteiligen Folgen eintreten können. Zusätzlich muss dargelegt werden, welche Maßnahmen die verantwortliche Stelle zur Vermeidung möglicher nachteiliger Folgen ergriffen hat.

Außerdem ist der Betroffene über den Datenverlust zu informieren. Das Unternehmen muss auf die Art der unrechtmäßigen Kenntniserlangung hinweisen und Empfehlungen für die Minderung möglicher nachteiliger Folgen aussprechen. Soweit diese Benachrichtigung einen unverhältnismäßigen Aufwand erfordern würde, tritt an die Stelle der Information des Betroffenen die Information der Öffentlichkeit durch Anzeigen in zwei bundesweit erscheinenden Zeitungen. Diese Anzeigen müssen mindestens eine halbe Seite umfassen. Das Gesetz gestattet aber auch eine andere, in ihrer Wirksamkeit hinsichtlich der Information der Betroffenen gleich geeignete Maßnahme. Dies betrifft insbesondere solche Fälle, in denen die Betroffenen sich in einem regional abgrenzbaren Kreis befinden und daher eine Information in bundesweit erscheinenden Tageszeitungen unverhältnismäßig wäre.

Die unvollständige oder auch nicht rechtzeitige Information kann mit einem Bußgeld bis zu 300.000 Euro geahndet werden und begründet zusätzliche Haftungsrisiken für das Unternehmen.


Was es zu beachten gilt:
> Schützen Sie besonders die Bank- und Kreditkartendaten von Kunden.
> Im Fall des Verlustes dieser Daten – auch im Fall der unrechtmäßigen Übermittlung – bestehen Informationspflichten gegenüber dem Betroffenen und der Aufsichtsbehörde, sofern eine schwerwiegende Beeinträchtigung der Rechte der Kunden droht.

 

[thokra2008]

Scanne mal das System mit FRST:
https://www.computerbase.de/forum/t...cht-infektion-vor-dem-posten-beachten.741157/

Checke dann die Logs auf mögliche Veränderungen. Bei Fragen melden.

Was ich gern zur Reinigung nutze, sind Malwarebytes Anti-Malware(hat ja was gefunden) bzw. Emsisoftware Emergency Kit. Beides Freeware. Aber erst FRST nutzen

Aja, wieder mal ein Trojan.Email.FakeDoc...

 

[AnfängerEi]

Backups haben wir natürlich. Aber nicht vom System, sondern den Daten.

Naja, dann sollte dem Plattmachen doch nichts im Wege stehen.
Da dein Virenscanner (trotz dass der Virus angeblich so lange schon bekannt sein soll) den Virus nicht geblockt hat, würde ich mir die Sicherheitssoftware überdenken. Und zu glauben, dass nichts gross am System verändert wrude ist auch naive.

Hab die zip mal bei Virustotal hoch geladen nur Malwarebytes hat da was erkannt also hast du schon das richtige Programm verwendet.

Cool, danke.
Poste bitte mal den Link zu dem Thread, wo du es hochgeladne hast!

Da wäre ich aber sehr skeptisch, wenn ein eigtl schon sehr lange bekannter Virus nur von einem Malwareprogramm erkannt wird.

Unbegreiflich, wie naive man hier an die Sache ran geht bzw damit umgeht durch einige User

 

[Luxuspur]

und da wundert sich manche über die ganzen Datenskandale ... aber die Haftbarkeit & Schadensersatz haben es ja nicht in die Gesetze geschafft nur ne mickrige Strafe bei vertuschen!

Der richtige Weg wäre im übrigen den kompromitierten Rechner sofort vom Netz zu nehmen durch einen neuen sauberen zu ersetzen und das kompromitierte System zur forensischen Analyse vorzuhalten! Um überhaupt festzustellen was da bereit rein gekommen bzw. dadurch schon nach draußen gegangen ist!

 

[Suxxess]

@Luxuspur

Folgende Daten müssen betroffen sein:
•besonders schutzwürdige Daten nach § 3 Abs. 9 BDSG (Daten über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben),
•personenbezogene Daten, die einem Berufsgeheimnis unterliegen (Daten von Rechtsanwälten, Ärzten und Apothekern),
•personenbezogene Daten, die sich auf strafbare Handlungen oder Ordnungswidrigkeiten oder den Verdacht strafbarer Handlungen oder Ordnungswidrigkeiten beziehen oder
•personenbezogene Daten zu Bank- oder Kreditkartenkonten.

Sollte die Firmendatenbank auf dem Computer der Sekretärin laufen, dann hättest du Recht...andernfalls ist das Unsinn. Und ich hoffe mal nicht, dass die Firmendatenbank auf dem Rechner der Sekretärin läuft.

Obwohl einmal hatten wir den Fall mit der Kundendatenbank auf dem Rechner der Sekretärin wirklich, allerdings wusste der Kunde da sowieso nicht wie seine IT funktioniert. Und das war kein 5 Mann Betrieb.

Und zum Rechner: Plattmachen und Windows neu einspielen und danach die Daten wiederherstellen.

 

[thokra2008]

Ich wiederhole nochmal: Warum keine Systemwiederherstellung?

Weil diese Dateien ebenfalls mit infiziert werden können.

Sobald eine infizierte Windows Datei(exe,dll etc) durch ein Antiviren Programm o.ä. entfernt wird, legt Windoof im letzten Wiederherstellungsordner eine Backup Datei an. Solang diese nicht entfernt wird / entfernt werden kann, wird das System bei der nächsten Wiederherstellung erneut infiniziert. Selbst wenn diese entfernt wird, kann sein, dass das System nicht mehr startet. Viren sind auch so clever, entsprechende Registry o.ä. Dateien zu "infizieren", sodass Windows nach der Wiederherstellung zwar startet, aber beim nächsten Internetkontakt entsprechende Dateien nachzuladen, um das System erneut zu infizieren.

 

[Luxuspur]

Sollte die Firmendatenbank auf dem Computer der Sekretärin laufen, dann hättest du Recht...andernfalls ist das Unsinn. Und ich hoffe mal nicht, dass die Firmendatenbank auf dem Rechner der Sekretärin läuft.

also wenn man in so einem Fall hier auf CB fragen muss, sry da rechne ich mit allem! Wäre das einer meiner IT Leute könnte der sich morgen bereits beim großen A melden! Und im übrigen erst einmal im Netz drinnen, stehen einem alle Türen offen!

Und zum Rechner: Plattmachen und Windows neu einspielen und danach die Daten wiederherstellen.

Und damit eine Analyse was bereits alles kompromitiert ist aushebeln ?
Bei nem Privatrechner ok, kann man so vorgehen ( und das wäre mehr als fahrlässig) aber einem Firmen PC ?

 

[AnfängerEi]

und da wundert sich manche über die ganzen Datenskandale ... aber die Haftbarkeit & Schadensersatz haben es ja nicht in die Gesetze geschafft nur ne mickrige Strafe bei vertuschen!

Der richtige Weg wäre im übrigen den kompromitierten Rechner sofort vom Netz zu nehmen durch einen neuen sauberen zu ersetzen und das kompromitierte System zur forensischen Analyse vorzuhalten! Um überhaupt festzustellen was da bereit rein gekommen bzw. dadurch schon nach draußen gegangen ist!

Jo, Konzerne, Provider ect. werden beschimpft, da sich nicht sicher genug mit unseren Daten umgehen und der kleinere Mann aber darf mit den Geschäftsrechnern mal so lapidar umgehen. Einfach mal nen Pflaster drauf aka "Sicherheitsscan" und weiter läuft die Geldmaschienerie.

 

[r0ck3r]

also wenn man in so einem Fall hier auf CB fragen muss, sry da rechne ich mit allem! Wäre das einer meiner IT Leute könnte der sich morgen bereits beim große A melden!

Du willst ihn schlagen, dass er sich in der Apotheke was gegen die Blutungen holen muss?


Mal im Ernst, so Aussagen wie "Sie konnte ja durch den langen Dateinamen nicht die Endung in dem Zip Archiv erkennen"... sowas löst Aggressionen in mir aus!
Ich öffne doch auch nicht nachts um 4:00 Uhr die Türe, nur weil ich nach dem heftigen Pochern an der Türe durch den Türspion niemanden sehen konnte, oder?!

Schon alleine die Adresse irgendwasblabla.co.uk/telekom/.... sowas sollte doch zu allererst Bedenken auslösen.

Da weiß ich auch nicht, was schlimmer ist:
Solche Leute, die ohne zu denken blind überall draufklicken und alles öffnen, was ihnen unter den Mauszeiger kommt oder die Leute wie der TE, die dann tatsächlich in einer Firma drüber nachdenken, wie man denn den Schädling entfernen könnte, ohne eine Neuinstallation...



Naja, hauptsache die Daten sind gesichert.... es soll ja sowieso sicherer sein, neben einem lokalen Backup die wichtigen Daten auch online zu speichern

 

[performi]

"Sie konnte ja durch den langen Dateinamen nicht die Endung in dem Zip Archiv erkennen"... sowas löst Aggressionen in mir aus!

wie ?

hast Du das etwa noch nicht in Dein Sicherheitskonzept aufgenommen:

zum Öffnen der e-mail-Anhänge suchen sie die nächste Kino-Leinwand auf!
um garantiert auch die Endung zu sehen der
xy_______________________________________________________________________pdf.exe

 

[r0ck3r]

wie ?

hast Du das etwa noch nicht in Dein Sicherheitskonzept aufgenommen:

zum Öffnen der e-mail-Anhänge suchen sie die nächste Kino-Leinwand auf!
um garantiert auch die Endung zu sehen der
xy_______________________________________________________________________pdf.exe

Ähm, stimmt... Dokumente/Fenster/etc. mit Scrollbalken lassen sich generell nur auf Kinoleinwänden betrachten.

Auch das Verbreitern von Spalten ist nur da möglich...

 

[emlyn d.]

Hallo,
der Startaufruf des Schädlings folgt diesem Strickmuster(läuft also problemlos auch ohne Adminrechte):
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
{pseudo-zufällig}.exe = %APPDATA%\Microsoft\{pseudo-zufällig}.exe

In einem FRST-Log sieht das dann unter XP z.B. so aus:
HKU\S-1-5-21-1060284298-1604221776-839522115-1010\...\Run: [arhwindows.exe] => C:\Dokumente und Einstellungen\abc\Anwendungsdaten\Microsoft\arhwindows.exe [131072 2004-08-04] ()

Lässt sich einfach mittels FRST entfernen, die Kompromittierung kann man dadurch aber leider nicht rückgängig machen.

 

[xxxx]

Hier der Virustotal Link https://www.virustotal.com/de/file/...490c2d5db8c0ba2d577a6fcd/analysis/1400254352/

 

[performi]

die Kompromittierung kann man dadurch aber leider nicht rückgängig machen.

jo und kann man nur froh sein in solchen Firmen kein Kunde zu sein...

was ich mir da auf die Schnelle zusammengereimt habe, Übermittlung von Kollege oben ?
https://www.virustotal.com/en/file/...0f9c8d6ed157fca77e59487e2564b80a80c/analysis/

desweiteren:
https://malwr.com/analysis/NjdlMzZiOGVmNjNhNDJjMDllNTM2OTIxMzM3YTkxODU/#

huch, naja fast...

 

[Suxxess]

also wenn man in so einem Fall hier auf CB fragen muss, sry da rechne ich mit allem!

Naja stimmt schon. Aber man muss ja nicht immer vom Schlimmsten ausgehen. Das von dir zitierte, dass man das melden müsste ist halt nur wenn wirklich die Firmendatenbank gehackt wurde. Wenn jeder melden müsste wenn er sich einen Virus eingefangen hätte, dann hätten wir viel mehr Leute beim BSI sitzen...

Und damit eine Analyse was bereits alles kompromitiert ist aushebeln ?
Bei nem Privatrechner ok, kann man so vorgehen ( und das wäre mehr als fahrlässig) aber einem Firmen PC ?

Kommt drauf an was das für'nen Rechner das ist und was da drauf ist / war. Grundsätzlich ist es natürlich richtig, dass man sich wundern sollte wenn bereits eine Neuinstallation Aufgrund des Aufwands nach hinten geschoben wird. Aber vermutlich bin ich zu Cloud verwöhnt. Browser auf und Salesforce.com und schwupps kann ich von überall arbeiten.