Problem, Chef und Malware

[Domi83]

Hallo Leute, heute hat mich mein Chef an meinem Platz angerufen und meinte "Du hast da was gesperrt" und ich wusste gar nicht was er von mir wollte. Also bin ich zu ihm hin und habe geguckt, was er von mir möchte... siehe Screenshot!

Ich habe ihn gefragt, was er denn bitte gemacht hat.. und er wusste von nichts. Eine Kollegin schickte mir dann eine Email die im gemeinsamen Postfach aufgetaucht war. Ich dachte mir schon "hm.., okay.. wird irgend ein Murks sein!", also virtualBox auf und Email geöffnet.

Siehe da, ich habe den gleichen Spaß. Also habe ich mal geguckt was man da so machen könnte, denn Eset NOD32 kann ihn nicht entfernen und kann mir auch keine Lokalisierung nennen.

Gut, also Malwarebytes runter geladen und mal laufen lassen.. Ergebnis war, er hat zwei Objekte gefunden die er als Trojaner identifiziert hat. Ich sagte das er bereinigen soll und führte den Neustart durch. Ergebnis war, Windows ist auf einmal sehr sehr langsam geworden

Beim Starten dauert es nun ewig, beim beenden auch, und die Objekte hat er auch bei einem erneute Scannen wieder gefunden. Jetzt möchte ich gar nicht erst bei Chef im real-System das ganze ausprobieren und durchlaufen lassen...

Kennt jemand die Meldung aus dem Screenshot die mir NOD32 geliefert hat und kann damit etwas anfangen..? Die Mail mit dem bösen Zeug kam aus einer getarnten Vodafone MMS Benachrichtigung.

Das was Malwarebytes findet nennt sich wie folgt...
1. PUM.UserWLoad
2. Trojan.Ransom

Wenn ich das richtig lese, sind es wohl einfach nur Registry Werte, aber ich frage lieber vorher nach ob man einfach diese Werte händisch austragen kann, oder ob ich das anders erledigen lassen sollte.. denn das Programm selbst hat nichts bewegt bekommen.

Vielleicht ist das ja auch noch was anderes, aber das vermute ich jetzt mal nicht. Ich kann allerdings noch sagen, dass NOD32 jetzt nicht mehr mit der Info kommt das eine URL geblockt wird.

Kurz zusammen gefasst, Malwarebytes ausprobiert, URL Zugriff kommt nicht mehr, System ist langsamer, und es werden immer noch die genannten "Objekte" gefunden. Wer hat rat und kann mir vielleicht ein gutes Programm empfehlen?!

Gruß, Domi

 

[Piktogramm]

Rechner platt machen, Rechner neu machen, Backauf drauf ziehen.


Oder, weil wie immer mal wieder am professionellem Admin, Speicherplatz & Co gespaart wurde:

Portable Aps mit Spybot Search & Destroy sowie Clam Antivirus

 

[Domi83]

Über Fernsteuerung habe ich jetzt noch mal Spybot ausprobiert, der hat leider auch keinen Erfolg gebracht. Das ist ja doof.. und ich dachte ich kann einem "Neuinstall" aus dem Weg gehen. Dann werde ich das wohl mal in Angriff nehmen.

Wie auch immer das mit dem professionellen Admin gemeint ist, Backups gibt es allerdings.. zwar nicht so häufig wie vom Server, aber es gibt Sicherungen

 

[Daaron]

Ein wirklich professioneller Admin hätte von Anfang an auf ein Domain-System mit zentraler Antivirus-Lösung sowie extrem beschränkten User-Rechten, auch für den Chef, im Alltagsbetrieb gepocht.... oder schlichtweg ne Nicht-Windows - Lösung gewählt. Da ist die Gefährdungslage aus verschiedenen Gründen deutlich niedriger.

 

[Domi83]

Ja... Ist richtig, aber wenn der Chef "nein" sagt, mache ich das bestimmt nicht anders als er möchte.

Beide Chefs hatten schon beschränkte Zugriffsrechte, und dann bekam ich die Anweisung für beide wieder Admin rechte zu erteilen. Da stelle ich mich bestimmt nicht quer und sage "noe!", dass können andere machen.

Jetzt müssen sie damit leben, dass ich einen der PCs neu installieren muss und gut ist.

 

[Daaron]

Tja, sture Idioten, die auf ihren Chefposten pochen... da kannst du nix machen.

 

[Domi83]

Joa.. Ist leider so. Macht aber nichts. Wenn es mal wieder heißt "warum hast Du das denn nicht fertig gemacht?", werde ich es ihnen schön unter die Nase reiben was da passiert war / ist

Ich arbeite nicht in einem großen Unternehmen, aber ich hatte denen mal gesagt das selbst bei VW die hohen Tiere keine Admin Rechte haben. Vielleicht haben sie es doch, ich weiß es nicht. Aber das war denen egal...

Nachtrag: So, der NOD32 hat das Problem heute Nacht nach einer Tiefenprüfung und einem Signatur-Update das Problem beheben können. Client von Chef läuft wieder Fehlerfrei. Was mir aber vergangene Nacht noch so eingefallen ist, was haltet Ihr von "Sandbox", gibt es da gute / fähige Programme? Das soll keine Lösung sein um so etwas zu verhindern, aber wenn noch einmal so etwas kommt, kann ich problemlos auch das File in einer Sandbox öffnen und mal anschauen

 

[Piktogramm]

Wie auch immer das mit dem professionellen Admin gemeint ist

Passable eingerichtete Lösungen sichern die Clients spätestens zu jedem Wochenende und den Server im 24h Takt. Bie Komplikationen wird da dann einfach alles platt gemacht, Installationsmedium eingelegt welches mit Treiber und Softwareinstallation durchzieht und im Anschluss das Backup aufspielt.

Die Methode ist rapiad, jedoch auf Dauer das einzige Mittel welches dem grundlegendem Bedürfnis nach Adminrechten vieler Nutzer und Programme halbwegs gerecht wird. Wobei Adminrechte für Schädlinge nicht zwingend erforderlich sind.

Als Nachteil verbleibt, dass wenn man die Backups sinnvoll über einige Generationen hält (immer nur zu letzten Woche ist zu knapp wenn schon länger was im Argen liegt) der Speicherverbrauch arg hoch ist. Oftmals ist es schwer dann dem Typen der auf dem Kapital hockt zu erklären, dass Speicherlöungen angeschafft werden sollten die dann auch mal bisserl was kosten...

Insofern professioneller Admin: Schreibt der Belegschaft nicht vor WELCHES System WIE genutzt werden muss sondern passt seine Lösungen einfach an. Wenn die Nutzer wie Holzfäller agieren müssen eben Holzfellermethoden ran wenn es darum geht die Probleme zu beheben


Zum Thema Sandkasten für Clienten: Vergiss es! DAU-Sicher bedingt meist unglaublich unflexible Lösungen die im Geschäftsalltag schwer zu halten sind und gegen die Dauige Belegschaft erstrecht nicht unc je flexibler die Lösung wird, desto aufweniger wird der Spaß und auch umso anfälliger.

Sandbox zum Testen: Virtual Box mit nem virtuellem Windoof, wobei du die dem virtuellem System keinen Kontakt zum Netzwerk einräumst.

 

[Domi83]

Moin, also die Sandbox soll nicht für die Clients gedacht sein. Ich wollte da für mich persönlich einmal nachfragen. Wenn mal wieder so ein Teil kommt, dann schicke ich mir das Teil einfach an eine andere Adresse und öffne den Schädling in der Sandbox, so hatte ich es mir gedacht.

Ich weiß aber was Du meinst.. glaube ich.
Im Prinzip muss ich dem Mail-Server mal einen Filter verpassen, der alle Mails mit .exe oder Archiven an mich sendet, zum durch gucken. Denn es ist schon schwierig den Kollegen zu sagen "tue dies nicht!", wobei der eine oder andere Kollege darauf achtet. Schlimmer ist der eine Chef...

Das letzte mal als er einen Fehler im System hatte, haben wir ihm freundlich erzählt "in 90% aller fälle sitzt der Ursprung der Probleme vor dem Monitor" und das bekommt der eine Chef auch vom anderen Chef zu hören. Mittlerweile erzählen wir es ihm gar nicht mehr, da er es sowieso nicht glaubt und fest davon aus geht, dass das System selbst irgend etwas tut...

 

[Piktogramm]

Für den Zweck, zieh dir mit Virtual Box ein kleines Opferlamm hoch. Aber Vorsicht, das Opferlamm sollte vom Firmennetzwerk ausgesperrt werden.