In vielen Threads, diskutieren 'wir' über das Pro und Contra zum Thema
Systembereinigung oder gleich formatieren.

Wir sollten das imho aus den Hilferuf-Threads herauslösen und -wenn auch schon mehrfach in der Vergangenheit versucht- an konzentrierter Stelle diskutieren - und zwar hier.

Alle Diskutanten sind herzlichst 'eingeladen', sich an dieser Stelle zum Thema zu äußern und werden gleichzeitig gebeten, dass nicht mehr über mehrere Threads verteilt zu machen. Gleichzeitig bitte ich alle, hier auch ON-TOPIC zu bleiben und keine allgemeinen Hilferufe (oder vgl.) in diesem Thread abzusetzen.

In gespannter Erwartung ob 'wir' die notwendige Diskussionsdisziplin hinbekommen, habe ich den Thread (zumindest vorübergehend) am Anfang des Boards festgepinnt und rufe aus: Los geht's...

Hallo Lutz,
es gibt auch diese Seite: http://faq.underflow.de/
es gibt auch diese NG:news.microsoft.public.de.security.heimanwender
Wir können auch in dem Thread posten, was aber die Tatsache nicht ändern kann: ein kompromittiertes System muss neu aufgesetzt werden.

Hallo Rene-gad,
ich kenne 'natürlich' die von Dir genannten Seiten. Aber was spricht dagegen, dass die Leute hier auch darüber diskutieren. Und wenn - dann bitte an konzentrierter Stelle. Das war die Intention meines Posts.

...ein kompromittiertes System muss neu aufgesetzt werden.

Das ist für mich keine Diskussion, sonder eine Feststellung. Es mag ja sein, dass wir alle zum Schluß dieser Diskussion zu diesem Ergebnis kommen - sofern es denn überhaupt zu einer Diskussion kommt. Aber ein Ergebnis sollte es imho am Ende einer Diskussion geben und nicht am Anfang.

Man könnte natürlich knallhart sagen (...) durch Neuinstallation wieder ein vertrauenswürdiger Zustand hergestellt werden und dann entsprechende Änderungen vorgenommen werden sollten. Das würde wahrscheinlich den absoluten Sicherheitsanforderungen entsprechen...

Müssten wir nicht -wenn wir so knallhart sein wollten- sogar soweit gehen und sagen, nach Neuinstallation und Einspielung aller Patches, u. dgl. muss zwingend ein Image gemacht werden, welches bei jedem Start des Rechners als erstes (automatisch) zurückgeladen wird und dieses Image nur durch zukünftige Patches u. dgl. verändert werden darf?
Das wäre für mich dann die notwendige Konsequentz, in der Realität aber imho kaum machbar.

Dann will ich mal etwas weiter ausholen...

Ich geh von dem Grundsatz der Verhälnismäßigkeit aus. Sprich: Bereinigung wenn möglich - Neuinstallation wenn nötig
Kaum jemand wir Spaß daran haben, sein System neu aufzusetzen, dann sollte dies wenn sinnvoll auch vermieden werden.

Gut, jetzt kann man hergehen und sagen, eine Bereinigung ist nie sinnvoll oder vertrauenswürdig möglich. Dann braucht man auch nicht weiter zu diskutieren. Aber ich möchte es mir nicht so einfach machen. Auch dieses Thema hat imho mehr zu bieten als schwarz-weiß-denken. Unterstellt man zurecht Malware einen 'bösen' Zweck, so sehe ich hier durchaus auch Abstufungen in der Bedrohung.

Ohne jetzt eine der vielen im Web auffindbaren Definitionen von verschiedener Malware zu zitieren, sollte imho erster Ansatzpunkt sein zu wissen, was der Inifzierende (also derjenige, welcher die Malware in umlauf bringt) damit bezwecken will. Ohne dieses Wissen kann ich nicht unter Einhaltung der Verhältnismäßigkeit problemorientiert handeln.

Unstrittig dürften für uns alle sämtliche Trojaner mit Backdoorfunktionalität sein (Fälle eines bewusst installierten RAT klammere ich hierbei einmal bewusst aus). Hier muss der Betroffene davon ausgehen, dass ein mittelbarer oder sogar unmittelbarer (oftmals finanzieller) Schaden für den Betroffenen oder einen Dritten 'erreicht' werden soll.

Bei einem Backdoor-Trojaner unterschreibe ich die Notwendigkeit einer Neuinstallation qausi 'blind'.

Schwieriger wird es für mich -wie es auch MountainKing bereits schrieb- bei den Trojaner-Downloadern. Hier muss man zunächst feststellen (können), was dieser Downloader herunterzuladen versucht. Leider ist dies meiner Erfahrung nach gerade bei dieser Spezies nicht immer einfach herauszufinden, da die div. AV-Hersteller der Malware die unterschiedlichsten Namen und sogar 'Typbezeichnungen' zuordnen, auch wenn dieser Unsinn vielleicht irgendwann demnächst eine Ende haben wird.
Einige als Downloader identifizierte Dateien laden eher 'harmlosere' Malware (z.B. Hijacker) nach, während andere da richtig ans Eingemachte gehen. Bei letzterem oder bei Restzweifeln würde ich zu einer Neuinstallation tendieren.

Bei Spy- und Adware stufe ich eine weitere Gefährdung nach einer Bereinigung als eher gering ein. Schlimmer ist es hier schon, dass u. U. vertrauliche Informationen (Passwörter, Bankverbindung, Kreditkartennummern...) weitergereicht worden sein können. Dieser Umstand wird aber auch durch eine Neuinstallation des Systems nicht rückgängig gemacht. Insofern habe ich dadurch nicht viel gewonnen.

Unsere neuen Freunde, die Browser-Hijacker zielen auf etwas ganz anderes ab. Sie wollen uns weder belauschen noch bestehlen oder gar unser System zerstören. Ihr 'Sinn und Zweck' besteht darin, den betroffenen Anwender bestimmte Webseiten unterzujubeln, da sie (bzw. die Autoren) hierdurch Geld verdienen. Bei einem Browser-Hijacker ist in der Regel der Spuk vorbei, sobald ich diesen entfernt habe. Was zugegebener Maßen manchmal schwierig genug ist....

Auch dem klassischen Massmailer-Wurm ist in der Regel durch saubere Entfernung beizukommen, ohne dass ich das System neu aufsetze.

...to be continued...

Also bleibt für mich vorerst die Neuinstallation eines kompromitierten (urgs - ich liebe dieses Wort... ) Systems nicht das Mittel der allzeit richtigen Wahl.

Da will ich mich mal zitieren, quelle: http://www.trojaner-board.com/showthread.php?t=1540
"seltsame" Codes dazwischen, weil es noch aus dem alten Forum stammt.
Heise-Link (und auch meine Meinung) gilt immer noch

http://www.heise.de/security/artikel/47520

Mal für alle die zum Lesen, die nach jedem Schädlingsbefall immer ein System sofort neu aufsetzen wollen und für die, die auch nach zwei dutzend gefundener Schädlinge davon immer noch nichts wissen wollen.

Noch als Ereiterung zum Kommentar: Da in Unternehmen quasi "immer" Daten wieder von einem Backup zurückgespielt werden müssen, bzw. auf ein Server zugegriffen wird und es einfach unmöglich ist zu garantieren dass diese Daten 100% "rein" sind, ist ein überhastetes "plattmachen" ganz sicher kein Allheilmittel und auch nicht einmal in sich logisch.

schon damals hat Lutz "komprimittieren" geliebt

Zitat von Lutz

Bei einem Backdoor-Trojaner unterschreibe ich die Notwendigkeit einer Neuinstallation qausi 'blind'.

warum?
wenn du mit backdoor-trojaner einen fullfeatured rat wie subseven oder optixpro meinst, um mal die gegenwärtig immer noch am meisten genutzten trojaner zu nennen, dann gibt es keinen anlass für eine neuinstallation.
99% dieser tools werden über die üblichen reg-keys gestartet oder eben die system- bzw. win.ini.
diese einträge zu finden und zu löschen dürfte auch für einen unerfahrenen user keine schwierigkeit sein. ist das erstmal geschehen, dann ist schonmal sichergestellt, daß der server beim nächsten neustart nicht mit startet.
er liegt dann passiv auf der platte und kann ebenfalls leicht gefunden und gelöscht werden.

Bei Spy- und Adware stufe ich eine weitere Gefährdung nach einer Bereinigung als eher gering ein. Schlimmer ist es hier schon, dass u. U. vertrauliche Informationen (Passwörter, Bankverbindung, Kreditkartennummern...) weitergereicht worden sein können. Dieser Umstand wird aber auch durch eine Neuinstallation des Systems nicht rückgängig gemacht. Insofern habe ich dadurch nicht viel gewonnen.

richtig...das gleiche gilt für trojaner...

Auch dem klassischen Massmailer-Wurm ist in der Regel durch saubere Entfernung beizukommen, ohne dass ich das System neu aufsetze.

...to be continued...

Also bleibt für mich vorerst die Neuinstallation eines kompromitierten (urgs - ich liebe dieses Wort... ) Systems nicht das Mittel der allzeit richtigen Wahl.

würde ich nur dann empfehlen, wenn der rechner von mehreren, nicht eindeutig identifizierbaren schädlingen befallen wurde.
eine Neuinstallation ist also eigentlich die notbremse für einen ausnahmefall.alles andere kann mit wenig zeitaufwand und minimalen kenntnissen wieder bereinigt werden...

Zitat von Lutz

Müssten wir nicht -wenn wir so knallhart sein wollten- sogar soweit gehen und sagen, nach Neuinstallation und Einspielung aller Patches, u. dgl. muss zwingend ein Image gemacht werden, welches bei jedem Start des Rechners als erstes (automatisch) zurückgeladen wird und dieses Image nur durch zukünftige Patches u. dgl. verändert werden darf?
Das wäre für mich dann die notwendige Konsequentz, in der Realität aber imho kaum machbar.

Genau, das Problem fängt dann bei der AVupdates schon an.
Wobei ich Images für sehr wichtig halte. Ich würde jedem empfehlen in regelmäßige Abständen Images anzulegen, jedoch Vielen machen es aus bequemheid(?) nicht.


chaosman

Ich hab da mal ne frage zu Backups wo das Thema grad angesprochen wird!

Was bzw. wieviel von den Daten und Programmen sollte man sichern und würde eine andere Partition reichen?

Aber eine andere Partition wäre ja auch wieder angriffen ausgesetzt!

Oder sollten Backups grundsätzlich auf DVD oderer andere Wechselmedien gemacht werden?

Zitat von Lutz

Müssten wir nicht -wenn wir so knallhart sein wollten- sogar soweit gehen und sagen, nach Neuinstallation und Einspielung aller Patches, u. dgl. muss zwingend ein Image gemacht werden, welches bei jedem Start des Rechners als erstes (automatisch) zurückgeladen wird und dieses Image nur durch zukünftige Patches u. dgl. verändert werden darf?
Das wäre für mich dann die notwendige Konsequentz, in der Realität aber imho kaum machbar.

Wo liegt das Problem für diese Lösung?
Richtig, Chaosman hat es gesagt, schon das AV-Update verändert ja das Image.

Ansonsten habe sowas bei einem Schulungsunternehmen installiert. Kleine Hardwaresteckkarte die automatisch mit einem Image arbeitet bzw. alle Änderungen woanders hin schreibt.
Ausgeschaltet, neu gestartet und der PC ist so wie vorher. Da kann DAU (mit Heidi Dumm) machen was er will! Das System ist nachher wieder so wie vorher

Nachteil: für ein AV-Update müsste der Admin mal die Funktion aussetzen und/oder Windows XP SP2 mosert halt immer wegen alter oder fehlender AV-Programme/versionen.

Danke Lutz.


Ausgehend von der letzten Diskussion würde ich die Frage in den Raum stellen, ob es Sinn macht, verschiedene Grade der Infektion bzw. der Kompromittierung eines Rechners zu unterscheiden. Man könnte natürlich knallhart sagen, wird irgendwo eine Infektion (egal welche) festgestellt, heisst das, dass nicht alle Sicherheitsrichtlinien adäquat umgesetzt wurden, daher durch Neuinstallation wieder ein vertrauenswürdiger Zustand hergestellt werden und dann entsprechende Änderungen vorgenommen werden sollten. Das würde wahrscheinlich den absoluten Sicherheitsanforderungen entsprechen, scheint mir aber doch für die Praxis etwas zu starr zu sein. Ich wäre schon dafür, bestimmte Abstufungen anhand der identifizierten Schädlinge vorzunehmen, wobei man ja sowieso immer im Auge behalten muss, dass man, solange man nicht direkt davor sitzt, prinzipbedingt keinen absolut vollständigen Überblick des fremden Rechners hat.


Ich denke mal, am wenigsten wird strittig sein, dass man bei einem identifizierten Backdoor eine Neuinstallation ohne Kompromiss empfiehlt. Auf der anderen Seite scheinen mir beispielsweise Adware/Hijacker auch noch mit "normalen" Mitteln reparabel zu sein. Die letzte Diskussion entzündete sich ja an den Trojaner-Downloadern und das wäre für mich dann tatsächlich ein Grenzfall, zu dem ich weitere Meinungen gerne hören würde.

Lutz, das war eine gute Idee, verschiedene Meinungen an "einen Tisch" zu bringen!
Ich bin der Ansicht, bereinigen ja, es sei denn, es finden sich Hinweise auf Backdoors. Oftmals ist es aufwendig, mitzuhelfen, ein System wieder hinzubekommen; wenn man das nicht möchte oder kann (als Helfender), dann soll man aus dem thread draußen bleiben oder sich durch andere Hilfe holen.
Kompromittiert oder nicht - das ist ja oft die Frage; und was es wirklich bedeutet, kann man ja herausfinden - durchaus auch außerhalb des boards. Die Leute, die an verschiedenen Unis arbeiten und sich damit beschäftigen, geben durchaus sinnvolle Hilfestellungen.
Wenn es so wäre, daß man gleich jedes System neu aufsetzen müßte, dann wäre unter anderem die wertvolle Arbeit (Suchen und Finden, Ausprobieren und Umsetzen von Tools etc.) z.B. cidre´s, MK´s oder auch Deine, um nur ein paar zu nennen, vergebens.
Außerdem ist ja auch nicht jeder User gleich bereit, wegen eines BHO´s sein System neu aufzusetzen.
Ich für meinen Teil mache in diesem Sinne weiter und freu´ mich, immer wenn ich Zeit habe, auf das board.
cacatoa

Diese Frage ist gar nicht so einfach zu beantworten, wie es scheint.

Für die Formatierung (sprich Neuaufsetzen) des Systems spricht, dass es die einmalige Gelgenheit ist "tabula rasa" zu machen und alle (auch versteckten Schädlinge) los zu werden. Sie macht natürliche nur Sinn, wenn bei einer Neuaufsetzung des Systems auch die Regeln für ein sicheres System konsequent umgesetzt werden, sonst geht der ganze Spass wieder vorn vorne los. Das heisst, vor dieser Aktion muss eine Phase der gründlichen Information zum Thema Computersicherheit liegen und eine Erforschung der Ursachen der bisherigen Infektion(en) stattfinden.

Gegen die Formatierung spricht der immense Zeitaufwand, den eine Neuinstallation eines Computersystems einschliesslich der Einrichtung aller Programme mit sich bringt. Hier muss man eher in Tagen als in Stunden rechnen.

Ich würde es deswegen immer erst mit einer (intensiven) Systembereinigung probieren, wohl wissend, dass damit evtl. nicht alle Schädlinge entfernt werden. Die Systembereinigung sollte aber nicht nur mit einem Programm durchgeführt werden, sondern sie sollte auch eine gründlichen Überprüfung des Systems durch ein anderes Programm nach sich ziehen. Diese Überprüfung sollte am besten im abgesicherten Zustand von Windows erfolgen. Die Systemwiederherstellung sollte vorher deaktiviert werden.

Ist ein Neuaufsetzen des Systems unvermeidlich, so empfiehlt es sich, zu verschiedenen Zeitpunkten der Installationsphase Systemchecks vorzunehmen und dann Images der Systempartition zu erstellen. Damit kann man später auf einem definierten, sicheren, Zustand wieder aufsetzen. Das spart für die nächste Neuinstallation eine Menge Zeit.

Bei der Diskussion über diese Grundsatzfrage sollten wir nicht vergessen, dass es eine ganze Reihe von Anwendern gibt, deren PC-Kenntnisse sich auf die verwendete Bürosoftware und die rudimentäre Bedienung des Internet Explorers
und des Mailprogramms beschränken. Solche Leute setzen natürlich alle ihre
Hoffnung auf eine Software, die die Störenfriede ohne Neuinstallation beseitigen
kann. Natürlich könnten wir sagen ( was ich auch manchmal denke) dass diese
User dem Internet fernbleiben sollten, aber das wäre doch fast ein wenig elitär oder ?

Zitat von GVCom

Solche Leute setzen natürlich alle ihre
Hoffnung auf eine Software, die die Störenfriede ohne Neuinstallation beseitigen
kann.

Ist es falsch, diese Hoffnung als vergeblich zu entlarven? Oder soll man diese Leute mit einem vermutlich immer noch kaputtem System ins Netz und so zu einer Gefahr für sich und andere werden lassen?

Gruß
Yopie