Bestätigter Virus - Analyse/Säuberung des Trojaner/Keylogger inkl. Ursprungsdatei

FabulousGee

Hallo liebes Board,

bisher war ich der Meinung, mein System sehr gut abgesichert zu haben - aber leider ist mir eine Lücke entgangen...

Kurz zur Vorgeschichte:
Wir haben einen Verbund von mehreren Rechnern, die über TeamViewer teils für unbeaufsichtigten Zugriff konfiguriert sind. Sprich, man kann sich vom einen zum anderen Rechner ohne Passwort verbinden, wenn man das Master-Passwort kennt.

Vor circa 30 Minuten saß ich (zum Glück) gerade an meinem Rechner, als plötzlich eine eingehende Verbindung initalisiert wurde - mit meinem eigenen Namen?! Geistesgegenwärtig habe ich den sich gerade öffnenden Dateiübertragungsserver sofort geschlossen, die Verbindung getrennt und alle Passwörter umgehend geändert.
Soweit ich es bisher untersucht habe, konnte die Datei nicht übertragen und schon gar nicht ausgeführt werden. Auch Daten wurden nicht entwendet.

Leider hatte ein anderer Rechner im Verbund nicht so viel Glück. Er wurde definitiv infiziert.
Es wurden Daten entwendet (was genau ist noch unklar, ich tippe mal auf Passwörter u.Ä.) und definitiv Schadsoftware installiert. Ich habe die Datei auch bei VirusTotal hochgeladen:
https://www.virustotal.com/de/file/b2b0f3a0941d65590c035c8ecc69f9ef20284a3a9fda08e661ac4e99840db33b/analysis/1439053104/

Diese Ursprungsdatei habe ich hier auch noch vorliegen. Ich wollte sie jetzt hier nicht hochladen, da ich nicht weiß, ob das ok wäre. Ich würde sie aber natürlich einem Analysten gerne zur Verfügung stellen, damit man feststellen kann, welche Daten genau entwendet wurden.

Den betroffenen Rechner habe ich natürlich sofort heruntergefahren - leider startet er sich aber automatisch immer neu, sodass ich nun die Internetverbindung kappen muss. Physisch
Wäre schön, wenn jemand eine Idee hat. Ich werde derweil mal versuchen, das ganze in einer VM zu testen.


P.S.: Die TeamViewer-ID von diesem Mistkerl ist übrigens die 302087758 - vllt. mag sich das ja ein Greyhat auch mal genauer ansehen, was da noch so los ist... Sobald die Hotline von TV wieder erreichbar ist werde ich dort die Herausgabe der Daten verlangen und mal sehen, ob man da nicht mit einer Anzeige was erreichen kann. Leider ist die Abteilung Cyberkriminalität vom Kriminaldauerdienst am Wochenende nicht besetzt, die haben mich auf Montag vertröstet