Hallo,

eine meiner Verwandten hat ein pdf als Emailanhang geöffnet und erst danach bemerkt, dass es vermutlich verseucht sein könnte.
Ich habe das pdf bei virustotal gescannt und z.B. Kaspersky meldet "Trojan.PDF.Agent.a". Ansonsten ist die Erkennungsrate mit 6/56 eher gering, vermutlich weil es eine neue Signatur ist.

Ein Backup von vor 3 Tagen ist vorhanden. Meine Frage dazu: Reicht es, die Windowspartition wiederherzustellen, oder sollten auch alle Programme und Daten aus dem Backup zurückkopiert werden?

Mein Plan:
1. Ein Backup vom gesamten System machen und dann nur Windows aus dem Backup wiederherstellen, Windows starten und dann einen Virenscan durchführen.

alternativ:
2. Backup erstellen und dann das komplette Backup von vor 3 Tagen zurückkopieren.

2. würde wesentlich länger dauern.

BTW: Kann man anhand der Virenmeldung von Kasperky abschätzen, welches Verhalten bei einer Infektion zu erwarten ist? Den infizierten emailanhang habe ich gesichert. Besteht Interesse an einem Upload? Gibt es hier Experten, die damit genauere Tipps geben könnten?

Mit der Angabe kann leider niemand was wirklich einigermaßen sicheres sagen, was wir bräuchten wäre die Prüfsumme (sha1 oder sha256) der Datei oder den Link zum VT-Ergebnis.

Was soll denn dieses überstürzt hysterische Systemrollback wenn noch garnix klar ist?

Sorry!

https://www.virustotal.com/de/file/b580e9d936970599f158cc6670177928f2d805e7716906e9890f808472e6e811/analysis/1550688265/

SHA256: b580e9d936970599f158cc6670177928f2d805e7716906e9890f808472e6e811

Also...wie gesagt bitte jetzt Ruhe bewahren, das war erstmal nur eine indirekte Bedrohung. Ich bin mir ziemlich sicher, dass in der PDF selbst kein Schadcode war, sondern die PDF nur als solche erkannt wurde, weil darin ein Hyperlink eingebettet war, welcher zur einer infizierten DOC- oder EXE-Datei führte. (hab ich heute erst wieder gesehen, das Öffnen einer PDF allein führt zu nix)

Virenscanner sind tw. extrem hysterisch und widersprüchlich, was sie "sehen" wird als als übertrieben schlimm gemeldet, andererseits wenn sie keinen Schadecode finden wiegeln sie Laien in falsche Sicherheit - denn nur weil ein Scanner nichts meldet, heißt das nicht, dass das nichts ist. Sie melden irgendeine Datei als gefährlich obwohl keine direkte Gefahr von ihnen ausgeht. Brandgefährlich sind eigentlich nur ausführbare Dateien (zB EXE) und danach Containerdateien (ZIP, weil diese ausführebare Dateien enthalten)

ESET scheit meine Vermutung zu bestätigen --> https://forum.eset.com/topic/12587-e...fphishingagen/

Das bedeutet konkret in diesem Fall: PDF öffnen macht nichts, man sollte nur nicht den dort eingebetten Hyperlink anklicken. Da kann nämlich alles verlinkt werden zB eine verseuchte Datei, eine Phishingsite die Daten abgreifen will indem der User gutgläubig seine Daten eintippert oder indem einfach stramm exploits per javaScript hinterlegt sind und Schwachstellen im Browser versuchen auszunutzen.

Die Frage ist nun: Wurde nur die PDF geöffnet oder noch mehr?

Hier ist auch was bei heise zu lesen --> https://www.heise.de/security/meldun...n-4313471.html

Sonst les ich immer viel mehr heise

Erst mal vielen Dank für die Infos.
Ich war bisher immer der Meinung, dass auch schon durch bloßes Öffnen eines entsprechenden pdf-Dokuments Schadcode ausgeführt werden kann.
Hier z.B.:
https://www.heise.de/security/artikel/Analysiert-Alte-Masche-neue-Verpackung-Infektion-durch-PDFs-3722708.html

In dem Artikel wird zwar beschrieben, dass weitere Aktionen des Benutzers notwendig seien, aber ich vermute, dass das evtl. auch umgangen werden kann. Als pdf-Viewer kam wahrscheinlich ein alter Foxit-Reader zum Einsatz. Ob dieser mit integrierten Scripten umgehen kann, weiß ich nicht. Mit JS kenne ich mich nicht aus, sodass es auch nichts bringen würde, wenn ich mir das pdf näher ansehen würde. Für solche Untersuchungen mit passend bestückter VM bin ich auch nicht ausgerüstet.

Ich hätte natürlich nichts dagegen, wenn ich keine Dateien wiederherstellen müsste, aber im Moment bin ich mir nicht sicher. Normalerweise haben fast alle Programme Sicherheitslücken, die ausgenutzt werden könnten, sodass evtl. keine weitere Benutzeraktion für eine Aktivierung eines Schädling notwendig ist.

Also ich werd jetzt nach Diskussion verschieben. Wenn läuft das ja eh auf Neuinstallation hinaus oder das System bleibt so wie es ist.

Es ist schon ein himmelweiter Unterschied zwischen normaler "Datendatei" und ausführbarer Datei. Natürlich kann jedes Programm Lücken enthalten, aber du tust ja so, als wenn die Malwareautoren Magier sein, die immer und zu jeder Zeit mehr wissen als alle anderen.
Diese pessimistische Einstellung darfst du gerne behalten, ich halte das aber für ungesund und hysterisch. Denn dann darfst du auch keine VM benutzen, rein theoretisch kann nämlich auch ein Schädling aus einer VM ausbrechen und den Wirt bzw alles im Netzwerk lahmlegen.

Man sollte aber auch mal dir Kirche im Dorf lassen und die aktuellen Fakten zur Kenntnis nehmen. Und die lauten: hyperlink in ansonsten harmloser PDF-Datei. Nur weil ein Virenscanner da aufheult muss man kein unnötiges Drama draus machen.

Aber wenn die das nicht reicht mach halt das System flach und installier alles neu.

Wieso bewertest du meine Skepsis als unangemessen? pdfs können Skripte enthalten und die Programme, mit denen man diese öffnet, können darauf reagieren. Im verlinkten Heiseartikel steht ausdrücklich:
"Aus Sicherheitsgründen sollte man nicht jedes per Mail erhaltene PDF blind öffnen: Aufgrund der generellen Möglichkeit, ausführbaren Code in PDFs zu packen, ist auch Vorsicht bei diesem Dateiformat geboten – und zwar völlig unabhängig davon, welche Anwendung man zum Öffnen verwendet. (des)"

Ob das betreffende pdf ein Skript enthält, weiß ich nicht. Ich hatte die Hoffnung, dass ich das hier in Erfahrung bringen kann.

Eine Neuinstallation ist nicht notwendig, denn es gibt ein nur 3 Tage altes Backup.

Ja, da steht können. Ich hab dir aber mehrere Anhaltspunkte geliefert, dass es eben keine Scripte waren. Sondern nur ein dummes PDF mit Hyperlink. Nicht mehr, aber auch nicht weniger. Also eben keine bösartigen JS oder was wasauchimmer codes direkt in der PDF.

Neuinstallatio nicht notwendig, was hat das damit zu tun? Du hast hast doch hier sofort hysterisch das System zurückrollen wollen? Egal wie man das nun nennt, wenn man schon so hysterische ist, muss man es vernünftig machen, also neu aufsetzen oder das letztes Image zurückspielen.

Gnocci, wenn du alles, was cosinus sagst in Frage stellst, hinterfragst und mit Halbwissen torpedierst, warum gehst du dann in das Forum hier?

Skepsis ist ja ok aber, wenn dir ein Experte hier etwas sagst und du das dann trotzdem in Frage stellst macht eben das Forum auch keinen Sinn

V.a. hab ich ja nicht nur gesagt "yo ey das ist so weil ich das sage alter ey!" () sondern auch noch meine Vermutung erst nur als solche beschrieben und hinterher Artikel (ESET+heise) verlinkt habe, die meine Vermutungen untermauern.

Versucht es mal aus meiner Perspektive zu sehen.

Anfangs habt ihr gesagt, dass ihr mit der Angabe des Virennamens, bzw. der Scannermeldung nichts anfangen könnt und dass dafür die Prüfsumme notwendig wäre.
Dann verlinkt ihr auf einen Forumsbeitrag, der nur über den Virennamen auf die genaue Art der verseuchten Datei schließt. Deswegen habe ich den Hinweis so verstanden, dass das betreffende pdf "sehr wahrscheinlich" nur einen fiesen Link enthält.

Gleichzeitig bin ich davon ausgegangen, dass grundsätzlich jede Datei zu einer Infektion führen kann. Sowas habe ich schon zum Winamp-2.91-Zeiten gelesen und auch erst letzte Woche wieder.
https://www.heise.de/security/meldung/Patchday-Das-Oeffnen-von-PNG-Bildern-kann-Android-Geraete-kompromittieren-4300362.html
Dann habe ich noch den gestern verlinkten Artikel bei heise gefunden, der für pdfs vor integrierten Skripten warnt.

Hinzu kam noch, dass ich bis dahin nicht wusste, was meine Verwandte genau gemacht hatte. Ob sie innerhalb des pdfs noch weitere Sachen angeklickt hatte, stand bis dahin nicht fest.

Für mich ist immer noch nicht klar, warum ihr sicher ward und seid, dass keine Infektion stattgefunden hat.

Ein Forum ist doch unter anderem dazu da, Unklarheiten auszuräumen. Daher habe ich weiter nachgefragt und meinen Kenntnisstand mitgeteilt.

Ich weiß nicht was du jetzt schon wieder willst. Ja ich habe den Link zu VT angefordert. Und nun stell dir mal vor ich hab die angezeigten Schädlingsnamen als Infos genommen und dir daraus erklärt was das ist. Das Teil will nämlich dass ein Worddoc runtergeladen und geöffnet wird, aber nicht nur das, das Opfer muss auch noch so doof sein und Makros aktivieren. DANN hat man erst ein Problem. Das ist der eigentliche Schädling und nicht die PFD-Datei! Weitere Infos standen bei heise.

Zitat von cosinus

Ich weiß nicht was du jetzt schon wieder willst.[..]
Und nun stell dir mal vor [..]
das Opfer muss auch noch so doof sein [..]

Danke, mir reicht's. Ich will nichts mehr.
Für die technische Information bedanke ich mich aufrichtig, aber ich habe keine Lust für Rückfragen angepflaumt zu werden, die aufgrund von nicht eindeutigen Aussagen zustande kommen.