hi wattwurm,

erstens: so gut wie jedes anti viren prog erkennt mitlerweile lovsan / msblast / blaster. viele anwender haben aber ihr anti viren prog nicht oft genug geupdated, so daß es noch nicht die virensignaturen von lovsan enthalten hat. da können die hersteller aber nichts für, wenn der anwender zu faul ist oder es nicht ernst nimmt.

das problem ist aber auch, daß bei einer schon bestehenden infektion die malware (ganz im allgemeinen) gelöscht werden kann, aber die registry einträge nicht zurückverändert werden. deshalb ist in der regel immer noch handarbeit angesagt.

wenn du ein gutes anti viren prog suchst, so wirst du mit kaspersky 4.5 gut beraten sein (hat auch eine hervorragende trojaner erkennung).

oftmals wurden aber removal tools nur empfohlen, da sie schneller und einfacher zu handhaben sind (wenn der schädling bereits bekannt ist).

ich hab auch oftmals die manuelle entfernung empfohlen, da man dann gleich die registry mitsäubert.

vor lovsan schützt man sich aber am besten, wenn man den microsoft patch gegen das sicherheitsloch 'RPC DCOM Buffer Overflow' installiert hat. man sollte sowieso regelmäßig alle verfügbaren patches einspielen.

zu den firewalls: ich hab heute schon an anderer stelle geschrieben, daß meine firewall innerhalb von knapp 1,5 stunden bei mir 12 eingehende zugriffe auf den port 135 geblockt hat. ich würde also immer zu einer desktop firewall raten (selbst wenn sie nicht vor hackerangriffen sicher schützt, so ist sie trotzdem praktisch).

ich habe mal einige infos zu lovsan und varianten zusammengesucht und veröffentlicht...

wenn es dich interessiert, dann kannst du es ja mal lesen.

grüße nico [img]graemlins/teufel3.gif[/img]

Hallo Nico4u,

danke für die schnelle und weiterführende Antwort.
Hätte nicht gedacht, dass AV-Programme doch zu etwas nützen, indem sie wie du schreibst den Wurm melden.
Deiner Empfehlung für Kaspersky werde ich allerdings
(noch ?) nicht folgen. Habe mal NOD32 2.O ausprobiert. Diese Programm hat bei mir hinsichtlich Bedienung, Geschwindigkeit, Fehlalarme einen postiven Eindruck hinterlassen (alles andere wie z.B. Erkennungsrate kann ich leider nicht beurteilen).

Bin nur noch am Überlegen, ob es wirklich nötig ist, Geld für ein derartiges Programm auszugeben bzw. ob Antivir als gratis Virenschutz nicht völlig ausreichend ist.

Gruss
Wattwurm

Hallo!

</font><blockquote>Zitat:</font><hr />Original erstellt von Wattwurm:
mich würde mal interessieren, welche Erfahrungen ihr mit Schutzprogrammen zum Aufdecken und Beseitigen von Lovson gemacht habt.</font>[/QUOTE]Die User verlassen sich in der Masse einfach zu sehr darauf, erwarten, dass sie durch die Installation einen Schutz erhalten, ohne sich selbst um Weiteres kümmen zu müssen. Dass dies - früher oder später - in die Hose gehen muss, sehen nur wenige (ein).

Was (in diesem konkreten Fall) das Aufdecken betrifft: Passende Signaturen zum Update der Anti-Viren-Programme standen erst Stunden nach dem eigentlichen Break-Out des Wurmes zur Verfügung. Hätte der Wurm selbst nicht so viele Bugs gehabt und durch von ihm verursachte Systemabstürze auf sich aufmerksam gemacht, wäre er von vielen sicher erst viel später entdeckt worden.

Diese Bugs jedoch haben auf der anderen Seite auch in einigen Fällen dazu geführt, dass aufgrund des ständigen Herunterfahrens des Systems keine Updates der Signaturen möglich waren, oder die Scanner gleich gar nicht mehr funktionierten.

Angenommen, der Wurm wäre nicht so "buggy" gewesen - dann hätte ein (wohlgemerkt stets aktuell gehaltenes AV-Programm, was leider auch viele User versäumen) nach Installation der passenden Signaturen auf diesen aufmerksam gemacht (vorausgesetzt, der Wurm hätte über kein Feature verfügt, laufende AV-Programme gezielt zu beenden).

Unabhängig davon: Vom Auftreten des Wurmes bis zur Bereitstellung von Signaturen ist derjenige User, der sich (in diesem Fall) auf das AV-Programm verlassen hat, von diesem nicht "geschützt" gewesen (Ausnahme für den Lovesan war afair die heuristische Erkennung von McAfee). "Geschützt" deshalb in Anführungszeichen, da ein wirklicher Schutz allenfalls darin bestanden hätte, den seit Wochen (!) bereitstehenden Patch zu installieren bzw. entsprechende Dienste zu beenden.

</font><blockquote>Zitat:</font><hr />Mir fällt auf, dass bei den Beiträgen zum Lovson-Problem diese Programme zwar erwähnt werden aber nicht im Mittelpunkt der Diskussion um die Bekämpfung dieses Wurms stehen, obwohl sie doch eigentlich davor schützen sollen.</font>[/QUOTE]Sollen, wie oben erläutert jedoch aus prinzipiellen Gründen gar nicht können. Die erheblichen Versäumnisse liegen in diesem Fall nämlich an einer ganz anderen Stelle: Eine vernünftige Systemkonfiguration- und Pfelege wurde in erheblichem Maße vernachlässigt.

Das ist jedoch nichts Neues - ich erinnere dabei nur mal an den Opasoft aus dem letzten Herbst. Weitere Beispiele gibt es zu Genüge.

</font><blockquote>Zitat:</font><hr />Vielleicht lag es daran, dass Loveson auch ohne AV-Programm dank der vielen Infos verhindert
bzw. beseitigt werden kann.</font>[/QUOTE]Falsch. Dieser Wurm kann effektiv und langfristig nur dann vom System verbannt bzw. ferngehalten werden, wenn man an der Ursache ansetzt (siehe oben).

</font><blockquote>Zitat:</font><hr />Ich selbst hatte keinerlei Probleme, weil wegen der Konfiguration von DCOM mit Beenden von epmap. Dieser "Schutz" war aber eher zufällig eingerichtet.</font>[/QUOTE]Genau dies wäre jedoch eine der zur vernüftigen Systemkonfiguration empfehlenswerten Maßnahmen.

</font><blockquote>Zitat:</font><hr />Vielleicht liegt es auch daran, dass AV-Programme nicht vor allen möglichen Gefahren schützen können</font>[/QUOTE]Auch. Doch in diesem Fall kann man nicht sagen: "Installiere ein AV-Programm und update es, dann bist du vor dem Wurm geschützt." Weil die Sicherheitslücke unbedingt vorrangig geschlossen werden muss. Ansonsten käme der Wurm immer wieder auf's System, und der Virenscanner würde immer wieder mit Virenwarnungen in kurzen Abständen hintereinander in Erscheinung treten, was ein normales Arbeiten unmöglich machen würde - von den vom Wurm hervorgerufenen Instabilitäten mal ganz zu schweigen.

</font><blockquote>Zitat:</font><hr />und nur dann, wenn ich eine Standleitung zum Updaten von Virendefinitionen einrichte (gebe zu, ich übertreibe ein wenig).</font>[/QUOTE]Trotz des Hinweises auf die Übertreibung ein klares "Nein" zu dieser Vermutung. Wie erläutert, würde es nicht nützen, jede Minute (auch übertrieben) auf neue Signaturen zu prüfen, wenn die passenden noch gar nicht vorliegen! Unabhängig davon sollte das AV-Programm nach Herstellen der Internetverbindung automatisch nach den neuesten Signaturen suchen und der Hersteller tägliche Updates bieten.

</font><blockquote>Zitat:</font><hr />Kurzum, ich habe den Verdacht, dass AV-Programme sowohl bei der Erkennung als auch bei der Beseitigung lovson's nicht gut abschneiden.</font>[/QUOTE]Vorweg: diesen Wurm sollte aufgrund der Verbreitung jedes AV-Programm erkennen, unabhängig von der Qualität der Scanengine. Aber: die Erkennung hilft in diesem Fall nicht weiter, da, wie bereits erläutert, grundlegend andere Faktoren entscheidend sind.

Die Entfernung gestaltet sich auch nicht so einfach, wenn der Prozess des Wurmes schon läuft. Beispiel: Während dir noch keine aktuellen Signaturen zur Verfügung stehen, gelangt der Wurm auf dein System. Nach einem Signaturenupdate erkennt die AV-Software den Schädling, kann ihn jedoch nicht entfernen, da der laufende Prozess von Windows geschützt wird. Also muss dieser zunächst beendet werden - entweder manuell vom User, oder mit Hilfe eines entsprechenden Entfernungstools, welches zudem auch gleich noch zugehörige Registry-Einträge entfernt.

</font><blockquote>Zitat:</font><hr />Nebenbei ist mir aufgefallen, dass nach einer Phase des "Verisses" von Firewalls in den Foren diesen gerade im Zusammenhang mit Lovson und Portblocking eine schützende Funktion zugebilligt wird.</font>[/QUOTE]Ich weiß nicht, wo du gelesen hast, und wer dies empfahl. Es kann natürlich sein, dass sich angesichts der Situration entsprechende "Fachleute" hervortun, die bereits zuvor zu dieser "Schutzmaßnahme" rieten - das heißt jedoch noch lange nicht, dass diese Maßnahme auch sinnvoll ist! Denn: Die Installation einer vermeintlichen Schutzsoftware entbindet nicht von dem Muss einer guten Systempflege (Patches, Konfiguration), da man ansonsten auch in anderen Fällen ganz schnell die ein oder andere böse Überraschung erleben wird.

Hier nur mal ein Beispiel von vielen.

Mit der Installation einer Personal Firewall ist es nicht getan - diese müsste entsprechend konfiguriert werden - ebenso wie das System.

</font><blockquote>Zitat:</font><hr />[...] mir geht es lediglich darum zu klären, welche "Schutzprogramm" im Zusammenhang
mit Würmern u.ä, wirklich schützen [...]</font>[/QUOTE]Wirklich schützen wird nur ein Konzept, innerhalb dessen du weißt, was du tust. Dies ist ausdrücklich nicht durch das bloße Aufspielen von Software zu erreichen.

</font><blockquote>Zitat:</font><hr />[...] aber sie sollte auch nicht zum Selbstzweck werden nach dem Motto: "Erst fangen wir uns einen Schädling (und den Schaden)
ein, um zu analysieren, welches Prgramm geholfen haben könnte."</font>[/QUOTE]Darum ist es ja so wichtig vorzubeugen - eine Installation von Malware bedeutet immer auch ein kompromittiertes System. Leider sieht es die unwissende Masse (soll jetzt keine Abwertung sein) jedoch so: "Mei, hab halt nen Virus, ist aber heutzutage gar nicht zu vermeiden!", und liegt damit weit daneben.

Hallo!

</font><blockquote>Zitat:</font><hr />Original erstellt von nico4u:
[...]da können die hersteller aber nichts für, wenn der anwender zu faul ist oder es nicht ernst nimmt.</font>[/QUOTE]Das beginnt dann aber bereits bei der Nachlässigkeit der Installation von Patches für das Betriebssystem. Ironischer Weise ist es gerade das Windows Auto-Update, welches die User deaktivieren, um sich vor dem "Windwos-Phonehome" zu "schützen". Problematisch wird es dann, wenn zusätzlich das manuelle Updaten vergessen und/oder vernachlässigt wird.

</font><blockquote>Zitat:</font><hr />das problem ist aber auch, daß bei einer schon bestehenden infektion die malware (ganz im allgemeinen) gelöscht werden kann,</font>[/QUOTE]Im Allgemeinen eher nicht, wenn ein aktiver Malwareprozess von Windows geschützt wird.

</font><blockquote>Zitat:</font><hr />vor lovsan schützt man sich aber am besten, wenn man den microsoft patch gegen das sicherheitsloch 'RPC DCOM Buffer Overflow' installiert hat. man sollte sowieso regelmäßig alle verfügbaren patches einspielen.</font>[/QUOTE]ACK, siehe oben.

</font><blockquote>Zitat:</font><hr />zu den firewalls: ich hab heute schon an anderer stelle geschrieben, daß meine firewall innerhalb von knapp 1,5 stunden bei mir 12 eingehende zugriffe auf den port 135 geblockt hat.</font>[/QUOTE]Der Port gehört eh geschlossen und die Sicherheitslücke gepatcht. Von daher könnten noch so viele Portscans erfolgen - es würde nichts passieren.

</font><blockquote>Zitat:</font><hr />ich würde also immer zu einer desktop firewall raten (selbst wenn sie nicht vor hackerangriffen sicher schützt, so ist sie trotzdem praktisch).</font>[/QUOTE]Naja, man kann anhand selbiger lernen, aber zur Installation zwecks wirklichen Schutzes würde ich sie nicht empfehlen.

</font><blockquote>Zitat:</font><hr />Original erstellt von Wattwurm:
Deiner Empfehlung für Kaspersky werde ich allerdings (noch ?) nicht folgen. Habe mal NOD32 2.O ausprobiert. Diese Programm hat bei mir hinsichtlich Bedienung, Geschwindigkeit, Fehlalarme einen postiven Eindruck hinterlassen (alles andere wie z.B. Erkennungsrate kann ich leider nicht beurteilen).</font>[/QUOTE]Beide haben ihre Vorzüge. NOD32 in der geringen Ressourcenbeanspruchung, der herauszuhebenden ITW-Erkennung sowie der guten Heuristik, Kaspersky mit allgmein ausgezeichneten Erkennungsraten und (mehrfach) täglichen Signaturenupdates.

</font><blockquote>Zitat:</font><hr />Bin nur noch am Überlegen, ob es wirklich nötig ist, Geld für ein derartiges Programm auszugeben bzw. ob Antivir als gratis Virenschutz nicht völlig ausreichend ist.</font>[/QUOTE]Der einzige Vorteil von AntiVir ist, dass es kostenfrei verfügbar ist.

Hallo,


mich würde mal interessieren, welche Erfahrungen ihr mit Schutzprogrammen zum Aufdecken und Beseitigen von Lovson gemacht habt. Mit Schutz- programmen meine ich AV- /Antitrojaner-Programme u.ä.

Mir fällt auf, dass bei den Beiträgen zum Lovson-Problem diese Programme zwar erwähnt werden aber nicht im Mittelpunkt der Diskussion um die Bekämpfung dieses Wurms stehen, obwohl sie doch eigentlich davor schützen sollen. Ich habe nur von einem AV-Programm gelesen, das zumindest den Wurm erkannt hat, nämlich das AV-Programm von McAfee.

Vielleicht lag es daran, dass Loveson auch ohne AV-Programm dank der vielen Infos verhindert
bzw. beseitigt werden kann. Ich selbst hatte keinerlei Probleme, weil wegen der Konfiguration von DCOM mit Beenden von epmap. Dieser "Schutz" war aber eher zufällig eingerichtet.

Vielleicht liegt es auch daran, dass AV-Programme nicht vor allen möglichen Gefahren schützen können
und nur dann, wenn ich eine Standleitung zum Updaten von Virendefinitionen einrichte (gebe zu, ich übertreibe ein wenig).

Kurzum, ich habe den Verdacht, dass AV-Programme sowohl bei der Erkennung als auch bei der
Beseitigung lovson's nicht gut abschneiden.

Nebenbei ist mir aufgefallen, dass nach einer Phase des "Verisses" von Firewalls in den Foren
diesen gerade im Zusammenhang mit Lovson und Portblocking eine schützende Funktion zugebilligt wird.
(Seht es mir bitte nach, wenn ich gerade keine Quellen zur Hand habe, die dies belegen. Ich denke,es werden sich Leute finden, die dies bestätigen können)

Ich will hier jetzt nicht wieder die Diskussion über das Pro und Contra von Firewalls vom
Zaum reißen, mir geht es lediglich darum zu klären, welche "Schutzprogramm" im Zusammenhang
mit Würmern u.ä, wirklich schützen und welche nicht, undzwar in einem Maße, dass sie nicht
die g a n z e Aufmerksamkeit des Anwenders und auch nicht meine Festplatte für sich beanspruchen,
um dann doch nicht richtig zu funktionieren oder mir wieder sagen lassen zu müssen: "Pech gehabt,
dieses oder jenes Programm ist für diese Attacke nicht geeignet, versuch es mal mit dem."

Wohlgmerkt, es geht nicht darum die Auseinandersetzung mit AV-Programmen u.ä. das Wasser abzugraben, aber sie sollte auch nicht zum Selbstzweck werden nach dem Motto: "Erst fangen wir uns einen Schädling (und den Schaden)
ein, um zu analysieren, welches Prgramm geholfen haben könnte."

Kann durchaus sein, dass ich falsch liege und AV-Programme für diese Aufgabe gar nicht geeignet
sind, es hierfür andere Programme gibt, die ich einfach übersehen habe, oder das Ganze schon mal an anderer Stelle diskutiert wurde. Wie auch immer, wäre schön, wenn ihr mich aufklären und über eure Erfahrungen berichten würdet.

Gruss
Wattwurm

</font><blockquote>Zitat:</font><hr />Original erstellt von mmk:
.... Kaspersky mit allgmein ausgezeichneten Erkennungsraten und (mehrfach) täglichen Signaturenupdates.
</font>[/QUOTE]Ist auch nichts Besonderes......ich habe gestern von NOD32 drei!!! Signaturupdates bekommen.
Allerdings grenzt meines Erachtens die Scanngeschwindigkeit bei KAV schon an eine Frechheit. Über 1 1/2 Stunden für eine 13 GB Platte ist doch wohl ein schlechter Witz. NOD32 Version 2 braucht für die gleiche Arbeit 12 Minuten.
Sicherlich ist KAV ein sehr guter Scanner aber an einigen Stellen hapert es doch noch.

</font><blockquote>Zitat:</font><hr />Ist auch nichts Besonderes......ich habe gestern von NOD32 drei!!! Signaturupdates bekommen.</font>[/QUOTE]Nur am Wochenende kommt meist nix. Ansonsten ist's ja auch OK.

</font><blockquote>Zitat:</font><hr />Allerdings grenzt meines Erachtens die Scanngeschwindigkeit bei KAV schon an eine Frechheit. Über 1 1/2 Stunden für eine 13 GB Platte ist doch wohl ein schlechter Witz. NOD32 Version 2 braucht für die gleiche Arbeit 12 Minuten.</font>[/QUOTE]Hier vergleichst du den schnellsten überhaupt verfügbaren Scanner mit einem, der in Standardkonfiguration fast _alles_ (an Archiven) durchsucht, was sich so auf dem Computer befindet. Das solltest du bei einer 'Bewertung' auf jeden Fall beachten.

</font><blockquote>Zitat:</font><hr />Sicherlich ist KAV ein sehr guter Scanner aber an einigen Stellen hapert es doch noch.</font>[/QUOTE]Sicher, es gibt ein paar Dinge, die zu verbessern wären. Prinzipiell muss jedoch beachtet werden, dass z.B. der Scan aller komprimierten Dateien mehr Zeit in Anspruch nimmt.

hi mmk,

hier noch mal eine Bemerkung zu deinem ersten Beitrag:

zunächst einmal vielen Dank für deine aufschlussreiche Antwort, aus der ich für mich folgenden Konsequenz ziehe:
Ob Firewall oder AV-Programme (,da es 1.anders kommt was die tatsächlich eintreffenden "Schädlinge" betrifft und zweitens als man denkt, was die vermuteten "Schädlinge" und Schutzstrategien betrifft) spare ich das Geld für derartige Programme.

Du selbst schreibst hierzu:

"...in diesem Fall kann man nicht sagen: "Installiere ein AV-Programm und update es, dann bist du vor dem Wurm geschützt." Weil die Sicherheitslücke unbedingt vorrangig geschlossen werden muss. Ansonsten käme der Wurm immer wieder auf's System, und der Virenscanner würde immer
wieder mit Virenwarnungen in kurzen Abständen hintereinander in Erscheinung treten, was ein
normales Arbeiten unmöglich machen würde - von den vom Wurm hervorgerufenen Instabilitäten
mal ganz zu schweigen."

Hinzu kommt, dass ich seit zwei Jahren auch ohne Firewall und AV-Programme keinerlei Probleme mit Viren Würmern und sonstigem Schädlingen gehabt habe. Allerdings führe ich regelmäßig Sicherheitsupdates (Microsoft)durch und habe Systemdienste lt. www.kssysteme.de gesperrt bzw. konfiguriert.Als Drittes bin ich vorsichtig im
Umgang mit Browsern und Mail-Programmen. Ich verwende weder ein einen Microsoft Browser noch ein MS Mail-Programm

Die Diskussion um Sicherheitsprobleme in den Foren hat mich aber insofern verunsichert als das nicht
ausreichend zu sein scheint. Wenn aber AV-Programme/Firewalls u.ä. im Grunde nichts bringen, und ich als Normaluser keine Lust habe ständig die Sicherheitseinrichtungen meines PC'zu kontrollieren und zu verändern, dann stellt sich in der Tat die Frage nach einem ÜBERSCHAUBAREN FÜR DEN nORMALUSER VERSTÄNDLICHEN sICHERHEITSKONZEPT.

Ich denke du hast völlig Recht, wenn du schreibst:

"Die User verlassen sich in der Masse einfach zu sehr darauf, erwarten, dass sie durch die
Installation einen Schutz erhalten, ohne sich selbst um Weiteres kümmen zu müssen. Dass dies
- früher oder später - in die Hose gehen muss, sehen nur wenige (ein)."

Andererseits kann es nicht sein, dass bei der ganzen Auseinandersetzung um sicherheitstechnische Einrichtungen vergessen wird, dass der PC für die meisten ein nützliches Werkzeug sein soll und kein
Forschungsgegenstand, das den Anwender eher belastet als entlastet. Wenn ich Auto fahren will brauche ich zwar einen Führerschein und ein funktionsfähiges Auto aber keinen KFZ_Meisterbrief und kein gepanzertes Fahrzeug, um halbswegs sicher unterwegs zu sein.

Ich denke die Wahrheit im Hinblick auf den fraglichen Einsatz in die Computersicherheit liegt wie so häufig irgendwo in der Mitte. Wo dieses "irgendwo genau liegt, weiß ich nicht. Vielleicht wäre es ja ein Ansatz mit einer 2. Festplatte
und einem Image zu arbeiten. Damit könnte man zumindest mit einer Platte weiterarbeiten, wenn die Andere befallen ist,und von dort aus die 2 reparieren. Bleibt nur die Frage, ob die Reparatur gelingt.Mit einem AV-Programm vielleicht ? Und hier schließt sich der kreis

Ach, ich armer Tor, bin so schlau wie zuvor.Aber einen Versuch war's wert.

Gruss
Wattwurm

Hi,

Wenn du deine System gut konfiguriert/abgesichert hast, ist eine Firewall imho nicht nötig

ABER: ohne halbwegs gutes AV-Programm würde ich mich nicht im Netz bewegen.
Klar: Email-Viren erkennt man sofort, aber was ist mit Netzwerk-Würmern, Wechselmedien ?

Zumindest Zugriff auf gute Online-AV-Scanner ist imho ein Muss