Hi!

Ich hab mir mal AVG AV + Firewall, Malwarebytes und Threatfire auf VM installiert und muss sagen, das die Combi ganz gut zusammen arbeitet!

Ich möchte euch hier mal einen Bericht dazu abgeben, was passiert und warum!

Listen von Malwaredomainlist getestet und es werden 90% direkt vor dem Download der Malware von Malwarebytes geblockt...der Rest sind Trojaner, die so gut gestealth sind, das die nichtmal in Virustotal erkannt werden!

Da meine VM nur 256 MB hat musste ich noch den Process Lasso installieren, damit alles etwas flüssiger läuft, aber es läuft ganz gut! Nur der Systemstart hängt bischen hinterher, aber das liegt auch an den "nur 256MB" Ram...

Und nun werde ich mal 2 Files auf einem Clone laufen lassen und bin mal gespannt, ob eines der drei AV Scanner erkennt, wenn sich da ne Backdoor installiert! Threatfire sollte das ja können. AVG sollte ,mit MBAM, da aber auch anspringen.

Was mich nur wundert ist, das bei VT, ausser 2x Generic, da nichts anspricht!

Das zeugt doch mal wieder von extremer Virenkriminalität, wenn ein Virus so verdeckt und versteckt in einem File liegt, das da nichtmal das Gro an Virenscannern anschlägt, bis man das File ausführt...

Analyse...also das eine ist eine Datei mit dem Namen "load.exe"!
Die wird von keinem AV auf VT erkannt...wie oben schon geschrieben.
Nach dem Starten kommt keinerlei Meldung von den AVs, schätze mal, das die Backdoor, die es ist, eine VM erkennt und sich darauf nicht verewigt...!

Die zweite Datei ist ein ZLOB Trojaner, der nach dem starten sofort von Threatfire erkannt wird und bevor der Installiert wird, kann man die Bedrohung unterbinden! Also kein Problem für Threatfire...die restlichen 2 AVs haben keine Meldung ausgegeben.

Das beste ist natürlich sich nicht auf angebotene Dowloads von HTML Links einzulassen...auch wenn sie noch so verführerisch klingen mögen...ich sage da nur Rogue AV oder Security Scanner 2010 oder sowas! Das muss einen schon Stutzig machen, wenn man ne EXE Datei angeboten bekommt, die angeblich alle Viren vom PC vertreibt...

Also AV muss sein, bringt aber ohne etwas Grundkenntniss und Sekptik gegen unangeforderte Downloads nichts...und man sollte sein System Immer aktuell halten und möglichst mit nem eingeschränkten Konto Surfen...Und:

Wenn man EXE Dateien erhält, diese vorher immer mit Virustotal überprüfen und/oder auf VM testen...nie auf nem Real PC...sonst ist es vieleicht zu spät und Windows ist verseucht!

Gruss BIOTEC

EDIT: Und wie ich nach nem Neustart der VM bemerkt habe, hat sich die Backdoor doch installiert und keines der AVs konnt irgendwas dagegen unternehmen...also seit vorsichtig mit dem was ihr ausführt...nicht überall kommt ein Fähnchen raus, wo draufsteht: "Hallo, ich bin ein Trojaner!"

Ich hab mir mal AVG AV + Firewall, Malwarebytes und Threatfire auf VM installiert und muss sagen, das die Combi ganz gut zusammen arbeitet!

Ist das die free Version von Malwarebytes oder die gekaufte?

Na die gekauft natürlich...

Zitat von BIOTEC

Also AV muss sein, bringt aber ohne etwas Grundkenntniss und Sekptik gegen unangeforderte Downloads nichts...und man sollte sein System Immer aktuell halten und möglichst mit nem eingeschränkten Konto Surfen...Und:

Wenn man EXE Dateien erhält, diese vorher immer mit Virustotal überprüfen und/oder auf VM testen...nie auf nem Real PC...sonst ist es vieleicht zu spät und Windows ist verseucht!

Du hast Deine Versuche sehr schön beschrieben.

Ich vertraue den Ergebnissen von Virustotal nicht sehr, sie geben manchmal/oft einen Hinweis, aber eben manchmal auch nicht. Testen einer EXE ist auch für mich wichtig, nur ist dazu eine VM eher ungeeignet, wie Du ja auch schon bemerkt hast.

Ich nutze dazu einen PC aus alter Hardware, aus meiner Sicht die bessere Lösung. Mit KVM-Switch wird nur ein Monitor/Tastatur/Maus benötigt.

Bloß: braucht man wirklich ein AV? Ich bin bestimmt seit 4 Jahren "ohne" und war nicht infiziert, den Test-PC zähle ich jetzt mal nicht, denn der ist ja dazu da.

Mich haben übrigens ähnliche Experimente dazu gebracht auf ein AV zu verzichten

Stimmt...Brain ist immer soch das beste! Ich hab zwar KIS 2010 istalliert, aber ich hab den immer aus, weil der den PC nur behindert...aber in ganz seltenen Fällen mach ich ihn auch mal an...aber, wie du schon gesagt hast, kann man auch ganz drauf verzichten...meine Freundin hat garnichts auf dem Laptop...nur die Firewall an...sonst nix und da ist nie was drauf...!

Zitat von BIOTEC

Ich hab zwar KIS 2010 istalliert, aber ich hab den immer aus, weil der den PC nur behindert...

Ein AV behindert aus meiner Erfahrung auch das Gefühl für den PC, naja, vielleicht nur bei denjenigen, die ein Gefühl für den PC haben.
Man kann, meistens zumindestens, bemerken, wenn ein RAT/Trojaner remote benutzt wird. Der "Verbrauch" von CPU-Leistung kann spürbar sein, und dazu muß der PC nicht alterschwach sein.

Stimmt und wenn man bischen auf den Traffic achtet, wird einem das auch klar...vor allen Dingen, wenn man nur ne 768er Leitung hat, wie ich! LOL

Wenn da noch jemand Remote was macht, dann wird einem das bestimmt schnell klar, wenn man nicht mehr mit 92 kb zieht, sondern mit weniger.

Da würde ich dann mal netstat benutzen um mir das mal genau anzuschauen!

netstat, naja, ich finde es nicht so aussagekräftig.

sieh Dir mal die Freeware-Version von Netlimiter an, ich denke sie wird Dir auch gefallen.

Also wenn man sein Netzwerk überwachen will gibts für mich nur ein Tool Wireshark. Besser gehts nicht.

Gruß

Acid

Zitat von Heike

Man kann, meistens zumindestens, bemerken, wenn ein RAT/Trojaner remote benutzt wird.

Nasowas, mein Ansinnen wäre es sowas gar nicht zu bekommen.
Aber mancher lebt auch nach der Methode, wenn die Zähne weh tun, dann gehe ich zum Zahnarzt, aber zähneputzen tu ich nicht.
Nachsorge macht mehr Spaß (und verlangt weniger Disziplin) als Vorsorge.
Nur mal so als Anregung.

Zitat von Heike

Der "Verbrauch" von CPU-Leistung kann spürbar sein, und dazu muß der PC nicht alterschwach sein.

Sogar an Fremd-PCs, allerdings haben ähnliche Effekte auch ganz einfach Vermüllungsvorgänge vom Typ "ich installiere alles" (gerne von ComputerBLÖD- oder Chip-DVDs) u.v.m. Aber dies sieht man ja recht schnell.

Shadow, man kann auch mal etwas testen nur weil man an dem Ergebnis interessiert ist. Natürlich habe ich dazu nicht einen irgendwo gefundenen Keygen auf "meinem" PC gestartet. Ich bin ja verrückt, aber ganz so schlimm ist es doch noch nicht.

Acid: NetLimiter ist etwas ganz anderes als Wireshark.

Zum Testen natürlich, aber deine Antwort zielte (war eine Antwort) auf einen Beitrag der laut meinen Augen deutlich nichts mit Testumgebung zu tun hat.
Allerdings kann man ja auch das Leben insgesamt als einen Test betrachten

Deswegen mach ich das ja auch mal...damit man selber mal am eigenen PC erfährt, wie es so sein kann sich z.b. einen Sality einzufahren...(und es war erschreckend...^^)

Um damit dann auch anderen User z.b. zu zeigen, was passieren kann, wenn man sich einfach mal auf der seite xyz ne scheinbar sichere Software lädt und sich dann wundert, warum der PC nicht mehr so richtig funktioniert.

Für das entfernen und Tips geben seit ihr ja zuständig, da ich ja schon verboten bekommen habe, mich an den Threads zu beteiligen, obwohl ich immer geschrieben habe, das ich davon nicht so viel Plan habe und die betroffenen auf die Pros warten sollen...find ich eigendlich doof...man kann ja auch mal seine Meinung dazu schreiben...ich mach bei denen aufm PC nichts kaputt, wenn ich denen schreibe, das sie mal ein LOG machen könnten!

Aber ich werde weiter "Forschen" und weiter hier in der Diskussion meine Erfahrungen posten, wenn keiner was dagegen hat!

Gruss BIOTEC