Whistler / Black Internet Rootkit - Infektionsforschung

harald007

Hallo Leute,

also ich hatte seit gestern Nacht die folgenden des öfteren beschriebenen Symptome:

- mehrere versteckte Internet Explorer Instanzen geöffnet, benutze jedoch nur Firefox
- Ab und zu Sound Aktivitäten in den Instanzen, nachgewiesen durch Bewegungen des Pegelmessers in der Lautstärken Regelung

Ansonsten bemerkte ich keine Symptome. Durch die oben aufgeführetn bin ich unter anderem auf dieses Forum gestoßen und hab erlesen das es sich wohl um den "Whistler / Black Internet" Rootkit handeln muss. Diesen habe ich mithilfe des Programms "Bootkit Remover" entfernt bzw. den MBR gefixt.

Nun scheint wieder alles in Ordnung zu sein. Jedoch ergeben sich ein paar Fragen auf die ich mir hier eine paar Antworten erhoffe

- Wie kann man sich mit dem Rootkit infizieren? Ich habe definitiv keine Programme installiert die nicht "clean" sind. In der besagten Zeit haben ich das Notebook nur zum surfen benutzt. Auch wenn nicht nur ausschließlich auf sagen wir mal weniger Seriösen Seiten. Trotzdem kann das doch nicht durch einfache Seitenaufrufe installiert werden oder?

- Ich werde das Notebook komplett platt machen und Windows neu installieren, da dieses auch wieder im Firmennetzwerk betrieben werden soll und mir die Gefahr zu groß ist. Bei einer Neuinstallation wird der MBR ja meiner Information nach neu geschrieben so das dieses wohl die einzig 100%ige Möglichkeit ist das System sauber zu kriegen?

- Warum findet man zu dem Rootkit so wenige Infos von den Herstellern namhafter Antiviren Software bzw. "offizieller Seite?

- Sind noch andere Dateien betroffen oder wie funktioniert ein Rootkit?

- Verbreitet sich das Mistding im Netzwerk oä.?

Seit dem W32.Blaster Wurm 2003/2004 hatte ich keinen derartigen Vorfall mehr und dagegen konnte man sich anfangs nicht schützen wenn ich mich recht erinnere. Das ganze kratzt schon ein wenig an der Ehre.

Kurz noch ein Paar Eckdaten meines Systems:
- Win7 Prof 32bit
- FF neueste Version (update aber nicht immer sofort)

Vielen Dank für eure Antworten im voraus!
-harald