Virenalarm! Oder doch nicht?

[QuHno]

Dieser Beitrag wendet sich an normale Computerbenutzer.

In letzter Zeit häufen sich wieder einmal die Fälle, bei denen Personen Webseiten besuchen und ihnen plötzlich ein Fenster entgegen springt, welches ihnen mitteilt, dass der Rechner völlig von Viren verseucht sei und man doch bitte jetzt den Scan starten soll.

So sieht das häufig aus, kann aber auch abweichen (klicken um zu vergrößern):

Screensots aktueller Rogue | Fake | gefälschter AV Programme kann man sich in der Google Bildersuche oder hier in der Bing Bildersuche ansehen.
Dies ist keine Windows Meldung!

Wie man so etwas erkennen kann:

• 1. Normalerweise spricht ein in Deutschland installiertes Windows Deutsch mit seinem Benutzer.
• 2. Dekorelemente wie Titelleisten usw. sehen anders aus.
• Über echte Fehlermeldungen lässt sich kein anderer Tab legen, sie bleiben im Vordergrund.
• Normalerweise versuchen Webseiten seriöser Hersteller nicht so auszusehen wie Windows Systembildschirme. Die Hersteller achten sehr auf das Image ihrer Marken ("Brand Awareness") und möchten nicht mit anderen Herstellern verwechselt werden.

Was man in einem solchen Fall tut:

• 3. Auf keinen Fall irgendetwas innerhalb des Browserfensters /-tabs anklicken!
  Garnichts!
  Überhaupt nichts!
  Denn häufig ist die gesamte Seite anklickbar und sobald man irgendwo auf der Seite klickt, geht der Download los und man fängt sich genau das ein, was man da gerade so schön angezeigt bekommt oder noch viel schlimmeres.
• 4. Hier klicken!

Falls man dennoch Sorge hat, dass man sich im Vorbeigehen etwas eingefangen hat (unwahrscheinlich aber nicht unmöglich), sollte man als erstes den Browser schließen und seinen eigenen Virenscanner starten.

Sollte dieser nichts finden und man ihm nicht (mehr) vertrauen, kann man einen echten Online Scanner eines echten Antiviren-Programm Herstellers eine erste Gegenprobe machen lassen:

Hier eine Liste der AV Hersteller, die online Scans anbieten mit Hinweisen, in welchen Browsern sie funktionieren (meistens IE) und was man sonst noch so beachten sollte.

edit: Besser noch ist der Scan mit einer aktuellen LiveCD dieser Liste oder dieser Liste (Einige der Live CDs auf der Liste stehen nur existierenden Kunden des Herstellers zur Verfügung und einige kosten Geld). Die Hersteller haben seit der der Erstellung des ursprünglichen Beitrags an den Oberflächen gearbeitet, so dass die Scans auch für nicht-Experten weitgehend problemlos durchführbar sind. Die CDs sollten natürlich nicht mit dem infizierten System heruntergeladen und gebrannt werden, versteht sich.

Bitte nur scannen und die Ergebnisse anzeigen aber nicht direkt alle Verdächtigen entfernen lassen, denn was weg ist ist weg und sollte versehentlich eine saubere aber wichtige Systemdatei gelöscht werden, hat man auch ein Problem

Sollte man sich tatsächlich etwas eingefangen haben, sind die üblichen Maßnahmen zu treffen ...
Win7, Vista, XP

Wissen, wie das System bei einem Fund reagiert, ist die beste Schutzmaßnahme gegen solche Seiten.

Damit man sich vor einem Befall einmal gefahrlos ansehen kann, wie eine echte Meldung des eigenen Systems aussieht, kann man sich von der EICAR Webseite den The Anti-Virus or Anti-Malware test file herunterladen oder auch selbst erstellen.

Bitte vorher den kompletten Text auf der EICAR Seite lesen, um von Anfang an Probleme zu vermeiden.

Zum selbst erstellen muss man lediglich den Windows Editor öffnen (Nicht Word oder eine andere Textverarbeitung), von der Eicar Seite die Zeile, die mit X5O!P beginnt kopieren und unter dem Namen eicar.com speichern. Beim speichern darauf achten, dass im unteren Auswahlfeld (Codierung) ANSI steht.

Normalerweise sollte schon alleine der Speichervorgang einen Alarm auslösen, der Alarm sollte aber spätestens dann auftreten, wenn die Datei per Doppelklick gestartet wird.
Wenn dies nicht der Fall ist, ist die AV Software nicht (mehr) aktiv und man sollte beginnen sich ernsthaft Sorgen zu machen.

Die Original Datei von der EICAR Seite ist kein Virus und keine Malware, dennoch muss dieser Alarm bei jeder funktionierenden AV Software auftreten, da alle AV Hersteller weltweit die Erkennung dieser Datei in ihren Virendefinitionen aufgenommen haben!

 

[Brummelchen]

Eigentlich hatte ich vor, auf die anderen Themen zu antworten, aber hier dürfte
das dann besser platziert sein. Sorry, wenn ich deinen Beitrag dazu aufdröseln muss,
der ist nämlich in dieser Form unvollständig.

Es gibt keinen Begriff für solche Webseiten, lediglich für die Masche als auch für die Software.
In Anlehnung an diesen Artikel http://isc.sans.org/diary.html?storyid=7144

Solche Fake Antivirus-Programme" nennen sich "rogue av", wobei treffend "betrügerisch"
oder "schurkisch" sein dürfte http://dict.leo.org/?search=rogue

Die Absicht dahinter ist jedesmal dieselbe - Geldmacherei durch weitere
Dienste, zB Reparatur oder Bereinigung. Und die Vorgehensweise ebenso
- es wird eine falsche Webseite mit aktuellen Schlagzeilen erstellt, die über
und über mit Links auf die Betrügerseite bestückt ist. D.h. ausser diese Webseite
zu schliessen gibt es kein Entkommen.

Auf jener Webseite werden dann verschiedene Mechanismen und Techniken ausgeführt,
die dann zu dem von dir gezeigten Bild führen. Ich hatte das vorher schon angesprochen,
allerdings nahm man es damals wohl nicht so ernst:
https://www.supernature-forum.de/si...lles-java-keine-garantie-fuer-sicherheit.html
Flash, JAVA, PDF und diverses Javascript im browser sind heutzutage die gefährlichen Elemente,
und deren Kombination!

Dies ist keine Windows Meldung!

Das ist richtig, es gibt allerdings mehr als zwei Ausschlusskriterien, von denen dein Bild
leider nur zwei zeigt.

a) Stimmt das Betriebssystem überhaupt?
Wie hier aufgezeigt ist/war der fragende Benutzer mit einem Mac unterwegs, allerdings
hätte es auch ein Linux sein können, beide sind bislang keine Zielgruppe.

b) Sprache - stimmt diese mit meiner Installation überein?
(ein in Deutschland installiertes Windows spricht nicht automatisch deutsch!)

c) (Windows-)Style
Am häufigsten findet sich der Windows-XP Luna-Style wieder - dieser wird
unter XP auch am meisten benutzt, besonders in Firmennetzwerken mit
identischen Rechnern.
Aber wie im Artikel gezeigt, gibt es mehr und mehr professionelle Aufmachungen,
die mehr wie Vista oder Windows 7 aussehen.
http://isc.sans.org/diary.html?storyid=7144

d) Pfade - stimmen die Pfade der angezeigten Dateien überhaupt mit meinen
Installationen überein? Hier werden nur Dateien angezeigt, im Artikel stehen
auch (abgekürzte) Pfade.

und sobald man irgendwo auf der Seite klickt, geht der Download los

Abhängig vom Browser und seinen Einstellungen gibt es vorher eine Abfrage.
D.h. man sollte sich schon zwingend und auch anderweitig damit beschäftigen,
bevor man überhaupt ins Internet verbindet.
Das hier gezeigte Beispiel und wohl auch die anderen hingegen beenden den
"Suchlauf" mit dem Download oder dem [x] am Popup leider nicht, man gelangt
in eine Dauerschleife, die sich nur durch Browserende oder Fenster/Tab-Ende
abbrechen lässt.

Beendet man den Browser oder Tab passiert eigentlich recht wenig, bis auf
die Möglichkeit, dass ein Javascript-Ereignis zu Ereignis "Beenden/Schließen"
noch einen Code ausführt und nochmal ein Browserfenster öffnet. Das kann
dann richtig nervig ausarten und dann hilft nur noch der Griff zum Taskmanager,
Prozess "abschiessen"

Tritt der Fall ein, dass die "inst.exe", oder "setup.exe" oder auch "antivirus.exe" ,
die Namen können variieren, auf der heimischen Festplatte landen, ist bis dahin
ausser einem Download nicht viel passiert.

Spätestens hier sollte dann bewusster Computerbenutzer nochmal nachdenken
und die Datei zwingend löschen. Oder er gehört zu der neugierigen und gutmütigen
Gruppe Benutzer, die dem Klamauk Glauben schenken und die heruntergeladene
Datei tatsächlich ausführen. Spätestens hier werden Menschen wie ich in die Tischkante
beissen und aufjaulen, denn man lässt auch nicht jeden Tag Fremde in seine
Wohnung und lässt diese gewähren.

dass man sich im Vorbeigehen etwas eingefangen hat (unwahrscheinlich aber nicht
unmöglich), sollte man als erstes den Browser schließen und seinen eigenen
Virenscanner starten.

Soweit korrekt, wenn da nicht wäre...
Voraussetzung für die Erkennung des Rogue AV ist hier vornehmlich die Signaturdatenbank
des suchen (installierten) Antivirus-Programms. Und hier muss man deutlich
betonen, dass die Signaturen bei weitem nicht so umfassend und wachsend sind,
wie die Rogue AV sich ändern.
(Signaturen sind nur reaktiv, selbst eine Heuristik arbeitet nur auf Verdacht)
Für den speziellen Fall Eset wird das auch hier belegt:
http://www.wilderssecurity.com/showthread.php?t=270288
(hier wurden mehrere Rechner in einer Firma infiziert trotz aktueller Signaturdatenbank)
Es hätte aber auch Avira, Kaspersky und andere treffen können, hat es auch,
wenn man deren Foren durchstreift.

Was ebenso NICHT erwähnt wird, dass manche Rogue AV sogar Trojaner und Keylogger installieren:

(some rogue AV versions even steal local data and install keyloggers).

Ansonsten sollte es auch jetzt wieder klingeln - wie weit kann man der installierten
Antivirussoftware eigentlich noch vertrauen? Einige haben zwar einen Selbstschutz,
jedoch ohne gesetztes Benutzerkennwort geht der Trojaner ruckzuck durch
die Programmeinstellungen, stellt alles um und setzt zum Schluss sein eigenes
Kennwort drauf, damit wäre der menschliche Benutzer ausgesperrt.
Wer schaut schon täglich in sein AV-Programm, wenn es sich nicht sonderlich meldet?

Von daher sind externe Prüfmedien wie die ständig aktuelle ISO von Avira oder
Kaspersky und anderen eindeutig zu bevorzugen!.

Bitte nur scannen und die Ergebnisse anzeigen aber nicht direkt alle Verdächtigen entfernen
lassen, denn was weg ist ist weg und sollte versehentlich eine saubere aber
wichtige Systemdatei gelöscht werden, hat man auch ein Problem

Sollte man sich tatsächlich etwas eingefangen haben, sind die üblichen Maßnahmen zu treffen

Diesem Part des obigen Textes widerspreche ich jedesmal auf heftigste.

a) Vordergründig lassen sich die meisten Spuren löschen, allerdings steht weder
eine Codeanalyse noch ein Internetprotokoll noch der Gedankengang des "Herstellers"
zur Verfügung, um so ein Verhalten zu rechtfertigen.
NIEMAND kann daher eine 100% Entwarnung geben, das ist nur genau einem möglich!

Ich habe für solche Fälle einen Textbaustein, den man verinnerlichen sollte.
Es sind nicht meine Worte, sondern (ausgerechnet) die von Microsoft:

Säubern eines gefährdeten Systems
http://www.microsoft.com/germany/technet/datenbank/articles/600574.mspx

Sie können ein gefährdetes System auch nicht säubern, indem Sie einen Virenscanner
verwenden. Um die Wahrheit zu sagen, einem vollständig kompromittierten System ist
einfach nicht mehr zu trauen. Auch Virenscanner müssen sich an irgendeinem Punkt
darauf verlassen können, dass die Rückmeldungen des Systems der Realität entsprechen.
Und auf die Frage, ob eine bestimmte Datei vorhanden ist, antwortet der Angreifer ggf.
einfach mit einem Tool, das falsche Tatsachen vorspiegelt.

Was deine sehr lange Passage zu EICAR in diesem Zusammenhang ausdrücken soll,
ist mir nicht ersichtlich. EICAR ist sehr fern von jeglicher Realität.
Und nach dem Textbaustein zu urteilen...
(die erwähnte Textdatei muss zudem im ANSI-Format gespeichert
werden, moderne Textbearbeitungen speichern Text als UTF-8.)

Zurück zum Anfang, zurück zum Bild. Dort ist als Browser Firefox und als
Erweiterung WOT abgebildet. WOT ist ebenfalls nur reaktiv, es meldet sich
erst, wenn so eine Seite schon angezeigt wird. Es ist ermüdend, diese Art
des Schutzes zu widerlegen, weil es die wenigsten beherzigen, das Fenster
gleich zu schließen noch wurde bis dahin eine andere Sperre wirksam.
Der Mensch ist von Natur aus neugierig und alles Vebotene hatte schon seit
der Bibel seinen Reiz.

So wie einige gerne ein pro-aktives Antivirus benutzen würden, sollte man ebenso
seinen Browser einrichten. Das, was erst gar nicht vorhanden ist, wird auch
nicht angezeigt. Andersherum - was da ist, kann auch angezeigt und ausgeführt
werden. Dehnt man diese Betrachtung auf ein Sicherheitskonzept aus, sind
die Annahmen über Softwarefirewalls alle richtig - ihr Nutzen tendiert gegen
Null, falls der Schädlich sich schon im System und evtl. ausgeführt befindet.
Diese schützt dann nur den Rest vom Internet vor so einem Rechner, falls
nicht auch schon anderweitig überwunden.

Sicherheitskonzepte ist (noch) nicht Gegenstand hier, aber selbst wenn,
würde mindestens die Hälfte an Text ausmachen.

------------------------------------------------------------------------

Eine bitte noch an ein paar spezielle Mitglieder hier, die ich jetzt nicht alle
namentlich auflisten möchte. Es ist wunderbar, wenn ihr mitarbeitet, aber
was ich hier in den letzten 2-3 Wochen an gefährlichem Halbwissen
lesen durfte, ist einfach nur erschreckend und einfach nur gefährlich
für denjenigen, der wirklich kompetente Hilfe sucht. Zeitraubend sowieso.
Es wäre daher von Vorteil, wenn ihr a) nicht vorlaut dazwischen sabbeln
und b) nicht die falschen Tips geben würdet. Und was mich persönlich
stört, c) diese peinlichen Versuche, uns, die damit öfters und intensiver
zu tun haben, nachträglich zu bestätigen - danke, wir wissen es auch ohne
euch, dass unsere Arbeit darin erfahrungsgemäss gut ist.
(Bsp wäre "ja stimme ... zu" oder "das von ... beschrieben würde ich auch raten")

3 Uhr, Gute Nacht!

 

[Feroxx]

Was deine sehr lange Passage zu EICAR in diesem Zusammenhang ausdrücken soll, ist mir nicht ersichtlich. EICAR ist sehr fern von jeglicher Realität.

Um einfach mal zu sehen, wie eine echte Virenwarnung aussieht, taugt das schon. Und nichts anderes hat er doch beschrieben? Okay, Du benutzt mehr Buzzwords, aber mehr Infos sind da auch nicht drin.

...danke, wir wissen es auch ohne
euch, dass unsere Arbeit darin erfahrungsgemäss gut ist.

:kotz :kotz :kotz :kotz

 

[QuHno]

Danke für die Ergänzungen

Ich bin bewusst nicht so weit gegangen, da ich mich an eine etwas andere Zielgruppe wenden wollte und zwar vorzugsweise die mit einer Aufmerksamkeitsspanne von weniger als 10 Sätzen (1 Satz sobald das erste tech-speak Wort drin vorkommt), die leider auch genau deswegen öfters von genau den von Dir geschilderten Problemen betroffen ist. Das ist übrigens meist auch die Gruppe, die als Admin surft und Winzpasswörter verwendet ...

Von daher sind externe Prüfmedien wie die ständig aktuelle ISO von Avira oder Kaspersky und anderen eindeutig zu bevorzugen!.

Unterschreib.

Diesem Part des obigen Textes widerspreche ich jedesmal auf heftigste.

Den Satz verstehe ich nicht. Und Du weißt, dass ich ein Freund des plättens bei Befall bin. Leider haben diverse Benutzer keine Backups (der Knall, den Du gerade gehört hast, stammt von meinem Kopf, der genau deswegen mehrfach auf der Tischplatte aufschlug ) und sie müssen zumindest erst einmal vordergründig das System so weit wieder in den Griff bekommen, dass sie ihre selbst erstellten Dateien sichern können, um es danach plätten zu können. Dabei können manchmal online Scanner helfen - wenngleich es auch da bessere Möglichkeiten gibt, z.B. aber nicht alleine diverse *X* basierte Live Systeme.

BTW: Was weg ist ist weg. Damit meinte ich wichtige Dateien des Systems die durchaus auch schon einmal von AV Soft für Schädlinge gehalten werden, wie letztens die Original smss.exe, die von einem namhaften AV Hersteller mit dem Artemis Trojaner verwechselt wurde, der unter anderem auch eine Datei gleichen Namens anlegt, aber an einer anderen Stelle, natürlich nicht im Cat File enthalten ist, eine andere Größe hat und natürlich nicht von Microsoft stammt.

Ich habe nicht geschrieben, dass das System danach sauber ist oder nicht erneut befallen wird, genau so wenig wie ich geschrieben habe, dass danach alle Lücken gestopft sind. Das sind sie nämlich nicht.

Was deine sehr lange Passage zu EICAR in diesem Zusammenhang ausdrücken soll, ist mir nicht ersichtlich. EICAR ist sehr fern von jeglicher Realität.

Letzteres ist in diesem Fall bedeutungslos, denn die Erklärung, warum ich es geschrieben habe ist ganz einfach:

Wer nicht weiß, wie eine echte Meldung aussieht, kann sie im Zweifelsfall nicht von einer gefälschten unterscheiden. Die Testdatei kann das ändern. Ansonsten ist mir EICAR völlig schnurzpiepe.

(die erwähnte Textdatei muss zudem im ANSI-Format gespeichert werden, moderne Textbearbeitungen speichern Text als UTF-8.)

Deswegen sprach ich auch von einem Editor und nicht von einer Textbearbeitung und habe darauf hingewiesen, dass man sich vorher den Text auf der Seite durchlesen soll.

edit: Ich hätte vielleicht von dem Editor, sprich Notepad sprechen sollen, denn wie ich gerade festgestellt habe, steht der in all meinen Windows Systemen per default auf ANSI und schaltet sich erst um, wenn tatsächlich UTF8 Zeichen im Text vorkommen, was beim EICAR Text nicht der Fall ist. Habs aber sicherheitshalber oben geändert und deutlicher gemacht

Dort ist als Browser Firefox und als Erweiterung WOT abgebildet.

Denk Dir WOT weg, war eh nicht mein Browser und auch nicht mein Bild. Ich habe so komische Seiten schon lange nicht mehr gesehen - Als ich einen eigenen Screenshot anfertigen wollte, hat bei der Original Adresse, die ich in dem Fenster weggewischt habe, meine Sicherheitslösung direkt die Verbindung gekappt - und zwar schon bevor irgendetwas überhaupt meinen Rechner erreichen konnte. Ich hätte echte Arbeit aufwenden müssen, um die Seite aufzurufen und dazu hatte ich keine Lust

Der Mensch ist von Natur aus neugierig und alles Vebotene hatte schon seit der Bibel seinen Reiz.

Amen! Leider ist das so ...

 

[Brummelchen]

Zu Eicar - wie verlässlich ist denn die Anzeige noch, wenn das System kompromitiert wurde?
Es dient in deiner Darstellung doch als Test - wenn die Komponenten AV-Programm verlässlich wäre.
Es besagt nur dass Eicar erkannt wurde, wie und was noch erkannt wird, ist doch fraglich.
(soviel zum unnötigen Kommentar von weiter oben, und - die Begrifflichkeiten
stammen nicht von mir!
Falls man sich die nötige Zeit genommen hatte, wäre zudem auch aufgefallen, dass
alle wirksamen Hilfen immer anders ausfielen als die davor geleisteten Tipps.
Da kostet nur Zeit und letztlich verwirrt es den Kunden mehr statt einer klaren Linie!)

Das so eine Webseite nicht zwangsweise eine Neuinstallation erfordert, sollte klar sein,
falls das irrtümlich aus meine Worten hervorgegangen sein sollte. Erst die Ausführung
solcher Software, wobei ich hier mehr den Zeitfaktor werte als die Neuinstallation -
es dauert für die Opfer im wesentlichen immer länger als angenommen, sowas
chirurgisch zu entfernen als sich von einem Backup zu erholen, nicht nur weil das
notwendige Grundverständnis von einem System teils fehlt, sondern auch weil nicht
immer klar ist, was alles entfernt werden muss und welche Schäden trotzdem
hinterlassen werden. Das kann von Eingriffen in die LAN-Verbindung bis hin zu restlichen
BHO (Browser Helper Objekte - Plugins) sein.

WOT - bei WOT fällt mir immer genau das auf, was du ja selbst erlebt hast, nur anders
herum. Eigentlich müsste der Zugriff direkt unterbunden werden und nicht als
Warnhinweis erscheinen. Mangels Vergleich und Tests fehlen mir nur die Vergleiche
zu anderen Plugins und Diensten (Firefox nutzt selbst ja eine Google-Liste).
Die Leitung wird hier zwar nicht gekappt, aber trotzdem kommt so ein Browserdreck
hier erst gar nicht an.
(soweit ich mich erinnere, benutzt du ja Opera)

Deswegen sprach ich auch von einem Editor

Übersetz doch mal "editor" Notepad++ als so ein "Editor" hat als Voreinstellung
IMO UTF-8, andere teilweise auch, ich hab sogar schon Webseiten
ausgepackt, die so geschrieben wurde, obwohl ANSI ausreicht.
(wird ja durch das charset definiert vorher)
Deswegen mein Einwand. (Windows Notepad wird hier immer zuerst wegrationalisiert.)

# Bzg Backup. Die letzte Bastion gegen ein (allgemein) verkorkstes System.
Auch aus einem Backup lassen sich Informationen, Daten und Einstellungen extrahieren.
D.h. ein Backup des aktuellen Systems anlegen, das neue drauf bzw älteres Backup
und dann nach und nach zurückholen, was noch fehlt.
Hat manchmal auch positive Aspekte, nicht nur Arbeit

BTW ist eigentlich was aus dieser speziellen Interessensgruppe geworden,
die ich vor 1-2 Jahren angesprochen hatte? In der Liste steht mir nichts
ähnliches (oder ich bin blind auf dem Auge) , wo es sich ungestörter schreiben lässt.

 

[Feroxx]

Zu Eicar - wie verlässlich ist denn die Anzeige noch, wenn das System kompromitiert wurde?
Es dient in deiner Darstellung doch als Test - wenn die Komponenten AV-Programm verlässlich wäre.
Es besagt nur dass Eicar erkannt wurde, wie und was noch erkannt wird, ist doch fraglich.
(soviel zum unnötigen Kommentar von weiter oben, und - die Begrifflichkeiten
stammen nicht von mir!
Falls man sich die nötige Zeit genommen hatte, wäre zudem auch aufgefallen, dass
alle wirksamen Hilfen immer anders ausfielen als die davor geleisteten Tipps.
Da kostet nur Zeit und letztlich verwirrt es den Kunden mehr statt einer klaren Linie!)

Eicar-Testfile 'runterladen.

Szenario Eins:
Eine Warnung erscheint unmittelbar. Der Nutzer sieht: Aha, das ist also mein Virenscanner. Guckt sich die GUI an, hat sie mal gesehen. Weiss, das die Antivir-Lösung nicht fundamental kaputt ist.

Szenario Zwei:
Keine Warnung erschient. Der Nutzer sieht: Oho, hier ist was faul! Wendet sich hilfesuchend z.B. an dieses Forum.

Wo ist das Problem? Klar kann da schon was kaputt sein, aber wenn man davon ausgeht das das System schon kompromittiert ist, ist jeder Tipp ausser präventiv neuzuinstallieren so oder so sinnlos. Sich die Reaktion auf das Testfile anzugucken ist eine Möglichkeit mal zu sehen, was da passieren sollte. Das ersetzt nicht den Rest, aber das hat ja auch keiner gesagt.

Oh, und Deine PM kannst Du Dir an den Hut stecken.

 

[Brummelchen]

Das aufgezeigte Szenario ist auch verständlich, auch für mich, nur habe ich, warum
auch immer, persönliche Zweifel daran, das Ergebnis so zu deuten wie ihr.
Das kann und mag auch mit dem Umstand zusammenhängen, dass in manchen Fällen
zusätzliche Suchprogramme zwar nicht erfolgreich waren, dass System aber trotzdem
einen (unauffindbaren) Schuss weg hatte. (komisch - geht doch)

 

[Feroxx]

Das ist am ende das alte Problem mit Home-Windows-System (eigendlich mit allen Homesystemen) - der Nutzer ist gleichzeitig auch der Admin und muss sich um alles kümmern. Wenn man dann sowas wie das Testfile nutzen und einschätzen kann, ist das okay, wenn nicht, ja... dann sollte derjenige am besten keinen Rechner alleine nutzen. Was natürlich keine Lösung ist.

Ich muss ehrlich sagen, ich halte diese "abwesender Admin"-Problematik für das grundlegende Problem und sehe Virenscanner, Firewalls & co da auch nur als behelfsmässige Krücken. 'Ne Lösung hab ich aber auch nicht.

 

[Brummelchen]

Nutzer ist gleichzeitig auch der Admin

Da sprichst du eben das wichtigste Problem an. Einerseits möchte man autark sein und
sich nicht bevormunden bzw einschränken lassen, weil letzteres doch mit Benutzerwechseln
bepackt ist - anderseits möchte man nicht auf eine bestimmte Sicherheit verzichten.
Und ja, AV und Firewall sind da wirklich nur Makulatur. Aber selbst als Admin im System
wären diese beiden Komponenten verschmerzbar, wenn der Rest im Kozept stimmig wäre.
Leider erzählt einem das niemand noch schaltet irgendjemand Werbung dafür.

Ich würde diese Thematik gerne in ein neues Thema bringen, welches dann einen
redundaten und harmonischen Aufbaue eines solchen Konzeptes dem Leser näher bringt.
Mir fehlt nur leider etwas die Zeit dafür, eine Litanei von 100.000 Zeichen und mehr
zu erstellen, die dann auch nur ansatzweise das rüberbringt, was bei Wilders in
Monaten entstanden ist. Leider ist auch dort der übermässige Anteil der Ansicht,
dass AV und Firewall, und neuerdings auch HIPS, Pflichtprogramme sind, auf die man
sich verlassen könnte.

 

[Supernature]

Was wir brauchen, ist eine vernünftige Pressezensur zu dem Thema .
Mit Vista wurde die Benutzerkontensteuerung eingeführt - alles wird im normalen Benutzerkontext mit eingeschränkten Rechten ausgeführt, nur bei Bedarf werden einzelfallbezogen Adminrechte angefordert (die Linuxer kennen das als sudo schon seit ein paar Jahren)
Die Anwender beschweren sich, weil sie halt jetzt ab und zu einen Klick mehr machen - und was noch viel schlimmer ist: auch noch den Kopf einschalten und nachdenken müssen, ob sie diese Aktion selbst ausgelöst haben.
Aber die Rettung naht, denn in allen PC-Zeitschriften kann man nachlesen, wie man diese unendlich nervige und den Anwender bevormundende Funktion deaktivieren kann.

Die selben Gazetten kritisieren Microsoft jetzt dafür, dass mit Windows 7 die UAC in der Grundeinstellung moderator zu Werke geht - selbstverständlich zu Lasten der Sicherheit.

 

[Feroxx]

Ich meinte das durchaus noch ein Level höher - man ist Admin im Sinne des Menschen, der den Rechner einrichtet, die Software auswählt und so weiter. Da sind Entscheidungen zu treffen, die der normale User dann doch nicht immer überblicken kann. Die meisten wollen das Ding ja nutzen und nicht in die Tiefen einsteigen, und das ist durchaus legitim. Ich mach's ja genauso.

 

[QuHno]

Was wir brauchen, ist eine vernünftige Pressezensur zu dem Thema .
Mit Vista wurde die Benutzerkontensteuerung eingeführt - alles wird im normalen Benutzerkontext mit eingeschränkten Rechten ausgeführt, nur bei Bedarf werden einzelfallbezogen Adminrechte angefordert (die Linuxer kennen das als sudo schon seit ein paar Jahren)

Die BSDler sogar noch länger

Aber es gibt bei der UAC nach wie vor ein Problem:
In einer normalen Windows Einrichtung braucht man ein echtes Admin Passwort, um die Rechte zu erlangen, bei Linux nicht, dort erhält man ein eigenes für SUDO (zumindest wenn der Admin keine Schlaftablette ist) und man wird sozusagen in die Gruppe der "SUDOer" eingetragen, in der bis ins Detail festgelegt werden kann, was der Benutzer darf und was nicht.

Nur weil die meisten default Linux Desktop Installationen da kaum Restriktionen haben, heißt das noch lange nicht, dass UAC und SUDO wirklich miteinander vergleichbar sind - denn auch ein mit SUDO aufgerufenes Programm wird nach wie vor im Benutzerkontext ausgeführt, lediglich mit temporär erhöhten Rechten. Bei Windows wechselt die Ausführung des Programms in den Admin Kontext und das ist immer noch die Hauptschwachstelle von Windows.

Wer das nicht glaubt: Es gibt dafür einen netten Exploit, der mal eben aus dem UAC Screen das Admin Passwort ausliest (bei W2K-XP das Admin PW aus runas und Verwandten, die ebenfalls in den Admin Kontext umschalten) und eine CMD Konsole im vollen Admin Kontext startet - ab da kann man im System alles verbiegen was nicht gerade im reinen System Kontext läuft, sprich: Noch heftiger als der normale Administrator ...

Im Prinzip müsste das Verhalten von SUDO mandatorisch unter Windows emuliert werden - direkt ab der Installation. Es ist möglich indem es mit Gruppenrichtlinien nachbaut und selbst eine solche Gruppe erstellt. Dadurch ist es dann auch wie unter UNIXoiden Systemen möglich, "administrative" Programmstarts im Benutzerkontext durchzuführen - nur macht das niemand™ auf seinem Heimrechner, zumal es die Benutzer der ganzen Home Versionen noch nicht einmal können, weil bei denen dafür wichtige Bestandteile des Systems nicht installiert werden. :motz

Dankschreiben dafür bitte an:

Microsoft Corporation
One Microsoft Way
Redmond, WA 98052-6399
USA

 

[Supernature]

Dieser "Exploit", den Du da ansprichst, setzt voraus, dass jemand unbeobachtet an dem betreffenden Rechner Platz nimmt. Und dann ist es sowieso seiner, da braucht man über technische Sicherheit nicht mehr diskutieren.
Der kann das Teil dann auch einfach mitnehmen, ein Loch in die Festplatte bohren oder sonst was damit anstellen.

 

[QuHno]

Hier irrt der Administrator. Der Exploit muss nur irgendwie auf den Rechner gebracht und gestartet werden. Dies kann mit den üblichen Verbreitungsmethoden geschehen und davon gibts genug - so viele, dass sich einige Firmen eine goldene Nase mit Bekämpfungsmethoden verdienen.

Der Exploit selbst ist nur eine Demo, die beweisen soll, dass Schadsoftware beliebige Anwendungen mit vollen Admnistrator Rechten öffnen kann und es auch tut. Er lässt sich bequem in einen der üblichen Trojaner packen oder über eine ähnliche Sache wie das im Startbeitrag gezeigte Social Engeneering einem Anwender unterschieben. Anstelle der zu öffnenden Kommandokonsole kann er auch einen Mailserver aufbauen und massenhaft SPAMs versenden, oder beliebige Anwendungen nachladen und ausführen, die dann natürlich ebenfalls mit Administrator Rechten gestartet werden usw..

Alleine die Tatsache, dass eine Software in den Windows default Einstellungen überhaupt dazu in der Lage ist, Administrator Passwörter mitzulesen ist schon erschreckend genug.

Der Witz ist: Das ist schon lange an Microsoft gemeldet.

Was mich dabei so ankotzt ist, dass Microsoft das ziemlich einfach mit ein paar kleinen Änderungen in der default Installation verhindern könnte, dafür müsste noch nicht einmal wirklicher Code umgeschrieben werden, sondern nur ein paar Regeln - aber sie haben es nicht getan. Ich vermute einmal, weil ihnen die Fragen der Benutzer, warum dieses und jenes plötzlich nicht mehr so einfach geht zu lästig geworden wären.

 

[Supernature]

Naja ob der böse Bube selbst vor der Kiste sitzen oder den dort sitzenden Benutzer zur aktiven Unterstützung seines bösen Tuns animieren muss, macht keinen so großen Unterschied.
Dagegen wird niemals ein Kraut wachsen.

 

[QuHno]

Genau so wenig wie Lücken im System (von denen jedes Betriebssystem genügend hat, die meisten sind bloß noch nicht entdeckt) über die so etwas eingeschleust werden kann. Die Art, wie man es jemandem unterjubelt ist halt verschieden, aber es funktioniert mit genügend krimineller Energie bei ausnahmslos jedem System, welches nicht auf einem unveränderbaren Datenträger untergebracht ist und welches online gehen kann.

Und das beginnt auch das Hauptproblem:
Wenn es ein mal passiert ist, ist der Admin (Der Mensch in der Funkion des selben) gefragt. Dieser ist aber in 90% aller Fälle *1) auch gleichzeitig der User und in vielen Fällen auch die Person, die sich einen vorinstallierten Rechner von einem der üblichen Verdächtigen gekauft hat - teilweise sogar ohne echtes Bootmedium, sprich ohne saubere System DVD - und nicht selbst von einem Original Medium installiert hat.

Welche Hersteller (speziell bei Notebooks) ihren Kunden völlige Kreppel-Installationen unterjubeln, die die Probleme noch dadurch verschlimmern, dass z.B. keine Admin Passwörter gesetzt sind bzw. werden müssen obwohl der User als Admin unterwegs ist (hatte vorige Woche einen solchen Fall auf meinem Schreibtisch stehen - erwartungsgemäß war die Kiste völlig verseucht - trotz Windows 7 - aber kein Wunder, die Kiste startete beim Hochfahren direkt und ohne PW Eingabe zum Admnin Account durch ), wäre in diesem Thread allerdings wirklich daneben, deswegen schreibe ich auch lieber nicht, welche Marken bei mir Säure-Attacken im Magen auslösen

*1) Bitte nicht auf die Zahl festnageln, ich kenne nicht die Relation von privaten Rechnern zu Firmenrechnern, die von einem dedizierten System-Administrator gewartet werden.