Virenscannern kann man nicht trauen, denn sie können befallene Systeme nicht sicher säubern !!!.
Was tun bei Kompromittierung des Systems?
Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig. Das heißt, das alle Daten manipuliert sein könnten, das alle Programme manipuliert sein könnten und das alle Informationen, die auf dem System gespeichert waren oder verarbeitet worden sind, an Dritte weitergegeben worden sein könnten.
Wenn man diese Annahmen trifft, müssen zwingend folgende Maßnahmen durchgeführt werden:
*
Das betroffene System ist sofort herunterzufahren, man kann sogar über ein hartes Ausschalten nachdenken. Es gibt hier sich widersprechende Ansichten, ich bin der Meinung, dass weitere Datenmanipulationen verhindert werden müssen. Hat man ausreichend Backups im Schrank, reicht aber auch eine Trennung vom Netzwerk.
*
Alle sensiblen Informationen wie Passwörter für Betriebssystem, Online-Banking, Datenbanken etc., personenbezogene Daten, Geschäftsgeheimnisse, also alles, was irgendwie vor den Augen Dritter geschützt sein soll, muss als öffentlich bekannt angesehen werden. Dementsprechende Maßnahmen müssen eingeleitet werden.
Neuaufsetzen des Systems: Zuerst muss das System vom LAN/Internet getrennt werden. Dann empfiehlt es sich die Festplatte, die das Betriebssystem enthielt, vorher zu formatieren, deren Bootsektor zu überschreiben und anschließend das Betriebssystem neu zu installieren. Wichtig ist, dass nur von garantiert sauberen Installationsmedien die Installation des Betriebssystems vorgenommen werden darf. Es darf nichts mehr verwendet werden, was zuvor auf der Festplatte lagerte (Programme, Treiber, Dateien mit ausführbarem Inhalt). Mit einem Linux wie httpKnoppix lässt sich beispielsweise prima eine Festplatte komplett leeren, auf der Kommandozeile einfach mal dd if=/dev/zero of=/dev/hda eintippen, sofern es sich um eine IDE-Festplatte handelt. Man sollte aber wissen, was man tut. Hat man mehrere Festplatten eingebaut und erwischt die falsche, wäre das nicht so günstig.
*
Die Passwörter, die zur Anmeldung an das Betriebssystem verwendet wurden, müssen neu ausgewählt werden, da die alten Passwörter als bekannt angesehen werden müssen.
Geht man von Manipulationen aus, müssen alle Dateien, die auch ausführbare Inhalte haben können, als schädlich angesehen werden. Dateien, die wirklich ausschließlich Daten und keinen ausführbaren Code enthalten, müssen, sofern der Inhalt wichtig ist, verifiziert werden, entweder durch Durchsicht oder automatisiert durch geeignete Algorithmen.
Eine Aufzählung von Dateitypen mit ausführbarem Inhalt für Windows hier:
.asf .com .exe .html .js .mde .nws .reg .url .ws
.bas .cpl .folder .inf .jse .msc .pdf .scf .vb .wsc
.bat .crt .hlp .ins .jsp .msi .pif .scr .vbe .wsf
.chm .doc .hta .isp .lnk .msp .pl .sct .vbs .wsh
.cmd .eml .htm .jar .mdb .mst .ppt .shs .vcd .xl*
und merke:
Virenscannern kann man nicht trauen, denn sie kennen nie alle Schädlinge. !!!.
Virenscannern kann man nicht trauen, denn sie melden manchmal Schädlinge, die gar nicht da sind. !!!.
