Da ich diesbezüglich selbst schon einiges erlebt habe, möchte ich Ihnen hier mal einen Fall schildern, in dessen Genuss ich selbst kam, und Ihnen gleichzeitig zeigen, wie ich das Problem löste.
Als ich kürzlich einmal im Internet surfte (ich suche immer gerne nach guten Artikeln), erschien auf meinem PC plötzlich die Meldung, dass mein PC von Viren und Trojaner befallen sei, und ich unbedingt eine Antivirus Software installieren müsse.
Dies sei unerlässlich, denn ohne Antivirus Software sei mein PC völlig ungeschützt, wie ich ja jetzt selbst feststellen könne.
Ich war erst mal schockiert, denn dass ich ungenügend geschützt sei, habe ich nun wirklich nicht erwartet. Ich habe ja eine Antivirus Software installiert, welche mich bis jetzt immer vorbildlich schützte.
Natürlich hatte sich die sogenannte Antivirus-Software unter dem Namen av2009, ungeachtet der Meldung von Spyware Doctor, blitzschnell, automatisch auf meinem PC installiert und blieb nun auch hartnäckig mit den Meldungen, dass mein PC verseucht sei. Zwar entfernte das ebenfalls ungefragt installierte "Uninstall Program" den Eintrag in der Programmbibliothek und auf dem Desktop, trotzdem blieb das Ding hartnäckig und versorgte mich immer wieder mit der Meldung, dass mein PC verseucht sei. Da war nichts zu machen Was habe ich also als erstes unternommen? PC runter gefahren und abgestellt (Das ist wichtig, damit sich das Memory leert.) Und nun alles wieder hochgefahren und was passiert? av2009 installierte sich sofort wieder. Selbstverständlich mit all den Meldungen vom verseuchten PC bla,bla,bla... |
Sicher
surfen im Internet
|
Ich habe dann als nächstes den Spyware Doctor durchlaufen lassen. Der stellte dann tatsächlich verschiedene Trojaner und andere Bedrohungen fest
Diese Bedrohungen hat der Spyware Doctor sauber gelöscht. Das Programm habe ich ebenfalls nochmals deinstalliert. Und siehe da, es funktionierte alles wieder korrekt und ich war einigermassen beruhigt. Tiefes durchatmen. Ich konnte weiterhin im Internet surfen. Dachte ich
Da gab es zwar ein kleines Icon am unteren rechten Bildrand, welches mir anzeigte, dass der Virenschutz deinstalliert sei. Das gab mir zwar schon etwas zu denken und zu einigen Befürchtungen Anlass. Aus der Ruhe bringen. liess mich das aber nicht, denn ich war voller Zuversicht, dass ich alles richtig gemacht hatte. Meine Befürchtungen hatte ich allerdings nicht zu Unrecht, wie ich am nächsten Morgen feststellen musste.
Als ich den PC am nächsten Morgen auf startete, siehe da, av2009 installierte sich wieder blitzschnell und nervte mich gewaltig mit seinen Meldungen vom verseuchten PC. Alle gestrigen Versuche, das Programm zu entfernen waren für die Katz. Zeit also, sich mit dem Phänomen einmal richtig zu beschäftigen.
Zum Glück hatte ich mir die Zeit des Eindringens vom vorigen Abend notiert. Das ist sehr wichtig. Da Sie, wie sie später noch sehen werden, die einzelnen Programmteil zusammen suchen müssen, ist diese Methode die Einfachste um all die Puzzleteile zu finden.
Notieren Sie sich unbedingt die Zeit, wann das Programm in Ihren PC eingedrungen ist. Das ist wichtig zum Auffinden der einzelnen Programmteile
Ich zeige Ihnen jetzt in den folgenden Abschnitten, wie ich das Problem in den Griff bekam und die Software entfernen konnte.
Sicher
surfen im Internet
|
Zuerst habe ich den Spyware Doctor laufen lassen und die Bedrohungen gelöscht. Dann habe ich das Programm wieder einmal mehr deinstalliert. Zusätzlich habe ich im Arbeitsplatz unter c:\programme den Ordner av2009 mit den darin enthaltenen Programmen wirklich gelöscht. Als Nächstes habe ich unter Start, Ausführen, das Programm msconfig gestartet und dann das Menu Systemstart gewählt. Dort habe ich beim Eintrag av2009 den Haken entfernt und die Einstellungen ohne Neustart übernommen. Zurück in den Arbeitsplatz habe ich den Ordner c:\windows\system32 aufgerufen. Dort habe ich sämtliche Einträge, welche sich um die Zeit des Eindringens in meine PC, eingenistet haben, markiert und rücksichtslos gelöscht.(Das Wissen der Zeit gab mir die Sicherheit, dass ich keine anderen wichtigen Einträge löschte). |
Als untersuchte ich den Ordner Temporary Internet File. Dort habe ich keine Einträge gefunden, weil ich nach dem Aussteigen aus dem Internet diesen Ordner grundsätzlich lösche. (In meinen Bericht: "So schützen sie sich vor unbemerkte Cache Angriffen" können Sie es nachlesen)
Danach durchsuchte ich den Ordner Temp. Dort fand ich Einträge, die genau mit der aufgeschrieben Zeit identisch waren. Ich konnte alle löschen, bis auf Einen. Da vermeldete das System immer, dass dieses Programm schon von jemand anderem gebraucht würde. Ich hatte also den Kern des Eindringlings gefunden.
Und hier liegt die Krux, warum meine Antivirus nicht reagierte. Weil es ein richtiges Programm ohne Viren war, konnte es auch nicht vom Antivirusprogramm verifiziert werden. Deshalb gab's keine Anzeige von Antivir.
Um dieses Programm zu löschen,
blieb mir nichts anderes übrig als den PC neu, und zwar im abgesicherten
Modus (in den meisten Fällen F8-Taste) zu starten. Und so
konnte ich das Programm im Ordner Temp problemlos löschen. Danach
leerte ich zuerst den Papierkorb.
Zuletzt habe ich nochmals den Spyware
Doctor, den Antivirus und die Tuneup Utilities laufen lassen. Resultat:
Alles funktioniert wieder ok.
Auch der Neustart ergab keinen Befall mehr.
Zusammenfassung
- Notieren Sie sich unbedingt die Zeit des Befalls.
- Lassen Sie den Spyware Doctor laufen und löschen die Bedrohungen.
- Deinstallieren Sie die installierten Programme.
- Löschen Sie unter c:\programme den Ordner mit den installierten Programmen.
- Rufen Sie unter Start, Ausführen das Programm "msconfig" auf und darin die Datei "Systemstart". Entfernen Sie das Häkchen beim Eintrag des schädlichen Programmes und schreiben Sie den Programmnamen auf.
- Kontrollieren Sie unter c:\windows ob sich zum notierten Zeitpunkt Programme und Daten eingenistet haben. Wenn ja, markieren Sie diese und löschen sie.
- Kontrollieren Sie unter c:\windows\system32 ob sich zum notierten Zeitpunkt Programme und Daten eingenistet haben. Wenn ja, markieren Sie diese und löschen sie.
- Kontrollieren Sie den Ordner temporary Internet File ob sich zum notierten Zeitpunkt Programme und Daten eingenistet haben. Wenn ja, markieren Sie diese und löschen sie.
- Kontrollieren Sie den Ordner temp ob sich zum notierten Zeitpunkt Programme und Daten eingenistet haben. Wenn ja, markieren Sie diese und löschen sie.
- Sobald Sie ein Programm gefunden haben, welches sich nicht löschen lässt, notieren Sie es und den entsprechenden Pfad dazu.
- Untersuchen Sie allenfalls noch weitere Ordner, wie z.B. Meine downloads usw. und notieren alle nichtlöschbaren zum aufgeschrieben Zeitpunkt installierten Programme.
- Starten Sie Ihren PC neu im abgesicherten Modus(F8-taste in den meisten Fällen).
- Suchen Sie im Arbeitsplatz das oder die nichtlöschbaren Programme nach Ihren aufnotierten Pfaden auf.
- Löschen Sie das oder die Programme.
- Bei mehreren nicht löschbaren Programmen wiederholen Sie die Positionen 13 und 14.
- Leeren Sie den Papierkorb.
- Starten Sie Ihren PC neu.
- Rufen Sie unter Start, ausführen das Programm "regedit" auf. Es führt Sie direkt in die Registry.
- Stellen Sie den Cursor auf Arbeitsplatz und rufen unter Bearbeiten das Programm "suchen" auf.
- Geben Sie den unter msconfig aufgeschriebenen Programmnamen ein und lassen den Suchvorgang laufen. Jedes mal wenn das System stoppt und einen Eintrag anzeigt, löschen Sie diesen und den entsprechenden Ordner dazu.
- Lassen Sie zum Schluss nochmals Spyware Doctor und Antivirus laufen.
