[HaBo]

jumpa

Anzeige

Guten Tag,

vor etwa einer Woche hatte ich auf einem anderen Rechner, auf dem Windows XP SP3 läuft, einen Virus. Dieser Virus gab sich als Bundespolizei bzw. Bundeskriminalamt aus und meldete, dass eine von diesem PC ausgehende Gesetzeswidrigkeit festgestellt worden sein. Die Benutzung des Rechners sei deaktiviert worden und werde erst gegen Zahlung eines Betrags von 100 Euro mittels Ukash bzw. paysafecard wieder aktiviert.
Beim Start des Rechners wurde immer auf dem gesamten Bildschirm diese Meldung angezeigt. Alle anderen Programme (z.B. der Task-Manager) rückten automatisch in den Hintergrund und ließen sich auch nicht über irgendwelche Tastenkombinationen maximieren.
Dass es sich hierbei um einen Virus handelt war recht offensichtlich, da zum Einen der Text von Rechtschreib- und Umlautfehlern übersät war und zum Anderen eine solche Zahlungsaufforderung wohl kaum von der Bundespolizei käme.

Dieser Virus scheint bekannt zu sein ([1], [2], [3]). Die Meldungen stammen allerdings größtenteils aus dem März / April.
Ich habe daraufhin die Festplatte formatiert und Windows neu installiert. Als Antivirensoftware hab ich Antivir installiert und als Firewall Comodo. Updates waren auch alle installiert.

Heute, eine Woche nach der Neuinstallation und nach problemfreier Benutzung, trat der Virus erneut auf. Interessant ist, dass es am selben Wochentag und fast um die selbe Uhrzeit geschah.
Ich bin ratlos, wie dies geschehen konnte, da weder irgendwelche "verdächtigen" Seiten noch Daten vom alten System rübergespielt worden sind. Ich hoffe, dass ihr mir sagen könnt, wie ich jetzt vorgehe, ohne befürchten zu müssen, dass dieser Virus zur allwöchentlichen Beschäftigung wird.

Falls es irgendwie von Bedeutung sein sollte: Auf diesem, also dem nicht infizierten System, ist Ubuntu installiert. Ich könnte auf dem anderen System Ubuntu als Live-System starten und zur Fehleranalyse nutzen.


Vielen Dank schonmal


[1] Bundeskriminalpolizei Trojaner - Hilfe!!! - Forum - CHIP Online
[2] Ukash: Bundeskriminalamt-Trojaner erpresst Nutzer
[3] Achtung, Trojaner: Mann wird über gefälschte BKA-Seite zur Kasse gebeten | SÜDKURIER Online

bitmuncher

Hattest du beim Neuaufsetzen auch den MBR formatiert und hattest du nicht nur eine Schnellformatierung genutzt, sondern eine komplette? Denn damit sollte das Teil eigentlich weg sein. Ausserdem stellt sich natürlich die Frage, ob du ggf. einen Fileserver o.ä. zu Hause nutzt, auf dem evtl. Dateien infiziert sein könnten und ob sich noch andere Rechner (ausser dem Linux-Rechner) in deinem Netzwerk befinden.

__________________

jumpa

Ich hab bei der Windows-Installation den Menüpunkt "komplett formatieren" gewählt. Den MBR hab ich nicht extra formatiert, aber müsste der nicht bei der kompletten Formatierung dabei sein?
Falls er nicht dabei ist, werde ich das als nächstes probieren.

Einen Fileserver haben wir nicht. Zusätzlich zu dem Linux-Rechner meldet sich zeitweise noch ein Windows-7-Notebook an. Dieses hat aber auch einen aktuellen Virenschutz.

Kann es sein, dass der Virus von Antivir nicht erkannt wird? Mir wurde von einem PC-Fachhändler empfohlen, ein kostenpflichtiges Virenprogramm zu nutzen. Die sind aber eigt. dafür bekannt, gerne mal mehr als nötig zu verkaufen.

Brabax

Probier mal die MS Security Essentials aus, damit habe ich das Problem mit einem ähnlichen Virus hinbekommen ohne, dass er wiederkehrte.

lG

__________________

<< Wir leben bereits im morgigen Gestern, doch vom gestrigen Morgen sind wir noch weit entfernt. >>

<< Träume sind Schäume. Es liegt an dir ob du sie lebst oder ein Schaumschläger bist! >>

<< Erst wenn man beginnt zu implizieren, wird man merken, dass einem sowieso keiner richtig zuhört. >>

bitmuncher

Der MBR wird dabei nicht formatiert, da dies nicht mit 'format' sondern mit 'fdisk /mbr' gemacht wird. Alternativ kann man dafür vor der Installation auch eine Linux-Live-CD booten und Programme wie fixmbr verwenden.

__________________

jumpa

Ich hab Windows soeben neu aufgesetzt und zuvor den MBR überschrieben. Ich hoffe, dass damit das Problem erledigt ist.

Vielen Dank für die Antworten.