Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

gelöst BKA Trojaner (Version 2.07) im Domänenprofil eingefangen

Mitglied: chevron-9

chevron-9 (Level 1) - Jetzt verbinden

19.09.2012 um 08:45 Uhr, 4740 Aufrufe, 6 Kommentare

Hallo Zusammen !

Ich bin grade ein wenig am verzweifeln... Einer meiner Notebookusern hat sich einen BKA Trojaner eingefangen, laut google die Version 2.07. Es handelt sich um ein Windows 7 Notebook an einer Windows 2008 Domain. Es werden Netzlaufwerkanbindung und ein Netzgestützes Profil genutzt.

Das Notebook ist inifiziert, soweit ist das klar. Jedoch hat sich der User bevor er sich bei mir gemeldet hat testweise an anderen PCs in der Umgebung angemeldet, und die BKA Meldung kommt an allen PCs. Wenn sich dort andere User anmelden zeigt sich der Trojaner jedoch nicht...

Da der Trojaner augenscheinlich in dem Profil existiert reicht es nun nicht das Notebook zu killen und neu aufzusetzen. Hat jemand einen Tipp wie ich am sinnvollsten vorgehe ?

Ich habe schon im Domain User folgendes getestet

Netzlaufwerke und Profilpfad entfernt : keine Änderung
Gruppenzugehörigkeiten entfernt : keine Änderung
ein Kollege hat sogar schon einmal das Profil aus einem älteren Backup wiederhergestellt

Wenn ich testweise den User umbenenne von "user" auf zB "user2", so funktioniert einmalig die Anmeldung, wenn der user2 sicher dann ab und wieder anmeldet hat auch dieser dann das Trojanerbild...

*seufz*
Bin für jeden Tipp äußerst dankbar

LG
chevron-9
Mitglied: Ravers
19.09.2012 um 12:09 Uhr
Moin,

Virenscan auf den bereits betroffenen Rechnern machen. Danach würde ich das Profil neu anlegen und die reinen Daten rüberkopieren.
Somit die Registrierung halt säubern und im Profil dürfte dann auch nix mehr sein.

greetz
ravers
Bitte warten ..
Mitglied: Neomatic
19.09.2012 um 12:13 Uhr
Hallo,

starte den Rechner im abgesicherten Modus mit Netzwerktreibern. Melde dich mit dem Benutzer an und lass den Virenscanner mal drüber laufen.

Gute Erfahrungen habe ich mit Windows Offline Defender (Boot CD von Microsoft) gemacht. Wenn der den Virus gefunden hat, dann nochmal im abgesicherten Modus mit Netzwerktreibern starten und TrendMicro Housecall durchlaufen lassen. Danach waren die Systeme immer sauber.

Gruß
Neomatic
Bitte warten ..
Mitglied: kontrast
19.09.2012, aktualisiert um 12:45 Uhr
Hi,

wenn er nicht automatisch erkannt wird, dann kann ich dir dies ans Herz legen. Hat mir erst letztens sehr geholfen einen Trojaner von Hand zu entfernen.

Video zur Verwendung von Sysinternals Suite um Malware zu beseitigen.

http://channel9.msdn.com/Events/TechEd/NorthAmerica/2012/SIA302


Ich wünsche dir viel Glück!
Bitte warten ..
Mitglied: chevron-9
19.09.2012 um 13:03 Uhr
danke für Eure Antworten !

Interessant ist das NUR mit diesem Benutzer das BKA Zeug kommt... Melde ich mich mit einem anderen User oder dem Domain Admin an ist alles Roger (auch im nicht abgesicherten Modus!)

Virenscanner hab ich schon unterschiedliche drübergeschickt. Einige Sachen wurden auch gefunden, jedoch nicht repariert.

Ich habe nun einen neuen Useraccount angelegt, das Exchange Postfach verklinkt und setze grade das Notebook auf einer neuen Festplatte auf...


Ich hoffe das ich beim rüberkopieren der alten Profildaten nichts erneut verseuche...
Bitte warten ..
Mitglied: DerWoWusste
19.09.2012, aktualisiert um 17:28 Uhr
Moin.

Es sieht doch sehr danach aus, dass Du Servergespeicherte Profile einsetzt. So ist erklärbar, was Du beobachtest: an jedem Rechner wird bei diesem Nutzer das verseuchte, servergespeicherte Profil geladen. Das Profil brauchst du also nur zu desinfizieren oder neu anzulegen.
Bitte warten ..
Mitglied: chevron-9
20.09.2012 um 10:47 Uhr
Danke für Eure Antworten.

Desinfizieren hat nicht zum gewünschten Erfolg geführt. Neues Profil angelegt, Exchange Postfach neu eingeklinkt und gut wars. Dennoch danke euch allen für Eure Antworten !
Bitte warten ..
Ähnliche Inhalte
Sicherheit

BKA soll bereits Trojaner in Ermittlungen einsetzen

Information von BassFishFoxSicherheit3 Kommentare

Also die Idee mit dem Bildschirmfoto ist ja nicht so neu. Das Bundeskriminalamt (BKA) setzt nach Informationen von NDR, ...

Viren und Trojaner

Petya Virus eingefangen

Frage von FFSephirothViren und Trojaner14 Kommentare

Hallo zusammen, ein Kunde von mir hat den Petya Virus, also sein Laptop. Jetzt habe ich folgende Konstellation: Ich ...

Windows Userverwaltung

Ordner und Dateien in Domänenprofilen ausschließen

gelöst Frage von BleppSatterWindows Userverwaltung8 Kommentare

Hallo Community, mein Unternehmen arbeitet schon lange mit Domänenprofilen, jedoch haben sich einige Profile durch das individuelle Nutzerverhalten so ...

Windows 10

Domänenprofil einrichten unter Windows 10

Frage von ribrobWindows 102 Kommentare

Hallo, ich stehe gerade vor der tollen Aufgabe, ein vernünftiges Profil für den Standard-Domänenbenutzer zu erstellen. Folgendes habe ich ...

Neue Wissensbeiträge
Internet

Datendealing im WWW Tracking Methoden immer brutaler

Information von sabines vor 5 StundenInternet

Interessanter Artikel zum Thema Tracking im WWW und die immer "besseren" Methoden des Trackings. Professor Arvind Narayanan (Princeton-Universität) betreibt ...

Erkennung und -Abwehr

Ups: Einfaches Nullzeichen hebelte den Anti-Malware-Schutzt in Windows 10 aus

Information von kgborn vor 17 StundenErkennung und -Abwehr

Windows 10 ist das sicherste Windows aller Zeiten, wie Microsoft betont. Insidern ist aber klar, das es da Lücken, ...

Windows 10

Windows 10 on ARM: von Microsoft entfernte Info - Klartext, was nicht geht

Information von kgborn vor 19 StundenWindows 10

Windows 10 on ARM ist ja eine neue Variante, die Microsoft im Verbund mit Geräteherstellern am Markt etablieren will. ...

Microsoft
TV-Tipp: Das Microsoft-Dilemma
Information von kgborn vor 19 StundenMicrosoft12 Kommentare

Aktuell gibt es in Behörden und in Firmen eine fatale Abhängigkeit von Microsoft und dessen Produkten. Planlos agieren die ...

Heiß diskutierte Inhalte
Server
Route-Befehl Unterstützung (unter CMD)
gelöst Frage von FKRR56Server34 Kommentare

Guten Tag , i.M. habe ich Probleme über den CMD-Route-Befehl ein Routing auf einen entfernten Server zuzulassen. Der Server ...

Windows 10
Windows 10 (1709) Tastur und Maus wieder einschalten?
Frage von LochkartenstanzerWindows 1026 Kommentare

Moin, Ich habe von einem Kunden einen Win10-Rechner bekommen, bei dem weder Tastatur noch Maus geht. Die Hardware funktioniert ...

Firewall
RB2011 Firewall Rule eine bestimmte Mac oder IP Adresse nicht zu blockieren
Frage von lightmanFirewall15 Kommentare

Hallo liebes Forum mit ihren Spezialisten. Ich habe meine Firewall so konfiguriert das kein Endgerät ohne meine Speziellen Erlaubnis ...

Humor (lol)
Was könnte man mit einem Server machen? Idee gesucht
Frage von 2SeitenHumor (lol)15 Kommentare

Hey Zusammen Ich habe einen alten HP G2 Rackserver zu Hause rumliegen. 28GB Ram, 1xAMD Prozi mit etwa 2GHz. ...