Jun 15, 2013

5483

Suche dringend guten Virenscanner

Ich bin mittlerweile schon am verzweifeln und hoffe ihr könnt mir hier weiterhelfen. Bisher haben ich seit Jahren meinen Computer mit Avira Antivirus geschützt und war eigentlich immer zufrieden. Seit Anfang des Jahres vertraue ich dem aber nicht mehr. Ich betreue mehrere Webseiten und nutze hierzu Total Commander. Im Februar wurden ALLE Seiten die dort gespeichert waren gehackt. Via FTP wurden Schadscripte eingefügt.

Ich änderte alle Passwörter und scannte meinen Rechner. Weder Avira, Kasperky oder Pandaantivirus haben irgendeinen Befall gemeldet. Es muss aber an meinem Rechner gelegen haben, denn es betraf wirklich alle meine Webseiten, die bei verschiedenen Providern liegen. Am Ende hab ich dann den Rechner formatiert.

Heute Nacht passierte nun genau das gleiche. Es wurden wieder fast alle Seiten verändert via FTP und wieder findet der Virenscanner keine Probleme auf meinem PC.

Mich verunsichert das sehr. Wie kann ich das in Zukunft verhindern? windows Firewall ist auch aktiv. Welcher Virenscanner ist wirklich gut und zuverlässig und wie kann ich mich in Zukunft besser schützen? neue Software hab ich auch schon seit Wochen nicht mehr installiert... ich wüßte nicht wo ich mich infiziert haben könnte, hab auch keine komischen Dateien geöffnet oder so.

Please also mark the comments that contributed to the solution of the article

Content-Key: 208066

Url: https://administrator.de/contentid/208066

Printed on: April 25, 2024 at 14:04 o'clock

27 Comments

Latest comment

Kaspersky hat an sich eine ziemlich hohe Erkennungsrate, der wäre auch meine Empfehlung gewesen.
Hast du mal eine Rettungs-CD von Kaspersky gebrannt und mit der einen Offline-Scan gemacht?
Ansonsten könnte ich mir nur vorstellen, dass dein verwendetes Passwort per Wörterbuchattacke erratbar ist und deshalb einfach deshalb geknackt wurde.
Oder (eher unwahrscheinlich) ein anderer Rechner in deinem Netzwerk liest den Datenverkehr mit und kann so die FTP-Passwörter mitlesen. Gegen letzteres hilft, sich (falls verfügbar) per FTP mit TLS zu verbinden, damit die Verbindung verschlüsselt wird.

Ich hab nur den einen Rechner hier im Netz. Betroffen sind rund 10 Webseiten die ich betreue und die Passwörter waren mit einem Generator generiert. Sie enthielten alle keinen Klartext sonder bestanden aus zufälligen 10 Zeichen - Buchstaben (groß/klein), Zahlen und Sonderzeichen. Betroffen waren auch Seiten, die ich schon seit Monaten nicht mehr via FTP geöffnet hatte, daher vermute ich das die ini DAtei vom Total Commander ausgelesen wurde. Offlinescan hab ich noch nicht gemacht, aktuell lass ich mal ESET drüber laufen, aber bisher kein fund

Hi,

ich vermute eher das deine Server geknackt wurden und nicht dein Rechner.

Für deinen Rechner eignen sich Offline-Scans: Antiviren Rescue CDs

Und warum meinst du das die Webseiten per FTP verändert wurden?
Sind das nur statischen HTML-Seiten?
Gibt es ein Joomla, WordPress, ...?
Gibt es eine Datenbank?

Es gibt gerade sogar Berichte, das Webdienste direkt im Speicher so verändert worden sind, das nicht mal ein Neustart des Dienstes nötig war!

Such mal in dieser Richtung!

VG
Deepsys

Betroffen waren auch Seiten, die ich schon seit Monaten nicht mehr via FTP
geöffnet hatte, daher vermute ich das die ini DAtei vom Total Commander ausgelesen wurde. Offlinescan hab ich noch nicht
gemacht, aktuell lass ich mal ESET drüber laufen, aber bisher kein fund

- Geknackte Webseiten können sehr viele unterschiedliche Ursachen haben. Was wurde genau verändert?
- AV Scanner helfen natürlich immer nur gegen Malware/Viren die auch bekannt sind. Da solltest Du generell keine Wunder erwarten.
- Surfst Du mit Java / Javascript usw. aktiviert? Über Drive-by-Downloads kannst Du Dir dann schnell was einfangen.
- Passörter die unverschlüsselt auf dem Rechner rumliegen, können immer auch einfach ausgelesen werden, zumal es Malware gibt die genau das macht. Benutze besser ein Tool wie KeyPass.
- Wenn Du den Verdacht auf eine Malware auf Deinem PC hast dann mach den platt!

edit: ich meinte KeePass

Hallo grka

...daher vermute ich das die ini DAtei vom Total Commander ausgelesen wurde...

Wenn zutrifft was unter Einstellungen für den FTP-Client steht, nutzt dir dein 10-stelliges, zufällig generiertes, unerratbares Passwort relativ wenig.

password=00000000000000 Passwort, verschleiert (NICHT verschlüsselt, ist prinzipiell unmöglich!)

Ein verschleiertes Passwort kann prinzipiell auch wieder entschleiert werden.

Gruß,
gemini

Moin,

Das Problem sind nicht die Virenscanner, sondern Deine Paßwörter und Deine Server sagt meine Kirstallkugel. Du solltest mal Deien Webseiten nach backdoors und verwundbaren Diensten durchsuchen. Und standard-FTp ist sowieso ein nogo heutzutage. Und wenn Du PHP oder SQL-basierte programme nutzt, ist die Wahrscheinlichkeit für verwundbare Pakete besonders hoch.

lks

Passwörter werden in der Regel nicht mit persistenten Infektionen ausgelesen, weil das Entdeckungsrisiko mit der Zeit natürlich steigt, wenn sich Malware im Dateisystem einnistet. Von daher wirst Du ohne RAM-Image oder TCP-Dump vom betreffenden Zeitpunkt wohl nichts finden.

Grüße
Richard

Hey,

wenn Du wirklich auf die sichere Seite willst (Infektion des Rechners ausschließen) und einen Angreifer vermutest, der nicht erkannt wird gehe folgendermaßen vor:

1. Platte wipen (Nutze dafür ein Tool vom Hersteller meiner SSD)
2. Installationsmedium bereitlegen was nicht schon infiziert sein kann (z.B. Original-CD)
3. Internet Security Suite bereit legen (ebenfalls infektionsfrei, folglich als ISS bezeichnet)
4. Rechner runterfahren, Netzstecker ziehen, Netzwerkkabel entfernen, Bios Batterie entnehmen, Powerkopf gedrückt halten bis Rechner stromlos
-> Nach diesem Vorgehen sollte dein System frei von Kompromittierungen sein, denn die Platte ist komplett platt und der Speicher war stromlos und sollte somit auch frei von Daten jeglicher Art(Viren, Würmer, RootKits, etc) sein.
5. Windows vom sauberen Medium installieren, ISS einspielen, dann online gehen und als erstes ISS aktualisieren und alle Windows Updates einspielen.
-> über neue Systemsicherheit freuen!

6. FTP-Zugänge per SSL verschlüsseln, alle Webseiten mit neuen PWs versehen und die Passwörter nicht mehr lokal speichern

Anmerkung: Wenn Du ein WLAN betreibst, auch Dieses mal mit einem neuen, sicheren PW versehen.
Wenn Du den Angreifer im Router vermutest neue Firmware drauf und neu einrichten!
Ob dein Rechner wirklich stromlos war siehst Du daran, dass Du das Bios neu einstellen musst.

P.S.: Zu deiner eigentlichen Fragestellung: Für mich kommen nur die InternetSecuritySuites von GData und Kaspersky in Frage, aber Das ist sicherlich auch Geschmackssache.
Ich glaube dein eigentliches Problem ist nicht eine zuverlässige Suite zu finden, sondern zu gewährleisten, dass Diese nicht bereits nach Installation des OS ausgehebelt worden ist.
Deswegen gehe wie oben beschrieben vor und mache den Fallback auf die Hardware-Ebene.
Letzte Anmerkung:
Sei Dir immer bewusst, dass auch Smartphones, Fernseher, etc mittlerweile oftmals reale Clients in deinem Netzwerk darstellen und auch wie solche behandelt werden müssen.

Gruß,
Chris

Hallo,

jemand hat also deinen "Schlüsselring" im Total Commander ausgespäht, sich einzeln auf die entsprechenden Seiten verbunden, und dann diese manipuliert?
Für einen "Standard Virus" total unüblich. Die versuchen ja Masse zu machen, während das was du beschreibst schon ziemlich individuell wäre. Vielleicht doch der Mitbewohner, der sich einen schlechten Scherz erlaubt?

Gruß

Filipp

Für einen "Standard Virus" total unüblich.

siehe z.B. hier:
http://blog.unmaskparasites.com/2009/09/23/10-ftp-clients-malware-steal ...
http://blogs.mcafee.com/mcafee-labs/password-stealing-trojan-with-dash- ...

naja usw.
das die Passwörter im TC schlecht geschützt sind überlasse ich dann gerne eigener Recherche

Also ich vermute das es halt an meinem PC und nicht am Webserver liegt, weil es wirklich alle Seiten betraf, die ich im TC gespeichert hatte und die Webserver bei verschiedenen Providern liegen wie 1und1, Strato, Profihost usw. Ich glaub nicht das rein zufällig ALLE diese Server gehakt wurden. Als ich das gleiche Anfang des Jahres hatte ist es mir erst aufgefallen, als die Provider mich anschrieben und mir mitteilten, daß meine Seiten via FTP im Ausland verändert wurden und man das bei einer Prüfung festgestellt hatte. Damals wurden alle index.htm und index.php Seiten mit einem Javascript bestückt. Ich hab damals den PC platt gemacht, alle Seite korrigiert und die Passwörter geändert. Jetzt, gut ein halbes Jahr später, hab ich genau das gleiche Problem, doch diesmal ist es mir selber sofort aufgefallen, weil ich Nachts um halb 3 keine Seite editiert habe. Es betraf auch Webseiten, die ich eben in den letzten Monaten nicht via TC angefasst hatte und nur im TC halt gespeichert hatte.

Betroffen waren die verschiedensten Webseiten:
- Bei einem phpbb Forum wurden alle style Dateien verändert
- bei den statischen Webseiten wurden nur die index Dateien (php & html) verändert
- es wurde ein Wordpress Blog verändert
- bei den dynamischen Seiten mit MySql wurden die index, header und footer Dateien verändert.

Überall wurde ein Javascript hinzugefügt.

Zitat von @danielfr:

> Für einen "Standard Virus" total unüblich.
siehe z.B. hier:
http://blog.unmaskparasites.com/2009/09/23/10-ftp-clients-malware-steal ...
http://blogs.mcafee.com/mcafee-labs/password-stealing-trojan-with-dash- ...

naja usw.
das die Passwörter im TC schlecht geschützt sind überlasse ich dann gerne eigener Recherche

Gibts da einen besseren FTP client?

Ich kann SmartFTP empfehlen, der kann die Passwörter über den (gesicherten) Windows Credential Store verwalten, wobei auch die integrierte Passwortspeicherung die Daten verschlüsselt ablegt - zu der Qualität der integrierten Verschlüsselung kann ich allerdings nichts sagen.

Aber nutze nach Möglichkeit zusätzlich FTP über TLS (FTPS macht mit NAT und Firewalls regelmäßig Probleme). Es soll ja auch Firmware-Bugs in Routern geben die es ermöglichen dass Angreifer Daten über strategisch interessante Netzwerkports abgreifen und automatisiert nutzen. Hast du zufällig ein Gerät aus dem Hause D-Link oder Belkin welches seit ca. 6 Monaten kein Firmware-Update bekommen hat?

Zitat von @ChrisIO:

-> Nach diesem Vorgehen sollte dein System frei von Kompromittierungen sein, denn die Platte ist komplett platt und der
Speicher war stromlos und sollte somit auch frei von Daten jeglicher Art(Viren, Würmer, RootKits, etc) sein.

Das ist ein weitverbreiteter Irrtum. Es gibt sie zwar selten, aber dennoch existiert Malware, die sich in BIOS-Flash reinschreiben kann. gegen diese Malware ist diese Methode nicht geeignet. dazu muß man sich ein neues Flash-ROM besorgen und einbauen.

man kann es aber auch einfacher haben. Einfach ein neues origingalverpacktes noch nicht ausgepacktes System ohne OS kaufen oder sich aus einzelnen Komponenten eines zusammenbauen. Ist nru eine frage, wie weit die Paranoia geht.

lks

PS. Übrigens, das man paranoiid ist, heißt keineswegs, daß die Paranoia grundlos ist.

Zitat von @grka:

Betroffen waren die verschiedensten Webseiten:
- Bei einem phpbb Forum wurden alle style Dateien verändert

Einfallstor: http-server, php, phpbb, vermutlich auch mysql

- bei den statischen Webseiten wurden nur die index Dateien (php & html) verändert

Einfallstor: http-server, php

- es wurde ein Wordpress Blog verändert

Ganz große Kino: Wordpress und seine Lücken.

- bei den dynamischen Seiten mit MySql wurden die index, header und footer Dateien verändert.

mysql: "Little Bobby Tables" sach ich nur.

Überall wurde ein Javascript hinzugefügt.

Junge, so wie sich das für mich liest, würde ich direkt auf verwundbare Softwae auf deinen Servern tippen. da kannst du deinen Rechner noch so oft plattmachen, Du wirst Dir immer wieder was einfangen. tatsache ist, daß die Server regelmäßig gescannt werden und die Softwareversionen in einer Db erfaßt. Sobald ein 0-day bekannt wird, werden die in der Db gefundenen Systeme gleich infiziert. da schützt dein schönster Virenscanenr nichts.

Du mußt dafür sorgen, daß Deine Serversoftware auf aktuellem Patchstand ist und vor allem die typischen Fehler in der Art von "bobby tables" nicht vorkommen.

lks

Zitat von @Lochkartenstanzer:

> Zitat von @ChrisIO:
> ----
> -> Nach diesem Vorgehen sollte dein System frei von Kompromittierungen sein, denn die Platte ist komplett platt und der
> Speicher war stromlos und sollte somit auch frei von Daten jeglicher Art(Viren, Würmer, RootKits, etc) sein.

Das ist ein weitverbreiteter Irrtum. Es gibt sie zwar selten, aber dennoch existiert Malware, die sich in BIOS-Flash reinschreiben
kann. gegen diese Malware ist diese Methode nicht geeignet. dazu muß man sich ein neues Flash-ROM besorgen und einbauen.

Naja, die Chance dann noch infiziert zu sein, ist wohl relativ gering.
Mir ist noch nie ein befallener BIOS-Flash vorgekommen.

Deshalb würde ich kein neues System kaufen, denn heutzutage sind die BIOS-Flash-Chips doch eigentlich alle gesteckt.
Abziehen, auf einen EEPROM-Schreiber stecker und einmal mit nullen überschreiben, dann neustes Hersteller-BIOS rauf.
Alternativ, könnte man bestimmt im Zuge der Biosaktualisierung zu CoreBoot einen Bereinigungsschritt einbauen, dann ist man gleich das unsichere UEFI-Bios mit los.

Ich würde die Chance eines Angreifers im Bios jetzt nicht als so groß einschätzen.
Das wäre dann nun wirklich der letzte Schritt.

Paranoia ist manchmal auch ganz gut

Leider sind uns viele Länder in Sachen IT schon ein wenig vorraus.

P.S.: Wahrscheinlich würde ein simples Bios-Update deinen Angreifer aber auch schon aus der ROM kicken.

Zitat von @ChrisIO:

Naja, die Chance dann noch infiziert zu sein, ist wohl relativ gering.

Aber doch vorhanden.

Mir ist noch nie ein befallener BIOS-Flash vorgekommen.

Was aber nicht heißt, daß es sie nicht gibt.

Deshalb würde ich kein neues System kaufen, denn heutzutage sind die BIOS-Flash-Chips doch eigentlich alle gesteckt.

Habe ich ja als Alternative vorgeschlagen.

Abziehen, auf einen EEPROM-Schreiber stecker und einmal mit nullen überschreiben, dann neustes Hersteller-BIOS rauf.

Dann würde ich eher ein OS-BIOS draufmachen.

Alternativ, könnte man bestimmt im Zuge der Biosaktualisierung zu CoreBoot einen Bereinigungsschritt einbauen, dann ist man
gleich das unsichere UEFI-Bios mit los.

Ich würde die Chance eines Angreifers im Bios jetzt nicht als so groß einschätzen.

Genau darauf verlassen sich die Angreifer: "Wer will schon mein System hacken. Ich bin doch völlig uninteressant.".

Das wäre dann nun wirklich der letzte Schritt.

Wie gesagt, komtm drauf an, wie paranoid man ist.

Paranoia ist manchmal auch ganz gut

Nicht nur manchmal.

P.S.: Wahrscheinlich würde ein simples Bios-Update deinen Angreifer aber auch schon aus der ROM kicken.

Nicht wenn der Angreifer das vorgesehen hat und das BIOS-Update in einer VM nur simuliert.

lks

Wir Paraniode verstehen uns einfach. :D

Gruß,
Chris

Du mußt dafür sorgen, daß Deine Serversoftware auf aktuellem Patchstand ist und vor allem die typischen Fehler in
der Art von "bobby tables" nicht vorkommen.

Wie du vielleicht oben gelesen hast liegen die Seiten bei Servern von 1und1, Strato und co. Ich hab da 0 Einfluss drauf. Das sind keine eigenen Server dort sondern einfach Hosting Pakete. Die Server werden von dem jeweiligen Provider betreut, ic hhab da lediglich ftp Zugänge um Daten hochzuladen!!

Was mich eben stutzig dabei macht: Ich halte es für höchst unwahrscheinlich, daß Hacker reinzufällig bei ALL diesen Providern GLEICHZEITIG einfallen und ALLE meine Seiten verändern.... Ich halte es eher für wahrscheinlich das die Daten von meinem PC geklaut wurden und dann alle Seite davon angegriffen worden. Wenns nur eine Seite betroffen hätte oder alle beim gleichen Provider, dann würde ich auch eher davon ausgehen das das Problem beim Server liegt und mein Rechner sauber ist.

Hallo,

Zitat von @grka:

Ich halte es eher für wahrscheinlich das die
Daten von meinem PC geklaut wurden und dann alle Seite davon angegriffen worden. Wenns nur eine Seite betroffen hätte oder
alle beim gleichen Provider, dann würde ich auch eher davon ausgehen das das Problem beim Server liegt und mein Rechner
sauber ist.

Und wie wäre es die Passwörter schon mal nicht zu speichern?
Noch besser, eine saubere VM verwenden, evtl. mit einem Linux, und die Daten dann nur von dort hochschaufeln?

VG
Deepsys

Hi,

ich lege noch einen drauf:
Vor Jahren hatten ich mal von einer russischen Sicherheitsforscherin gelesen, das die Code im Mikrocode-Bereich des Prozessors platziert hat.
Da hilft dir noch nicht mal der Board-Tausch, da muss alles wech!

So, und wer versichert mir, das die Prozessoren vom Werk aus sauber sind?
Vielleicht ist da ja PRISM-Code drin ....

So, jetzt aber genug Paranoia, sonst designen wir morgen hier die CPUs selber

VG
Deepsys

Zitat von @grka:

Daß es nur einfache Hosting-Pakete sind hast Du nicht dazugesagt. Ich kenne genügend Leute, denen ich aus der Patsche helfen mußte, weil die sich Root-Server geholt haben, weil das billiger ist als mehrere Dutzend Hosting-Pakete. Und sich dann gewundert haben, daß ihr Provider sie anmeckert, weil sie spam verschicken (oder schlimmeres).

Und selbst wenn der Provider um sich die Software-wartung kümmert, kann man noch genügend Fehler selbst bei der Anwendung machen.

Was ich Dir sagen wollte ist einfach: Versteif Dich nicht nur auf Deinen Rechner, sondern schau auch mal Deine webseiten durch, ob da nicht auch Lücken drin sind.

lks

Edit: Typos

Zitat von @Deepsys:

So, jetzt aber genug Paranoia, sonst designen wir morgen hier die CPUs selber

Habe ich schon gemacht. Vor 25 jahren an der Uni. Aber keiner kann garantieren, daß die beim Fertigen nicht noch ein paar Spezialitäten einbauen.

Um wirklich sicher zu sein, muß man sich den Prozessor sich wie anno dazumals direkt aus Transistoren oder aus TTL-Schaltungen wie dem 7400 NAND-Gatter zusammenlöten.

lks

Zitat von @Lochkartenstanzer:
---
Um wirklich sicher zu sein, muß man sich den Prozessor sich wie anno dazumals direkt aus Transistoren oder aus
TTL-Schaltungen wie dem 7400 NAND-Gatter zusammenlöten.

Geile Idee!
Raum vom Serverrraum komplett zugebaut und weniger Leistung als ein C64

Zitat von @Deepsys:

> Zitat von @Lochkartenstanzer:
> ---
> Um wirklich sicher zu sein, muß man sich den Prozessor sich wie anno dazumals direkt aus Transistoren oder aus
> TTL-Schaltungen wie dem 7400 NAND-Gatter zusammenlöten.

Geile Idee!
Raum vom Serverrraum komplett zugebaut und weniger Leistung als ein C64

IBM hat früher solche TTL-Gräber in wenigen 19"-Schränken untergebracht. Und die hatten mehr Leistung als ein C64. Also würde das schon gehen.

Man könnte natürlich auch FPLAs nehmen. Die brauchen nicht ganz soviel Platz.

lks

Zitat von @Lochkartenstanzer:

IBM hat früher solche TTL-Gräber in wenigen 19"-Schränken untergebracht. Und die hatten mehr Leistung als ein
C64. Also würde das schon gehen.

OK, das war vor meiner IT-Zeit

Man könnte natürlich auch FPLAs nehmen. Die brauchen nicht ganz soviel Platz.

Na dann mal los

Obwohl es gibt ja auch Open-Hardware ....

hallo,
ich empfehle ms security essentials.
das ist recht schnell und kostet nur 0 euro.
bei mir hat die software schon ein paar viren gefunden.
gruß marco

German Question Viruses, Trojans Security

Hotly discussed

Check of ZFW Firewallgleixnerd - 5 Comments

Wireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments