Computerhilfe (PC-Abteilung) Reale Warnung vor Malware

Vermutlich wurde in der Nacht vom Donnerstag zum Freitag der Web-Server von PC-Welt und einigen anderen stark frequentierten Firmen gehackt. Die Kriminellen haben in der Index-Page einen Script implementiert, der offensichtlich ein erhebliches Schadpotenzial besitzt.

Noch ist nicht restlos geklärt, welche Pagen und Portale es außer der PC-Welt noch betroffen hat. Jetzt kommt das Dumme: Selbst heute am Dienstag können nur 6 von 40 Onlinescanner den Script auf den Webseiten finden. Damit waren viele Scanner wirkungslos. Deshalb sollten alle User den vorgeschlagenen Scann ausführen.

Microsoft hat heute seinen Windows Defender Offline aktualisiert. Allerdings kann er eben nur Offline die Malware finden und entfernen. Dazu ist es notwendig, das der Defender von http://windows.microsoft.com/de-DE/windows/what-is-windows-defender-offline (KB932716) herunter geladen und entweder auf einen Stick kopiert oder eine CD/DVD (am besten wiederbeschreibar) gebrannt wird.

Dies macht Windows ausschließlich nur mit seinen eigenen Werkzeugen. Deshalb ist es bei älteren Betriebssystemen (WindowsXP) zusätzlich notwendig, die Image Mastering API v2.0 von http://www.microsoft.com/de-de/download/details.aspx?id=17073 zu installieren. Dann erst arbeitet das Setup des Defender sein Programm weiter ab.

Während der Vorbereitung des Setup zum Brennen muss eine Verbindung zum Internet bestehen, denn es werden die neuesten Signaturen auf das Medium kopiert/gebrannt.

Ist alles fertig benötigen wir einen Neustart des Systems. Das machen wir am besten mit Hilfe des Netzschalters bzw. der Resettaste am PC-Gehäuse. Damit verhindern wir das die Malware eventuell in die Hiberfil.sys übernommen wird und nach dem meist eingestellten Hibernationsmodus wieder im System lustig weiter arbeitet.

Nun startet der PC von der CD/DVD/Stick. Der Start des Systems von einem anderen Medium als von einer HDD dauert naturgemäß länger. An der Voreinstellung des Tools brauchen wir nichts ändern. Die Zeitdauer der Suche entspricht etwa der eines normalen Scanners. Bitte nicht abbrechen, auch wenn das Tool etwas behäbig erscheint.

Zum Schluss wird eine Meldung über den Verlauf der Suche ausgegeben. Eventuell empfiehlt es eine gründliche Suche durchzuführen. Dieser Aufforderung sollten wir nachkommen.

Vermutlich wurde in der Nacht vom Donnerstag zum Freitag der Web-Server von PC-Welt und einigen anderen stark frequentierten Firmen gehackt. Die Kriminellen haben in der Index-Page einen Script implementiert, der offensichtlich ein erhebliches Schadpotenzial besitzt.

Danke hinterwaedler für Die Info habe auch nicht verstanden warum Kaspersky mir immer in den Letzten Tagen bei PC-WELT ein Script blockiert und Alarm schlägt :)

crosby

habe auch nicht verstanden warum Kaspersky mir immer in den Letzten Tagen bei PC-WELT ein Script blockiert und Alarm schlägt :)

crosby

Siehste.
Und ich dachte, jetzt dreht der auch schon durch wegen Vollmond.

nordstern

Ist doch immer so Internerseiten die einen grossen Andrang an Menschen haben werden gehackt ;)

Hatte auch man erlebt dass ein Chat(nicht der Seniorentreff ) gehackt wurde ist nicht so schön :(

crosby :)

Lieber Manfred,

soeben habe ich den Schnell-Scan mit dem Windows Defender Offline Tool durchgeführt. Prima Sache.
Wenn ich mehr Zeit habe, mache ich auch einmal den Vollscan.
Windows Explorer wird bei dem Scan "ausgeklammert." Ist das richtig?

Microsoft Baseline Security Analyser 2.2 finde ich auch sehr gut.
Gruß und Dank
brixana

Nur dann den Vollscann, wenn er was gefunden hat. Keine Ahnung weshalb der Explorer nicht gescannt werden soll. Bei mir gab es keine derartigen Hinweise. Ich benutze aber auch ausschließlich den FreeCommander

Der Microsoft Baseline Security Analyser ist nicht für dich gedacht. Für dich (und auch für mich) reicht der monatliche (automatische) Patchday. Dieses Tool von MS wird von Netzwerk-Admins benötigt, um einen PC in ihrem Verantwortungsbereich auf seinen Patchlevel zu untersuchen.

Mit dem Ergebnis ist es ihm dann möglich eine Kollektion von Patches bzw. Sicherheitsupdates bereitzustellen, die das System dringend benötigt. Es kann schon mal vorkommen, das ein PC auf Grund seiner speziellen Software etwas benötigt was nicht per se mitgeliefert wurde. Im hiesigen Fall ist es die "Image Mastering API v2.0", die im XP nicht vorhanden war. Im Normalfall benutzt man ein Brennprogramm um eine startfähige CD zu brennen. Um genau das ging es bei IMAPI.

Weiß nicht ob es damit zusammenhängt. Zum besagten Zeitpunkt wurde vom Avira Premium Scanner beim aufrufen der Webseite einer regionalen Zeitung ein Warnhinweis eingeblendet und darin stand sinngemäß, diese Webseite enthält einen schwerwiegenden Bug, der Zugriff wurde deshalb gesperrt.

Fuhr einen anderen PC mit einem Scanner hoch, bekam den gleichen Effekt.
Rief daraufhin bei dieser Zeitung an und meldete das Problem. Bekam gesagt, das wäre von vereinzelten Anrufern auch gemeldet worden, intern sei nichts zu finden.

Rief darauf hin bei der Hotline von Avira an, sagte was der Scanner meldet und bekam prompt die Bestätigung ja das haben wir hier nun auch. Der Mitarbeiter der Hotline sagte, er habe dies sofort ans Virenlabor gemeldet, damit diese schon mal mit der Analyse anfangen können und bedankte sich für die Information.
Er wird gleich auch im Zeitungshaus anrufen um mit denen über diese Sache zu sprechen.

Nach etwa zwei Stunden und neuem Update für den Scanner war die Webseite der Zeitung problemlos erreichbar.

Gibt es irgendwo mehr Hinweise bzw Infos, was da abgelaufen war und wie der aktuelle Stand derzeit ist?

Was manchmal bei Avira vor geht, ist nicht immer mit Logik erklärbar. Seltsamerweise konnte Avira bis zum Montag keine Bedrohung auf PC-Welt entdecken. Vermutlich war für die Leuts Wochenende und dann darf nichts passieren. Erst als Google und Mozilla in den Abendstunden des Sonnabend den Zugang zur Seite sperrten, merkten einige Hersteller von Scannersoftware überhaupt was los war.

Welche Pagen alle vom Hack betroffen sind, lässt sich bis zum heutigen Tag noch immer nicht restlos klären. Einige Zeitungsredaktionen haben sofort reagiert, kurzzeitig ihre Webseite vom Netz genommen und ein sauberes Image auf die Server aufgespielt. Dieses kurzzeitige Ausbleiben habe ich bsw. bei Chip festgestellt.

Aus all diesen Gründen habe ich obige ausführliche Anleitung geschrieben. Wer im betroffenen Zeitraum eine dieser Webseiten besucht hat, sollte dringend einen Scann machen. Wer darauf hofft, das ihm schon nichts passiert sei, ist ein Hasardeur.

"Für mich" scheint sich heraus zu kristallisieren, das vor allem Portale betroffen waren/sind, die ohne Beweise zu nennen, gegen KimDotCom's MEGA-Portal Stellung bezogen haben. Wer A sagt, sollte auch B sagen und wirkliche Beweise nennen. Die fehlten nämlich und so wie es heute in der Presse überall praktiziert wird, hat einer vom anderen abgeschrieben.

Kurzes Statement meinerseits.

Kaspersky blockte PC-Welt bei mir am Freitag.
Andere Seiten waren nicht aufgefallen, allerdings war ich wenig im Internet.
Eigentlich nur im ST.

Die Microsoft-Defender-CD habe ich auch gleich benutzt, ein Schädling wurde nicht gefunden.
Kaspersky habe ich nun auch noch suchen lassen, da war aber auch nichts.

nordstern

Lieber Manfred,
vielen Dank für Deine ausführliche, kompetente Antwort.
Nein, gefunden wurde bei mir nichts. Zum Glück.

Ich arbeite mit dem Total Commander, auch nicht mit dem WE, versuche aber den Scan noch einmal, ob wieder so eine Meldung erscheint, dass der Windows Explorer nicht gescannt wird.
Liebe Grüße
brixana