Anleitung zum Entfernen des SIREFEF!CFG-Trojaners - Virus - (Windows-Firewall u. Defender verschwunden bzw nicht startbar)

Das gleiche gilt für Backup - komischerweise sollte man vom infizierten PC ein Backup machen ...
... aber auf die Idee ein brauchbares Backupkonzept zu erstellen und zu nutzen kommt niemad

Aber nichts desto trotz, auch hier wieder (wie immer) meine übliche Antwort bzgl. Viren auf einem PC ...
Ein Kontaminiertes System wird immer eines bleiben.
Solltest du es schaffen, dass das System wieder halbwegs funktioniert - ist das nächste Theater schon vorprogrammiert...
... Glaub mir - es haben schon viele geglaubt - juhu mein System war / ist sauber ...
... Ergebnis: spät. nach 2 Monaten wurde die Maschine neu-installiert

PS: wie schon oben erwähnt - Backup wird überbewertet ...
... mit einem Backup hättest du dir die ganze Sache erspart und nach 30 Minuten wieder ein funktionierendes System

PPS: die Aussage bzgl. Neu-Installation ist für Angsthasen hat dich IMHO leider ins Abseits gestellt ...

Just my 2 Cents
@kontext

Hallo,

das Vorgehen in allen Ehren...

Aber ein System bei dem es einen erfolgreichen Angriff auf die Sicherheitssysteme gab, durch bloses hin und her kopieren von ein paar Dateien und Anpassen von ein paar Berechtigungen wieder als Sauber zu betrachten...da sträuben sich mir die Nackenhaare....
Das mag in einer kleinen Umgebung oder bei einem Einzelplatz machbar sein...bei einer komplexen Umgebung mit mehr als 1000 Rechnern ist das für mich ein NoGo....

brammer

Genau das gleiche könnte man dich fragen ...
... wow wie bist du denn drauf, denn:

Hat dich erstens wieder ins Abseits gestellt (schon zum 2en Mal) ...
... und zweites - haben wir hier wieder mal einen Admin (ist er ein Admin oder was ist er) der sich gleich angegriffen fühlt, wenn man eine konstruktive Kritik liefert.

Junge, wir sind aus dem Sandkasten-Alter raus, wir müssen nicht alles schön reden und (bis jetzt) war ich der Meinung, dass man hier auch ein wenig diskutieren kann - Wenn du gleich Traurig bist und dich angegriffen fühlst, kriegst hier einen Keks ... und bevor ich mich nun wieder zu ewigen Diskussionen hinreißen lasse - mach du deinen Job und ich mach meinen - für Streitereien hier hab ich ehrlich gesagt keine Lust - und mit der Zeit weiß ich auch besseres anzufangen. Ich mache ab nun einen Bogen um deine Beiträge und werde diese auch nicht mehr kommentieren, nicht dass sich wieder wer blöd angemacht fühlt

Gruß
@kontext

Hi,

hmm, so ganz verstehe ich die Kommentare hier auch nicht.

1) Ich mache auch von einem infizierten System ein Backup, damit ich im Notfall (sollte die Wiederherstellung etc, nicht funktionieren) wenigstens noch an die Daten kommen. Denn die Daten sind nun mal das wichtigste, auch wenn da evtl. eine oder mehrere infizierte Dateien noch drauf sind. Im Notfalle kann ich immer noch per Linux darauf zugreifen und da sind mir die Windows Viren völlig egal.

2) Ich persönlich halte auch nichts davon, bei jedem kleinsten Virus oder Trojaner gleich das ganze System neu zu installieren. Wo kommen wir denn hin, wenn ich mir von den Entwickler von Schadsoftware meinen Job diktieren lasse. Viren oder Trojaner sind nichts anderes als ein Stück Software, die man nicht unnötig mystifizieren muss. Entfernet man(n) die Schadsoftware korrekt kommt sie in der Regel auch nicht wieder. Oft ist so, das durch "neue" Lücke im System ähnliche Viren wiederkommen. Da würde aber auch bei einer Neuinstallation passieren. Dagegen helfen nur permanente Updates des Systems und ein guter AV-Scanner. Ich habe schon sehr viele Systeme mit gescheiten Virenscanner (meist über Linux Antiviren CDs (am Besten zwei unterschiedliche)) wieder gesäubert und die laufen danach jahrelang ohne Probleme.

Sicherlich gibt es auch Fälle, da ist eine Neuinstallation der einzige sinnvolle Weg - das will ich gar nicht bestreiten - aber dieses generelle "Neuinstallation bei Viren und Trojanern" finde ich oft übertrieben. Ausnahmen sind hier sicher Firmen PCs, dort sollte man dann aber von vornherein ein System haben, dass gleich automatisch ein neues Image auf den Rechner installiert (so kenne ich das).

Ich persönliche besorge mir entweder eine Anleitung zum Entfernen (wie diese hier) oder zwei gute Linux Antiviren Images, die man von außen Booten kann (z.B. USB, CD, DVDs, etc.) Diese können auf die Windows Partitionen zugreifen und lösen das Problem sehr oft auch ohne Neuinstallation (z.B. AVG Rescue CD und Kaspersky Rescue CD)

P.S: Außerdem ist es für mich eine persönliche Herausforderung als Admin die entsprechende Schadsoftware zu finden und sie entsprechend zu eliminieren. Wie schon oben erwähnt, Viren und Trojaner sind nichts anderes als ein bisschen Software. Nicht mehr, nicht weniger.

Gruß
Frank

Hi Frank,

zu Punkt 1) mein Kommentar war auf die Aussage des TO bezogen (Neuinstallation ist für Angsthase)
Natürlich ist mir klar, dass ich bevor was Systemkritisches wie die Windows Registry angefasst wird, zuerst ein Backup gemacht wird.
Leider ist es einfach so, das heutzutage niemand mehr was auf ein richtiges und vor allem funktionierendes Backup-Konzept legt.
Und laut TO gehöre ich in diesem Fall zu den Angsthasen - gehe dafür auf Nummer sicher ...

zu Punkt 2) es ist löblich, dass du dich auf die Suche nach dem Schädling machen willst und auch diesen zu beheben.
Das liegt glaube ich in den Grundsätzen eines Admins - man will den Fehler finden und beheben.

Jedoch weißt du bei Viren / Trojanen halt nicht ob du A) alles gelöscht hast und B) was für Hintertüren dir der Virus geöffnet hast.
Um eine saubere Analyse und vor allem Behebung des Trojaners vorzunehmen brauchst du mindestens einen halben Arbeitstag, wenn nicht länger.
Als Dienstleister kannst du diese Arbeit nicht verrechnen und als Systemadministrator sitzt man dir im Nacken, da der User arbeiten muss / soll ...
... daher ist der Weg der Neuinstallation nicht oft nur der einfachere sondern der schnellere / bessere
... wie sieht das gegenüber dem Kunden / User denn aus wenn man nach ein paar Wochen wieder das gleiche / ähnliche Problem hat

Ich hatte in der Vergangenheit schon oft Fälle wo man Viren / Trojaner aufwändig von Hand entfernt hat (Offline Scan, Bereinigung Dateisystem, Dienste / Prozesse säubern, Registry säubern, etc) - und nach ein paar Wochen / Monaten war das System wieder infiziert.

In dieser Anleitung wurden vor allem Systemkritische Dienste verändert / deaktiviert - also schon relativ tiefe Systemdienste.
Da hört meiner Meinung der Spaß auf - und man investiert einfach nur nutzlos seine Zeit ...
... denn zu 99% wird an der AntiVirus Strategie nichts geändert
... man bleibt auf dem Freeware-AV Anbieter und Backup Konzept braucht man auch keines
... heutzutage lebt man einfach blauäugig weiter - jetzt hat es mich einmal erwischt, ein zweites mal erwischt es mich sicher nicht

Wie gesagt - Viren und Trojner sind meiner Meinung andere Geschosse als Ransomware wie der Polizei-Trojaner, etc.
Bei solchen Dingen kann man leicht den Übeltäter finden und sich auch in Zukunft davor schützen
Da ist es oft einfacher und schneller den Schädling zu entfernen, einen anderen AV Anbieter installieren und JAVA (wenn nicht benötigt) zu deinstallieren

PS: Ich dachte wir sind hier ein Forum wo man über diverse Dinge diskutieren kann ...
... meiner Meinung hätte man die Anleitung besser / schöner / ausführlicher schreiben können und auf diverse Dinge eingehen können
... aber in diesem Fall hab ich mich wohl geirrt (die Zeiten von aqui's Anleitungen sind scheinbar vorbei)
... ich werde mir (wie schon erwähnt) das nächste Mal meinen Teil denken und solche Dinge nicht mehr kommentieren
... Spart uns allen eine Menge Zeit und manchen auch Ärger

PPS: nichts desto trotz ein +1 für deinen Kommentar - ich bin ja nicht so und vote als negativ nur weil es mir nicht in Kram passt

Gruß
@kontext

Hi,


Ich denke, das ist pure Ironie und hätte so auch von mir kommen können.


Je nach System kann eine Bereinigung auch schneller als eine Neuinstallation sein. Ich denke man kann da keine Pauschal Aussage dazu machen. Es kommt auch auf die Komplexität des Systems drauf an (und ob die Firma überhaupt ein Backups hat).


Aus meiner Erfahrung sind das oft Fälle, wo die Schadsoftware durch neuen Lücken/Schwachstellen im (meist alten) System wieder reingekommen sind. Weniger durch eine "Reaktivierung" des ehemals vorhandenen Virus/Trojaner.


Wie schon oben erwähnt, macht es natürlich nicht immer Sinn. Manchmal kommt man um eine Neuinstallation nicht herum. Die Rechner/Server aber mit der externen AV-Software zu scannen, ist für mich der erste Weg.

Generell ist aber die grundlegende Problematik von Viren und Trojanern oder das Fehlen von einem funktionierenden Backupsystem nicht Ziel der Anleitung gewesen. Hier ging es ganz alleine darum, wie man einen bestimmten Schädling eliminiert. Ob da jetzt Firmen ein Backupsystem haben, schlechte oder alte Virenscanner benutzen, nichts daraus lernen, etc. war nicht Inhalt der Anleitung und kann man dem Autor auch nicht vorwerfen.


Aqui's Anleitungen haben die Messlatte schon sehr hoch gesteckt. Nicht jede Anleitung kann diese hohe Qualität liefern, oft ist das jeweilige Thema bzw. die Lösung nicht so komplex. Hier ging es ganz gezielt nur um das Entfernen eines bestimmten Schädlings. Ich freue mich über beide Arten von Anleitungen. Die, die ausschweifen und die, die auf den Punkt kommen.


Kann man ja auch. Aber ich diskutiere doch nicht gleich über den Sinn z.B. von Autos, nur weil ich einen Platten oder Probleme im Getriebe habe


PPS: dann bekommst du natürlich auch ein +1 von mir. Da gehts mir ja nicht anders

Gruß
Frank

Moin,

Es ja nichts dagegen zu sagen, daß man eine Anleitung veröffentlicht, die eine bestimmte malware (vorgeblich) wieder aus dem System wirft, um damit wieder arbeiten zu können. Aber in so eine Anleitung gehört imho immer der Hinweis auf die Gefahren, dieses Vorgehens, insbesonderer irgendwelcher nicht entdeckter (oder entdeckbarer) Rückständen. Der Leser muß dann selbst das Risiko abwägen. Ansonsten glauben die meisten Benutzer, daß man durch ausführen der Schritte und der Anleitung wieder ein sicheres System hat.

Ich persönlich habe den Fall schon mehrmals gehabt, daß Kunden nur desinfiziert, aber nicht neu installiert haben wollten, trotz Hinweis auf das Risiko. Nach der dritten "Reinfektion" waren die dann aber doch überzeugt, daß man besser frisch installiert (waren BKA-Trojaner). Gibt mehr Geld, aber man hat keinen "Spaß" dabei.

lks

Hi lks,


Siehe zweite Zeile

Ich denke, dass Zielpublikum liegt ganz klar bei den Administratoren und nicht bei den Benutzern. Ohne Admin Rechte wird's recht schwer, die REG-KEYS zu ändern.

Gruß
Frank

Auch für die Admins ist so ein Risikohinweis nicht verkehrt. Ich kenne genügend Admins die per ordre-di-mufti (= Du weiß wie man einen Computer einschaltet? Ab sofort bist Du Admin!) dazu wurden. Diese sind zwar "versiert", in dem Sinne, daß die mal auch mit dem Registry-Editor eine key löschen/ändern könnten, aber nicht erfahren genug, um die Folgen so einer Aktion wie oben abschätzen zu können.

lks

Hi lks,


Gruß
Frank

Hallo,

@Frank



Nun das klingt für mich nicht wirklich Ironisch....

Wenn man sich mit dem benannten Virus etwas näher beschäftigt findet man schnell ein Dutzend Lösungswege, inklusive REG Änderungen und Pfade in denen sich der Virus festsetzt.
Inklusive so hilfreicher Meldungen alle Dateien mit dem Virus Namen zu löschen.
Das es sowas wie umbenennen gibt, scheint uunbekannt zu sein.

Aktuelle Viren sind mitunter derart hochkomplex das ein einfaches Bereinigen nicht immer ausreichend ist.
Bei einem Privatrechner mag das reichen, bei einem Server eher nicht...

Vor allen @schmitzi
Woher nimmst du die Sicherheit das dein System wirklich sauber ist?
Woher hast du den Lösungsweg?
Hast du nach Bereinigung des Cystems ein- und ausgehenden Verkeher über einen längeren Zeitraum beobachtet?

brammer

Hi brammer,

ganz ehrlich, wenn mir zwei aktuelle (oder mehr) unterschiedliche externe AV-Scanner keinen Fehler/Warnung/Hinweise mehr anzeigen und das System sauber funktioniert, ja dann glaube ich, dass das System wieder sauber ist. Eine 100% Sicherheit hast du nie - auch nicht bei einem System was du gerade neu aufgesetzt hast und am nächsten Tag durch einen neuen Exploit wieder kompromittiert wird. Paranoia ist wichtig, sollte aber nicht lähmen.

Wenn ich jetzt dringend an die Daten eines infizierten Systems kommen muss, bin ich doch froh, das es eine Anleitung dazu gibt. Was man danach mit dem Rechner/Server etc. noch macht, kann jeder Admin für sich selbst entscheiden.

Die Mystifizierung der Schadsoftware mit all seinen vielen Möglichkeiten bring niemanden wirklich weiter. Ein Virus oder ein Trojaner ist nur ein kleines Stück Software (ein Daemon, ein Service, einer Sicherheitslücke), der sich gut versteckt oder getarnt hat. Man kann ihn finden und löschen.

Gut, ich komme jetzt aus der Linux/Unix Welt vielleicht sehe ich das für die Windows Platform auch etwas zu optimistisch. Aber auch unter Windows gibt es Checksummen für Dateien und so anders arbeiten die AV-Scanner unter Windows auch nicht. Rein technisch gesehen ist ein System wahrscheinlich nach entfernen bzw. scannen, etc. sauber. Was aber das Gefühl des Admin dazu sagt, ist sicher eine ganz andere Geschichte (und eine andere Diskussion wert).



Gruß
Frank

Hallo Frank,

die Kommentare finde ich berechtigt. Die Anleitung leitet meines Erachtens zu fahrlässigem Dilettantismus an.

Natürlich ist Schadsoftware nur Software. Die Frage ist: welche?

Schon die Überschrift disqualifiziert, weil sie nahelegt, eine konkrete Infektion könnte anhand des Phantasienamens eines AV-Herstellers identifiziert werden. Der bezeichnet aber allein die dem Hersteller vorliegenden Samples und die daraus gebildete generische Signatur. Die Signatur wiederum ermöglicht einem Scanner die Erkennung, aber noch lange nicht Identifikation. Die Falschdeklaration einer Schadsoftware bei der Erkennung ist so gewöhnlich wie Falsch-positiv-Meldungen oder Nichterkennungen. Den vermeintlich aussagekräftigen angezeigten Namen im Scan-Resultat sollte man schnell vergessen.

Zur Identifikation wären zunächst Hashes zu vergleichen. Die ausgeführte Datei kann der Laie meist nicht wiederherstellen und Hashes sind heute kaum mehr identisch. Entsprechend sinnlos sind solche Anleitungen für Leute, die ihr System und verdächtige, ggf. funktional mit bekannten Samples identische Dateien nicht fachkundig analysieren können.

Die als "Sirefef!cfg" bekannten Samples deaktivieren nun in ihrer Hauptfunktion nicht allein Sicherheitsfunktionen sondern laden vor allem beliebigen weiteren Schadcode nach. Von dessen Erkennung und "Entfernung" lese ich nichts.
Die meisten Anleitungen zur Virenentfernung unterstellen der Schadsoftware, den Nutzer sinnfrei mit einigen kosmetischen Änderungen am System zu triezen, die nur rückgängig gemacht werden müssten, und alles wäre in Ordnung. Das als naiv zu bezeichnen, ist keine Mystifizierung. Das kann überhaupt nur in einigen Fällen gut gehen, weil die Branche hart daran arbeitet, Verteilungswege von Malware innerhalb von Stunden lahm zu legen, und der Dropper daher oft ins Leere funkt.
Diese Arbeit wird nicht nur durch den zeitlichen Vorsprung der Malware-Programmierer erschwert, sondern auch durch die Fahrlässigkeit von Nutzern und Admins, selbst erkannte Infektionen mehr oder weniger bewusst unbehoben zu lassen.

Grüße
Richard

Junge, reg dich mal ab.

Es ging nicht darum, Deine Arbeit zu schmälern, sonder Dich darauf hinzuweisen, daß es besser wäre den Leuten auch die Risiken Deines Vorgehens klarzumachen. Auch ich habe schon Tipps gegeben, wie man ein System nach Virenbefall wieder flott bekommt. Aber ein Hinweis auf ein gewisses Restrisiko ist immer angebracht, weil ansonsten zu viele Leute davon ausgehen, damit hätten sie Ihr System auf jeden Fall wieder sauber, was aber nicht immer der Fall ist, insbesondere wenn man eine "mutierte" Version der Schadsoftware erwischt hat.

Schönen Tag noch,

lks