"Windows Recovery"-Virus (Informationen gesucht!)

[CptKlotz]

Hallo zusammen,

eigentlich habe ich mich ja lange über die "Sicherheits-Hysterie" gewundert, die die meisten Computeranwender haben.

Unter 5 Firewalls, 3 Online-Virenscannern, die permanent laufen und 7 verschiedenen Spy- und Malware-Killern geht anscheinend gar nichts mehr.

Meine PCs sitzen schon seit Ewigkeiten hinter einer Un*x-basierten Firewall (früher FLI4L, jetzt M0n0wall). Unbekannte, ausführbare Dateien habe ich normalerweise immer auf Viren gescannt. Mehr habe ich eigentlich nicht unternommen und hatte fast nie Ärger.

Nun, heute war's soweit. Mein XP-Rechner zeigte beim Boot ein "Windows Recovery"-Menü an, das mich über diverse Mißstände wie defekte Festplatte (Lesefehler, Bootsektor defekt, fehlender Speicherplatz etc.), "überhitzter Arbeitsspeicher" und anderes informierte.

Eigentlich hätte ich da schon stutzig werden sollen, weil ich dieses seltsame Wartungsmenü noch nie gesehen hatte. Und wie will so ein Teil eigentlich die "Speichertemperatur" messen?

Aber die Erinnerung an meinen letzten HDD-Totalausfall hat mich wohl etwas nervös gemacht, so daß ich die Platte in Vaters PC eingebaut habe, wo sie einwandfrei funktionierte. Auf meinem Rechner ließ ich MEMTEST86 laufen, das aber nichts fand.

Wieder in meinen PC eingebaut, zeigte Windows immer noch dieses seltsam bunte Menü, welches sich interessanterweise auch nicht schließen oder abbrechen ließ, trotz "X"- und "Cancel"-Schaltflächen.
(Mich hätte eigentlich auch wundern sollen, daß mein deutsches XP plötzlich Englisch mit mir spricht, aber ich stand heute wohl mächtig auf dem Schlauch).

Nun, dank Google wurde mir recht schnell klar, daß "Windows Recovery" ein Trojaner/Virus ist, der die ganzen Fehler eben nur vortäuscht.

Das Startmenü war praktisch komplett geleert, auf dem Desktop und in der QuickLaunch-Leiste waren alle Icons weg, Eigenschaften ließen sich nicht aufrufen und der Taskmanager war "vom Administrator verboten".

Den Explorer konnte ich aber starten und so erst einen Fix für den Taskmanager von Diskette ausführen und dann die Virus-Prozesse "abschießen" und deren Ladebefehle aus der Registry entfernen und die EXE-Dateien löschen.

Dank Virenscanner und Anti-Malware-Tools scheine ich den Dreck jetzt auch wieder los zu sein.


Was mich brennend interessieren würde: Wie habe ich mir das Ding eingefangen? Mein Router routet nur die Ports, die ich für meine Anwendungen und Spiele brauche auf den PC.

Habe ich versehentlich doch was ausführbares gestartet, was verseucht war? Hat jemand eine Sicherheitslücke in Windows, Firefox oder einer anderen Software ausgenutzt?

Irgendwie gibt es anscheinend sehr viele Leute, die diesen Virus hatten, aber ich finde kaum Informationen dazu, wie man sich dieses Ding einfängt, was es macht (außer nerven und PC lahmlegen) und ob es irgendwie "nach Haus telefoniert".

Google ich nach "windows recovery" und zusätzlich eventuell noch "virus", "trojan" oder "malware" finde ich lauter Foren-Threads und Entfernungs-Anleitungen, aber nirgends eine Beschreibung dieses Teils...

Hat jemand von Euch nähere Informationen zu diesem Ding oder weiß, wo ich welche finde?


Nebenbei ist mir leider auch wieder klargeworden, wieso Virenscanner so nerven. Bei jeder zweiten EXE aus der Demoszene und bei mehreren DOS-Anwendungen findet das Ding irgendwelche ganz schlimmen Viren und Trojaner, weil die hyperaktive Heuristik wohl wieder auf optimierte EXE-Dateien anspringt :-/

AntiVir hatte ich aus diesem Grund (und weil es irre lahm und nervig war) schon entsorgt, derzeit nutze ich Avast Free Antivirus, welches etwas weniger nervt, aber auch viele Fehlalarme produziert.

Ätzend alles... Daß Virenscans sein müssen, ist nunmal klar, aber eine Freude ist das alles nicht mehr. Ich vermisse das gute alte F-Prot für DOS :-(

[tom4DOS]

Bei solchen Malware-/Scareware-Programmen würde ich mal auf eine Drive-By-Infektion tippen. Davon bekommst Du nichts mit, weil dabei Sicherheitslücken im Browser oder davon verwendeten Plugins (Flash ist ein heißer Kandidat dafür) ausgenutzt werden. Im Hintergrund wird dann der Schädling runtergeladen und installiert, ohne dass Du irgendetwas davon merkst, besonders wenn Du mit Administratorrechten arbeitest.
Meine Methode gegen Viren etc. ist übrigens ebenso einfach wie radikal: Windows darf bei mir nicht ins Internet. Es sind keine Netzwerktreiber installiert. Alle Dinge, für die ich Netzzugang benötige, erledige ich schon seit Jahren nur noch unter UNIX (Linux, BSD,...). Kann zwar manchmal unpraktisch sein, hat mich aber bisher vor allen Viren, Würmern, Trojanern und was sonst alles im Internet so rumfliegt, bewahrt.

Gruß, Thomas