Achtung! Krypto-Trojaner! Bitte unbedingt lesen. Eine WARNUNG!

Hallöchen zusammen,

dann mal zurück zum Thema "Locky" und den Virenscannern.

Ich hatte hier durch entsprechende Mails tatsächlich 3 verschiedene Versionen von dem Unhold, welche ich immer wieder mal bei VirusTotal prüfe. Am Freitag wieder und was muß ich sehen:

Noch immer werden diese Teile nicht von allen Virenscannern erkannt!

Allerdings scheint da bei VirusTotal etwas nicht mit rechten Dingen zuzugehen, denn angeblich erkennt auch ClamAV den Locky nicht. Das entspricht jedoch nicht den Tatsachen, denn hier unter Kubuntu der original ClamAV selbst erkannte alle 3, dann unter Windows 7 auch dessen "großer Bruder" Immunet immerhin noch zwei davon. Kläglich versagt hat allerdings ClamWin, obwohl der laut deren Website auch den neuesten ClamAV verwenden soll! Er hat gar keinen davon erkannt, trotz angeblich aktueller Datenbank.

Leider habe ich gestern nicht aufgepaßt und das falsche Knöpfchen bei ClamTK gedrückt und schwuppdiwupp, weg waren die drei!

Ich habe den ganzen Zinnober mit Locky ja von Anfang an verfolgt und eben durch die genannten drei Versionen auch die Erkennungsrate der verschiedenen Virenscanner beobachtet. Ich muß sagen, daß ich ziemlich erstaunt darüber war, wie langsam sogar manch "großer" Hersteller dieser Scanner laut VirusTotal reagiert haben! Locky ist ja immerhin spätestens Mitte Februar erschienen und wird trotzdem noch nicht von allen Scannern erkannt, das ist irgendwie nicht gerade optimal.

Edit: Hab gerade noch mal was bei heise nachlesen wollen wegen Locky, dann hat sich mein Antiviren Proxy HAVP gemeldet:

ClamAV: winnow.malware.ts.malware.938403.UNOFFICIAL

Dieses Ergebnis kam bei folgender Adresse:

http://www.heise.de/meldung/Erpres…zu-3104069.html

Meckert da bei einem von euch auch der Virenscanner oder ist das eine Fehlermeldung von HAVP/ClamAV?

Hallo,

ihr meint vermutlich die kostenpflichtige Software Sandboxie. Ich will eure Diskussion ja nicht ins paranoide abgleiten lassen, aber auch die kann ja Lücken haben etc. die man nutzen könnte als böser Bube.

Ich vermisse den Hinweis, dass es Brwoser wie Opera/Chrome mit Sandbox-Technologie gibt. s. Z. https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfe…check_node.html

Grüße

Basel

Hallo,

Zitat von Basel

ihr meint vermutlich die kostenpflichtige Software Sandboxie

"Sandboxie" kann auch als Freeware (mit kleinen Einschränkungen) eingesetzt werden.
Und um ganz sicher zu sein, dass keine böse Buben ihr Spielchen treiben, geht man einfach nicht ins Internet, setzt sich zu Hause hin und widmet sich seiner Familie, liest Bücher, genießt die Natur...

Hallöchen zusammen!

Zitat von graba

setzt sich zu Hause hin und widmet sich seiner Familie, liest Bücher, genießt die Natur...

Ok, Familie ist nicht wegen Scheidung. Aber lesen und freie Natur gehört bei mir einfach dazu. Bücher habe ich jede Menge und gleich um die Ecke sind zwei Parks und der Lech!

Hallo,

Zitat von graba

Und um ganz sicher zu sein, dass keine böse Buben ihr Spielchen treiben, geht man einfach nicht ins Internet, setzt sich zu Hause hin und widmet sich seiner Familie, liest Bücher, genießt die Natur...

auch dann ist ein digitaler Identitätsdiebstahl möglich.

Hallo,

am Ende der Installation kommt folgendes Fenster:

Ich habe jetzt mal auf ok geklickt, wüsste aber trotzdem gerne, was mir das Fenster sagt.

Grüße

Basel

Intuitiv ist das Programm aber nicht. Da muss man ja wohl einiges lesen, bis man das versteht.

Hallo Susanne,

danke für die Antwort. Ich habe zwischenzeitlich

entdeckt. Wie man von dort aus dauerhaft speichert, werde ich auch noch herausfinden.

Grüße

Basel

Moin,

schön, das auch in diesem Forum vor der noch immer aktiven Plage der Krypto-Trojaner gewarnt wird. Aber diese Aussage

Zitat von Peter_Lehmann

Und bitte jetzt nicht mit dem aktiven "on-access-Scanner" ("Virenwächter", "Hintergrundwächter") kommen! Dessen Erkennungsrate ist niemals so gut, wie die eines bewusst durchgeführten "on demand"-Scans!

kann ich nicht einfach im Raum stehen lassen, weil sie so nicht richtig ist.

Korrekt ist: Die Erkennungsrate eines On-Demand-Scans liegt seit einigen Jahren deutlich unter denen eines "Hintergrundwächters". Manuelle Scans können Malware frühzeitig auch in Dateien, die nicht angefaßt werden, dadurch kommt es zu "Erkennungen" die sonst zufällig oder nie erfolgen, eben weil die Datei nicht genutzt wird. Es ergibt sich eine "gefühlte" bessere Erkennungsrate.

Der Grund ist einfach: ein manueller Scan durchsucht die Datei auf Grund von Signaturen. Moderne Hintergrundwächter arbeiten aber zusätzlich mit "Verhaltensüberwachung" und blockieren die Anwendung bei "auffälligem Verhalten". Genau das kann aber der manuelle Scan nicht.

Der Unterschied wird deutlich, wenn man sich die Testergebnisse von AV-Test ansieht. Microsoft arbeitet (bisher) ohne Verhaltensüberwachung und endet irgendwo bei 85%.

Aber: bei Locky versagt auch die Verhaltenserkennung, denn "eine Datei lesen, modifizieren und zurückschreiben" ist ein Grundprinzip der EDV und die Scripte die Locky und Co. verwenden sind so einfach gestrickt, das kaum ein zusätzliches auffälliges Verhalten erkennbar war.

Inzwischen haben aber alle AV-Hersteller nachgerüstet und die Erkennung wird besser.

Signaturbasierte Erkennung hinkt meist mehrere Stunden hinterher, Server-gestützte Erkennung ist recht schnell verfügbar. Hängt aber stark vom Einzelfall ab.

Also bitte auf keinen Fall auf einen "Echtzeitschutz", Verhaltensüberwachung" oder Servergestützte Verfahren verzichten! Nur in der Summe und bei aktuellen Systemen können sich die Schutzmechanismen ergänzen.

(Um diesen Thread nicht zu hijacken bitte Rückfragen per PM)