Achtung! Krypto-Trojaner! Bitte unbedingt lesen. Eine WARNUNG!

Da der Locky sich nicht nur über E-Mailanhänge verbreitet sondern auch über Webseiten, die Sicherheitslücken in Browsern und Plug-Ins nutzen, möchte ich an dieser Stelle eine alte Empfehlung wieder hervorholen:

Sperrt euren Firefox in eine Sandbox und erlaubt nur die Zugriffe nach außerhalb, die unbedingt erforderlich sind! Stellt die Sandbox so ein, dass sie beim Beenden automatisch gelöscht wird.

Der Sicherheitsgewinn ist sehr hoch. Ich habe bisher noch von keiner Schadsoftware gehört, die in der Lage wäre Sicherheitslücken im Browser + in der Sandbox + ggf. in Windows zu nutzen.

Zitat von Peter_Lehmann

Hier ist allerdings der Aufwand wesentlich größer, so dass ich dieses von ONU nicht oder kaum erwarten kann.

Sandboxie kommt mit fertigen Profilen für den Firefox und den Thunderbird und funktioniert damit out-of-the-box. Weitere zu empfehlende Anpassungen sind minimal. Das sollte wirklich fast jeder hinbekommen.

Um vielleicht wieder etwas näher zum eigentlichen Thema "Locky" zurückzukommen ...

Es ist etwas zu einfach, an dieser Stelle auf mangelnde Vorsicht bei den Benutzern zu verweisen. Wenn man im Heise-Forum und anderswo die großspurigem Kommentare einiger Schlaumeier liest, fragt man sich wirklich, wer hier die dummen User sind.

Laut den Artikeln, die ich bisher dazu gelesen haben, waren die Virenscanner der meisten Hersteller mit Stand letzter Woche noch nicht in der Lage, Locky zu erkennen. Es kann sogar sein, dass Locky bereits längere Zeit unbemerkt auf zahlreichen Rechnern schlummerte und nur darauf gewartet hat, den Befehl zum Loslegen zu bekommen. Das würde auch die plötzliche hohe Infektionsrate erklären.

Das ist aus Sicht der Angreifer ziemlich clever: Sie infizieren zunächst unbemerkt eine hohe Anzahl an Rechnern, und wenn sie entdeckt aktivieren sie den Schädling noch das Gros der AV-Hersteller die Signaturen angepasst hat.

Der wichtige Punkt ist also der, dass weder Virenscanner noch Proxies hier Schutz geboten hätten.

Bei bei einer Infektion über eine Webseite (Drive By) hätte auch alle Vorsicht auf Seiten des Nutzers nichts genutzt, weil auch völlig unbescholtene Webseiten infiziert wurden, ohne dass deren Betreiber das bemerkt hätten.

Von den hier erwähnten Maßnahmen hätte allein die Sandbox Schutz vor einem solchen Drive-By geboten - kein Virus-Total (erst recht kein ClamAV), kein HAVP, kein Immunet und nicht einmal ein gehöriges Maß an Vorsicht.

In den Fällen, in denen der Schädling über eine Werbung geladen wurde, hätte u.U. ein Add-Blocker geschützt. Da diese aber von ihren Blacklisten abhängig sind, stellen Add-Blocker bestenfalls einen eingeschränkten Schutz vor Locky (und seinen kommenden Nachfolgern) dar.

Ein Update von heute: Viele Virenscanner erkennen Locky immer noch nicht zuverlässig. Bei Virus-Total haben nur 3 von 55 Engines angeschlagen.
Quelle: http://www.heise.de/newsticker/mel…ax-3117249.html

Also, besser nicht all zu viel auf den Tipp von oben geben. Virus Total hilft nicht viel weiter.

Zitat von Peter_Lehmann

Dass gegen Locky zur Zeit noch kein Kraut gewachsen ist, bedeutet nicht automatisch, dass die User nun völlig ohne Nachzudenken Dummklicken können.

Richtig, es bedeutet genau das Gegenteil. Deshalb überrascht mich der Rest Deinen Postings g'rad sehr, zumal der Tipp zu Virus Total ja gar nicht von Dir stammte.

Noch ein weiterer, wichtiger Hinweis

Semper hat heute ein Video zu Locky veröffentlicht, das im Kommentar einen bösen Fehler enthält. Siehe hier

Im Video wird erwähnt, dass eine virtuelle Maschine einen sehr guten Schutz bieten würde. Das ist, zumindest so allgemein, nicht korrekt!

Zunächst würden die Benutzerdateien in der VM natürlich verschlüsselt. Schlimmer ist aber folgendes: Wenn die virtuelle Maschine (z.B. über die shared folders) Zugriff auf Bereiche der Festplatte hat, die nicht exklusive der VM gehören, dann kann Locky natürlich auch diesen Bereich verschlüsseln.
Viele Nutzer einer VM werden schon allein zum Dateiaustausch mit dem Hostsystem solche Shared Folders eingerichtet haben.

Im Video wird erwähnt, das Locky sich über JavaScript verbreite. Der Dateiexplorer zeigt das auch so an. Hier scheint aber ein Verknüpfungsfehler vorzuliegen. Laut den Berichten auf Heise enthält die Datei keinen Java Script Code sondern JScript. Das ist eine Scriptsprache vom Microsoft und hat mit Java Script nicht viel zu tun*. Sie benötigt deshalb auch keinen Browser, um ausgeführt zu werden und lässt sich deshalb auch nicht mittels NoScript und Co. blockieren.

Positiv am Video:
Es wird erläutert, weshalb Virenscanner und Co. nicht vor Locky schützen. Außerdem führen sie live vor, dass Sandboxie den Locky wirksam blockiert.

* Bevor es Schimpfe gibt: JSript ist eine MS-Erweiterung von Java Script und kann von der zugehörigen Laufzeitumgebung auf Windowssystemen und von Browsern ausgeführt werden.

Das Landratsamt Rosenheim hat heute bekanntgegeben, dass sie zum Schutz vor Locky ab sofort sämtliche MS-Office-Dateien automatisch aus E-Mails entfernen.
Quelle: Landkreis Rosenheim
Ich kann mir vorstellen, dass andere Behörden das ebenfalls so handhaben.

Vielleicht bekommen wir nach dem Limux ja nun auch bald ein Ronux.

Das ist komisch. Wenn ich Link aus der Trefferliste meiner Suchmaschine heraus aufrufe, funktioniert er. Kopiere ich ihn und nutze ihn direkt, bekommen ich ebenfalls eine Aufforderung zum Login. Ich korrigiere den Link oben mal auf die offizielle Mitteilung des Landkreises.

Bitte entfernt diesen Schwachsinn aus dem Forum ... Mail-Anhänge werden von den meisten Nutzern "gelöscht" und es wird nicht nachgesehen ob das Gelöschte wirklich gefährlich ist ... und dann fangen die Tölpel, die den Quatsch gelöscht haben damit an sich in diversen Foren zum Retter der Menschheit aufzuspielen.

In gut 20 Jahren habe ich praktisch alle Mail-Anhänge angeschaut, die man mir da zugeschickt hat ... nicht einer hat einen Virus enthalten (von xx xxx Mail-Anhängen). Jeder verblödete Virenscanner erkennt sogar Viren die gar keine sidn.

Edit: User wurde wegen überwiegend sinnfreier Beiträge gesperrt. graba, S-Mod.