Immer mehr PC-Schädlinge aktivieren sich auf eine bis dahin unbekannte Weise. So überlisten sie die verhaltensbasierte Erkennung des unter Windows aktiven Antivirenprogramms. Den Viren diese Tricks beizubringen, erfordert aber viel Zeit und Geld. Doch offensichtlich verdienen die Kriminellen mit den Erpresserviren reichlich und haben dadurch die nötigen Ressourcen zur Verfügung, um ihre Viren weiter zu optimieren, so dass sie von einem Schutzprogramm nicht erkannt werden.

Ein konkretes Beispiel dafür hat der Antivirenhersteller Trendmicro analysiert. Laut den Experten nutzt eine Variante der Erpressersoftware Locky nicht nur die bereits bekannten Sicherheitslücken in Adobe Flash aus, sondern auch eine im Windows-Kernel. Die Angriffsroutine sieht dadurch wie ein legitimer Windows-Systemprozess aus, denn sie schleicht sich in das Windowseigene und somit vertrauenswürdige Programm svchost.exe ein. Der Schädling erzeugt selbst keine Dateien, sondern startet ausschließlich im Arbeitsspeicher. Das macht es selbst modernen Abwehrmechanismen wie der Sandbox-Technologie oder der Verhaltensanalyse schwer, den Angriff zu erkennen und zu verhindern. Welche Abwehrmo¨glichkeiten Ihnen zur Auswahl stehen, lesen Sie in diesem Beitrag.

Virensuche mit Notfall-DVD

Der installierte Virenscanner meldet möglicherweise nichts, da ihn eine Schadsoftware längst außer Gefecht gesetzt hat. Oder er meldet eine Bedrohung und Sie sind sich nicht sicher, ob es sich dabei um einen Fehlalarm handelt. In diesen Fällen ist es daher ratsam, eine zweite oder dritte Meinung einzuholen.

PROBLEM: Kommt es bei Windows zu Abstürzen, unerklärlichem Verhalten oder ungewöhnlichen Netzwerkzugriffen, kann ein Virus dahinterstecken. Um auf Nummer sicher zu gehen, sollten Sie zur PC-WELT Rettungs-DVD greifen.

LÖSUNG: Die PC-WELT Rettungs-DVD ist mit vier Virenscannern ausgestattet, zwischen denen Sie nach einem Klick auf die Schaltfläche "Rettungswerkzeuge" wählen können. Beginnen Sie bitte mit Avira, da das Programm vergleichsweise wenig RAM benötigt. Die Open-Source-Lösung Clamav ist ebenfalls ressourcenschonend, verfügt aber nicht über eine besonders gute Erkennungsleistung. Bevor Sie den Eset - oder den Sophos - Virenscanner nutzen, starten Sie jeweils das System neu, damit mehr freier Hauptspeicher verfügbar ist. Unabhängig davon, welche Antivirensoftware Sie verwenden, beim ersten Start erscheint das Fenster "Laufwerke einbinden". Wählen Sie die Option "Alle NTFS- und FAT-Laufwerke automatisch nur lesbar einbinden". Oder Sie binden die Partitionen, die Sie überprüfen möchten, vorher manuell ein. Die Virenscanner von Avira, Clamav und Sophos sind allerdings standardmäßig ohnehin so eingestellt, dass sie auf der Festplatte nichts verändern. Klicken Sie auf "Weiter". Im nächsten Schritt werden Sie bei Avira, Clamav und Sophos dann dazu aufgefordert, aktuelle Virensignaturen herunterzuladen. Bestätigen Sie mit "OK". Im Anschluss daran sehen Sie eine einfache Oberfläche, über die Sie per Klick auf "Durchsuchen starten" den Virenscan anstoßen. Eset Nod32 Antivirus aktualisiert sich beim Starten automatisch und bringt seine eigene Oberfläche mit. Gehen Sie auf "Computer scan" und klicken Sie auf "Custom scan". Wählen Sie danach die in das Dateisystem eingehängte Windows- Partition unter "Computer/media/disk" aus, setzen Sie ein Häkchen vor "Scan without cleaning" und klicken Sie auf "Scan".

PROBLEM: Virenscanner haben tatsächlich Schädlinge auf Ihrem System entdeckt. Nun müssen Sie entscheiden, welche Maßnahmen Sie ergreifen möchten. Und auch hier hilft Ihnen die PC-WELT Rettungs-DVD weiter.

LÖSUNG: Wenn ein Virenscanner fündig werden sollte, dann müssen Sie sich entscheiden, wie Sie weiter vorgehen. Zunächst informieren Sie sich im Internet über die Funktion der Schadsoftware. Im Rettungssystem der PC-WELT Rettungs-DVD nutzen Sie dafür den Browser Firefox. Laden Sie die betroffene Datei für weitere Untersuchungen bei https://virustotal.com hoch. Falls nur wenige Virenscanner Schadsoftware erkennen, so handelt es sich aller Wahrscheinlichkeit nach um einen Fehlalarm. In einigen Fällen kann es auch durchaus sinnvoll sein, die betroffene Partition mit Schreibzugriff einzubinden und dem Virenscanner die Bereinigung zu überlassen. Die Optionen hierfür setzen Sie auf der Registerkarte "Expertenmodus". Meistens lässt sich allerdings nicht sicherstellen, dass tatsächlich alle Bedrohungen restlos entfernt wurden. Des Weiteren können wahrscheinlich nur Sicherheitsexperten ermitteln, auf welchem Weg ein Virus auf den PC gelangt ist und über welche Methoden er sich automatisch reaktiviert. Aus diesem Grund hilft häufig nur die Radikalkur: Sichern Sie alle persönlichen Benutzerdaten, formatieren Sie die Festplatte und installieren Sie Windows dann neu.