Trojaner durch Trainer konten geändert ?

[Marvin2555]

Ich hatte einen Trainer für ein spiel gesucht.Diesen auch Runtergeladen.Dann entpackt und dann mit AVG Premium geprüft.Nichts wurde erkannt.Dann habe ich das Programm geöffnet.Es ist nichts passiert bis auf eine höhere auslastung.Programm hatt sich auch nicht geöffnet.Kurz danach meldete sich AVG mit der meldung oobe-maintenance.exe blockiert da es auf die in Chrome gespeicherten Passwörter zugreifen wollte.

Der name von Trainer war aber ein ganz anderer FlintTrainss33.434.exe

Passiert ist erst 1 Tag später um 23 uhr etwas.Dort wurde bei meinem Google konto das pw geändert und auf mein Amazon konto zugegriffen und bestellungen gemacht die amazon blockiert hatt direkt.Google selbst brauchte knapp 5 stunden bis die person abgemeldet und blockiert wurde.Danach wurde mir der zugang zum Wiederherstellen auch 48 stunden blockiert.

Nun ist meine frage wie bekomme ich den Rechner wieder sauber wenn Weder AVG Internet Security Premium noch Malewarebytes etwas erkennen.

Bei Virustotal erkennen nur eine Handvoll Programme etwas bei dieser Datei.Da Dort mehr infos zur Datei sind habe ich den link hier mal eingefügt.

https://www.virustotal.com/gui/file...592415ba152797785ec15b8899044846bce/detection

 

[Liesel Weppen]

Nun ist meine frage wie bekomme ich den Rechner wieder sauber wenn Weder AVG Internet Security Premium noch Malewarebytes etwas erkennen.

Willst du nicht hören, aber wenn du ganz sicher sein willst: Windows neu installieren. Nicht drüber installieren, sondern formatieren und komplett neu.

Falls (wie immer) kein Backup vorhanden, Netzwerkverbindungen trennen und händisch wichtige Daten auf einen anderen Speicher kopieren, z.b. externe HDD.

Man kann nie sicher sein, wie und wo sich sowas überall eingenistet hat. Wenn dumm läuft, hat sich das irgendwo in die Registry gepackt und selbst wenn du das eigentliche Schadprogramm findest und löscht, könnte es sich nach einem Reboot selbst wiederherstellen.

 

[Eye-Q]

Ja, das kann sich überall eingenistet haben: Autostart des eigenen Users, Autostart von "All Users", Aufgabenplanung, Registry, woauchimmer. Die sicherste Option ist definitiv eine komplette Formatierung und Neuinstallation.

 

[Marvin2555]

Welche Datein kann ich den als sicher ansehen.Sind gespeicherte Bilder und Videos,Musik Datein usw sicher so das ich diese auf eine Externe Platte packen kann ?

 

[Liesel Weppen]

Welche Datein kann ich den als sicher ansehen.Sind gespeicherte Bilder und Videos,Musik Datein usw sicher so das ich diese auf eine Externe Platte packen kann ?

Nicht-ausführbare Dateien, also Bilder, Musik, Videos, PDFs, Office-Dokumente, etc, kannst du als sicher betrachten.

Bei einer Neuinstallation geht es hauptsächlich darum, wirklich alle Konfigurationsdateien (inkl. Registry) von Windows und idealerweise auch von Nutzprogrammen wie Webbrowser loszuwerden.

 

[Supaman]

Sicher ist nur "erschiessen und neu machen".

Bewährte Vorgehensweise:

PC vom Netzwerk trennen
Alte Platte/SSD ausbauen
Neue SSD einbauen, Windows installieren, Programme installieren
Dann alte Platte anklemmen, sicherstellen das man das neue (saubere Windows) bootet
Daten kopieren (Dokumente, Bilder, Filme Musik etc), ggf Spielstände
alte Platte abklemmen, und bei Beddarf rausholen wenn nch Daten fehlen, und irgendwann mal löschen.

 

[odtl]

Nicht-ausführbare Dateien, also Bilder, Musik, Videos, PDFs, Office-Dokumente, etc, kannst du als sicher betrachten.

Ich würde von dem Begriff "sicher" eher abstand nehmen, und "halbwegs unkritisch" sagen, also zumindest was Audio, Video, und Text Dateien angeht, Office Dokumente würde ich wie ausführbahre Dateien behandeln, da sie mit ihrer Scripting Funktionalität im Idealfall (für den Angreifer) nichtmal zwingend auf eine Schwachstelle in dem Programm abzielen müssen in dem sie geöffnet werden, und somit entsprechend gefährlich sind, nicht umsonst sind sie eines der Haupteinfalltore für Malware, ganz besonders wenn es um Microsoft Office und Adobe Acrobat geht.

In den meisten Fällen sind diese "halbwegs unkritischen" Dateien in Ordnung, einfach weil der Angreifer bei einer Infektion auf ganz bestimmte Schwachstellen in den Programmen abzielen muss mit denen die Dateien geöffnet werden, was sich meistens nicht lohnt wenn man es nicht gerade auf ein ganz bestimmtes Zielsystem abgesehen hat. Aber letztendlich ist halt nichts wirklich sicher wenn man nicht 100% genau weiß was die Malware angestellt hat, alles von Bildern bis hin zu vermeintlich simplen Textdateien kann theoretisch infiziert werden. Die einzig mehr oder weniger sichere Methode ist alles zu verwerfen, also alle Partitionen löschen, die Datenträger formatieren (inkl eventuell zum Zeitpunkt der Infektion angeschlossene USB Datenträger), Master Boot Record neu schreiben, und wenn man ganz paranoid ist, BIOS flashen.

Die nächst beste Methode ist IMHO die gesicherten, mutmaßlich halbwegs unkritischen Dateien in einer Virtuellen Maschine zu scannen, und dann von dort aus im evaluierten Zustand zu kopieren. Also z.B. Bilder mit einem Bildbearbeitungsprogramm öffnen, kopieren, in einem Bildbearbeitungsprogramm im Host System einfügen und neu speichern. Ähnliches mit Dokumenten, nur den reinen Text kopieren, Audio/Video neu enkodieren, etc... Was die Paranoia Skala angeht würde ich sagen das ist eine 6,8/10.

 

[Liesel Weppen]

Ich würde von dem Begriff "sicher" eher abstand nehmen, und "halbwegs unkritisch" sagen, also zumindest was Audio, Video, und Text Dateien angeht,

"Als sicher betrachten" ist was anderes als "sie sind definitiv 1000% sicher".

Office Dokumente würde ich wie ausführbahre Dateien behandeln, da sie mit ihrer Scripting Funktionalität im Idealfall (für den Angreifer) nichtmal zwingend auf eine Schwachstelle in dem Programm abzielen müssen in dem sie geöffnet werden, und somit entsprechend gefährlich sind, nicht umsonst sind sie eines der Haupteinfalltore für Malware

Office-Dokumente mit Makros sind definitiv ein Einfallstor für Schadsoftware, aber der Vektor sind Dokumente aus externen Quellen die Schadcode beinhalten.
Das sich eine Schadsoftware in eigene, zufällige Dokumente einnistet und so wieder aktiviert hab ich noch nie gehört. Aber theoretisch möglich ist es natürlich.

Alte Platte/SSD ausbauen
Neue SSD einbauen, Windows installieren, Programme installieren
Dann alte Platte anklemmen, sicherstellen das man das neue (saubere Windows) bootet
Daten kopieren (Dokumente, Bilder, Filme Musik etc), ggf Spielstände

In dem Moment, wo man Daten von der infizierten Platte kopiert, bleibt immer ein Restrisiko, aber das dürfte solange man keine ausführbaren Dateien kopiert wirklich überschaubar bleiben.
Das Risiko wird aber nicht geringer, wenn man Windows auf einer neuen Platte installiert, oder die Daten über eine (schon vorhandene) externe Festplatte kopiert.

Wenn man schon so paranoid sein will, dann entsorgt man die infizierte Platte komplett und kopiert gar nichts von ihr, sondern nutzt ein Backup, das vor der Infektion erstellt und nach/während der Infektion nichtmal angesteckt wurde. Hat man das nicht, hat man halt Pech gehabt.

Eine neue SSD muss man aber definitiv nicht kaufen.

Also @Marvin2555 : Nutzdaten, also Bilder, Videos, etc über eine externe Festplatte kopieren. Nur eigene Daten, also Daten die du selbst gespeichert hast, alles was du nicht kennst weglassen. Daten die du nicht kennst, brauchst du sowieso nicht. Das ist zu 99,9999% sicher und ausreichend.

 

[Marvin2555]

Sollte ich AVG Internet Security Premium weiter nutzen oder gibt es da bessere Programme ? Laut Virus Total erkennen ja nur eine Handvoll Programme diesen Virus/Trojaner und die kenne ich alle nicht also Ikarus,Rising,ESET,Kingsoft,Zillya

 

[Liesel Weppen]

Ich hatte unter Windows zuletzt nur die Windowsbordmittel verwendet. Third-Party-Virenscanner sind auch immer nur so gut, wie die Signaturen die ihnen über Updates zukommen.

Der beste Virenscanner ist imho immernoch "brain.exe". Cracks, Trainer, etc nicht aus zweifelhaften Quellen saugen und dann auch noch ausführen. Bedingt natürlich, das man auch ein Auge darauf wirft, von wo das Zeug überhaupt geladen wird.
Das ist halt genau das Zeug, was eigentlich fast immer irgendwas unerwünschtes mitbringt.
Dazu ein Benutzerkonto mit eingeschränkten Rechten verwenden, damit potentielle Schadsoftware nicht auch gleich noch sonstwo aktiv werden kann. Was bei Zugriff auf den Chrome-Passwortcache aber wahrscheinlich auch nicht geholfen hätte.

 

[Marvin2555]

Ja leider erfolgte innerhalb von Sekunden der zugriff auf die Passwort Cache der Browser.Es wurden auch nur Daten gestohlen wo ich eingeloggt war.

 

[Liesel Weppen]

Oben hast du geschrieben, das der Zugriff erst 1 Tag später erfolgte.

Es wurden nur Daten gestohlen, wo du aktuell eingeloggt warst, oder Daten von diversen Konten, wo du Benutzername und Passwort in Chrome gespeichert hattest? Oder gar nur Konten, wo du dich aktiv eingeloggt hast (also das Passwort eingegeben hast)?

Spielt aber im Endeffekt keine wirkliche Rolle. Auch Virenscanner können nur bekannte Signaturen erkennen. Das dein Virenscanner beim Download nix erkannt hat, deutet darauf hin, das die Schadsoftware das eigentliche Programm erst bei der Aufsführung "zusammengebaut" (oder aus dem Internet nachgeladen) hat. Das war also sowieso schon realtiv "sneaky". Und wenn es schon so sneaky war, eben doch besser Windows neu aufsetzen, weil man kann nicht wissen, wo sich das überall eingenistet hat.

Und in Zukunft vorsichtiger sein, wenn man so dubiose Software sucht. Oder besser ganz lassen, bzw. nur aus weitgehend vertrauenswürdigen Quellen nutzen, und wenns derartiges nicht aus vertraunswürdigen Quellen gibt, dann halt besser ganz lassen, auch wenns nervig ist.

SCNR:
Oder gleich auf Linux umsteigen, da funktioniert (aktuell) geschötzt 98% der Schadsoftware schlicht und einfach nicht.

 

[Marvin2555]

Der Zugriff war erst 1 Tag später.Aber AVG hatte mir ja sekunden später gesagt das dieses oobe-maintenance.exe auf meine passwörter zugreifen will.
Passwörter gespeichert hatte ich nirgendwo.Ich war nur eingeloggt zu der zeit.Auch nichts eingegeben.
Es waren nur Konten betroffen die Eingeloggt waren im Browser.Und eben die durch den Gmail zugriff dann geändert werden konnten.

Beitrag automatisch zusammengeführt: 01.01.2024

Nutze Grade Linux vom Steam deck als Pc da ich den PC der infiziert ist direkt vom internet getrennt hatte und seitdem noch nicht genutzt habe.
Linux hatte ich mir schwerer vorgestellt.Allerdings habe ich garkeine Ahnung von Linux wie das da mit den Treibern für Grafikkarte und co läuft usw.