FAQs und Schritte gegen den Virus Trojaner Trojan.Agent/Gen

Danke für deine Bemühungen!

Bis jetzt hat es mich glücklicherweise nicht erwischt. Da ich Passwörter generell nicht speichere, sollte das auch so bleiben

Die Frage, die sich mir jetzt stellt: Wie verbreitet sich das Teil auf den Client? Das muss ja irgendeine Lücke im Browser ausnutzen. Die Frage hier: Welche Browser sind betroffen? Kann ja hauptsächlich wohl nur ne Internet-Explorer-Schwachstelle sein, oder?

@ Crazy Girl

So habe ich überall unterschiedliche Passwörter und muss die nicht alle auswendig kennen

@Kim

Da stimmte ich dir zu.
Laut meinen Recherchen gibt es den schon länger, nur er besitzt bereits eine Menge weitere Namen.

Hallo Tanja,

vielen Dank für die oben zusammengefassten FAQs. Leider haben Sie nicht verhindert, dass ich den Plugins Ordner in dem sich relativ viele Javascripts befinden, umzubenennen, und morgen werde ich die Seite neu aufbauen, aus einem alten Update heraus, bzw. einer Sicherheitskopie!

Denn leider ist auch meine Hompage betroffen!

Gruß

Matthias

Ich habe ´mir dieses Teil auch eingefangen. Die meisten Antivirenscanner reagieren nicht darauf.
Habe dann den Norton installiert. Der findet ihn sofort und schießt ihn ab.
Trojan.Agent/Gen ist leider im Moment sehr weit verbreitet. Norton Antivirus meldet ihn inzwischen auf jeder 10. Webseite. Auch große Dienste wie Paiduniversum sind mittlerweile betroffen.
Der Trojaner kommt im übrigen nicht nur über IE. Ich mache nichts mit dem IE, ich habe ihn mir entweder über Opera oder Firefox geholt.
Meine Seiten waren auch alle verseucht. Habe dieses Problem aber mit der
curevir.php und diversen Backups in den Griff bekommen. Das wichtigste überhaupt ist es die Ftp Passwörter zu ändern.
Im Moment sind meine Seiten wieder clean. Will mal hoffen, dass das auch so bleibt.

Gruß,
Onkel Schorsch

Sehr schöner Artikel.
Kleine Ergänzung: Der Trojaner verändert nach meinen Beobachtungen nicht alle Dateien auf dem Server, sondern nur Dateien
- die das Wort “index” im Dateinamen enthalten
- die das Wort “default” im Dateinamen enthalten
- mit der Endung .js

-> Der Trojaner kommt im übrigen nicht nur über IE. Ich mache nichts mit dem IE, ich habe ihn mir entweder über Opera oder Firefox geholt.

Also wie schon erwähnt handelt es sich ja um ein JavaScript, vieleicht hilft doch abhilfe wenn man NoScript mit FF nutzt, das JavaScripte oder andere bösartige Programme erst garnicht anzeigt, bzw. ausführt (aber genauer kann ich das auch nicht beurteilen).

hallo und vielen dank fuer die vielen guten tipps

eine frage an @noxed und/oder an alle hier:
ist das vorgeschlagene programm unter (http://www.freefixer.com/) ausreichend zum aufspueren und entfernen des virus?

allgemeines
ich speichere auch – so weit es geht – keine passwoerter im ftp-client.

aber welches ftp-programm speichert NICHT – zumindest die aktuellen, gerade verwendeten verbindungsdaten (im verlauf oder diesen “quickConnects”)?

wenn dann waehrend man mit dem ftp-client unterwegs ist, kann dann doch der virus, diese aktuell verwendeten zugangsdaten auch abgreifen – oder nicht?

hatte mal smartFTP im einsatz – da werden ja wie gesagt alle angesteuerten server automatisch in die QuickConnects gelegt.

und jedes mal beim verlassen des programmes aufraeumen – na ich weiss nicht. is ne menge zeit! gerade bei vielen kundenZugaengen die man betreut.

vielen dank noch einmal fuer Deine muehe “Crazy Girl”
gruss, mike

Also über geschädigte die den FF benutzt haben war mir bislang nichts bekannt. Auf jedenfall ist die Warnung durch das Bundesministerium raus. Was mich als überzeugten IE Nutzer zu einem Wecksel gezwungen hat.

@Crazy Girl:

Zeig mir ein nicht-Windows7-Windows-System auf dem KEIN Internet-Explorer installiert ist *grins*.

Ok, ich revidiere meine Aussage…

Aber ist doch schon auffallen, dass die statistische Verteilung verglichen mit den Nutzerstatistiken der Browser über eine repräsentative Anzahl an Webseiten, die ja deutlich sagt, dass es mittlerweile für den IE und seine Marktberherrschung eng wird und der Firefox massiv aufholt – sprich nicht weit hinter dem IE liegt mit anderen Worten – ist es da nicht auffallend, dass man im Grunde in der Breite bezogen auf diesen Trojaner dann doch überwiegend Meldungen findet, die den IE als benutzten Browser führen?

Was können wir daraus schließen?

Sicherlich nur, dass die Nutzer des Firefox arrogante Schnösel sind, die zu feige sind, zuzugeben, dass sie sich auch mal etwas einfangen? Oder vielleicht doch die Variante, dass schlicht aufgrund des Verhaltens des Herstellers und dessen Unbeliebtheit bei den “Badguys”, der IE einfach etwas mehr im Schussfeld steht?

Ich weiß es nicht. mir persönlich wäre Variante 2 lieber *g* aber ich kann auch mit Variante 1 leben…

Wobei ich sagen muss – man muss schon einiges mehr anstellen, um den Firefox richtig aufs Kreuz zu legen als vergleichsweise beim IE – besonders bei alten IE-Varianten, die ungepatcht sind, weil die Benutzer sich nicht trauen, ein Windows-Update zu machen *grins*.

Aber wir wollen nicht streiten

Ah, ok, dann ist der Schuldige doch identifiziert: Es ist die Java-Engine, die durch den Java-Plugin geladen wird. Hier wird eine existente (ggf. in aktuellen Versionen behobene?) Lücke ausgenutzt, aus der Sandbox auszubrechen, die eigentlich für Java-Applets in Browsern “konstruiert” wird. Denn eigentlich(!) sollte ein Java-Applet nur nach eindeutiger Erlaubnis durch den Benutzer auf Systemressourcen zugreifen können.

Und genau dies müsste ich, um an die Daten ranzukommen, die auf der Festplatte liegen, um eben auf dem Weg an die FTP-Zugangsdaten zu kommen…

Das ist natürlich(!) eine Lücke, die in jedem Browser funktionieren könnte, der ein Plugin einer veralteten Java-Engine verwendet.

Aus diesem Grunde kann ich mich nur wiederholen (und ich weiß, einige wollen es nicht gerne hören): Updates (egal in welchem Bereich) sollte man nicht vernachlässigen sondern sie installieren. Ob für’s Betriebssystem, für den Browser oder für sonst was… nur so erreicht man halbwegs einen sicheren Stand.

Weiß einer, was genau dieses Vieh eigentlich auf dem Rechner macht, außer FTP-Daten zu mopsen?
In der Zeit, wo mein Virenschutz die Meldung machte, lief bei mir MSN. Wurden da eventuell Daten gestohlen? Oder sucht sich das Programm nur FTP-Programme aus?
Ich speichere zwar nie die Passwörter, aber bei einer aktiven Verbindung werden trotzdem Daten gesendet

Ich konnte zwar die siszyd32.exe daran hindern, sich in das System einzunisten, außerdem haben die tmp-dateien versucht, sich mit dem Internet zu verbinden, aber das konnte ich mit meiner Firewall verhindern. Die TMPs wollten sich mit russischen IPs verbinden.
Irgendwelche ungewöhnlichen Internetaktivitäten gab es so nicht, da ich schließlich mit der Firewall alles blockiert habe… und jetzt ist mein System neuinstalliert. Muss ich allerdings bei der Neuinstallation etwas wichtiges beachten (Updates sind drauf)?
Die Platte wurde formatiert, aber reicht das aus?
Es gibt ja viren die sich in das MBR einnisten
Hätte ich vielleicht noch das MBR überprüfen sollen oder muss man dies nicht?

Das Vieh bekam ich mit dem Firefox, als auf einer Seite, die ich seit Jahren besuche, ein Fenster öffnete, welches JAVA startete… dann meldete mein Virenschutz, es sei was faul, allerdings leider zu spät, denn ein Teil der Dateien war bereits auf dem Rechner…

@MechMac

Formatiert habe ich ja schon.
Aber ich habe auf einigen Seiten gelesen, dass sich Viren auch in das MBR einnisten können.
Macht es etwa die Siszyd32.exe das auch?
Oder wird das MBR beim Formatieren neugeschrieben?

Bin kein Computer-Experte und mit Viren habe ich bislang nie Erfahrungen gemacht, denn mein Virenschutz hat bislang alles erfolgreich geblockt… bis auf die Siszyd32.exe, die hat es irgendwie geschafft…