FAQs und Schritte gegen den Virus Trojaner Trojan.Agent/Gen

Dieser Virus Trojan.Agent/Gen wird sich mit hoher Wahrscheinlichkeit im Netz verbreiten wie ein Lauffeuer. Wer ihn heute noch nicht hat, kann ich morgen bereits haben. Ich möchte hier niemanden Angst einjagen, sondern schlicht und ergreifend zu erhöhter Vorsicht mahnen. Nachfolgend fass ich im FAQ-Stil einfach mal zusammen, was mir bis dato über diesen Virus sowie seine Entfernung bekannt ist. Ich hoffe hiermit dem ein oder anderen von Euch helfen zu können.

Wie fange ich mir diesen Virus ein?
Mit hoher Wahrscheinlichkeit verbreitet sich dieser Virus indem man eine infizierte Seite im Netz ansurft.

Gibt es ein Virenprogramm oder sonstige Software die diesen Virus erkennt?
Bis dato ist mir noch nichts bekannt. Das bedeutet, dass sich dieser Virus zum jetzigen Stand mit hoher Wahrscheinlichkeit völlig unbemerkt auf dem entsprechenden Rechner installiert. Meine Firewall schlug z.B. an, dennoch gingen die Auswirkungen dieses Virus um die Firewall irgendwie herum. Das Programm „SUPER AntiSpyware Free Edition“ hat ihn aber zumindest in meinem Autostart entdecken und herausnehmen können.

Welche Anzeichen finde ich auf meinem Rechner manuell für diesen Virus?
Eine Datei siszyd32.exe im Autostart sowie mit hoher Wahrscheinlichkeit eine oder mehrere Tempdateien im Windows Temp Ordner (z.B. ~tm60.tmp). Zudem setzt sich der Virus in die temporären Internetdateien der entsprechend infizierten angesurften Internetseiten.

Was kann ich tun, um diesen Virus auf meinem Rechner vorzubeugen?
Das wichtigste ist allen voran, dass in FTP Programmen keinerlei Passwörter mehr gespeichert werden. Das verhindert zwar nicht den Virus selbst, aber zumindest dessen Auswirkungen auf die entsprechenden Domains. Also am besten sämtliche FTP Passwörter ändern und nirgends speichern, vor allem nicht in einem FTP Client!
Weiter halte ich es für wichtig öfters am Tag seine temporären Internetdateien zu löschen und auch hin und wieder nach dem Vorhandensein der oben genannten Dateien auf dem lokalen Rechner zu suchen.

Was macht dieser Virus genau?
Dieser Virus sucht auf dem lokalen Rechner nach FTP Programmen, holt sich die darin enthaltenen Zugangsdaten heraus und schickt sich wahrscheinlich nach China. Von dort aus wird sich auf den entsprechenden Domains via FTP eingewählt und einige Dateien werden gehackt.

Wie erkenne ich, ob mein Blog bereits gehackt wurde?
Dieser Virus schreibt in einige PHP Dateien, die mit index oder default beginnen sowie in sämtliche Javascript Dateien. In Wordpress Blogs brauchst Du z.B. einfach nur die index.php auf Deinem Server öffnen, ganz nach unten scrollen und nach einem script suchen, das mit #<script>/*GNU GPL*/ try{window.onload = function(){var Foykd9quq4zlf = beginnt. In infizierten Wordpress Blogs steht dieses auch häufig im Quellcode auf der Startseite. Im Ordner wp-includes wird dieses Script auch in die Dateien default-filters.php, default-widgets.php und default-embeds.php geschrieben.

Dieser Virus schreibt sich nach und nach in allen möglichen Dateien von Wordpress. Darin eingeschlossen sind auch sämtliche Plugins und Theme-Dateien. Einfach alles, was auf dem Webspace zu finden ist!

Was mache ich wenn mein Blog gehackt wurde?
Zu erst einmal die FTP Zugangsdaten ändern! Das FTP Passwort auf gar keinen Fall mehr im FTP Client speichern.
Danach hilft eigentlich nur noch sich via FTP einzuloggen, alles zu löschen und eine komplette Neuinstallation zu vollziehen (alle Plugins und Themes inbegriffen). Glück hat hier der, der auf einen sauberen Backup zugreifen kann. Einen solchen hat man entweder lokal auf dem Rechner gespeichert oder man kann auch beim Hoster anfragen. Der Backup beim Hoster muss aber unbedingt von vor dem ersten Hack Angriff sein (Datum und Uhrzeit der geänderten Wordpress Dateien vergleichen).