Microsoft Tool Virus

Autostarts

Microsofts Autoruns kennen viele Orte in Windows, an denen Autostartprogramme versteckt sind, die direkt beim Hochfahren des Systems anlaufen. Die Analysetools von Mark Russinovich y Bryce Cogswell sind Teil der tragbaren Systemsinternals Suite und zeigen Anwendungen, Libraries und Services an, die nach dem Hochfahren von Hand deaktiviert werden können. Sie werden dann beim Hochfahren von Microsoft Windows nicht mehr gestartet, was unter anderem den Hochlauf von Windows aufwertet.

Zur übersichtlichen Darstellung der vielen Autostart-Einträge verfügt Autorun über Registerkarten mit Rubriken wie "Explorer", "Network Providers", "Services" und "Drivers". Autostart bietet für jeden Datensatz eine Erläuterung, benennt den Namen des Herstellers und den Weg zum Produkt. Wenn Sie den Mauszeiger über einen Autostart bewegen, wird durch einen Klick mit der rechten Maustaste ein Kontexmenü geöffnet. Sie enthält mehrere Systemfunktionen, so dass z.B. der Registry-Editor von Microsoft Windows so geöffnet werden kann, dass er den richtigen Registry-Speicherort für den jeweiligen Datensatz anzeigt.

Autoruns integriert mit der neuen 13. Variante den Virenscannerdienst VirusTotal, der über 50 Virensuchmaschinen nutzt. Wenn in Autoruns unter "Optionen > Scanoptionen" die Option "Check VirusTotal.com" eingeschaltet ist, generiert Autoruns Hash-Werte für die zu scannenden Daten und schickt sie an VirusTotal, das eine Bedrohungsanalyse zurückgibt, wenn die Daten bereits gescannt wurden.

Wenn das Kontrollkästchen "Unbekannte Bilder senden" aktiviert ist, wird Autoruns die entsprechende Grafik zur Auswertung in das Programm hochladen, wenn das Programm den entsprechenden Hash-Wert nicht kannte. Achten Sie bei der Arbeit mit Autoruns darauf, dass Sie nicht die für das Windows-System notwendigen wichtigen Programmierungen deaktivieren. Zur Reduzierung der Gefährdung sind von Microsoft unterschriebene Produkte verboten.

Kundendienst: Wenn der Kundendienst von Microsoft unaufgefordert antwortet.

Mit betrügerischen Absichten telefonieren Verbrecher die Benutzer und stellen sich als Supportmitarbeiter von Microsoft und anderen großen IT-Unternehmen da. Es wird behauptet, dass der Computer des Benutzers mit Computerviren infiziert ist und bietet dann Programme an, die es ihm ermöglichen sollen, das aufgetretene Fehlverhalten zu beheben. Allerdings wird im Rahmen der Installierung der angeblichen Fernwartungssoftware entweder Schadsoftware auf dem Computer abgespielt, über die die Täter auf das Endgerät gelangen und Dateien ausspionieren können, oder der Computer wird blockiert und erst nach Bezahlung eines Lösegelds wieder freigeschaltet.

Daher sollten Benutzer ein vielschichtiges Schutzkonzept in Betracht ziehen. In den meisten Fällen droht den angeblichen Supportmitarbeitern, dass der Nutzer seine Windows-Lizenz oder seinen Computer mit der Verbreitung von Computerviren im Netz verlieren wird und er dafür gesetzlich zur Verantwortung gezogen wird. Der Aufrufer verwendet oft systeminterne Programme, um zu signalisieren, dass die Windows-Lizenz nicht mehr aktuell ist.

Für die Überprüfung ist kein zusätzliches Tool erforderlich, und Microsoft wird mit Sicherheit keine Anrufe an potenzielle Käufer richten, um Kosten für die Verlängerung der Windows-Zulassung zu decken. Über den Kommando "slmgr. vbs /dlv" kann jeder Benutzer über das Start Menü feststellen, ob die Lizenzierung noch aktuell ist. Bei den Betrügern wird versucht, die Benutzer zu beunruhigen und sie mit vielen Schwierigkeiten zu beunruhigen.

Benutzer sollten niemals in Gespräche mit den Scammern treten. Dabei ist anzumerken, dass JEDER Telefonanruf von Microsoft, Dell, 1&1 und anderen Firmen, die unaufgefordert zu Haus ankommen, eine Fälschung ist. KEINE dieser Firmen fordert lediglich Bedrohungen und Warnhinweise. Diesem Umstand begegnet Microsoft nun mit dem Angebot der Website "Report Fraudulent Technical Support", auf der Benutzer, die Betrugsopfer waren oder nur den Betrugsversuch unternommen haben, dies anzeigen können.

Allerdings ist Microsoft nicht das einzigste Anbieter, der Straftäter für falsche Supportanrufe missbraucht. Dell, 1&1 und andere Firmen werden ebenfalls eingesetzt. Oftmals findet man auf den Webseiten die offiziellen Firmenlogos von Microsoft oder anderen großen Firmen. Die Aufrufer bemühen sich oft, den Benutzer auf gewisse Websites zu lenken, die zeigen, wie viele Schädlinge es auf dem Computer gibt und wie der Computer gereinigt werden kann.

Dabei ist es unerheblich, ob die Nutzer selbst auf diese Website zugreifen oder angebliche Microsoft-Supportmitarbeiter bitten, dies zu tun. Auf diesen Webseiten werden auch angebliche, aber falsche Meldestellen an Microsoft verbreitet. Mit On-Board-Mitteln wie "Syskey" versucht der Täter zum Teil, einen Teil der Registrierung mit einem Passwort zu versehen, so dass der Benutzer keinen Zugang mehr zum Computer hat.

Der Prozess kodiert einen Teil des Betriebssystemes, so dass der Zugang zu Windows nur durch Passworteingabe möglich ist. Internetangreifer, die sich als Supportmitarbeiter darstellen, chiffrieren den Zugang zu Windows mit dem nativen Tool "syskey" (Screenshot: Thomas Joos). Wenn der Computer verriegelt ist, sollte der Benutzer selbst zahlen.

Dies wirft die Fragestellung auf, wie PC-Nutzer darauf eingehen sollten, oder welche Hinweise erfahrene Nutzer ihren Freundinnen und Kollegen geben sollten, um Übergriffe durch vermeintliches Supportpersonal zu verhindern. Oft wird versucht, den Benutzer davon zu überzeugen, Systemprogramme auf seinem eigenen Computer zu verwenden, um zu überprüf. Oft wird das Windows-Tool "Systemkonfiguration" benutzt, das im Hauptmenü mit "msconfig. exe" aufgerufen wird.

Der angebliche Supportmitarbeiter möchte hier nachweisen, dass Windows bereits mehrere Systemverbindungen abgebrochen hat, was darauf hindeuten sollte, dass der Computer ein Problem hat. Benutzer sollten auch hierauf nicht einsteigen. Darüber hinaus sollten Nutzer auf keinen Fall auf Verknüpfungen mit einem angeblichen Virusscanner auf einer Website zugreifen. Das Blatt sollte umgehend verlassen werden.

Wenn mutmaßliche Supportmitarbeiter Sie unaufgefordert anrufen, sollten die Benutzer unverzüglich kündigen und keine Angaben zu sich selbst machen. Ein Microsoft-Mitarbeiter wird sich nicht an einen Verbraucher wenden, um Informationen zu beschaffen oder irgendeine andere Art von Dienstleistung auf dem Computer zu erlernen. Erst wenn die Benutzer selbst eine Supportanfrage an Microsoft gerichtet haben, werden sie kontaktiert.

Dies trifft natürlich auch dann zu, wenn angebliche Supportmitarbeiter anderer Firmen anruf. Wenn die Kontaktaufnahme nicht unmittelbar vom Nutzer eingeleitet wurde, sollte die Diskussion nicht mit angeblichen Microsoft-, Dell-, 1&1-Mitarbeitern und anderen erfolgen, sondern ganz auflegen. Dies trifft insbesondere dann zu, wenn der Anrufende in irgendeiner Weise auf den Computer des Benutzers zugreifen möchte.

Solch etwas wird nie durch ein angesehenes Untenehmen geschehen. Die Firma Microsoft hat die Netze der Anrufenden überprüft und festgestellt, dass Microsoft unter keinen Umständen unerwünschte Telefonate unternimmt, um ein defektes Endgerät zu beheben. Keine unaufgeforderten E-Mails oder die Anforderung persönlicher oder finanzieller Informationen per Telefon.

Wenn sich der Caller als Angestellter der Microsoft-Lotterie ausgibt, ist das nicht wahr: Es gibt keine Microsoft-Lotterie. Um die Authentizität von Office oder Windows zu überprüfen, fordert Microsoft nie Kreditkartendaten an. Microsofts Kontaktaufnahme mit Benutzern ist nicht unaufgefordert, um sie über neue Sicherheitsupdates zu unterrichten. Die Kontaktaufnahme mit dem Microsoft-Support geht allein auf die Idee des Benutzers zurück, nie in umgekehrter Richtung.

Die Sicherheit vor bösartiger Software, die von angeblichen Supportmitarbeitern auf dem Computer des Betroffenen installiert wird, sollte mehrschichtig sein, wie dies bei Firmen und Privatanwendern der Fall ist. Dass die Angriffstaktik von den Internetkriminellen laufend adaptiert und verbessert wird, zeigt das skizzierte Beispiel der angeblichen Supportmitarbeiter. So macht der Bericht über die Bedrohung durch Schadprogramme deutlich, dass Benutzer auf das Anwachsen der Angriffe reagieren werden.

Zusätzlich zu den gebührenpflichtigen Produkten können die Nutzer auch kostenlos erhältliche Werkzeuge wie Clonezilla nutzen. Damit können bisher abgesicherte PC mit Betriebssystemen und Dateien vergleichsweise leicht und rasch wiederhergestellt werden. Somit kann es auch als mobile Anwendung auf einem USB-Stick eingesetzt werden. Auch für unerfahrene Benutzer ist die Handhabung einfach: Zuerst wird das Tool heruntergeladen und anschließend aufgesetzt.

Benutzer sollten alle vom Tool gefundenen Schaderreger auf allen Tabs gelöscht haben. Wenn der Benutzer den Computer dann erneut scannt, kann er sicherstellen, dass sich keine Malware mehr auf dem Computer im Hintergrund abspielt. Wenn angebliche großformatige Supportmitarbeiter unaufgefordert zu Haus telefonieren, sollten Benutzer unverzüglich kündigen, um Gespräche zu vermeiden, die zu Handlungen mit Malware auf dem Computer nach sich ziehen können.

Deshalb sollten Benutzer eine vielschichtige Security-Strategie in Betracht ziehen.