Hilfe! Ich denke, ich habe einen Virus!

Erarbeitet durch Teilnehmer der Newsgroup alt.comp.virus.
(Diese "Anti-Malware"-Seiten sind das Resultat einer fortlaufenden Zusammenarbeit.)

Verfügbare Übersetzungen: in English, in het Nederlands


Main Menu

Ein Beitrag von: Frederic Bonroy, Andrew Lee und Brian J Goggin

Vermutlich haben Sie diese Seite aufgesucht, weil Ihr Computer nicht richtig zu funktionieren scheint. Möglicherweise haben Sie von Computerviren gehört, die bewirken könnten, dass Ihr Computer sich abnormal verhält. Vermuten Sie deshalb, dass Sie einen Virus haben? Bevor Sie weiterlesen...

KEINE Panik!!

Dies ist überaus wichtig. Einen Computervirus zu haben, bedeutet im Grunde nur, dass sich auf Ihrem PC ein Programm befindet, das dort nicht hin gehört. So einfach ist das, deshalb gibt es wirklich keinen Grund zur Panik. Ein Benutzer in Panik kann für den PC sogar noch gefährlicher sein als irgend ein Virus! Im verzweifelten Versuch, einen Virus zu entfernen, verursachen manche User am eigenen System mehr Schaden, als der Virus selber je angerichtet hätte.

Panik könnte einen Benutzer zu zwei dummen Schritten verleiten: Formatieren und dem Gebrauch von FDisk.

Formatieren
Vielleicht haben Sie schon öfter gehört, dass es da eine unfehlbare Methode gebe, einen Virus loszuwerden - nämlich zu formatieren. Das Formatieren ist ein Prozess, der auf einem Speichermedium (Laufwerk) sämtliche gespeicherten Daten - inklusive einem Virus - entfernt (letzteres ist nicht der eigentliche Zweck des Formatierens).
Nun, fallen Sie diesem Mythos nicht anheim! Es trifft nicht immer zu. Tatsächlich könnte es funktionieren, aber Formatieren zwecks Virenentfernung ist allgemein eine schlechte Idee, und zwar aus folgenden Gründen:

• Formatieren ist in den meisten Fällen völlig überflüssig. Die meisten Viren können recht leicht entfernt werden.
• Zu Formatieren und anschließend das Betriebssystem und sämtliche Programme neu zu installieren, ist sehr zeitaufwändig.
• Sie werden Daten verlieren, wenn Sie vor dem Formatieren vergessen haben, diese zu sichern.
• Das Formatieren könnte alles von Ihrer Festplatte entfernen - außer dem Virus.

FDisk
Einige von Ihnen könnten auch von einem wundersamen Werkzeug namens FDisk gehört haben (oft in Verbindung mit so genannten "Bootsektor-Viren" oder dem MBR). Der MBR (Master Boot Record) ist ein kleiner Sektor auf Ihrer Festplatte, der sowohl ein kleines Programm enthält als auch die Partitions-Informationen. In Wahrheit kann FDisk zwar dann und wann nützlich sein, aber auch zu Datenverlust führen. Wenn Sie nicht genau wissen, mit welchem Virus Sie es zu tun haben, kann sich FDisk als sehr destruktiv erweisen! FDisk ist definitiv kein Antivirus-Tool - benutzen Sie es deshalb nicht hierfür.

Jetzt, da Sie wissen, was Sie nicht tun sollten, folgt hier, was Sie tun sollten:

1. Unterscheiden Sie zwischen einem Virus und einem "normalen" Hardware- oder Software-Problem.

Das Wort "Virus" kommt vielen Benutzern in den Sinn, wenn ihre Computer sich seltsam verhalten. In den meisten Fällen sind Viren nicht die Ursache für das Problem. Und einen nicht vorhandenen Virus zu jagen ist ganz offensichtlich ziemlich sinnlos.

Die folgende Liste enthält Anzeichen, die auf die Präsenz eines Virus hindeuten könnten. Beachten Sie, dass ich "könnten" sagte! Keines dieser Symptome steht definitiv für die Aktivität eines Virus!

• Das System verlangsamt sich merklich.
• Das Betriebssystem oder installierte Programme zeigen ungewöhnliche Fehlermeldungen an.
• Plötzlich erscheinen verrückte Meldungen (Grüße, Beleidigungen usw.)
• Sie stellen ungewöhnliche grafische Effekte Ihrer Bildschirmanzeige fest.
• Sie verlieren öfter Daten.
• Häufige Programmabstürze. Programme stürzen zwar - leider - auch so öfter mal ab. Wenn aber ein Programm beginnt, extrem häufige "Bruchlandungen" zu erleiden, sollte Ihnen das verdächtig vorkommen.
• Das Betriebssystem oder Programme weigern sich, zu starten.

Zuletzt das zuverläßigste Symptom: Ihr Virenscanner meldet einen Virus!

Sollte sich das Problem nicht als virenbedingt herausstellen, finden Sie Tausende von *Newsgroups, in denen Sie um Hilfe bitten können. Konsultieren Sie das Handbuch oder die Online-Hilfe Ihres Newsreaders, um herauszufinden, wie Sie eine Liste der verfügbaren Newsgroups anzeigen können, und wie Sie diese abonnieren. Wenn Sie schon dabei sind, sollten Sie sorgfältig die Regeln der Netiquette und die FAQ (Frequently Asked Questions: häufig gestellte Fragen) der Gruppe lesen, bevor Sie darin eine Frage stellen.

*Eine kurze Liste hilfreicher (englischer) Newsgroups:

   alt.comp.periphs.* Hierarchie
   alt.comp.hardware.overclocking
   microsoft.public.win95.*
   microsoft.public.win98.*
   microsoft.public.windowsme.*
   microsoft.public.win2000.*
   microsoft.public.windows.inetexplorer.*
   viele, viele mehr
   (Tipp: deutschsprachige Gruppen fangen mit "de." an.)

2. Identifizieren Sie den Virus

Wenn Sie wissen, dass Sie einen Virus haben, weil Ihr Virenscanner Ihnen dies mitteilte, notieren Sie sich den genauen Namen des Virus. Das ist wichtig, weil es verschiedene Virenarten gibt, die ebenso verschiedene Beseitigungs-Methoden verlangen. Sogar Viren aus der selben Schädlings-Familie können unterschiedliche Desinfektions-Methoden erfordern!

Wenn Sie noch keinen Virenscanner laufenlassen haben, tun Sie dies jetzt.


2.1 Der Virenscanner meldet den "Eicar"-Virus

Einen Virus namens "Eicar" gibt es nicht. Ihr Virenscanner stolperte lediglich über etwas, das sich Eicar Antivirus Test-Datei nennt. Diese Datei erlaubt herauszufinden, ob ein Virenscanner korrekt arbeitet. Bei Ihrem ist dies offensichtlich der Fall.

Die Datei ist harmlos und Sie können sie löschen. Gehen Sie für weitere Informationen zur folgenden Webseite: http://www.eicar.org/anti_virus_test_file.htm

2.2 Der Virenscanner meldet den "Bloodhound" Virus

Einen Virus namens "Bloodhound" gibt es nicht. "Bloodhound" ist der Name des heuristischen Scan-Werkzeugs von Norton AntiVirus (welches Sie wahrscheinlich gerade benutzen, wenn Sie diese Meldung sehen). Der heuristische Scanner ist jener Teil Ihres Antivirus-Programms, welcher aufgrund bestimmter Regeln versucht, unbekannte Viren aufzuspüren. Der Bloodhound-Alarm deutet darauf hin, dass Norton möglicherweise einen unbekannten Virus gefunden hat. Siehe Abschnitt 2.3.

2.3 Der Virenscanner meldet einen unbekannten Virus

Die heutigen Virenscanner sind oft in der Lage, einige unbekannte Viren aufzuspüren (natürlich nicht alle). Diese Technologie wird "Heuristik" genannt. Auch wenn recht nützlich, kann diese Heuristik gelegentlich falsche Alarme produzieren. Um herauszufinden, ob Sie es mit einem echten Virus oder einem falschen Alarm zu tun haben, ziehen Sie folgende Punkte in Ihre Überlegungen mit ein:

• Ist der Virenscanner auf dem neuesten Stand?
  Ein "unbekannter" Virus, der von einem Scanner entdeckt wurde, der schon seit Monaten nicht aktualisiert wurde, könnte inzwischen nicht mehr unbekannt sein. Aktualisieren Sie Ihren Virenscanner (sowohl Scan-Engine als auch Virendefinitionen) und scannen Sie die Datei erneut. Es ist viel leichter, sich mit einem bekannten Virus herumzuschlagen, als mit einem unbekannten. Wenn es ein falscher Alarm war, könnte der Hersteller diesen mit dem letzten Update bereits beseitigt haben.
• Ist der Virenscanner zu hartnäckig?
  Einige Scanner erlauben Ihnen, die Empfindlichkeits-Stufe der Heuristik einzustellen. Dies bestimmt, wie hartnäckig ein Virenscanner nach unbekannten Viren suchen soll. Ist die Stufe zu hoch eingestellt, könnten Sie mit Alarmen überhäuft werden und es wird für Sie schwierig werden, darunter die "echten" Alarme auszumachen. Beachten Sie aber, dass es KEINE gute Idee ist, eine Datei als sauber zu betrachten, nur weil es aufgrund einer veränderten Heuristik-Einstellung keinen Alarm mehr gibt!
• Kann die verdächtige Datei überhaupt Virencode enthalten?
  Eine heuristische Suche, verbunden mit einem Scan aller Dateien, unabhängig von Dateityp oder Endung, ist nur selten eine gute Idee. Der Scanner wird bestimmt Dateien als infiziert melden, auch wenn diese gar keine Viren enthalten können (z.B. .bmp, .jpg, .wav, usw.).
  Vorsicht vor doppelten Endungen!
  (Eine Datei kann mehr als eine Endung besitzen; nur die letzte der vorhandenen Endungen bestimmt den wahren Dateityp. Leider zeigt Windows die Endung nicht standardmäßig an, wenn ihm der Dateityp bekannt ist. Das bedeutet, dass etwa eine Datei namens hallo.txt.exe mit dem Namen hallo.txt angezeigt wird. Die Datei erscheint als harmlose Text-Datei, auch wenn es sich in Wahrheit um ein ausführbares Programm handelt, das einen Virus enthalten könnte.)
• Ist es ein legitimes Programm?
  Disk-Formatierungs-Werkzeuge und ähnliche Programme könnten als infiziert gemeldet werden, weil sie potentiell gefährlichen Code enthalten.

Wenn Sie von einer Datei ganz genau wissen wollen, ob sie infiziert ist, senden Sie sie am besten an ein Virenlabor. Hier eine Liste von E-Mail-Adressen:

Virenlabor	E-Mail-Adresse
CAI	ipevirus@vet.com.au
F-Secure	samples@f-secure.com
Frisk	viruslab@f-prot.com
Kaspersky Labs	submit-virus@avp.ch
NAI (McAfee)	virus_research@nai.com
Sophos	support@sophos.com
Symantec (Norton)	avsubmit@symantec.com
Trend	virus_doctor@trendmicro.com

Bemerkungen:

• Senden Sie die Datei an so viele Virenlabors, wie Sie es für nötig halten; aber vergessen Sie nicht, sie unbedingt auch jenem Hersteller zu senden, dessen Scanner den unbekannten Virus gemeldet hat.
• Bevor Sie eine Datei einsenden, werfen Sie einen Blick auf die Webseite jenes Virenlabors. Dort könnten Sie noch weitere spezielle Anweisungen dazu finden. So wollen beispielsweise einige Labors, dass Sie die Dateien in einer passwortgeschützten Zip-Datei einsenden (deren Passwort Sie im Mailtext natürlich nennen sollten).
• Öffnen Sie die Datei NICHT, bis Sie die explizite Bestätigung erhalten haben, dass sie sauber ist.
• Es gab Berichte über das Symantec Labor, welches eine Datei zuerst als sauber gemeldet hat und diese Aussage später revidieren musste. So wird es eine gute Idee sein, die Datei zusätzlich einem zweiten Labor zu senden und sich in dieser Hinsicht nicht nur auf Symantecs erste Aussage zu verlassen.

2.4 Verschiedene Virenscanner sind sich nicht einig, ob eine Datei infiziert ist

Stellen Sie sicher, dass beide Scanner frisch aktualisiert sind. Senden Sie die Datei zur Analyse an beide Virenlabors, wenn das Problem nach dem Update beider Scanner noch besteht.

2.5 Verschiedene Virenscanner finden verschiedene Viren

Die verschiedenen Antivirus-Hersteller könnten dem Virus unterschiedliche Namen gegeben haben (was recht oft passiert!). Vergleichen Sie die beiden Virenbeschreibungen in deren Online-Nachschlagewerken. Sie können den Virus auch in der VGrep-Datenbank nachschlagen (http://www.virusbtn.com/VGrep). Beachten Sie, dass VGrep schon eine Weile nicht mehr aktualisiert wurde. Wenn die Beschreibungen oder Namen nicht zueinander passen, senden Sie die Datei zur Analyse an die Labors.

2.6 Der Scanner meldet einen Virus im Arbeitsspeicher

Viele Viren nisten sich im Arbeitsspeicher ein, sobald sie einmal aktiviert wurden. Dies erlaubt ihnen, andere Dateien zu infizieren, sobald Sie auf diese zugreifen. Da die meisten Viren versuchen, unerkannt zu bleiben, könnten diese Ihr Antiviren-Programm stören, indem sie es umgehen oder sogar ausschalten. Viren, die sich verstecken, werden "Stealth"-Viren genannt. Einige Schädlinge werden sich sogar selber aus einer Datei zurückziehen, bevor der Scanner sie öffnet, um sie nach der Prüfung wieder anzustecken! Aus diesem Grund ist hiermit davon abgeraten, zu versuchen, Dateien zu reinigen, während der Virus noch aktiv im Arbeitsspeicher sitzt. Sie könnten am Ende mit noch mehr infizierten Dateien dastehen. Es gibt ein paar Dinge, die Sie tun können, wenn Ihr Virenscanner einen Schädling im Arbeitsspeicher findet:

• Überzeugen Sie sich davon, dass wirklich ein Virus in Ihrem Arbeitsspeicher steckt. Beachten Sie bitte, dass Sie den Anweisungen in den zwei folgenden Absätzen nicht zwingend folgen müssen. Sie können diese auslassen, denn sie sind hier nur der Vollständigkeit zuliebe erwähnt. Sollten diese sie verwirren, ignorieren Sie sie einfach.
  
  Sie könnten es mit einem falschen Alarm zu tun haben. Eine mögliche (aber unwahrscheinliche) Ursache dafür wäre, wenn Sie zwei verschiedene Virenscanner unmittelbar nacheinander laufen lassen. Der erste könnte im Speicher unverschlüsselte Spuren von Scan-Ketten hinterlassen haben (kurze, harmlose Zeichenfolgen von Virencode, um Viren zu finden und zu identifizieren), was beim zweiten einen solchen Alarm auslösen kann. Es sei hier darauf hingewiesen, dass dies zwar möglich ist, aber eher bei älteren bzw. schlecht programmierten Scannern auftritt. Moderne Scanner verwenden zuverläßigere Methoden.
  
  Um einen solchen falschen Alarm zu überprüfen, schließen Sie Ihr Antiviren-Programm und starten es erneut. Sollten Sie einen DOS-Scanner in einem DOS-Fenster unter Windows verwenden, schließen Sie das DOS-Fenster und öffnen ein neues, um den Scanner noch einmal zu starten. Schlagen Sie auch die Beschreibung des Virus in einer Virenbibliothek nach, um sich zu vergewissern, ob sich dieser Virus überhaupt im Arbeitsspeicher einnistet.
  Sind diese Zweifel damit nicht beseitigt, wird es sich wohl wirklich um einen Virus handeln.
  
  
• Einige Virenscanner behaupten, Viren aus dem Arbeitsspeicher entfernen zu können und haben damit sogar dann und wann Erfolg. Trotzdem sei es hier ausdrücklich empfohlen, dass Sie zuerst selber dafür sorgen, dass sich kein Virus mehr im Arbeitsspeicher befindet und erst dann versuchen, den Virus von Ihrem Computer zu entfernen.

Der einzige zuverläßige Weg zu einem virenfreien Arbeitsspeicher führt über das Aufstarten ab einem sauberen Bootmedium (in der Regel eine Diskette), um von dort aus einen DOS-Virenscanner zu starten. Dies ist in allen Fällen empfohlen, in denen Sie einen solchen Speicher-Residenten Virus vermuten.

Um zu überprüfen, ob Sie im Arbeitsspeicher einen Virus haben, der sich allenfalls vor Ihrem (Windows-) Virenscanner versteckt, sollten Sie ebenfalls von einer sauberen Bootdiskette starten und einen DOS-Scanner laufenlassen. Verfahren Sie immer so, wenn Sie eine aktive Vireninfektion vermuten; allerdings ist dies nicht nötig, wenn Sie lediglich eine heruntergeladene Datei prüfen oder Ihre regelmäßigen Scans vornehmen möchten.

2.7 Der Scanner meldet mehrere Infektionen

Es gibt Fälle, in denen eine mit einem Virus infizierte Datei auch noch von einem zweiten angesteckt wird. In dieser Situation (oder überhaupt, wenn es sich dabei um eine ausführbare Datei handelt), ist es ausgesprochen ratsam, die Datei zu löschen und sie ab einem sauberen Backup (z.B. Installations-CD) wiederherzustellen.

Sollte es nicht möglich sein, die Datei ab einer Sicherung zurückzuspielen, könnten Sie natürlich versuchen, die Datei von Ihrem Scanner *desinfizieren zu lassen. Hat Ihr Antiviren-Programm eine Datei desinfiziert, unterziehen Sie Ihr System nachher noch einmal einem Scan. So stellen Sie sicher, dass Ihr PC desinfiziert ist und keine Reste des Schädlings übrigbleiben. AVP/KAV ist zum Behandeln solcher Mehrfach-Infektionen speziell gut geeignet.

* Beachten Sie, dass ein Weiterverwenden desinfizierter Dateien Ihr System trotzdem instabil machen könnte.


3. Sammeln Sie Informationen

Erfahren Sie mehr über den Feind. Schlagen Sie den Virus in einer Virenenzyklopädie nach. Zu wissen, was ein Virus tut oder nicht tut, kann nie schaden. Die Virenbeschreibung kann Ihnen auch Beseitigungs-Tipps und wertvolle Ratschläge liefern, die Sie beachten sollten. Wenn Ihr Virenscanner Ihnen anbietet, eine Datei zu reinigen und dies auch erfolgreich tut, können Sie diesen Schritt überspringen.


4. Orten Sie den Virus

Wir empfehlen stets, infizierte Dateien durch saubere Versionen zu ersetzen. Dies bedeutet: Löschen Sie infizierte Dateien und installieren Sie das betroffene Programm erneut oder stellen Sie die infizierte Datei ab einem sauberen Backup wieder her. Sie legen doch bestimmt regelmäßige Sicherungen Ihrer Daten an, oder?

Veranlassen Sie also Ihren Scanner dazu, alle Laufwerke zu überprüfen und eine Berichtsdatei (Report) zu erstellen. Diese Datei wird die Namen der infizierten Dateien enthalten.

Anmerkung:

• Falls Sie gerade eine infizierte Datei per E-Mail oder auf einer Diskette erhalten haben, dann ist Ihr PC noch nicht infiziert, sofern Sie diese Datei nicht geöffnet/gestartet haben. Kam die Datei auf einer Diskette, verzichten Sie einfach darauf, sie zu öffnen. Kam sie per E-Mail, löschen Sie die Mail, welche die infizierte Beilage mitbrachte, sowohl aus Ihrem Posteingang, als auch aus dem Mail-Papierkorb. Lassen Sie dann Ihr Mail-Programm Ihre Mail-Ordner komprimieren/"purgen" (d.h. gelöschte Objekte werden damit endgültig entfernt); in den meisten Mail-Programmen findet sich eine solche Option, sofern das Programm dies nicht beim Schließen automatisch übernimmt.
• Wurde der Virus durch Ihren permanenten Virenwächter gefunden, der im Hintergrund laufend alle Dateien prüft? Dann wird es wohl passieren, dass er Ihnen den Zugriff auf die infizierte Datei oder E-Mail verweigert. In diesen Fällen deaktivieren Sie vorübergehend den Virenwächter, um diese Objekte zu löschen. Vergessen Sie aber bitte nicht, ihn danach gleich wieder zu aktivieren.

5. Entfernen Sie den Virus

Sind Sie in der Lage, infizierte Dateien zu löschen und zu ersetzen, tun Sie dies. Das ist der bessere Weg als jede Desinfektion, die verlangt, dass der Virencode aus einem infzierten Objekt herausgetrennt und gelöscht werden soll. Ob eine Desinfektion gelingt oder nicht, ist eher Glückssache. Es gibt keine Garantie dafür, dass der Virus aus einer Datei restlos verschwunden ist oder dass das betroffene Programm nach der Reinigung immer noch reibungslos funktioniert.

Natürlich können Sie versuchen, den Scanner eine Datei reinigen zu lassen, sofern Sie sie aus irgend einem Grund nicht ersetzen können.

Beachten Sie, dass es bei einigen Viren nicht reicht, einfach infizierte Dateien zu säubern. Nicht selten werden Sie auch vom Virus erzeugte Einträge in der Windows Registry oder weitere vom Virus erstellte Dateien löschen müssen. (Die Registry ist eine umfangreiche Datenbank, in welcher sowohl Windows als auch die meisten Programme Informationen über die Konfiguration speichern. Auf dem PC gibt es ein Programm namens Regedit, welches Ihnen erlaubt, Einträge in dieser Registry zu verändern). Es existieren Anleitungen, um solche Viren mitsamt den Registry-Einträgen manuell zu entfernen. Durchsuchen Sie die Webseiten der Antivirus-Hersteller nach solchen Anleitungen oder fragen Sie danach in der Newsgroup alt.comp.virus. Eine Virenbeschreibung (siehe Schritt 3) sollte Ihnen sagen, ob dies notwendig ist.

Der Virenscanner meldet, dass er eine infizierte Datei nicht reinigen kann!

Es gibt zwei mögliche Gründe, weshalb Ihr Scanner eine infizierte Datei nicht desinfizieren kann.

1. Die Datei ist gerade in Benutzung und deshalb gesperrt. Das bedeutet, dass ein Programm die infizierte Datei gerade in Gebrauch hat, weshalb Windows es Ihnen nicht erlaubt, zur selben Zeit anderweitig auf diese Datei zuzugreifen. In solchen Fällen müssen Sie das Programm beenden, welches die Datei benutzt und die Desinfektion noch einmal versuchen. Sehr oft ist sogar Windows selber der Missetäter. Die einzige Lösung hierbei ist ein Aufstarten in DOS und die Verwendung eines DOS-Virenscanners. Die Wsock32.dll ist ein berühmtes Beispiel einer solchen Datei, die nicht durch einen Windows Virenscanner gereinigt werden kann.
    
2. Der Virus hat die Datei zerstört. Es gibt Viren, die einen Teil der infizierten Datei überschreiben, was es für Antivirus-Programme unmöglich macht, den ursprünglichen Inhalt wiederherzustellen. Dann müssen Sie die Datei löschen und durch eine saubere Kopie ersetzen.
   
   

6. Überzeugen Sie sich davon, dass der Virus verschwunden ist

Denken Sie, Sie hätten das Biest erfolgreich erlegt? Gut! Trotzdem sollten Sie sich darüber Gewissheit verschaffen. Einige Viren sind hartnäckig und werden sich von ihrem Vorhaben nicht so leicht abbringen lassen, welches daraus besteht, auf Ihrem Computer zu bleiben und sich von dort auf andere Computer zu übertragen.

Lassen Sie nochmals einen - noch besser zwei - Virenscanner laufen (sorgen Sie dafür, dass beide frisch aktualisiert sind!) und beten Sie, dass diese nichts finden mögen. Scannen Sie auch Disketten und CD-ROMs. Informieren Sie jene Leute, mit denen Sie Dateien austauschten, darüber, dass Sie ein Virenproblem hatten und dass sich diese vorsehen sollen. Schon eine einzige E-Mail, die Sie diesen Leuten während der Virenaktivität gesandt haben, ist Grund genug, sie zu informieren!


7. Das darf nicht wieder passieren

Einen Virus zu entfernen ist gut, aber ihn sich schon von Anfang an vom Leibe zu halten, ist noch viel besser. Lesen Sie die Regeln über Safe Hex, die Sie hier finden: http://claymania.com/safe-hex-de.html

Seien Sie sich dessen bewusst, dass Sie durch leichtfertiges Verhalten indirekt die wertvollen Daten anderer Leute gefährden, denn Viren verbreiten sich!