Win 8.1: Goldeneye - Überprüfen ob er wirklich entfernt ist

Thread

Hallo Forum,

wie so einige Firmen sind wir diesmal auch auf einen Anhang reingefallen. Genauer die aktuelle Goldeneye Version die per Makro in einer Exceldatei versteckt war.
https://www.heise.de/security/meldung/Goldeneye-Ransomware-greift-gezielt-Personalabteilungen-an-3562281.html?hg=1&hgi=3&hgf=false

Trotz Scan mit AvastPro wurde keine Warnung ausgegeben, weswegen die Datei geöffnet wurde. Ab heute gilt dann die Richtlinie: Nur noch .pdf Dateien. Allerdings war das eine Stelle für die tatsächlich sehr sehr dringend jemand benötigt wird. Die PDF sah gut aus, weswegen die XLS blöderweise geöffnet und ausgeführt wurde.

Im Prinzip ist ermal nichts dramatisches passiert. Er hat beim Client einige pdf, doc und pptx Dateien verschlüsselt. Bilder und dotx Dateien hat er nicht angefasst. Scheinbar auch doc Dateien in bestimmten Verzeichnissen nicht.

Fast alle Daten (bis auf 3 Powerpoints de gestern Nacht erstellt wurden) sind alle Dateien als Backup vorhanden. Wenn die 3 Powerpoints entschlüsselt werden könnten, wäre das klasse weil es ca. 4 Stunden Arbeit erstpart, aber auch kein Drama wenn nicht.

Der Client wurde dann mit Malwarebytes Anti-Maleware gescannt. Avast läuft gerade noch ein Tiefenscan durch, jedoch bezweifel ich dass Avast diesmal was findet...hat ja auch beim ersten mal nicht.

Malewarebytes hat einiges entfernt. Vor allem SpyHunter den ich im ersten Schreck installiert hatte, bevor mir eingefallen ist, dass das ja nicht soooo seriös ist.

Habe die txt vom Scan mal hoch geladen.

Meine Frage jetzt: Wie kann ich auf Nummer sicher gehen, dass der Rechner frei von der Ransomware ist? Bei Ruhe sind CPU Auslastung und Zugriffsraten auf die Festplatte normal (CPU 99% Leerlaufprozess und Festplatte ruhe). Allerdings kann man den Explorer nur eingeschränkt bedienen (Öffnen nur über Pfadeingabe und über die Favs, bei Anklicken von z.B. USB Sticks hängt er sich auf).

Die Ransomware hat auch die Wiederherstellungspunkte gekillt. Es gibt allerdings einen Wiederherstellungsstick den ich ebenfalls verwenden werden. Will aber sicher gehen, dass alles weg ist.

System aufsetzen wäre sicher eine Lösung, jedoch äußerst ungern, da der Rechner sowieso Mitte Dezember erstetzt werden soll. Doppelte Arbeit sollte daher erstpart weden. Rechner muss nur noch 1 Woche durchhalten.

Vielen Dank für eure Hilfe.

Edit: Nochmal Malewarebytes drüber laufen lassen. Beim ersten waren die Rootkits deaktiviert. Nun hat er auch 4 Infektionen mit Petya gefunden. Das dürfte er vermutlich sein, da er ja auf Petya basiert?


Vielleicht noch als Hinweis wg. der Checkliste: Wir sind eine kleine gGmbH (also gemeinnützig) im Ausbildungsbereich. Ich bin kein IT-Experte aber auf dem Gebiet etwas bewandert, weswegen ich mich um die Computer kümmere. (eine eigene IT Abteilung können wir uns nicht leisten). Tue mein bestes, habe es aber (wie man sieht) nicht geschafft mich aktuell genug auf dem Laufenden zu halten. Bin nur froh, dass ich zumindest von allem ordentliche Backups habe. Ich hoffe daher, dass mir hier trotzdem geholfen wird.