Serv-U und seine Folgen. (services.exe)

KarlKarl

Der Plan hört sich ganz gut an. Wesentlich ist, dass die Updates installiert werden, bevor Du online gehst, ansonsten wird der Rechner schneller verwurmt sein, als Du die Updateseite geladen hast. Wenn Du die Updates nicht lokal zur Verfügung hast, brauchst Du auf jeden Fall eine Firewall, die den Würmern den Appetit verdirbt. Entweder eine von Windows oder eine andere. Ein Router würde es auch tun. Ich sage dazu, dass die von Windows ausreicht, da gibt es aber auch andere Meinungen dazu. Der wesentliche unterschied ist, dass die von Windows nicht verspricht, was die anderen nicht halten können: ausgehende Verbindungen zu überwachen.

Sollte ausreichen die Systempartition neu zu installieren. Andere Partitionen sollten allerdings vor erneutem Zugriff gründlich gescannt werden, das ist aber mehr eine zusätzliche Sicherheit gegen einen sehr unwahrscheinlichen Fall.

Sofern auf dem Notebook alle Updates vorhanden sind und Du dort nicht seltsame Softwarepakete installierst, sollte es sicher sein.

Ein Rootkit ist erstmal nur eine Technik, um auf einem System was zu verstecken. Das kann eine CD-Emulation (Daemon-Tools) sein, das kann Adware sein, ebenso gut aber auch ein Backdoorserver mit Keylogger und allem Drum und Dran. Im Prinzip geht es dabei darum, dass Windowsfunktionen so manipuliert werden, dass sie bestimmte Dinge einfach anzeigen. Dann bekommt der Explorer bestimmte Dateien nicht zu sehen, der Virenscanner ebenfalls nicht. Es können z.B. auch laufende Prozesse, Registryeinträge oder geöffnete Ports sein. Die Liste ist nicht vollständig, im Prinzip kann alles versteckt werden, das sind nur ein paar typische Beispiele.

Es gibt eine Reihe von Spezialscannern, die versuchen Hinweise darauf zu ermitteln, ob ein Rootkit vorhanden ist. Ein Funktionsprinzip dieser Scanner ist es, zu versuchen, dieselbe Information auf unterschiedlichem Weg zu bekommen. Z.B. erstmal Windows nach den vorhandenen Dateien zu befragen und dann die Festplatte direkt zu lesen. Treten dabei Unterschiede auf, sind die ein Hinweis auf das Vorhandensein eines Rootkits. Aber noch kein Beweis, es ist möglich, dass ein anderer Prozess zwischen den beiden Scans Veränderungen am Dateisystem vorgenommen hat. Umgekehrt ist das Ausbleiben solcher Unterschiede kein Beweis, dass kein Rootkit vorliegt. Es könnte auch eins sein, dessen Programmierer besonders gut gearbeitet hat.

Übliche Rootkitscanner, mit denen gute Erfahrungen vorliegen, sind z.B. Gmer, Catchme, RootkitRevealer und Blacklight.

Grundsätzlich solltest Du es einrichten, dass bei ihrem Einsatz möglichst wenig Hintergrundaktivitäten auf deinem Rechner stattfinden. Also von allen Netzwerken trennen, Virenscanner deaktivieren und Maus und Tastatur nicht benutzen. Dennoch erzeugen diese Scanner (besonders GMER und Rootkitrevealer) eine manchmal beachtliche Menge Meldungen, die man dann im einzelnen ansehen muss.