12.03.2012

Notruf am Morgen: ein Kunde hat sich einen Trojaner eingefangen und konnte nicht mehr arbeiten.

Der Kunde arbeitet mit Windows Vista auf einem Laptop und hatte sich irgendwie den sogenannten BKA-Trojaner Alternativ-Link eingefangen. Der Trojaner wird bei Start von Windows ausgeführt und blockiert so ziemlich alle Interaktion mit dem Laptop - zu sehen ist eine erschreckende Meldung, dass man illegale Sachen gemacht hätte und nun mittels ukash einen Betrag zu überweisen hätte.

Mein Kunde verhielt sich genau richtig: er machte nichts und rief mich an. Vor Ort konnte ich das Übel relativ einfach entfernen. Die Trojaner-Version meines Kunden war recht primitiv: es musste einzig ein Programm aus dem Autostart-Ordner entfernt werden.

Ich ging wie folgt vor:

• Der Kunde hatte durch Anstecken einer USB-Festplatte es geschafft, dass Windows im Hintergrund ein Fenster geöffnet hatte.
• Per Alt + Tab konnte ich dazu wechseln
• Gleichzeitig verschwand der Trojaner im Hintergrund und ich konnte mittels Strg + Alt + Entf den Rechner herunterfahren lassen
• Das Herunterfahren beendete den Trojaner und bei der Frage, ob ich irgendein Programm wirklich beenden wolle, drückte ich auf Abbrechen und konnte so das komplette Herunterfahren verhindern.
• Mir stand also nun das Windows voll zur Verfügung.
• Dann suchte ich im Netz nach den verschiedenen Versionen und hangelte mich durch die Anleitungen (siehe BKA-Trojaner Alternativ-Link).
• Die Variante meines Kunden war primitiv: das Entfernen eines Programms aus dem Autostart-Ordner löste das Problem.
• Ich entfernte natürlich noch das Programm auf der Festplatte. Es lag unter:
  

C:UserVistaAppDataLocalTemp

• Der Name begann mit „0.3…“.
• Anschließend ließ ich den Virenscanner einen kompletten Scan durchführen.

Diese Variante war sehr einfach zu entfernen.

Nochmal in aller Deutlichkeit ein Tipp an alle Betroffenen:
Zahlen Sie auf keinen Fall und rufen Sie im Zweifel uns bzw. einen Kollegen zu Hilfe.

Update 07.06.2016: Danke an Herrn Funke von EDV-Funke für die Info zum inzwischen ungültig gewordenen Link. Ich habe seinen Vorschlag des neuen Links auf http://www.bundespolizei-virus.de/ übernommen.

zurück