Sie sind Hier: Startseite Servic

e Viren und Sicherheit Trojaner

Trojanisches Pferd - Was ist das ?

Erkennung Trojanischer Pferde:

Methode "Viren- oder Trojanerscanner":

Nachdem die Software installiert wurde, sollte unbedingt ein Update per Internet durchgeführt werden. Schließlich werden täglich neue Trojanische Pferde durch die Autoren herausgegeben. Bevor der Anwender nun zum ersten mal sein System nach Viren und Trojanern suchen lässt, sind noch ein paar wichtige Einstellungen an der Antivirensoftware zu tätigen (soweit noch nicht durch den Hersteller der Software geschehen). Das Programm ist dahingehend zu konfigurieren, indem beim Scan ALLE Dateien untersucht werden. Meißt ist diese Funktion nicht durch den Hersteller voreingestellt. Außerdem sollte das Programm in keinem Fall bei einer festgestellten Infektion sofort eine Säuberung oder Entfernung der infizierten Dateien vornehmen. Das ist sehr wichtig, da einige Trojaner den Virenscannern erhebliche Probleme bei der Entfernung bereiten bzw. diese sehr fehlerhaft entfernt werden. Das kann schnell zur Folge haben, dass ein System nicht mehr nutzbar und/oder unter Umständen kaum noch reparabel ist. Zum Beispiel der Trojaner SubSeven in neueren Version bereitet hier sehr oft erhebliche Probleme.

Wenn der Virenscanner eine Infektion feststellt, sollte sofort ein Fachmann (z.B. Support der jeweiligen Softwarefirma) zu Rate gezogen werden

Sollte die Antiviren Software keine Infektionen feststellen, so heißt das jedoch noch lange nicht, dass ein System auch wirklich Trojanerfrei ist. Wie man weiter vorgeht, wird in den nächsten Kapiteln erläutert.

Methode "Autorun - Einträge überprüfen":

Autostart-Ordner:

Diese Möglichkeit wird von Trojanern sehr selten genutzt. Grund: Die Entdeckungsgefahr ist zu hoch. Den Autostart-Ordner findest du z.B. wie folgt: Windows-Start - Suchen - http://www.compu-seite.de/Ordner - Autostart eingeben - Der Ordner wird angezeigt - Doppelklicken - Jetzt siehst du alle Einträge.

Win.ini:
Eine vor allem früher sehr häufig anzutreffende Methode ist die Eintragung in die Win.ini unter den Parametern "Load=" oder "Run=". Vorsicht ! Manche Trojanische Pferde tragen sich nicht direkt hinter der Parameter-Bezeichnung ein, sondern nach zahlreichen Leerzeichen, damit dieses nicht sofort erkannt wird. Scrolle also mit dem unteren Balken einfach mal nach rechts (falls denn ein solcher Balken vorhanden sein sollte). Den besten Zugriff auf die Win.ini hast du, indem du auf Windows-Start gehst - Ausführen - sysedit.exe eingeben - OK klicken.
Nun werden verschiedene Fenster geöffnet, auch die Win.ini. Die sysedit.exe wirst du noch öfters brauchen, wenn du die Beschreibungen weiter aufmerksam liest.

System.ini:

Eine Eintragung erfolgt unter dem Paramter "shell=". Vorsicht ! Hier ist schon eine Eintragung Namens Explorer.exe enthalten. - Die nicht löschen !!! Es könnten jedoch hinter Explorer.exe noch weitere Eintragungen erfolgen. Die System.ini findest du auf dem gleichen Weg, wie unter Win.ini beschrieben. Hier erfolgen jedoch eher seltener entsprechende Eintragungen.

autoexec.bat:

Hier solltest du ebenfalls mit dem Löschen von Eintragungen vorsichtig sein. Denn auch hier tragen sich einige harmlose Programme ein. Trojaner nutzen diese Möglichkeit jedoch so gut wie gar nicht. Da jedoch diese Möglichkeit ebenfalls gegeben ist, erwähne ich diese auch. Die Autoexe kannst du auch in der Sysedit.exe (Beschreibung unter Win.ini) einsehen und bearbeiten.

Config.sys:

Einige, wenige Trojaner tarnen sich auch als Gerätetreiber auf Windows 95/98 Systemen. Diese Trojaner lassen sich jedoch schwer realisieren und sind daher zum Glück noch recht selten. Die Config.sys ist ebenfalls mittels der Sysedit.exe auffindbar. Es sollte Ausschau nach Eintragungen unter: Device=, Install=, Devicehigh=, Installhigh= und Shell= gehalten werden. Auch hier gilt natürlich, ein Eintrag muss nicht unbedingt ein Trojaner bedeuten. Also nicht wahllos löschen oder Änderungen vornehmen.

Winboot.ini:

Im Normalfall ist diese Datei nicht vorhanden, ersetzt jedoch im Fall der Fälle die Msdos.sys. Nur unter Windows 95/98.

Winstart.bat:

Wenn hier eine Eintragung erkennbar ist, bedeutet dieses in der Regel folgendes: Eine Befehlzeile veranlasst das Kopieren einer Datei, welche vor dem letzten Systemstart gelöscht wurde. Bisher sind kaum Trojaner bekannt, die diesen Weg nutzen. Ein Beispiel hierfür wäre jedoch "DerSpäher 2".

Wininit.ini:

Nicht zu verwechseln mit der Win.ini ! Die Wininit.ini muss sich im übrigen auch nicht auf jedem System befinden. Jedoch kann hier einmalig zwecks Autorun (also Ausführung einer Datei bzw. eines Trojaners) ein Eintrag erfolgen, welcher danach sogar gelöscht wird. Im übrigen heisst die Wininit.ini im ausgeführten (geladenen) Windows-System Winit.bak Die Wininit.ini nutzen auch mitunter Virenscanner zur Entfernung von Trojanern oder auch manchen Viren.

progman.ini:

Das ist quasi noch die "alte" win.ini von Windows 3.x, welche sogar ebenfalls noch bei Start verarbeitet wird.

Win.bat:

In Normalfall entweder gar nicht vorhanden oder leer.

Cmdinit.bat:

Diese Autostartmethode ist nur unter Windows ME möglich.

Dosstart.bat:

Ebenfalls Programmaufrufe möglich, nur unter Windows 95/98

control.ini:

Auch hier ist theoretisch möglich, einen Eintrag zwecks Autorun zu tätigen. Bisher ist mir jedoch noch kein Fall bekannt, wo sich eine Trojaner hier eingetragen hat. Die Möglichkeiten wären jedoch sicherlich machbar.

Msdos.sys:

Systempfade können verbogen werden, daher auch Autostarts möglich.

Autoexec.net und Config.nt:

Nur unter den Systemen Windows 2000 und XP auffindbar.

Windows-Registrierung:

Zuerst rufst du die Registrierung deines Systems auf. - Diese kannst du u.a. in folgenden Schritten tun: Windows-Start - Ausführen - regedit eingeben - OK klicken. - Ein Programm mit scheinbar unendlichen Eintragungen/Ordnern öffnet sich. Jedoch keine Angst, uns interessieren lediglich einige, wenige Pfade:

Kann Pfad zu einer POL-Datei enthalten, die mit Poledit bearbeitet wird und wiederum einen Autostart enthält. Der Eintrag im zweiten, genannten Pfad muss auf "0" stehen, wenn dieser Weg nicht genutzt wird.

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Update\NetworkPath\
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Update\UpdateMode\

Ruft eigentlich folgenden Paramater auf, kann aber auch missbraucht werden: %windir%\system32\userinit.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit\

Andere Autostarteinträge:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx\
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts\Startup
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\
ShellServiceObjectDelayLoad\

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices\

HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\Run\
HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Load\
HKEY_CURRENT_USER\Software\Policies\Microsoft\System\Scripts\

HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command\ @="\"%1\" %*"
HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command\ @="\"%1\" %*"
HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command\ @="\"%1\" %*"
HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\Shell\Open\Command\ @="\"%1\" %*"
HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command\ @="\"%1\" %*"

Eine weitere Möglichkeit bei ICQ-Usern besteht darin:

HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\test\ "Path"="test.exe" "Startup"="c:\\test" "Parameters"="" "Enable"="Yes"

Browser Helper Objekts:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\BrowserHelperObjects\

Auch der eigentliche Autostartordner kann mittels der Registry anders festgelegt werden. Auch hier lohnt sich ein Blick, wenn sonst nichts zu finden ist. Das bedeutet so viel, man könnte einen ganz anderen Autostart-Ordner über diesen Registry-Pfad festlegen und ungewünschte Dateien starten lassen:

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Startup\
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Startup\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\Startup\
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Startup\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\UserShellFolders\
CommonStartup\
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\
ComonStartup\

Tarnung als Gerätetreiber:

Ein Trojanisches Pferd kann sich auch als Gerätetreiber tarnen, welches jedoch noch verhältnismäßig selten der Fall ist. Auch erweist sich die genaue Identifizierung als nicht gerade einfach. Schliesslich kann sich dahinter auch ein harmloser Gerätetreiber verbergen, der bei Löschung mehr Schaden als Nutzen hervorbringen kann. Auch hier erfolgt eine Eintragung in der Registrierung jedoch unter einem "ungewohntem" Pfad:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\INTLD

Zur Identifizierung sollte jedoch zumindest ein Process Viewer zur Hilfe genommen werden, der unter Umständen eine der im o.g. Pfad Eintragungen als laufenden Process anzeigt. Aber auch Windows liefert von Haus aus ein sehr brauchbares Programm "Dr. Watson" mit. Im Zweifelsfall in jedem Fall einen Fachmann zu Rate ziehen (welches natürlich in allen beschriebenen Fällen dieser Rubrik gilt).
Das Trojanische Pferd "Donald Dick" macht sich diese Autorun-Methode zu nutzen.

Die in der Registrierung genannten Pfade werden als Ordner dargestellt und erreicht man mit jeweiligen Doppelklicks auf den Icons. Auch hier ist wieder Vorsicht geboten, welche Einträge gelöscht werden. Die Möglichkeit zwecks Start beim Systemstart wird von sehr vielen harmlosen Programmen (z.B. Deinstaller, Virenscannern, BackUp-Tools etc.), jedoch auch Trojanischen Pferden genutzt. Es gibt noch zahlreiche andere Eintragungsmöglichkeiten zwecks Autorun in der Registrierung. Diese werden jedoch (zum Glück) nur selten von Trojanischen Pferden genutzt.
 

Hilfreich ist auch das Windowseigene Programm "msconfig". Gehe also einfach auf den Start-Button (unten links Desktop), dann auf "Ausführen" und gibt msconfig ein. Über dieses Programm kannst du viele der oben genannten Einträge überprüfen und bequem ändern.
Auch über "sysedit" findest du viele der o.g. Eintragungsmöglichkeiten. Gehe vor wie unter "msconfig", gib stattdessen jedoch sysedit ein. Es werden sich mehrere Fenster in Editorform öffnen.

Der Trojaner "Sockets de Troie" kann nicht über die genannten Wege identifiziert und entfernt werden. - Dazu rate ich das Anti-Viren-Programm Kaspersky Anti-Virus (http://www.datsec.de) gegebenfalls als Testversion herunterzuladen und das System danach zu scannen. Kaspersky Anti-Virus kann diesen Trojaner entfernen.
Methode über "Explorer.exe" auf Laufwerk C:\
Aufgrund eines Bugs in Windows, wird immer zunächst die "erste explorer.exe" ausgeführt (also in Verzeichnis C:\), bevor die eigentliche explorer.exe (in c:\windows\) gestartet wird. Die explorer.exe in c:\ bewirkt, dass ein Trojaner zunächst geladen wird, der sich im Verzeichnis c:\windows\system oder anderswo befindet.

Start über aktive Inhalte des Explorers:

Active Desktop
C:\Winnt\Web\*.htt
C:\Windows\Web\*.htt
C:\Dokumente und Einstellungen \<Name des Benutzers>\Desktop als Webansicht
C:\Windows\Profiles\<Name des Benutzers>\Desktop als Webansicht
C:\Window\Desktop als Webansicht

Methode "Laufende Prozesse überprüfen":

Häufig kommt man einem Trojaner schon auf die Schliche, indem man die so genannten laufenden Prozesse überprüft. Bei "laufenden Prozessen" handelt es sich um ausführbare Dateien, die gerade im System "mitlaufen". Überprüfen kann man dieses über verschiedene Wege:

Betätige die Tasten: AltGr + Strg + Entf. Nun erscheint eine Box, welche laufende Prozesse anzeigt, die man auch entsprechend beenden kann. Allerdings ist diese Methode überhaupt nicht sicher, da die meißten Trojanischen Pferde es verstehen, sich vor diesem "Taskmanager" zu verstecken.

Windows liefert von Haus aus ein gutes Werkzeug zur Überprüfung aller laufenden Prozesse mit. Das Programm heisst "DrWatson". Dazu gehe auf das Windows-Startlogo (unten links im Desktop), dann auf "Ausführen" und gib drwatson ein. Nun wird das Programm aufgerufen und führt zunächst ein paar Analysen durch. Gehe auf den Menüpunkt "Ansicht" und wähle die Option "Erweiterte Ansicht". Für Anfänger erweist sich Dr Watson jedoch als recht schwierig, da es wirklich gnadenlos alles anzeigt, was dein Windows so hergibt. Für Experten in jedem Fall eine sehr wertvolle Hilfe.

Wer es jedoch einfacher haben möchte, der kann sich aus dem Internet einen so genannten "Process Viewer" herunterladen.

Methode "Überprüfung der Ports mittels Netstat":

Hier ein Beispiel, welche Meldung Netstat ausgeben könnte:

Active Connections

Proto Local Address Foreign Address State
TCP _:27374 0.0.0.0:45178 LISTENING
UDP _:27374 *:*

Wie man hier sehen kann, wird der Port 27374 "belegt". Anhand der Portliste könnte man daraus schließen, dass ein System mit dem SubSeven Trojaner neuerer Version infiziert ist. Zumindest ist es ein recht sicheres Anzeichen dafür. Jedoch möchte ich noch erwähnen, dass man anhand des belegten Ports und der Portliste nie zu 100 % bestimmen kann, um welchen Trojaner es sich genau handelt. Sehr viele Trojaner bieten die Möglichkeit einen Port selber festzulegen.

Die Überprüfung mittels einer einzigen hier genannten Methode ist nicht unbedingt empfehlenswert. Geht der Anwender jedoch alle hier genannten Methode nacheinander durch, wird man dem Trojaner sicherlich auf die Schliche kommen können.

Wichtig ! -  Du solltest dir immer merken, was du auf deinem System in letzter Zeit installiert hast. - Auch hat es sich bewährt, immer wieder die genannten Möglichkeiten anzuschauen. - So ist ausreichend gewährleistet, dass kein wichtiges Programm "zerstümmelt" wird.

Weniger erfahrene Anwender sollten in jedem Fall einen Fachmann zu Rate ziehen bevor in Panik irgendwelche Dinge entfernt werden. Falsche Hanhabungen können unter Umständen das gesamte System außer Gefecht setzen !!!

Auch sollten die Berichte unter der Rubrik "Reporte" beachtet und gelesen werden. Hier sind ebenfalls viele sehr nützliche Tipps und Dokumentationen enthalten.

Schutz vor Trojanischen Pferden:

Einen 100%igen Schutz gibt es nur, wenn Du überhaupt keine neuen Programme auf Deinem System zulässt. Wenn man jedoch einiges beachtet, ist die Gefahr erheblich geringer sich ein solches "Haustier" einzufangen.

Immer wieder wird in den Medien davor gewarnt Programme aus unbekannten Quellen auf seinem Computer auszuführen. - Dazu gehören z.B. Programme von Internet-Seiten, die einem nicht bekannt sind oder auch von vorneherein etwas merkwürdig vorkommen (ich hoffe doch meine nicht....). Oder es wird einem unaufgefordert ein Programm per E-Mail zugeschickt. - Lösche solche Mails bitte vollständig, auch wenn vielleicht doch keine bösen Absichten vom Versender gegeben sind. - Aber dieses weiß man nicht und sollte somit auf Nummer sicher gehen.

Natürlich sind viele Programme unbekannter Herkunft. Oder weißt Du stets, von wem das ein oder andere Programm auf Deinem System wirklich herkommt ? Also solltest Du Dir immer wieder in gewissen Abständen einfach mal die Zeit nehmen, Dein System gemäß meinen Beschreibungen unter der Rubrik "Identifizierung" unter die Lupe zu nehmen. Klingt nach viel Arbeit, wenn man die Schritte ein erstes Mal durchgeht. - Machst Du dieses jedoch öfters, hast Du Routine und alles geht sehr schnell.

Auch besteht die Möglichkeit, Dateien mit einem Schreibschutz zu versehen, wie z.B. die Win.ini, System.ini usw. - Jedoch werden dann häufig Probleme bei Neuinstallationen von Programmen auftreten. - Du mußt jedes Mal zuvor den Schreibschutz wieder entferne. Es ist liegt in Deinem Ermessen, ob man diese Möglichkeiten nutzen sollte.

Zum Glück gibt es endlich auch einige sehr guten Virenscanner, die sehr viele Trojanische Pferde identifizieren und auch entfernen. - Bis vor gar nicht so langer Zeit erkannten diese Scanner zwar viele tausend Viren, jedoch kaum Trojanische Pferde.

Portliste:

Wichtige Anmerkung:
Die genannten Trojaner, die von den jeweiligen Ports genutzt werden, beziehen sich in der Regel lediglich auf die Standardeinstellungen des Trojanischen Pferdes. Denn viele Trojaner können dahingehend editiert werden, dass ein anderer Port genutzt wird.

Port / System-Ports Programm / Name:
0 ICMP Click attack
9 UDP discard
15 netstat
19 chargen
21 TCP ftp
22 SSH
23 TCP telnetd
25 TCP smtp
37 Time
39 rlp
53 TCP Domain
67 bootp
69 TFTP
79 fingerk
80/8080 http
80/8080/5580 military http
87 link
110 pop3
111 SUN RPC
113 identd
119 nntp
129 TCP PGP (nuke) Password Generator Protocol
137 TCP Netbios name (nuke)
138 TCP Netbios datagram (nuke)
139 TCP Netbios session (nuke)
144 newsk
161 SNMP
445 Microsoft-DS
512 execk
513 login
515 pkill
517 ktalk
518 ntalk
533 netwall
560 rmontior
561 montior
750 kerberos

Welche Programme (fast nur Trojaner) bestimmte Ports nutzen: