Schlagwort-Archiv: wurm

it-monitoring, it-service, it-dienstleister, it-dienstleistung, managed service, elektronischer rechtsverkehr, erv, bea, besonderes elektronisches anwaltspostfach, ra-micro, kanzleisoftware

IT-Panne des Monats Mai: Einmal falsch geklickt…

it-monitoring, it-service, it-dienstleister, it-dienstleistung, managed service, elektronischer rechtsverkehr, erv, bea, besonderes elektronisches anwaltspostfach, ra-micro, kanzleisoftwareAuf vielfachen Wunsch, und weil es der Realität entspricht, steht bei der IT-Panne des Monats Mai mal wieder ein Mann im Fokus: Unser Anwalt Dr. Adam Ahnungslos hat, anders als sein frei erfundener Name vermuten lässt, zu jedem Thema eine Meinung und, wie es sein Beruf vermuten lässt, eigentlich immer Recht. Nur in diesem Fall ist ihm ein kleiner Fehler unterlaufen, der gemeinsam mit vielen kleinen Nachlässigkeiten zuvor dazu führt, dass er für längere Zeit nicht ganz so ruhig schläft wie bisher.

Der Klassiker: Eine Mahnung

Wie so häufig beginnt die Geschichte aus unserer Sicht mit einem Anruf. Dr. Ahnungslos, oder sagen wir doch einfach „der Adam“ war irritiert und etwas besorgt – zu Recht. Er hat per Mail eine Mahnung erhalten und wollte das angehängte pdf-Dokument öffnen. Daraufhin sei allerdings gar nichts passiert, erläuterte er. Dann habe er es noch drei Mal ausprobiert mit gleichem Ergebnis. Wer der Absender der Mail gewesen sei? Keine Ahnung! Eine Mahnung! Da muss man doch nachsehen, zumal es sich ja um eine pdf-Datei handelt, da kann doch nichts passieren.

Wie aus einer pdf-Datei eine exe-Datei wird

Die Systeme laufen alle einwandfrei in der Kanzlei Dr. Ahnungslos & Partner. Dennoch war es die beste Idee von Adam, uns anzurufen – weil er mal wieder Recht hatte. Beim Scan der Kanzleisysteme haben wir den bekannten Wurm Conficker gefunden, und zwar auf jedem Rechner. Der Schädling baut seit Jahren ein gigantisches Botnetz auf, um ungeheure Mengen an Spam zu versenden. Dabei nutzt er aktuelle Sicherheitslücken und überträgt sich automatisch an weitere Rechner. Andere Viren sind zur Verbreitung auf E-Mail-Anhänge angewiesen. Aber wie konnte das passieren? Adam hat doch nur ein pdf-Dokument geöffnet, mahnung.pdf? So scheint es zunächst. Allerdings sind bei ihm wie bei fast allen Rechnern die bekannten Dateinamenerweiterungen ausgeblendet: Die Datei heißt eigentlich mahnung.pdf.exe – Adam sieht nur mahnung.pdf und wähnt sich in Sicherheit.

Conficker-Entfernung oder Neuinstallation?

Mit der Entfernung ausgereifter Viren ist es so eine Sache: Viele Anwendungen sind in der Lage, den Schädling zu beseitigen, allerdings entwickeln sich die Viren schneller weiter als die Antivirus-Software. So besteht keine Sicherheit, dass nicht doch Hintertüren und Code-Reste nach der Entfernung übrig bleiben. Daher empfehlen wir in solchen Fällen dringend die Neuinstallation. Mit einer aktuellen virenfreien Datensicherung wäre das ja auch kein Problem. Und wieder erleben wir die Standard-Reaktion, wenn wir im Ernstfall das Wort Datensicherung aussprechen – einen weit geöffneten Mund… Natürlich gibt es ein Backup des Servers, aber alle Arbeitsplätze? Hm, dann nicht.

Vorsorgen, Beobachten, Daumen drücken

Wir entfernen also den Virus von allen befallenen Arbeitsplätzen und weisen Adam darauf hin, dass wir nicht mit absoluter Sicherheit sagen können, ob das Problem damit endgültig behoben ist. Wir setzen nun ein professionelles IT-Monitoring ein und beobachten CPU-Auslastungen und ausgehende Datenvolumen, um eine Tätigkeit des Virus direkt zu bemerken. Vor allem aber führen wir ein ausführliches Gespräch, wie dieser Vorfall hätte vermieden werden können.

  • Managed Antivirus: Eine aktuelle Virenschutz-Software, die in Echtzeit von Vorfällen weltweit lernt, hätte den Schädling direkt erkannt und die Ausführung verhindert.
  • Patch Management: Wären alle Sicherheitsupdates unverzüglich eingespielt worden, hätte der Virus sich nicht verbreiten können. Aber bei Dr. Ahnungslos pp hat man ja bisher die Updates lieber manuell gemacht – also gar nicht.
  • Datensicherung: Eine regelmäßige Datensicherung aller Arbeitsplätze, am besten als Image, hätten die schnelle Wiederherstellung eines völlig unbelasteten Systems ermöglicht. Nun ist nur die Virenentfernung mit allen Unwägbarkeiten möglich.
  • Schulung: Adam hätte wissen können, dass sich hinter dem pdf eine ausführbare Anwendung verbergen kann. Eine Schulung zur IT-Sicherheit hat er allerdings schon immer abgelehnt – Läuft doch alles.
  • Dateinamenerweiterung: In der Folge einer Schulung hätte Adam die Anzeige der Dateinamenerweiterung wieder aktivieren können, was wir jeder Kanzlei ans Herz legen.

Testen Sie Ihren Rechner

Conficker hat nach aktuellen Schätzungen bereits millionenfach Rechner befallen. Wird das Botnet aktiv, drohen Sperrankündigungen des Internetanbieters wegen missbräuchlicher Nutzung des Breitbandanschlusses. Außerdem können Ihre Kontakte Spam-Mails in Ihrem Namen erhalten. Testen Sie Ihren Rechner, ob er von Conficker befallen ist: http://www.confickerworkinggroup.org/infection_test/cfeyechart.html . Im Zweifel nehmen Sie gerne Kontakt zu uns auf.