Knoppicilin und Konsorten (generell BootCD AV Scans, die on-the-fly Signaturen aktualisieren können) sind stets eine Empfehlung wert, aber diese Aussage:
[...] damit werden auch Stealth Viren zuverlässig erkannt sofern die Signaturen den Herstellern bekannt sind.
ist schlichtweg Humbug.
Viren, für die Signaturen existieren, sind per Definition nicht mehr "stealth".
Auch Heuristik wird oft überschätzt, da sie oft nur bestimmte Packer erkennt und viele false-positives ausspuckt.
Sind Details über das System des Opfers bekannt (eingesetzter AV, FW, etc.) lässt sich Malware sehr leicht individuell Stealthen.
Globales Stealthen (gegen alle bekannten Scanner) ist auch nicht unüblich, wenn auch meist mit etwas mehr Aufwand (Skilltechnisch oder finanziell von jedem n00b z. B. durch käuflich erwerbliche individuelle Crypter und Rootkits) verbunden.
Der beste Ansatz um Malware von vornherein zu vermeiden, ist es beim täglichen Surfen brain_v1.0.exe einzusetzen und sinnvolle Sicherheitsmaßnahme zu implementieren.
Sollte dies einmal tatsächlich scheitern, so lässt sich Schadsoftware imho am besten anhand ihrer Startaufrufe von einem Drittsystem (z. B. unter einem WinPE mit Sysinternals AutoRuns - auch ActiveX Startup, Events, Services und Konsorten beachten) oder falls keine Rootkit-ähnlichen Funktionen zum Einsatz kommen, vom infizierten System selbst anhand von Prozess- und Trafficanalyse aufspüren.
Runtimeanalyse (z. B. in modifizierten Sandboxen, die von einem potentiellen Schädling nicht als solche erkannt werden können; sind sie erkennbar, so enthalten viele moderne Schädlinge auch Routinen um ihr Verhalten entsprechend zu verändern) ist in der Regel der nächste logische Schritt, sowohl vor dem Auführen von verdächtigen Dateien als auch nach dem identifizieren einer verdächtigen Datei, um jegliche Spuren und Nachwirkungen von ihr zu beseitigen.
Das Scannen eines kompromittierten Systems von selbigem aus wird in der Regel, bei schlauer Schadsoftware, auch nicht von Erfolgt gekrönt sein.
Ist ein System erst einmal infiziert, so gibt es zig Möglichkeiten einen AV auszutricksen - von einfachem Killen bis zu guten Rootkits, etc.
Bei
guten Firewalls mit Behavioral Analysis, IDS, etc. wird es schwerer aber nicht unmöglich.
Sorry fürs OT.
Lange Rede, kurzer Sinn:
Wer hier von der verseuchten Werbung infiziert worden ist, sollte dies als Anstoß nehmen sich einige Gedanken bezüglich IT Security im Allgemeinen und Besonderen zu machen.
Ein paar einfache Sicherheitsmaßnahmen und derlei Infektionen wären um einiges unwahrscheinlicher und oft nur bei sehr gezielten Angriffen auf 0day Lücken bedingt möglich.
Wer tatsächlich von dem hier eingesetzten primitiven Schädling überrannt worden ist, hat sicherheitstechnisch noch einiges nachzubessern.
Ich möchte das Ärgernis, dass in einem Expertenforum ein derartiges Problem, auch nach mehrfacher Meldung viele Tage lang bestehen bleibt, jedoch nicht schönreden. Das Mindeste wäre ein Quick&Dirty Fix (z. B. das komplette Runternehmen der Werbung bis zur Identifizierung und Behebung des "Leaks") gewesen, der die sicherheitstechnisch unbedarfteren User vor eventuellem Schaden schützt.
Aber wir sind schließlich alle nur Menschen
Ich verbleibe interessiert wartend auf die weiteren Details zur Lücke abonniert - Gruß,
andino
