ACHTUNG! Bei “System Tool 2011” handelt es sich nicht um ein Anti-Viren-Tool sondern um einen Computerwurm.
Ein Computerwurm ist ein Computerprogramm, welches sich selbst vervielfältigen kann, sofern es einmal ausgeführt wurde. Der Wurm verbreitet sich jedoch ohne andere Dateien oder ggf. Bootsektoren mit seinem Code zu infizieren. Ggf. kopiert er weiteren Schadcode in Ihr System und/oder installiert Trojaner.
In dieser Reihe zeige ich Ihnen wie Sie ihn entfernen können, sofern Sie meine Hinweise beachtet haben. Denn i.R. werden Sie die Antwort erhalten, dass Sie Ihr System “platt machen” müssen. Also Daten retten und dann die Festplatte löschen und das System neu aufspielen. Das wäre der sicherste Weg.
Letzte Woche bekam ich einen aufgeregten Anruf von einem ehemaligen Schüler, der sich beim Surfen den “System Tool 2011” Virus eingefangen hatte. Da ich prinzipiell daran interessiert bin meine “Waffen” für solche Fälle zu “schärfen”, sagte ich ihm schnelle Hilfe zu und bat ihn an dem ohnehin nicht mehr verwendbaren Rechner folgende Maßnahmen vorzunehmen.
- Keinerlei Update der vermeintlichen Antiviren Software zulassen!
- LAN-Kabel rausziehen oder WLAN abschalten!
- Rechner sofort ausschalten!
- Rechner bis zur Virenbekämpfung nicht mehr Einschalten!
- Diese Maßnahmen allen Familienmitgliedern kund tun!
Glücklicherweise hatte er einen weiteren guten Rat von mir befolgt, so dass der Virus sich nicht tief in sein System einnisten konnte. Mein Schüler arbeitet mit einem normalen Benutzer Account ohne administrative Berechtigungen.
Als ich den Rechner dann hochfuhr, bot sich mir folgendes martialische Bild. Glücklicherweise hatte sich der Wurm nur im Account meines Schülers verbreitet. Weder seine Frau, noch seine Tochter waren betroffen. 
Widerstehen Sie dem Hinweis, das letzte Update für die Microsoft Sicherheitssoftware zu installieren, diese Meldung generiert der “System Tool 2011” Virus.
Ein Versuch den Taskmanager mit <STRG><ALT><ENTF> bzw. rechte Maustaste auf die Taskleiste klicken zu starten brachte nur die Meldung hervor, dass taskmgr.exe infiziert wäre. Als Virus wurde “Spyware.IEMonster” gefunden.
Wer jetzt glaubt, dass man sich den “System Tool 2011” Virus nur einfangen kann, wenn man sich auf bösen Internetseiten herum treibt und keinen Virenscanner verwendet, der irrt. Bei meinem Schüler liefen die Microsoft Security Essentials in der v1.x, leider hatte er sich um die Updates seines Virenscanners keine großen Gedanken gemacht. Aktuell ist die Version 2.x und die erkennt den Schädling und legt auch ein besseres Updateverhalten an den Tag, d.h. die MSE führen ein Update durch, wenn dieses erforderlich ist. Bei der älteren Version musste das Update manuell oder über einen Task durchgeführt werden.
Das Update auf die Microsoft Security Essentials v2.x finden Sie hier.
Die Microsoft Security Essentials sind auch für Kleinunternehmen mit bis zu zehn PCs verfügbar und dürfen dort legal kommerziell eingesetzt werden.
Mein Schüler hatte keine verfänglichen Seiten angesurft. Zumindest habe ich in der LOG der am Infektionstag aufgesuchten Seiten nichts Verfängliches erkennen können.
Sie können sich den Wurm von einer vermeintlich normalen, aber kompromittierten Seite, oder über kompromittierte Werbebanner im Netz einfangen.
Im nächsten Post beschreibe ich, wie der Virus entfernt wird, sofern es sich um einen normalen Benutzer-Account ohne administrative Berechtigungen handelt.
Zu den Zeitgenossen, die mit einem Administratoren-Account surfen, denen ist eigentlich nicht zu helfen, komme ich in einem späteren Post.
Kommentare
2 Antworten zu „Der Wurm “System Tool 2011” Teil 1 – Eine Einführung“
Hallo Herr Küttner,
ich hatte mir gestern auch den Wurm eingefangen.
Die Idee mit dem umbennen der exe Datei ist gut.
Das System Tool hat bei mir auf dem Desktop ein Icon angelegt. Dort habe ich nach dem Pfad gesehen und den Speicherort heraus gefunden. Dan wollte ich natürlich den Ordner löschen, was nicht ging, weil die Datei in Gebrauch war. Eigenartiger weise konnte ich aber die Datei umbennen. Habe so also die *.exe in beliebig ohne .exe umbenannt. Dann einen Neustart, dabei habe ich mich auf einen Windows Trick besonnen und die Umschalttaste gedrückt gehalten. So ist kein Autostartprogramm gestartet. Dann konnte ich auch Taskmanager und regedit aufrufen. In der Registry habe ich dann von Hand den run Eintrag von System tools gelöscht. Dann habe ich das System im abgesicherten Modus gestartet und den Ordner unter AllUsers gelöscht. Das Desktopsymbol und den Eintrag unter Start/Programme noch entfernen. Nun war alles wieder im Lot.
PS: Ich habe MSE 2.0 installiert, aber die automatischen Updates funktionieren nicht.
Viele Grüße, Peter Weißling
Hallo Herr Weißling,
ich freue mich, dass Sie den Schädling wieder losgeworden sind. Scheinbar hat er nicht mehr so viel Biss wie der Vorgänger. Ich erinnere mich an ein System, wo zwei “Virenprogramme” aufeinander aufpassten. Schoss man Nr. 1 ab, dann startete Nr. 2 die Nr. 1 gleich wieder neu entsprechend umgekehrt. Da half dann nur umbenennen.
Manchmal sieht man den Wald vor Bäumen nicht. Danke für den Tipp den Wurm einfach umzubenennen. Demnächst werde ich ihn noch auf einen Adminaccount loslassen, mal sehen ob er dort dann mehr Tricks auf Lager hat.
Zu den MSE, da kann man einen Task einrichten, so dass beim Systemstart automatisch ein Update gefahren wird.
Ich glaube ich werde daraus einen Blogpost machen. Ich denke in der nächsten Woche. Muss es ja noch Recherchieren und Austesten.
Viele Grüße
Claudius H. Küttner