ACHTUNG! Bei “System Tool 2011” handelt es sich nicht um ein Anti-Viren-Tool sondern um einen Computerwurm.
In diesem Post beschreibe ich, wie ich den Virus aus einem normalen Benutzer-Account (ohne administrative Berechtigungen) entferne. Der Benutzer hatte die Sicherheitsmaßnahmen, wie in “Der Wurm ‘’System Tool 2011’’ Teil 1 – Eine Einführung” beschrieben, eingehalten.
Ich übernehme keinerlei Haftung wenn bei Ihnen aus mir unbekannten Gründen die Desinfektion nicht funktioniert. Der sicherste Weg um die Infektion eines Systems zu beseitigen ist immer die Neuinstallation des Systems, aber nicht immer zwingend notwendig.
Die Folgenden Maßregeln galt es nach dem Bemerken der Infektion einzuhalten, bis der Virenbekämpfer kommt:
- Keinerlei Update der vermeintlichen Antiviren Software zulassen!
- LAN-Kabel rausziehen oder WLAN abschalten!
- Rechner sofort ausschalten!
- Rechner bis zur Virenbekämpfung nicht mehr Einschalten!
- Diese Maßnahmen allen Familienmitgliedern kund tun!
Folgende Utilities lud ich auf einen nicht kompromittierten Computer herunter und entpackte die Software bzw. installierte sie. Danach kopierte ich die Unterverzeichnisse auf einen USB Stick.
Der SysInternals Process Explorer muss nur entpackt und beim ersten Start die Lizenzbestimmungen akzeptiert werden. Er ist portabel einsetzbar. SysInternals war eine kleine aber feine Firma, die unter anderem freie Systemtools programmierte. Sie wurde 2006 von Microsoft erworben und in das Unternehmen integriert. Sie wird mit ähnlichen Zielsetzungen weitergeführt und ich nutze die Tools gern.
Der GridinSoft Trojan Killer muss installiert und sollte auf dem Installations-System mindestens einmal ausgeführt werden, damit er im aktuellen Zustand ist. Bei der Software handelt es sich um TrialWare. In der unlizenzierten Version zeigt er die Schadsoftware an, beseitigt sie jedoch nur innerhalb der 15-tägigen Testzeit. Danach müssen Sie die Schädlinge manuell löschen oder die Vollversion kaufen.
Nach dem Start des mit den “System Tool 2011” befallenen Rechners zeigt sich folgendes martialische Bild.
Der Versuch, alle laufenden Programme mit Hilfe des Taskmanagers anzeigen zu lassen scheitert, da das “System Tool 2011” das Programm als potentiell infiziert meldet und die Ausführung verhindert.
Aus Recherchen und eigenen Erfahrung kenne ich den Speicherort des “System Tool 2011”. I.d.R. befindet sich die Datei unter “Lw:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Name”. Wobei der Name immer eine zufällige Folge von Zahlen und Buchstaben ist, hier befindet es sich im Verzeichnis “cDiFk01804”.
Nachdem Sie nun wissen, wo sich das “System Tool 2011” befindet, werden Sie denken, da lösche ich es schnell. Geht leider nicht, solange das “System Tool 2011” noch ausgeführt wird.
Eine wichtige Information, die das Reinigen eines mit dem “System Tool 2011” befallenen Systems erleichtert, ist die Kenntnis, dass die Ausführung des Internet Explorers und des Dateiexplorers nicht blockiert wird. Also werden die Dateinamen “explorer.exe” und “iexplore.exe” nicht durch das “System Tool 2011” behindert. Sie werden gebraucht um die vermeintliche Antivirensoftware zu kaufen.
Zuerst starte ich den Systernals Prozess Explorer, nachdem ich ihn in “iexplore.exe” umbenannt habe. Unter seinem tatsächlichen Namen würde er vom Das “System Tool 2011” blockiert werden! Bitte bestätigen Sie die Lizenz Bedingungen mit “Agree”.
Nun öffnet sich der Systernals Prozess Explorer alias “iexplore.exe”. “System Tool 2011” erkennen Sie gut an dem Symbol in Form eines Vorhängeschlosses und klicken den Task nun mit der rechten Maustaste an und wählen aus dem Kontextmenü “Kill Process”. Damit beenden Sie den Bösewicht. Die Abfrage bezüglich des Killens des Programmes können Sie mit “Ok” bestätigen. Danach verschwindet das Programmsymbol aus der Taskleiste. Sie können den Prozess Explorer beenden.
Nun müssen wir die Spuren des “System Tool 2011” im System aufspüren und beseitigen. Dazu benutzen wir die zuvor erstellte und aktualisierte “portable” Installation des GridinSoft Trojan Killer. Das Programm nennt sich “trojankiller.exe”
Bestätigen Sie den Dialog zur Ausprobierzeit/Trialperiode mit “Continue”. Wählen Sie dann “Scan” und “Standard Scan”. Jedes mal, wenn der GridinSoft Trojan Killer einen gefährlichen Eintrag im System findet, sendet er ein akustisches Signal aus. Der Scan wird je nach Größe Ihrer Festplatten mehr oder weniger Zeit beanspruchen.
Das Programm meldet sich mit einer Liste der bedrohlichen Dateien. Markieren Sie alle Einträge und lassen Sie sie durch den GridinSoft Trojan Killer beseitigen. Bestätigen Sie das folgende Dialogfenster mit OK.
Sollten Sie den GridinSoft Trojan Killer schon einmal auf Ihrem System ausprobiert haben, dann ist die Ausprobierzeit/Trialperiode abgelaufen und Sie müssen die Schadsoftware manuell löschen.
Sie können zur Sicherheit Ihr System danach nochmals scannen lassen.
Starten Sie nun Ihren Rechner neu und melden Sie sich an. Ihr Rechner sollte “System Tool 2011”-frei sein.
Nun wäre ein guter Moment, um eine aktuelle und vor allem echte Anti-Viren-Software zu installieren. Nutzen Sie diese Change.