Die Mail kommt vom Internetanbieter und klingt nach Verwaltung: eine Missbrauchsmeldung, weitergeleitet vom Bundesamt für Sicherheit in der Informationstechnik. Viel steht nicht drin. Eine IP-Adresse, ein Zeitstempel in UTC, ein Zielserver, ein Port, dazu ein Wort als Kennung der Schadsoftware, das man noch nie gehört hat. Häufig lautet es lingyunnet.
Zwei Fragen stellen sich dann sofort. Ist das ernst zu nehmen? Und wo soll man jetzt suchen?
Was hinter der Meldung steckt
Das BSI und andere Stellen beobachten Server, die für Schadsoftware betrieben werden. Wer sich dort meldet, wird notiert. Weil von außen nur die öffentliche IP-Adresse sichtbar ist, geht die Information an den Anbieter, dem diese Adresse gehört, und der leitet sie an den Anschlussinhaber weiter. Das ist keine Anschuldigung, sondern eine Beobachtung: Von diesem Anschluss ging zu dieser Sekunde Verkehr an einen Server, der zu bekannter Schadsoftware gehört.
Ernst nehmen sollte man es trotzdem. Meist ist eine Frist zur Rückmeldung gesetzt, und wer nicht reagiert, muss damit rechnen, dass der Anschluss eingeschränkt wird.
Proxyware: Ihr Anschluss wird vermietet
Hinter solchen Kennungen steckt oft keine Erpressersoftware, sondern etwas Leiseres. Proxyware macht den infizierten Rechner zum Ausgangspunkt für fremden Internetverkehr. Betreiber solcher Netze verkaufen das als Dienstleistung an Dritte, die Webseiten aus vielen Ländern abrufen wollen. Die Anschlussinhaber wissen davon nichts.
Für ein Unternehmen hat das drei Folgen. Fremder Verkehr läuft unter der eigenen Adresse, mit allem, was dieser Verkehr anstellt. Die eigene Adresse landet auf Sperrlisten, was irgendwann E-Mails und Onlinedienste trifft. Und im Haus läuft ein Programm mit hohen Rechten, das jemand anderes steuert.
Fünf Merkmale, an denen Sie es erkennen
Der Zeitstempel in der Meldung ist in UTC angegeben, im Sommer also zwei Stunden vor der deutschen Uhrzeit. Wer weiß, wer zu dieser Zeit gearbeitet hat, hat den Kreis der Geräte schon eingegrenzt. Auf dem Rechner selbst suchen Sie dann nach diesen fünf Dingen.
Ein Programm mit dem Namen eines Windows-Dienstes am falschen Ort
Ein verbreitetes Beispiel ist eine Datei namens Windows Driver Foundation (WDF).exe direkt im Windows-Ordner. Den echten Dienst gibt es, er heißt allerdings WUDFHost.exe und liegt in System32. Vertrauter Name, falscher Pfad: Das ist die Masche.
Eine absurde Dateigröße
Mehrere hundert Megabyte für ein Programm, das dafür keinen Grund hat. Das ist Absicht, denn viele Virenscanner und Analysedienste prüfen Dateien oberhalb einer bestimmten Größe nicht mehr vollständig.
Keine gültige Signatur, gefälschtes Datum
Rechtsklick, Eigenschaften, Digitale Signaturen. Bei echten Windows-Dateien steht dort Microsoft. Fehlt der Reiter ganz, ist das ein Warnzeichen. Oft ist zusätzlich das Änderungsdatum auf ein altes Windows-Datum gesetzt, damit die Datei in Ordnerlisten nicht auffällt.
Autostart an einer ungewöhnlichen Stelle
Nicht im Autostart-Ordner und nicht in der Aufgabenplanung, sondern in der Registrierung unter dem Schlüssel für die Windows-Anmeldung. Dort steht normalerweise nur explorer.exe. Stehen weitere Programme dahinter, hat sie jemand mit Administratorrechten eingetragen.
Systembibliotheken an einem Ort, an den sie nicht gehören
Dutzende Dateien mit den Namen echter Windows-Bibliotheken im Profilordner des Browsers. Ein Browserprofil enthält Lesezeichen und Einstellungen, keine Systemdateien. Solche Ansammlungen sind ein sicheres Zeichen.
Warum der Virenschutz schweigt
Das ist der unangenehmste Teil, und er ist fast immer gleich. Der Virenschutz ist aktiv und meldet nichts, weil der Pfad in seiner Ausnahmeliste steht. Eingetragen hat ihn nicht der Nutzer, sondern die Schadsoftware selbst.
Daneben stehen in solchen Listen oft Ausnahmen für Werkzeuge zur Aktivierung von Windows oder Office aus zweifelhaften Quellen. Diese Werkzeuge verlangen, dass man den Schutz für sie abschaltet, und gelten seit Jahren als einer der häufigsten Träger für genau diese Art Software. Wenn Sie nur eine Sache aus diesem Text mitnehmen: Schauen Sie in die Ausnahmeliste Ihres Virenschutzes. Was dort steht und nicht von Ihnen kommt, ist ein Befund für sich.
Der zweite typische Punkt: Der letzte vollständige Suchlauf liegt Jahre zurück. Schnellprüfungen sehen die Stellen, an denen so etwas liegt, gar nicht erst an.
Entfernen, in dieser Reihenfolge
Sichern Sie zuerst die Beweise. Kopieren Sie die verdächtigen Dateien in einen Ordner, notieren Sie Pfade und Prüfsummen, machen Sie Bildschirmfotos vom Autostart-Eintrag und von der Ausnahmeliste. Das brauchen Sie für die Antwort an den Anbieter und möglicherweise für die Versicherung.
Danach: laufende Prozesse beenden, den Autostart-Eintrag auf den ursprünglichen Wert zurücksetzen, Programmdateien und untergeschobene Bibliotheken löschen, alle fremden Einträge aus der Ausnahmeliste entfernen, Signaturen aktualisieren, vollständigen Suchlauf starten. Erst der Autostart, dann die Dateien, sonst legt sich das Programm beim nächsten Start neu an.
Sauber heißt nicht wieder vertrauenswürdig
Hier hört die Arbeit nicht auf, auch wenn es sich so anfühlt. Die Software lief mit Administratorrechten, oft über Wochen. In dieser Zeit war alles erreichbar, was auf dem Rechner geöffnet oder gespeichert war: Zugänge im Browser, Schlüssel für Server, Verwaltungsoberflächen, Postfächer. Dass kein Abfluss nachweisbar ist, heißt nicht, dass keiner stattgefunden hat.
Angemessen ist deshalb: Passwörter und Schlüssel, die auf dem Gerät lagen, tauschen. Angemeldete Sitzungen überall beenden. Und den Rechner neu aufsetzen, statt darauf zu vertrauen, dass alles gefunden wurde. Das dauert einen Tag. Die Alternative ist, monatelang mit einem Fragezeichen zu arbeiten.
Damit es nicht wieder vorkommt
Drei Dinge, die wenig kosten. Ein vollständiger Suchlauf in festem Takt statt nur Schnellprüfungen. Ein regelmäßiger Blick in die Ausnahmelisten, mit der Regel, dass dort nichts steht, was niemand erklären kann. Und Arbeitsplätze, an denen im Alltag niemand mit Administratorrechten angemeldet ist, weil sich ohne diese Rechte kein Autostart in der Registrierung eintragen lässt.
Liegt bei Ihnen gerade so eine Meldung auf dem Tisch, gehen wir sie im Erstgespräch gemeinsam durch: welches Gerät es war, was zu entfernen ist und was danach ansteht. Wie ein Notfall grundsätzlich abläuft, steht im Notfallfahrplan für die ersten 24 Stunden.
Häufige Fragen
Muss ich auf so eine Meldung des Anbieters antworten?
In der Regel ja, und meist innerhalb einer gesetzten Frist. Antworten Sie sachlich: was Sie gefunden haben, was Sie entfernt haben, was Sie geändert haben. Wer gar nicht reagiert, riskiert, dass der Anschluss eingeschränkt wird.
Ist Proxyware wirklich gefährlich? Es verschlüsselt doch nichts.
Es tut zwei Dinge, die genügen: Es läuft mit hohen Rechten auf einem Rechner, auf dem Ihre Zugangsdaten liegen, und es leitet fremden Verkehr über Ihren Anschluss. Was dieser Verkehr anstellt, läuft unter Ihrem Namen. Dass nichts verschlüsselt wird, macht es nur unauffälliger.
Reicht es, die Dateien zu löschen?
Für den Verkehr ja, für das Vertrauen nein. Die Software lief mit Administratorrechten und hatte Zugriff auf alles, was auf dem Rechner offen war. Danach gehören Passwörter und Schlüssel getauscht und der Rechner neu aufgesetzt.
Warum hat mein Virenschutz nichts gemeldet?
Häufig, weil der Pfad in seiner Ausnahmeliste steht. Schauen Sie dort zuerst nach. Ein Eintrag, den Sie nicht selbst gesetzt haben, ist ein Befund für sich.