Phishing - Mail von Paypal. Sicherererer

... nun heute ist es wieder einmal soweit, mich erreicht ein wirklich gut gemachte Phishing-Mail angeblich von Paypal. Absolut korrektes Deutsch, schlichtes Design und ein wirklich "guter" Grund sollen mich dazu bringen eine anghängte HTML-Datei zu öffnen und darin ein Formular auszufüllen. Hier erstmal die Mail:

"wichtige" EMail von "Paypal"

Komisch, bin ich doch gar kein Paypal - Kunde, eine namentliche Anrede in der Mail oder gar eine Kundennummer gibt es ja auch nicht. Naja, aber es geht ja schliesslich um meine Sicherheit :)

Quelltext

Nun gut, ich speichere die HTML-Datei erstmal ab um mir den Inhalt mal in aller Ruhe anzuschauen. Ok, es ist also tatsächlich ne HTML-Datei mit schön verschleiertem Javascript als Inhalt. Es fällt auf, daß Symbole und andere Dinge tatsächlich von Paypal geladen werden:






 

analysierter EMailkopf

Ein kurzer Quercheck auf dnsstuff.com ergibt, daß die Adresse tatsächlich zum EBaykonzern gehört.
Ein weiterer Check auf www.gaijin.at zeigt aber, daß die Mail nicht von einem Paypalserver kommt, sondern von einem gemieteten Server bei fastwebserver.de.
Na dann, kann ja nix mehr schiefgehen und ich öffne die Datei mal mit nem Browser:

Phishing-Seite im Anhang

Sieh mal einer an, da will also jemand alle Infos zu meiner Kreditkarte, die man braucht um auf Einkaufstour zu gehen, Kartennummer, Ablaufdatum und Prüfnummer, dazu noch Name und Geburtsdatum und man kann wirklich weltweit shoppen.
Also nochmal, ich kriege eine Mail, welche ja bekanntlich komplett fälschbar sind, von Unbekannt, der dafür extra einen Server gemietet hat. Diese sagt mir ich müsse meine Daten eintragen und an Unbekannt verschicken! Warum?


Fazit: keine noch so seriöse Firma fragt Sie per Mail nach irgendwelchen geldwerten Daten, EMails sind schlicht und ergreifend nicht vertrauenswürdig. Öffnen Sie unter keinen Umständen irgendwelche Dateianhänge egal welcher Art, welche sie nicht expliziet erwarten oder von denen Sie nicht wissen ob sie sicher sind. Am besten überfliegen und löschen!

Firefox: Integrierte Suchmaschine ändern...

Da ist es mal wieder passiert, man probiert ein neues Stück Software aus, oder aktualisiert schnell mal Avira auf die neueste Version und hat im Eifer des Gefechts die automatische Installations-Art gewählt. Prompt sind die Browser um eine Toolbar, eine Änderung des Suchfeldes und natürlich um eine Änderung des in die Adressleiste integrierten Suchstandards reicher. Ein sehr penetranter Kandidat ist hier die Ask-Suche, die gefühlt bei jedem zweiten Programm mitinstalliert werden will. Das Entfernen von irgendwelchen Toolbars geht über das Addons-Menü ja noch ganz einfach, auch das Deinstallieren der Software über die Systemsteuerung, das Anpassen des Suchfeldes ist auch kein Thema, denn auch hier sind die entsprechenden Menüs im Browser vorhanden. Aber wenn ich gewohnheitsmäßig einfach nur die Adresszeile von Firefox auch zum Suchen benutze, taucht sie wieder auf... die Ask-Suche. Abhilfe schafft hier nur das manuelle Bearbeiten der Konfiguration über about:config! Dazu muss man nur   about:config   in der Adresszeile eingeben, kein http, kein www, nein, sonst rein gar nichts.

about:config

Es erscheint ein freundlicher Hinweis, über die Gefährlichkeit dieses Einstellungsdialogs für den Betrieb von Firefox, den man mit "Ich werde vorsichtig sein" abnickt. Die folgende Seite beinhaltet ALLE Einstellmöglichkeiten für Firefox, die, welche auch in den Menüs auftauchen und die, welche eben nicht auftauchen. Diese Liste ist extrem lang, unübersichtlich und für Laien absolut unverständlich. Für unser Problem gibt es aber eine einfache Lösung.





Über das Suchfeld oben lässt sich die Einstellungsseite auf die relevanten Stellen reduzieren. Für unser Problem geben wir einfach  keyword.URL  ein und stellen fest, daß sich die Liste schon während des tippens reduziert und schlussendlich nur der Eintrag keyword.URL übrigbleibt.

keyword.URL

Diesen muß man jetzt nur noch doppelklicken und den falschen Eintrag löschen. In der Standardeinstellung ist der Eintrag leer, aber nach dem löschen einer hier eingetragenen Suchmaschine und Leer-lassen klappts trotzdem nicht mehr unbedingt mit der alten Google-Suche, also schadet es nicht an der Stelle einfach den korrekten Wert für die bevorzugte Suchmaschine selbst einzutragen.


Im Fall von Google Deutschland lautet er einfach

https://www.google.de/search?q= 

Aber es gibt ja auch noch:

Bing:  http://www.bing.com/search?q=
Yahoo:  http://de.search.yahoo.com/search?p=
Metager:  http://www.metager.de/meta/cgi-bin/meta.ger1?start=1&eingabe=
Wolfram Alpha:  http://www.wolframalpha.com/input/?i=
und natürlich viele mehr.

Danach einfach Fenster schliessen und wieder glücklich die Adresszeile zum Suchen benutzen.

Windows XP Startvorgang dauert plötzlich ewig...

Problem: Seit der Installation des neuen Multifunktionsdruckers braucht Windows XP plötzlich messbare 16 Minuten länger...

Windows Diensteansicht

Lösung: Durch die Installation des Druckertreibers wurde der Windows - Dienst Server auf 'automatisch starten' gesetzt, da der Druckerspooler - Dienst diesen benötigt. Das starten des Serverdienstes hat aber hier zufolge, daß der PC nach dem Startvorgang erstmal die maximale Zeit auf Netzwerkdienste lauscht, die ja nicht dazugekommen sind. Das sind bei Windows XP geschlagene 16 Minuten. Abhilfe schafft hier die einfache Umstellung des Dienstes Server auf 'manuell starten' in der Computerverwaltung. Auch das Benutzen des Druckerspoolers kann man in den Druckereigenschaften noch abstellen. Danach sollte der PC wieder wie gewohnt schnell starten.

Vorgehensweise bei EMail-Anhängen

Hier mal eine bebilderte Vorgehensweise bei EMail-Anhängen am Beispiel von Thunderbird und einem Ukash-Erpresservirus:

Email mit Zip-Anhang, Anhänge nie öffnen, sondern speichern!

Eine nette EMail flattert mir ins Haus und bittet mich um 870 Euro - komisch von der Hoffmann GmbH hab ich bis dato noch nie etwas gehört, aber vielleicht hat ja mal wieder jemand aus der Familie was bestellt ohne mir bescheid zu sagen....
Im Anhang sollen also Vertragskopie und Ausweiskopie sein, naja, mal sehen...
Ich speichere die Datei also erstmal ab.

Speicherdialog von Thunderbird

 Danach wird dieses Zip-Archiv erstmal fein säuberlich entpackt und siehe da

Inhalt der ersten Zip- Datei

Per rechtsklick entpacken (hier mit Winrar)

sie enthält tatsächlich ein Bild von einem fremden Ausweis - na ob das Herrn Franz-Alfred S. aus Stadtlohn gefällt? Egal ebenso ist eine weitere Zip-Datei enthalten. Auch die wird einfach per Rechtsklick entpackt.

Inhalt der 2ten Zip-Datei

Oha, was haben wir denn da? Das ist kein Text, kein Dokument, keine Tabelle und kein PDF - es ist eine ausführbare Datei (Das ist eigentlich schon der Beweis, daß es sich um einen Virus handelt, aber ich wills genau wissen). Wer sich nicht sicher ist kann HIER nachschauen ob das stimmt. Natürlich hab ich bei meinem Windows immer die Option Dateiendungen anzeigen an.

kleiner Exkurs um diese Einstellung vorzunehmen (Beispiel Windows 7, die anderen gehen aber sehr ähnlich):

1. Computer (Arbeitsplatz) auf dem Desktop oder im Startmenü öffnen

2. Menü Extras - Ordneroptionen wählen

3. Karteireiter Ansicht wählen

4. Haken entfernen bei Erweiterungen bei bekannten Dateitypen ausblenden

5. alles mit OK bestätigen und schließen

Zurück zu unserer Mail:

zur Sicherheit umbenennen

erstmal wird die Datei umbenannt und ein z.B. .xxx hinten anghängt (Warnung von Windows ignorieren), damit ich Sie nicht doch aus versehen starten kann :)

Dann geh ich mal schnell ins Netz und lade die Datei bei Viros Total hoch und lasse sie von dem Dienst scannen.

VirusTotal mit hochgeladener verdächtiger Datei

Das Ergebnis ist das welches ich erwartet hatte,

Ergebnisauszug

die Datei ist einer dieser Ukash-Erpresser, wie sie im Moment oft im Umlauf sind. Noch nicht alle Virenscanner kennen das Teil, aber die großen erkennen sie und das reicht mir.
Ergebnis: Mail gefälscht, Inhalt Virus, alles weg!

Erpresserviren und andere Schädlinge

Lange Zeit versuchten Virenschreiber ihre Malware per EMail unter die Leute zu bringen, in gebrochenem Deutsch versuchte man den Empfänger zu überreden den Dateianhang der Mail zu öffnen und damit natürlich das eigene System zu infizieren. Auch dank der Medien entwickelte sich nach und nach ein Bewußtsein dafür, daß diese Anhänge gefährlich sein könnten und die Virenschreiber suchten sich andere Wege zur Verbreitung. Nun, heute sind die Antivirenprogramme besser, auf jedem System und immer am mitlaufen, der Rechner und alle entscheidenden Programme sind stets aktuell - was soll da noch passieren?! Der Nutzer ist also faul geworden und EMailanhänge werden wieder ohne Zögern einfach geöffnet. Dabei waren allein im April etwa 2,8% aller EMails mit Viren belastet. Statistisch betrachtet sind das allein bei mir 2 bis 3 Viren am Tag. Die Folge daraus ist, daß gerade heute immer mehr Menschen von z. B. den UKash - Erpresserviren betroffen sind.

Trojaner-Board.de befaßt sich schon länger mit den UKash-Viren.

Die ersten Varianten dieser sog. RansomWare ließen sich auch noch einfach entfernen und der Schaden rückgängig machen, die aktuelleren dagegen verschlüsseln die Kopfzeilen Ihrer Dateien ohne Aussicht auf die Möglichkeit zum Entschlüsseln zu Lebzeiten! Ein gutes EMail-Programm warnt übrigens nicht ohne Grund davor einen Anhang zu öffnen. Altes und neues Gebot der Stunde ist also:

Niemals EMail-Anhänge sofort öffnen!

Das gilt für ALLE EMails, die von Banken, die von Ihrem Internetanbieter, die von Ihrem besten Freund - EMails sind so leicht fälschbar wie ein weißes Blatt Papier!
Was also sonst? Sollte der Anhang wirklich so verlockend sein, daß Sie ihn öffnen wollen, so beachten sie einfach ein paar goldene Regeln.

1. Seien Sie Mißtrauisch! Lesen Sie sich den Inhalt der Mail nochmal genau durch. Haben Sie wirklich bestellt, sind Sie wirklich Kunde des vermeintlichen Absenders, ist der richtige Zeitpunkt für eine Rechnung, haben Sie den Anhang angefordert?
2. Achten Sie auf persönliche Anrede mit Namen (Mail für 'Anna' - Anrede 'Berta') und Kundennummern, achten Sie darauf, daß diese auch stimmen. Achten Sie auf die Rechtschreibung in der Mail.
3. Speichern Sie den Anhang ab (Speichern, nicht öffen!), achten Sie dabei auf falsche Benamung (Mail mit 'Mahnung' - Dateiname mit 'Ihre Bestellung'). Achten Sie BESONDERS auf ausführbare oder doppelte Dateianhänge - der letzte dreibuchstabige Anhang ist ausschlaggebend dafür, was Windows mit so einer Datei macht. Eine Liste mit Dateiendungen ausführbarer Dateien gibt es HIER. Es gibt keinen Grund Ihnen eine ausführbare Datei zu schicken - also einfach löschen (Datei und Mail)!
4. Aktualisieren Sie Ihren Virenscanner und scannen Sie den Anhang separat damit oder besser mit einem Online-Dienst wie VirusTotal oder Jotti - bei Verdacht löschen. Handelt es sich um eine gepackte Datei (z.B. mit der Endung .zip) so entpacken Sie diese vor dem Scannen (manche Viren kommen in gepackten Archiven um Virenscanner zu täuschen) aber führen Sie sie trotzdem nicht aus.
5. Warten Sie einen oder zwei Tage um neuere Updates Ihres Virenscanners zu bekommen und scannen Sie nochmal. Bei Mails von Freunden fragen Sie nach ob diese Ihnen tatsächlich diese Datei schicken wollten, das kostet nix und ist absolut verständlich.

Natürlich ist diese Form der Paranoia mühsam und aufwendig, aber es ist ungleich schwieriger und teurer sein System wieder von einem Schädling zu befreien. Besonders die UKash-Viren zerstören Daten unwiederbringlich!

Updateprobleme bei XP

Ja bei all der Updaterei, die man sich ja nunmal abhalten muss, kann es ganz schön nerven, wenn ein und das selbe Update für Windows XP, hier fürs .NET Framework immer und immer wieder installieren soll und dementsprechend auch keine anderen, neuen und vielleicht sogar wichtigen Updates mehr gemacht werden können.
Die Lösung ist aber ganz einfach, man muss nur den Ordner SoftwareDistribution löschen, der sich im Windows-Ordner (normalerweise c:\windows\SoftwareDistribution ) befindet. Dieser lässt sich aber nur löschen, wenn man vorher die beiden fürs Updaten zuständigen Dienste beendet.

Computerverwaltung von Windows XP mit Diensten

Dazu öffnet man einfach die Computerverwaltung mit einem Rechtsklick auf Arbeitsplatz und Auswahl von Verwalten.
Weiter unten öffnet man das Plus vor Dienste und Anwendungen und klickt schließlich auf Dienste.
In der nun rechts erscheinenden Liste suchen wir uns den Dienst Automatische Updates heraus, klicken ihn an und klicken im erscheinenden Bereich auf beenden. Das gleiche machen wir auch noch mit dem Dienst Intelligenter Hintergrundübertragungsdienst.
Jetzt können wir einfach per Explorer ins Windows - Verzeichnis gehen und dort den ganzen Ordner SoftwareDistribution löschen. Keine Angst, er wird beim Neustart der beiden Dienste wieder angelegt. So jetzt schnell wieder ins Dienste-Fenster wechseln und die beiden oben genannten Dienste wieder starten. Fertig, die ehemals hängenden Updates kommen jetzt noch genau einmal und werden diesmal auch richtig installiert. Ein Neustart des PCs ist nicht erforderlich, aber wie immer zu empfehlen.

Backup, Backup, Backup

Backup

Immer wieder hört man wie wichtig Sichheitskopien sind, für andere natürlich, bei einem selbst ist ja noch nie was passiert, dabei liegt die durchschnittliche Lebensdauer einer Festplatte derzeit bei etwa 5 Jahren. Das ist aber eben nur ein Durchschnittswert, es gibt immer wieder Fälle von ausgefallenen Festplatten nach sehr viel früherer Zeit. Und eine Herstellergarantie nutzt bei verlorenen Daten garnix. Also was tun? Na klar, Sicherheitskopien machen. Wie geht das am einfachsten, am besten ganz ohne zu stören? Na klar, gar nicht. Ein bisschen Arbeit muss man sich schon machen, aber es gibt sehr gute, auch kostenlose Software, die einem beim Erstellen von Backups unter die Arme greift.


Frage: Was soll ich sichern?
Antwort: Prinzipiell sollte man nur die Daten sichern, die man nicht irgendwie anders erzeugen kann, z.B. Fotos, Dokumente usw. - eine Windows - Installation ist in der Regel schneller neu aufgesetzt (und dann vor allem deutlich entschlackter) als eine aus einem Abbild wiederhergestellte Frage: Wohin soll ich sichern? Antwort: Kommt natürlich erstmal auf die Menge der zu sichernden Daten an, ein paar private Dokumente und Urlaubsbilder passen in der Regel auf nen billigen USB-Stick, die komplette Firmenbuchhaltung inklusive Projektdateien usw. braucht schon eine große Festplatte.

Frage: Was ist eine gute Strategie?
Antwort: Relativ sicher ist man, wenn man seine Daten doppelt oder noch öfter sichert und die Kopien an unterschiedlichen Orten aufbewahrt, z.B. jede Woche ein Backup auf eine externe Festplatte, in geraden Wochen auf die eine und in ungeraden Wochen auf eine zweite Platte, wobei die nichtbenutzte sich dann auch physisch an einem anderem Ort befindet. Man verliert hierbei im schlechtesten Fall eine Woche. Das geht natürlich auch mit täglichen oder monatlichen Sicherungen.

Frage: Geht das denn einfach?
Antwort: Am einfachsten ist natürlich wenn man eine Software benutzt, welche den ganzen Ablauf automatisiert. Für Privatleute mit relativ wenig Daten empfehle ich derzeit Allway Sync, denn es beherrscht alle Varianten um zwei Datenträger miteinander abzugleichen. Verschiedenste Einstellungen sind hierbei möglich (Verschlüsselung, Komprimierung, Filtern, Speichern gelöschter/geänderter Dateien,...) Außerdem kann das Programm das Anstöpseln von USB-Datenträgern erkennen und darauf automatisch mit einem Backup-Job reagieren - sehr komfortabel. Aber: Nur bei kleineren Datenmengen kostenlos. Bei sehr großen Datenmengen empfehle ich im Moment Personal Backup von J. Rathlev. Auch dieses Programm kennt alle nur denkbaren Einstellungen und Automatismen, bleibt aber auch mit sehr großen Datenmengen kostenlos.

Frage: Was ist mit der Cloud?
Antwort: Prinzipiell ist die Idee, seine Daten an einem komplett anderen Ort, nahezu 100% sicher abzulegen sicherlich eine gute, bei näherer Betrachtung gibt es aber einige Fallstricke: die eigene Internetverbindung sollte ausreichend schnell sein, der Speicherplatz muss natürlich ausreichend sein und das Backup immer genau dann verfügbar, wenn ich es gerade brauche. Dazu kommt gerade z.B. bei Kundendaten, daß diese aus Datenschutzgründen NICHT im Ausland gespeichert sein dürfen und wer versichert mir, daß die Firma, die mir diese Dienstleistung bietet morgen noch existiert?
Erwähnenswert an dieser Stelle sind eigentlich nur die großen und kostenlosen
Anbieter Dropbox, Google Drive, Microsofts Skydrive und natürlich Apples ICloud, welche man alle mit entsprechender Software bzw. Apps fürs Backup verwenden kann.

!Nachtrag:
Eine entsprechende Verschlüsselung der eigenen Dateien hält natürlich auch hier die Sicherheit hoch. Wer kann schon garantieren, daß Microsoft, Apple oder Google sich die eigenen Daten nicht doch anschauen oder diese der NSA zugänglich machen...
Aber wer will sich schon Arbeit machen... Zum Glück gibts Programme die einem die Verschlüsselung komplett abnehmen und die Arbeit so erleichtern. Cryptomator empfielt sich für alle Cloud-Dienste, denn es ist kostenlos, wird sehr gut gepflegt, der Quelltext ist einsehbar und es kommt mit fast allen Cloud-Diensten klar. Man kopiert einfach wie gewohnt seine Daten in einen Ordner und das wars. Verschlüsselung und hochladen übernimmt Cryptomator.

Ukash und kein Ende in Sicht

Und da ist er wieder, der unvermeidliche Startbildschirm, der auffordert einen bestimmten Betrag via UKash nach WeißGottWo zu überweisen. Diesmal in einer etwas erpresserischeren Variante. Der Trojaner verschlüsselt eigene Daten - Dateien wie JPGs, MP3s, DOCs etc. etc. (Trojan.Matsnu.1)
Wer bezahlt und den Code eingibt soll angeblich wieder an seine Dateien rankommen - ha Pustekuchen, Pech gehabt.

mieser Erpresser

Zum Glück haben die Erpresser einen einfachen symmetrischen Verschlüsselungmechanismus benutzt, so kann man aus einer bekannten und einer verschlüsselten Datei "gleichen" Inhaltes den Schlüssel errechnen und damit auch alle anderen Dateien wieder entschlüsseln.
Einige findige Programmierer, unter anderem bei Avira haben sich dieser Aufgabe angenommen und passende Tools bereits zum Download bereitgestellt. Nun, jetzt stellt sich die Frage, wenn alle meine Dateien verschlüsselt sind, woher bekomme ich Originale? Ganz einfach, auf jedem Windows-Rechner existieren z.B. Beispielbilder, die auf anderen Windows-Systemen auch vorhanden sind, also einfach vom Nachbarn per USB-Stick besorgen und fertig (für Windows 7 findet man welche hier im TrojanerBoard).

Die Vorgehensweise zum Entfernen des Verschlüsslers ist einfach, man startet das System mit Hilfe einer BootCD, z.B. dem Avira Antivir Rescue System, einem unter Linux laufenden System, welches eben nur den bekannten Virenscanner startet. Alternative dazu ist die Kaspersky Rescue Disk.
Der PC sollte dabei mit dem Internet verbunden sein um Avira aktualisieren zu können (geht am einfachsten über Kabel). Scan über das gesammte System starten und abwarten bis er fertig ist. (Erkannte Viren werden standardmäßig umbenannt - nicht gelöscht). Jetzt den PC hochfahren, als wäre nix gewesen. Dann mit dem eigenen aktualisierten Virenscanner einen zweiten Komplettsuchlauf machen und die (wieder) erkannten Dateien in Quarantäne bringen. Die zurückgebliebenen Autostart-Einträge (hier mit Zufallsnamen) kann man einfach mit den Sysinternals Autoruns entsorgen.

Jetzt das Entschlüsselungsprogramm von Avira HIER besorgen und starten. Als verschlüsselte Datei ist meist bereits eine der Standard - Beispiel - Dateien eingetragen, als entschlüsselte Datei wählt man die passende vom Nachbarn. Jetzt lässt man Aviras Programm direkt auf die ganze Platte (und falls vorhanden auch auf die anderen Platten) los. Das Programm arbeitet relativ zügig und zeigt am Ende an, wieviele Dateien es entschlüsselt hat (hier waren es etwa 3000). Die verschlüsselten Original bleiben dabei erhalten, falls irgendetwas schief geht. Et voila, das Problem ist Geschichte.
Zur Vorsorge empfiehlt es sich aber wie immer, alle möglichen veralteten Programme erst mal zu aktualisieren um zukünftige Infektionen auszuschließen.
Gutes Hilfsmittel dazu ist der Secunia personal Software Inspector.

Nachtrag: Übrigens wird dieses sogenannte RansomWare zur Zeit noch nicht von Microsofts Security Essentials erkannt, daher empfehle ich derzeit ein anderes Antivirenprogramm zu verwenden!
Nachtrag2: So wie es aussieht wurde der Trojaner über eine gefakte Telekom-Mail mit dem Betreff Telekom-Rechnung als Anhang verschickt. Hier mit doppelter Dateiendung .pdf.exe um zu Verschleiern um was es sich wirklich handelt. Nochmal eindringlichst an alle: Dateianhänge erst speichern! Bei der Nachfrage unter welchem Namen erkennt man die doppelte Dateiendung immer. Dateien die sich so zu tarnen versuchen sind IMMER böse.
Nachtrag3: Inzwischen geistert das Ding auch als O2 - und  Vodafone-Rechnung durchs Netz - eins ist aber allen gemein, in der Mail steht eine falsche Kundennummer, ein sehr hoher Rechnungsbetrag und sie enthält einen ausführbaren Anhang.
Nachtrag4: Habe heute eine EMail-Mahnung mit vollkommen überhöhter Summe erhalten :)
In diesem Fall kam der Trojaner als .com - Datei in einer .zip - Datei, welche nochmals gezippt war (um Virenscanner auszutricksen). Avira hat nicht angeschlagen, aber die Kontrolle bei VirusTotal war eindeutig

Windows-Update-Client läuft Amok

Manche Windows - XP - Versionen brauchen gefühlt unendlich lange zum starten. Während dieser Zeit reagiert das Gerät nur sehr schleppend auf Eingaben und die Festplatte hört gar nicht auf zu rödeln.

Ein Blick in den Taskmanager offenbart eine "wuauclt.exe" und eine "svchost.exe" die jeweils einen dreistelligen Speicherbereich verschlingen und hohe Prozessorlast verursachen. 

Der Auslöser ist tatsächlich die "wuauclt.exe", der "Windows Update Automatic Update Client", welcher aus nicht geklärtem Grund Amok läuft. Er wird von der "svchost.exe" (dem Überprozess wenn man so will) gestartet, weshalb diese sich ebenfalls so sehr aufbläht.

Taskmanager mit wuauclt.exe

Abhilfe ist ganz einfach - man schießt den "wuauclt.exe" - Prozess einfach im Taskmanager ab und erfreut sich seines wieder lauffähigen Systems. Das Windows - Update nimmt dabei keinen Schaden, denn die "wuauclt.exe" wird sogleich neu gestartet, jedoch ohne nochmal die wahnsinnig hohe Speicherauslastung oder die Prozessorlast zu verursachen.

Nun mag es aber dem ein oder anderen lästig sein, erstmal den Taskmanager zu starten, denn dieser Vorgang dauert ja nunmal gefühlt ewig. Gute Erfahrung habe ich mit einem kleinen selbstgeschriebenen Batch-Programm gemacht, welches man z.B. in den Autostart-Ordner von Windows stecken kann und das bei jedem Computerstart den Updateclienten erstmal prophylaktisch über den Jordan schickt. Ein Doppelklick auf die auf dem Desktop liegende Datei tuts aber auch.

Hier ist es:

@echo off

set ProgEXE=wuauclt.exe
set tempdatei=TempDatei.txt

tasklist /FI "IMAGENAME eq %ProgEXE%" /FO CSV>%tempdatei%
for /F "skip=2 tokens=1 delims=," %%f in (%tempdatei%) do (
    echo gefiltert: [%%f]
    if "%%f"==""%ProgEXE%"" pcwkill /f %ProgEXE%

del /F/Q %tempdatei%

Zur Erklärung:
in den ersten beiden Zeilen werden die Variablen gesetzt für den Prozess den es abzuschiessen gilt
und für einen temporären Zwischenspeicher.
Dann wird das Programm TaskList ausgeführt, es stammt aus Microsofts Powertoy-Sammlung und zeigt in der Konsole die Liste der laufenden Programme an. Diese wird gleich nach dem Updater durchsucht. Wenn er läuft wird er sofort abgeschossen. Dazu bediene ich mich bei einem weiteren kleinen Helferlein. Das Progrämmchen PCWKill der PCWelt Redaktion erlaubt das kommandozeilengesteuerte Abschiessen einzelner Prozesse. Natürlich könnte ich auch das bei Windows integrierte Tool nehmen, aber das hat bei verschiedenen Win-Versionen verschiedene Namen und verschiedene Parameter und so müsste ich die Datei jedesmal anpassen.
Am Schluss wird natürlich aufgeräumt. Die Datei habe ich kill_up.bat genannt.

Soll das Programm automatisch gestartet werden, so empfiehlt es sich dieses erst zeitverzögert auszuführen, da man nie genau sagen kann, wann der Windows-Updater loslegt. Lösungen für dieses Problem gibts einige, ich habe mich für eine schnelle Variante mittels VBScript entschieden:

set wshell = CreateObject("Wscript.shell")

wscript.sleep 40000

wshell.run "C:\Beispielpfad\kill_up.bat"

Das ganze speichert man als z.B. kill_up.vbs im Autostart-Ordner (anpassen des Beispielpfades nicht vergessen) von Windows und die 40 Sekunden Zeitverzögerung schaffen dem Updater einen genügend großen Vorsprung vor unserem Killer!

Nachtrag: hab die 30 Sekunden Verzögerung in 40 geändert, nachdem es bei einigen Rechnern nicht geklappt hat (zur Not kann man natürlich auch die kill_up.vbs nochmal von Hand starten)

Update vom 30.01.2014 (!!!): Laut c't hat Microsoft für diesen Februar-Patchday ein Update angekündigt, welches dieses Problem ein für alle Mal aus der Welt schaffen soll - super, 2 Monate vor Schluss...

Update-Wahn?!

Viele Leute sprechen mich an wegen irgendwelcher "komischer" Updates, welche Sie nicht zuordnen können. Nun, meistens sind das reguläre Aktualisierungen, die möglichst zügig auch gemacht werden sollten, denn sie schließen Sicherheitslücken, welche zu diesem Zeitpunkt oft auch schon ausgenutzt werden.
Klar sollten die Hersteller ihre Update-Meldungen so kenntlich machen, daß der User auch merkt, was da eigentlich aktualisiert werden soll, aber die Benutzer sollten auch immer aufmerksam lesen was da steht!
Alle Programme die direkt mit dem Internet kommunizieren sollten immer auf dem neuesten Stand sein um möglichen Angriffen vorzubeugen. Dazu gehört natürlich das Betriebssystem, also Windows, welches hoffentlich auf Automatik gestellt ist und bei dem auch die Servicepacks installiert sind. Achten Sie einfach auf das gelbe Schild-Symbol im Systray welches mögliche Updates anzeigt. Sie dürfen auch ruhig mal drauf klicken. Achja, die Update-Automatik bremst den Rechner NICHT wirklich aus, hier geht Sicherheit einfach vor Speed um jeden Preis.

Firefox Update

Dann sollten natürlich Browser und EMail-Programm aktuell sein, da gerade diese ja Internetinhalte laden und anzeigen. Benutzer von Internet Explorer und/oder Outlook/Outlook Express/Windows Mail/Windows Live Mail erhalten die Updates über die Windows-Update-Automatik. Firefox und Thunderbird Benutzer haben ebenfalls eine Automatik eingebaut - manuell anstoßen kann man die Updatesuche auch unter 'Hilfe' - 'Über Firefox' bzw. 'Über Thunderbird'.
Auch Googles Chrome und Opera haben eine Aktualisierungsautomatik. Sie alle haben gemein, daß man vor der Aktualisierung darauf hingewiesen wird und dieser natürlich zustimmen muss.
Plugins und Addons zu diesen Programmen werden hoffentlich vom Programm selber ebenfalls auf Updates überprüft, besser ist jedoch, auf unnötiges zu verzichten.
Auch andere Browser und EMail-Programme bieten ähnliches, wenn nicht dann wechseln!

Adobes Flashplayer Update-Meldung

Die Adobe-Produkte wie Adobe Reader oder auch Adobe Flashplayer sollten ebenfalls so schnell wie möglich aktualisiert werden, denn auch diese sind ein beliebtes Ziel von Angreifern. Das Flash-Update blendet sich dazu bei Bedarf nach dem Computerstart prominent auf dem Bildschirm ein. Das Updaten dauert nur Minuten. Der Adobe Reader dagegen schaut nicht unbedingt regelmäßig selbst nach Updates, auf jeden Fall aber wenn er gestartet wird, dann macht ein kleines rotes Symbol im Systray darauf aufmerksam. Dieses muss man dann noch anklicken.
Fehlt noch der Java-Updater von Sun/Oracle der bei Bedarf auf sich aufmerksam macht, auch diesen möglichst schnell klicken und den Anweisungen folgen. Sicherheitslücken  werden auch hier gerne ausgenutzt.
Bei allen anderen Update-Meldungen die aufpoppen sollten immer zweimal hinsehen, ob ein Updaten wirklich nötig ist, muss ich z.B. die Software der Webcam, welche ich so gut wie nie verwende aktualisieren, oder brauche ich überhaupt ein Bios-Update?
Im Zweifelsfall sollte man immer vorher jemanden fragen, der sich damit auskennt.

USB - Fluch oder Segen...

Problem: Windows - Boot - Vorgang dauert plötzlich ewig, einzelne Anwendungen reagieren nicht mehr...

USB - Symbol

Lösung: seit kurzem bleibt die USB-Platte einfach eingeschaltet am Rechner hängen, das Mainboard des Laptops scheint diese aber nicht vernünftig anzusprechen bzw. nicht korrekt anzufahren. Das führt dazu, daß sich die Platte unter Windows alle halbe Minute an- und wieder abmeldet, was die lange Bootzeit erklärt und das komische Verhalten all der Programme, welche auf ihre Daten auf eben dieser Platte zugreifen wollen.
Also, externe USB-Platten einfach erst dann anstöpseln, wenn sie wirklich gebraucht werden.



 

Zeitreise...

anders kann ich mein heutiges Erlebnis nicht beschreiben, aber von vorne:

Fehlerbeschreibung: beim Start von Windows kommt immer so ein weisses Feld das nicht weg geht und man kann gar nix mehr machen....

Muss ich mir natürlich ansehen, kann ja alles sein. Beim Kunden angekommen stellt sich raus, das weisse Feld ist ein IE-Fenster, das krampfhaft versucht irgendetwas aus dem Netz darzustellen, dabei schiebt es sich kurz nach dem Systemstart komplett in den Vordergrund und übernimmt dabei den Bildschirm des Users. Keine andere Aktion mehr möglich.

BKA-Trojaner

Da ich in letzter Zeit des öfteren mit diversen UKash-Erpresser-Trojanern zu tun hatte tippe ich auf etwas derartiges und starte Windows im abgesicherten Modus mit Eigabeaufforderung. Brachte leider nicht den erwünschten Erfolg, das Ding schien etwas schlauer zu sein als die anderen Varianten. Nungut, bevor ich die Holzhammermethode teste erst nochmal normal starten und mal schauen ob ich den Taskmanager noch vor dem IE-Start öffnen kann. Das wars, eine Autostart namens INetAccelerator.exe tauchte auf und liess sich früh genug wieder abschiessen.
OK, Gefahr erkannt, Sysinternals Autoruns brachte 4 Starteinträge für das Ding zum Vorschein, die dann auch schnell abgehakt waren, ebenso wie die ca. 15 anderen Viren und Trojaner - Einträge die mir mit blossen Auge sofort auffielen.
Ein schneller Blick auf den installierten Avira liess dann auch schlimmes erahnen - letztes Update August 2010 - na toll, ok dann machen wir den erstmal neu und checken auf weitere Viren - pustekuchen - der neue Avira setzt - na wer ahnt es schon - XP ServicePack 3 vorraus. Diese System hier ist im Jahr 2001 stecken geblieben. Irgendwer hatte die Autoupdates abgestellt und auch sonst nix aktualisiert. Naja eine echte Zeitreise ins Jahr 2001 würde ich sagen.
Was mich aber echt wundert ist, daß der Rechner solange mitgemacht hat.

erster....

Hallo alle miteinander,

hier ist er also, mein erster Blog und mein erster Eintrag. Ich wünsche allen Lesern in Zukunft viel Spass beim lesen und ansonsten keine Probleme mit dem PC :)