Conficker Removal Tool

Konficker Entfernungsprogramm - Download

Bei der Nutzung dieser Webseite werden Ihre Daten anonymisiert oder zur Optimierung der Werbeaussagen für Sie genutzt..... Möchten Sie keine nutzungsbezogene Werbebotschaft mehr von den hier aufgeführten Providern empfangen, können Sie die Datenerfassung vom entsprechenden Provider gezielt ausblenden. Nicht, dass Sie in Zukunft keine Werbeeinblendungen mehr bekommen, sondern dass die Lieferung konkreter Werbeeinblendungen nicht auf anonymen erhobenen Nutzdaten basiert.

Werkzeuge zum Auflösen von Conficker

Einige Anbieter von Antivirensoftware bieten jetzt Einzeltools zum Löschen des Conficker-Wurms an, darunter Symantec, F-Secure und Bitteschützen. Für diese Anwendungen ist keine zusätzliche Installierung der Antivirenlösung erforderlich, z.B. können Sie sie auf einen USB-Stick übertragen und von dort aus auf dem betroffenen Computer ausführen. Unglücklicherweise gibt keiner der beiden Unternehmen in seiner Erklärung an, welche Version des Schneckengewindes er sicher erkennt und sogar komplett eliminiert.

Ob es Sinn macht, das System zu bereinigen oder ob eine vollständige Neuinstallation bzw. Wiederherstellen nach einem Back-up die beste Entscheidung ist, ist jedoch umstritten. Mit gut betrachteten Schnecken wie dem Conficker ist das Verlustrisiko, dass das Anwendungsprogramm eine bisher nicht bekannte Hecktür überblickt, minimal.

Wurm-Virus warnt vor Win32/Conficker

Mithilfe der in diesem Wissensbasisartikel enthaltenen Daten können Unternehmen Umgebungen, deren Systemverwalter in der Lage sind, die im vorliegenden Beitrag beschriebene Vorgehensweise umzusetzen. Wenn Sie überprüfen möchten, ob der Conficker-Virus komplett aus dem Computer gelöscht wurde, starten Sie einen Schnellscan auf der folgenden Webseite: Automatisierte Aktualisierungen, der Hintergrund Intelligenter Übertragungsdienst (BITS), Windows Defender und Fehlerberichtsdienste sind ausgeschaltet.

Die Software verbreitet sich nicht auf Wechselmedien oder freigegebenen Ordnern in einem Netzwerk. Die Software wird nicht über ein Netz verteilt. Nähere Einzelheiten hierzu findest du im Kapitel "Erstellen eines Gruppenrichtlinienobjekts" in Punkt 3. überzogene Rechte für Shares beseitigen, z.B. Schreibrechte in das Hauptverzeichnis einer Shares. Diese Vorgehensweise löscht die Conficker-Malware nicht aus dem Computer. Sie sollten ein Virenschutzprogramm zur Entfernung von Conficker-Malware einsetzen.

Obwohl die in den folgenden Abschnitten beschriebenen Änderungen der Berechtigungen wirksam sind, können Anwendungen, Service Packs oder andere Aktualisierungen nicht richtig installiert werden. Weitere Auskünfte zu den standardmäßigen Berechtigungen für den SVCHOST-Registrierungsschlüssel und den Task-Ordner, die im Kapitel "Erstellen eines Gruppenrichtlinienobjekts" erwähnt werden, erhalten Sie in der Liste der standardmäßigen Berechtigungen am Ende dieses Abschnitts.

Verwenden Sie die Richtlinien, um Schreibrechte für den nachfolgenden Registry-Subschlüssel zu entfernen: Öffne das Objekt Gruppenrichtlinie und gehe in den nächsten Ordner: Rechtsklick auf Registry, und dann auf Add Key. Expandieren Sie im Dialogfeld Select Registry Key die Option Computers, und navigieren Sie dann zu folgendem Ordner: Wählen Sie OK.

Auf OK tippen. Aktivieren Sie im Dialogfeld Add Object die Option Replace existing permissions for all subkeys with inheritable permissions. Auf OK tippen. Verwenden Sie die Richtlinien, um Schreibrechte für den Verzeichnis %windir%\Tasks zu entfernen: Dadurch wird vermieden, dass die Conficker-Malware die eingeplanten Tasks erzeugt, die das gesamte Netzwerk neu infiltrieren.

Gehen Sie im vorher angelegten Objekt Gruppenrichtlinie in den nächsten Ordner: Rechtsklicken Sie auf File System, und dann auf Add File. Scrollen Sie im Dialogfeld Add File or Folder zu dem Verzeichnis %windir%\Tasks. Stellen Sie sicher, dass Tasks ausgewählt und im Dialogfeld Folder aufgelistet sind. Auf OK tippen.

Auf OK tippen. Aktivieren Sie im Dialogfeld Add Object die Option Replace existing permissions for all subkeys with inheritable permissions. Auf OK tippen. So können Sie vermeiden, dass sich die Conficker-Malware über die in Windows eingebauten AutoPlay-Funktionen verbreitet. Zur Deaktivierung der Autorun-Funktionalität in Windows Vista oder Windows Server 2008 muss das Sicherheitsupdate 950582 vorhanden sein (beschrieben im Security Bulletin MS08-038).

Zur Deaktivierung der Autorun-Funktionalität in den Betriebssystemen XP, 2003 oder 2000 müssen Sie das Sicherheitsupdate 950582, 967715 oder 953252 installieren. Ändern Sie im vorher angelegten Objekt Group Policy in einen der folgendem Ordner: In einer Windowsserver 2003-Domäne: In einer Windowsdomäne 2008: Aktivieren Sie die Option Disable Autoplay.

Im Dialogfeld Autoplay ausschalten wählen Sie Enabled. Wählen Sie im Dropdown-Menü Alle Antriebe aus. Auf OK tippen. Die hier beschriebenen Arbeitsschritte sind nicht mehr notwendig und sollten nur dann durchgeführt werden, wenn Sie keine Antivirensoftware zum Löschen von Conficker haben. Folgende detaillierte Arbeitsschritte können Ihnen dabei behilflich sein, Conficker von Ihrem Computer zu entfernen: Loggen Sie sich mit einem lokalem Account in das Computerprogramm ein.

In Windows Vista und Windows Server 2008 klicke auf die Schaltfläche Starttaste, und gib dann Dienste ein. msc in das Eingabefeld Suche beginnen. Dann klicke in der Programmliste auf services.msc. In Windows 2000, Windows XP und Windows Server 2003 klicke auf die Schaltfläche Starttaste, klicke auf Run, gib Dienste ein, gib msc ein und klicke dann auf OK.

Wählen Sie mit Doppelklick auf Bediener. Auf Fertig stellen drücken. Auf Anwenden tippen. Gehen Sie wie folgt vor, um den Dienst zur Aufgabenplanung unter Windows Vista oder Windows Server 2008 zu stoppen. Deshalb ist es ratsam, bei den nachfolgenden Schritten vorsichtig zu sein. Klick auf die Schaltfläche Starttaste, gib den Befehl re-gedit im Dialogfeld Suche beginnen ein, und klicke dann in der Programmliste auf die Schaltfläche re-gedit.exe.

Achten Sie auf den Subkey Registrierung: Im Detailfenster mit der rechten Maustaste auf den Eintrag DWORD beginnen, und wählen Sie dann die Option Änd. aus. Gib im Eingabefeld Value 4 ein, und klicke dann auf OK. Verlassen Sie den Registrierungseditor und führen Sie dann einen Neustart des Computers durch.

Dies trifft besonders auf Windows Vista und Windows Server 2008 zu, da dieser Arbeitsschritt mehrere eingebundene planmäßige VorgÃ? Sie werden diese Information später in diesem Verfahren nachholen. Stellen Sie sicher, dass unter dem zuletzt zulässigen Listeneintrag ein leerer Wagenrücklauf eingetragen ist, und drücken Sie dann OK.

Das Dienstverzeichnis ist aus der Standard-Windowsinstallation übernommen. Mit diesen Angaben können Sie die nachfolgenden Arbeitsschritte durchführen: Im Registrierungseditor klicke auf den folgenden Teilschlüssel, worin SchlechtwetterName der Dateiname des Malware-Dienstes ist: Klicke auf den nachfolgenden Registrierungsunterschlüssel: Klicke im Navigationsfenster mit der rechten Maustaste auf den Teilschlüssel für den Malware-Dienstenamen, und dann auf Zugriff.

Im Dialogfeld SvcHost Permission Entry auf Advanced in. Wählen Sie im Dialogfeld Advanced Security Settings die beiden nachfolgenden Auswahlfelder aus: Um den Registrierungseditor zu erneuern, betätigen Sie die Funktionstaste F5. Sie werden diese Information später in diesem Verfahren nachholen. Benenne die Referenz um, so dass sie etwa wie im nachfolgenden Beispiel aussieht:

Auf OK tippen. Im Registrierungseditor auf folgende Registry-Subschlüssel klicken: In beiden Subschlüsseln finden Sie alle Eintragungen, die mit "rundll32.exe" anfangen und sich auf die als "ServiceDll" geöffnete Malware-DLL beziehen, die Sie in Punkt 12b identifiziert haben. Verlassen Sie den Registrierungseditor und führen Sie dann einen Neustart des Computers durch.

Dazu gibt man den nachfolgenden Kommando an einer Befehlszeile ein: Wählen Sie Alle Akten und Verzeichnisse einblenden. Damit Sie die Akten einsehen können. Wechseln Sie im Windows Explorer in das Telefonbuch "%systemroot%\System32" oder in das Telefonbuch mit der Malware. Klicke auf Tools und dann auf Ordnerinhalt. Wählen Sie die Karteikarte View.

Wählen Sie das Auswahlfeld Alle anzuzeigen. Auf OK tippen. Rechtsklicken Sie auf die DLL-Datei, und dann auf Properties. Wählen Sie die Karteikarte Security. Auf Jeder tippen und dann in der Spalte Allow das Auswahlfeld Full Access auswählen. Auf OK tippen.

SS08-038: Sicherheitslücke im Windows Explorer kann die Ausführung von Remote-Code auslösen. Gib an einer Befehlszeile den nachfolgenden Befehl ein:: Falls auf dem Computer Windows Defender läuft, deaktivieren Sie das Autostartverzeichnis von Windows Defender erneut. Dazu gibt man den nachfolgenden Kommandozeilenbefehl an der Befehlszeile ein: Unter Windows Vista und neueren Betriebssystemen werden durch die Malware die allgemeinen Einstellungen des Fensters Auto Tuning Level Receive für TCP abgeschaltet.

Wenn Sie diese Option wieder einschalten möchten, tippen Sie an der Befehlszeile folgendes Kommando: Vergewissern Sie sich, dass die nachfolgenden Services aktiviert sind: Dazu gibt man die nachfolgenden Kommandos an der Befehlszeile ein: Nach jedem Kommando ENTER: Sc.exe Abfrage wuauservSc. exe Abfrage bitsSc. exe Abfrage windefendSc. exe Abfrage ersvcAfter jeder Kommando ausgeführt wird, kann eine ähnliche Nachricht wie die folgende erscheinen:

Im Registrierungseditor klicke auf den folgenden Registry-Subkey: Doppelklicke im Detailfenster auf netsvcs und überprüfe die aufgeführten Servicenamen. Wird der Rechner mit Conficker neu angesteckt, wird dort ein nach dem Zufallsprinzip generierter Servicename aufgelistet. Nähere Erläuterungen dazu findest du in der Liste der Standard-Berechtigungen im Kapitel "Verteidigungsschritte". Falls Sie Schwierigkeiten bei der Erkennung von mit Conficker infizierten Systemen haben, können die Angaben im nachfolgenden TechNet-Blog nützlich sein:

Die folgende Liste enthält die standardmäßigen Berechtigungen für jedes Betriebssystem, bevor Sie die in diesem Abschnitt beschriebenen Änderungen einführen.