Privatkunden
Geschäftskunden
Zugang über eumex.ip
Hallo Ulli912,
Vielen Dank für die schnelle Antwort. Hier ist der Inhalt der
ipconfig.txt
Ethernetadapter LAN-Verbindung:
IP-Adresse. . . . . . . . .: 192.168.178.22
DHCP aktiviert. . . . . . .: Ja
Autokonfiguration aktiviert: Ja
Subnetzmaske. . . . . . . .: 255.255.255.0
Standardgateway . . . . . .: 192.168.178.1
DHCP-Server . . . . . . . .: 192.168.178.1
DNS-Server. . . . . . . . .: 85.255.112.104, 85.255.112.155
Lease erhalten. . . . . . .: Mittwoch, 29. April 2009 16:52:30
Lease läuft ab. . . . . . .: Samstag, 9. Mai 2009 16:52:30
Das ist ganz übel!
Sie verwenden DNS-Server, die jeweils an einem Endkundenzugang mit
statischen IP-Adressen in der Ukraine betrieben werden. Dass der den
Hostnamen "eumex.ip" nicht kennt, ist kein Wunder und auch nicht weiter
schlimm: Die Konfiguration können Sie über http://192.168.178.1
vornehmen.
Schlimm ist, dass es mittels dieser Ihnen untergeschobenen, ukrainischen
DNS-Server möglich ist, die Requests Ihres Browsers umzulenken. Wie dies
funktioniert und wie dies zu Ihrem Nachteil ausgenutzt werden kann,
können Sie in dem folgenden Beitrag eines anderen Nutzers nachlesen:
http://foren.t-online.de/foren/read.php?158,3860098,3861466#msg-3861466
(Darin der Abschnitt 1, der dürfte genau auf Ihre Situation zutreffen.)
Sie sollten davon ausgehen, dass es dem Angreifer bereits gelungen ist,
Zugangsdaten von Ihnen zu stehlen.
Als Erstes (!) rufen Sie bitte ...
Systemsteuerung / Netzwerkverbindungen
... auf und rufen dort die Eigenschaften der LAN-Verbindung auf.
(Rechtsklick darauf, dann "Eigenschaften" wählen). Auf dem Tab
"Allgemein" markieren Sie den Eintrag Internetprotokoll (TCP/IP)
und klicken dann auf die Schaltfläche . Hier sind sie nun
an der Stelle, an der Sie unten den Eintrag finden:
| (_) DNS-Serveradresse automatisch beziehen
|
| (*) Folgende DNS-Serveradressen verwenden:
|
| Bevorzugter DNS-Server:
| Alternativer DNS-Server:
Stellen Sie dies um auf DNS-Serveradresse automatisch beziehen!
Ermitteln Sie mit ...
%COMSPEC% /c ipconfig /all > "%USERPROFILE%\DESKTOP\ipconfig.txt"
... erneut Ihre IP-Konfiguration!
Vergewissern Sie sich, dass dort jetzt ...
Ethernetadapter LAN-Verbindung:
IP-Adresse. . . . . . . . . . . . : 192.168.178.22
Subnetzmaske. . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.178.1
DHCP-Server . . . . . . . . . . . : 192.168.178.1
DNS-Server. . . . . . . . . . . . : 192.168.178.1
... steht! Dann und nur dann fahren Sie wie folgt fort:
Rufen Sie
https://kundencenter.telekom.de/kundencenter/rechnung/internet-nutzungsdaten.html
auf (ggf. Login erforderlich) und schauen Sie sich an, ob bereits in
Ihrem Namen kostenpflichtige Produkte gebucht worden sind.
Dann ändern Sie bitte SOFORT alle Passwörter! Dazu gehören das ...
• persönliche Kennwort (für den Zugang)
• Passwort (Webkennwort)
• E-Mail-Passwort
• FTP-Passwort
Das persönliche Kennwort ist der Schlüssel zu den anderen Passworten,
das heißt, wer Ihre T-Online-Nummer (oder E-Mail-Adresse) und dieses
Kennwort kennt, kann Ihren Account nahezu komplett übernehmen. Daher
bitte zuerst einmal das persönliche Kennwort im Kundencenter
ändern. Nutzen Sie bitte die gesamte Länge (das persönliches Kennwort
darf acht Zeichen lang sein) und verwenden Sie große und kleine
Buchstaben und Ziffern. (Auf Sonderzeichen und Umlaute sollten Sie aus
Kompatibilitätsgründen indes besser verzichten.)
Danach dann bitte ebenfalls im Kundencenter die anderen Passworte
ändern. Wichtig: Benutzen Sie nicht die gleichen Kennworte für
die verschiedenen Funktionen, denn das E-Mail-Passwort und das
FTP-Passwort dürfen unverschlüsselt übertragen werden. Macht man
dies z.B. an einen öffentlichen Hotspot, können diese Passwörter bei
unverschlüsselter Übertragung in der Nähe des Hotspots abgehört werden.
Verwendet man nun für alle Funktionen das gleiche Passwort, "gehört" der
eigene Account schnell jemand anderem.)
Dann bitte offline gehen und das entsprechenden Kennwort auch in Ihrem
DSL-Router oder der T-Online-Software oder der DFÜ-Netzwerk-Verbindung
ändern, je nachdem, was Sie zur Einwahl bei uns benutzen.
WICHTIG: Verwenden Sie für alle Logins (egal wo) verschiedene
Passwörter, ändern Sie dies also ggf. ebenfalls, auch wenn das mühevoll
ist. Schreiben Sie alle neuen User/Pass-Kombinationen auf einen Zettel,
den Sie sicher verwahren.
In dem folgenden Beitrag eines anderen Nutzers finden Sie ganz unten
Empfehlungen für Passwort-Tools, die Ihnen dies erleichtern:
http://foren.t-online.de/foren/read.php?158,3860098,3861466#msg-3861466
Für den Fall, dass bei uns in Ihren Namen kostenpflichtige Produkte
gebucht worden sind, raten wir Ihnen darüberhinaus, eine Strafanzeige
wegen Datenmissbrauch und Betrugs bei der nächsten Polizeibehörde zu
stellen. Diese und eine Kopie Ihrer (kommenden) Rechnung senden Sie an
unseren Kundenservice. Adresse:
Deutsche Telekom AG,
Kundenservice
53171 Bonn
Sollten Sie feststellen, dass Ihr Account bei einem anderen Anbieter
(z.B. eBay, Amazon oder, oder, oder ...) missbraucht wurde, gehen Sie
bitte analog vor. Die Benachrichtigung über den erfolgten Missbrauch
müssten Sie dann natürlich an den Kundenservice des jeweiligen Anbieters
senden.
Gesetzt den Fall, dass bisher noch nichts passiert ist, dürfen Sie sich
jetzt dennoch noch nicht beruhigt zurücklehnen. Denn offenbar war auf
Ihrem System bereist ein Schädling aktiv und das ist er womöglich immer
noch. Von einem infiziertem Rechner aus ist ein solche Schädling nicht
zu entdecken, wenn der Programmierer geschickt genug war. Auch nicht
durch eine etwaig bereits installierte Schutzsoftware, denn die hat
dieser Schädling schon deaktiviert. (Die ukrainischen DNS-Server sorgen
übrigens dafür, dass die Schutzsoftware keine Updates mehr bekommen
kann.) Und nun ein länglicher Textbaustein zu diesem Thema:
Personal Firewalls und Antiviren-Programme dienen dazu, Sie bzw. Ihren
Rechner vor Schadsoftware und einem Fremdzugriff auf Ihren Rechner zu
schützen. Sie bewirken jedoch in aller Regel nichts mehr, wenn eine
Schadsoftware dennoch installiert wird. Denn diese Schadsoftware kann
auf und mit Ihrem Rechner alles tun, was Sie auch selbst tun können.
Insbesondere kann sie also Schutzprogramme beeinträchtigen oder gar
komplett deaktivieren. Oder weitere Software installieren, die nicht als
Schadprogramm erkannt werden kann, weil es sich nicht eigentlich um eine
Schadsoftware handelt; beispielsweise ein Mail- oder Proxyserver oder
ein Fernsteuerungssoftware. Der Schaden entsteht dann daraus, dass diese
installierte Software in gefährlicher Weise - nämlich offen für den
Angreifer oder gar für jedermann - konfiguriert wird.
Sie haben dann meist keine Möglichkeit, diesen Schaden noch in unauf-
wendiger Weise zu beseitigen, da hilft dann auch die "Viren-Entfernung"
der Antiviren-Software oft nicht mehr wirklich weiter. Eigentlich haben
Sie nur noch eine Chance, aus diesem Schlamassel wieder heraus und zu
einem sauberen System zu kommen: Wichtige persönliche Dokumente extern
sichern (z.B. auf CD-R) und dann alle Partitionen zu formatieren. Wenn
Sie Windows XP oder Vista einsetzen, sollten Sie die Platten mit NTFS
formatieren, denn nur die Verwendung dieses Dateisystems ermöglicht es
Ihnen, die Schutzfunktionen des Betriebssystems vollständig zu nutzen.
Danach müssten Sie Windows und alle noch verwendeten Programme neu
installieren und Ihre persönlichen Dateien der Sicherung restaurieren.
Das ist eine sicher sehr aufwendige und damit unangenehme, aber leider
auch eher unabwendbare Maßnahme.
Aber Vorsicht: Die Viren werden möglicherweise versuchen, sich in das
Wurzelverzeichnis der Sicherungsmedien zu kopieren und zusätzlich eine
Datei namens "Autorun.inf" anzulegen, die die Schadsoftware gleich
wieder startet, wenn das Sicherungsmedium eingelegt wird.
Auf der Seite <> ist
beschrieben, wie Sie diese Autostart-Funktion für alle Windows-Versionen
komplett deaktivieren können. Drucken Sie diese Seite am besten aus,
denn Sie werden sie benötigen. Die Deaktivierung dieser Autostart-
Funktionen sollten Sie - nach Neuinstallation des Systems - zuerst
vornehmen, also bevor Sie die Datenträger mit der Sicherung in ein
Laufwerk mit Wechselmedien einlegen bzw. bevor Sie die externe
Festplatte wieder anschließen. Denn anderenfalls laufen Sie Gefahr, dass
die Arbeit umsonst war und die frische Installation allein durch das
Einlegen beispielsweise einer Diskette erneut "verseucht" würde.
Damit Ihnen dies nicht wieder passiert, sollten Sie nach der
Wiederherstellung des Systems folgende Ratschläge beherzigen:
1) Nach der Neuinstallation von Windows sind natürlich alle per
Internet geladenen, sicherheitsrelevanten Updates hinfällig und
müssen neu geladen werden (Windows-Update). Während Sie dies tun,
sind Sie womöglich Wurmattacken ausgesetzt, gegen das Ihr Windows
noch nicht geschützt ist. Hiergegen müssen Sie unbedingt
Vorkehrungen treffen!
2) Vor der Formatierung der Partitionen stellen Sie bitte sicher, dass
Sie die nach der Windows-Installation benötigten Programme zur Ver-
fügung haben sollten, die Sie vor dem ersten Onlinegehen installie-
ren sollten. Hierzu zählen z.B. aktuelle Versionen einer Antiviren-
Software, einer Personal Firewall und ggf. der T-Online Software.
Auf die Personal Firewall können Sie erst einmal verzichten, wenn
Sie mindestens Windows XP besitzen. Die bekannten Wurmattacken
können nämlich auch durch die Windows-Firewall abgewehrt werden.
Sie dürfen aber nicht vergessen, diese auch zu aktivieren! (Falls
Sie über einen Router online gehen, genügt auch dessen Firewall.)
3) Nachdem Sie das Windows-Update so oft durchgeführt haben, bis keine
sicherheitsrelevanten Updates mehr angeboten werden, installieren
Sie ggf. (s. 2) noch Ihre Personal Firewall und deaktivieren
dann bitte auch die Windows-Firewall. Denn mehr als eine
Software-Firewall-Lösung brächte nicht etwa mehr Sicherheit, sondern
nur mehr Abstürze.
4) Denken Sie daran, dass Sie die Update-Routinen der installierten
Schutzsoftware so konfigurieren, dass sie wenigstens einmal täglich
automatisch nach Aktualisierungen Ausschau halten. Besonders dann,
wenn Sie mehrere Tage hintereinander nicht online waren, sollten Sie
immer zuerst diese Aktualisierungen laden und installieren, bevor
Sie online irgendetwas anderes tun.
5) Sofern Sie Windows XP verwenden, sollten Sie als nächsten Schritt
einen Windows-Nutzer mit eingeschränkten Rechten anlegen und soweit
möglich nur noch diesen verwenden, wenn Sie online gehen. Den
Windows-Nutzer mit administrativen Rechten verwenden Sie nur noch
dann, wenn es nicht anders geht. Den meisten Gefahren, die von der
Installation von Schadsoftware herrühren, gehen Sie damit aus dem
Weg. Insbesondere können die mit Systemrechten laufenden Schutzpro-
gramme so meistens nicht mehr durch eine Schadsoftware in der
Funktion beeinträchtigt werden. Wenn eine Software partout nicht mit
eingeschränkten Nutzerrechten laufen will, kontaktieren Sie bitte
den Hersteller des Programms. Oft gibt es angepasste Versionen oder
wenigstens "Tricks", die Einschränkung zu umgehen.
6) Sollten Sie mehr als einen Rechner besitzen und diese zu einem LAN
vernetzt haben, achten Sie bitte darauf, dass Ihr Netz nur so sicher
sein kann, wie der am schlechtesten konfigurierte Rechner im Netz.
Es macht dann Sinn, alle Verzeichnisse für den Schreibzugriff durch
andere Rechner im Netz zu sperren. Für den Datenaustausch und
beispielsweise die Nutzung des MP3-Archivs für alle Rechner im Netz
richten Sie dann einen Ordner "pub" o.ä. ein, so dass nur auf
dieses Verzeichnis und dessen Unterverzeichnisse schreibend
zugegriffen werden darf.
Um ein solches Ungemach künftig weniger aufwendig beseitigen zu können,
empföhle es sich, künftig mit einer Software, die Festplatten-Images
anfertigen kann, ein Backup einer solchen sauberen Installation
anzulegen. Eine solche Software kostet zwar in aller Regel Geld, aber
der Unterschied zwischen "ein Wochenende Arbeit" und "30 Minuten Arbeit"
ist sicher auch etwas wert. Vor der Wiederherstellung einer solchen
Images sollten Sie aber daran denken, dass viele Programme auf der
Systempartition anwenderspezifische Daten speichern, zum Beispiel bei
Windows XP standardmäßig unterhalb des Verzeichnisses "C:\Dokumente und
Einstellungen\".
Auch unsere Software speichert dort Anwenderdaten. Es empfiehlt sich,
diese Daten direkt aus den Anwendungen selbst zu sichern und später
- nach der Wiederherstellung des Images - ebenfalls wiederherzustellen.
Mit freundlichen Grüßen
Ihr T-Home-Team
--- --- --- --- --- --- --- --- --- --- --- --- --- --- ---
http://forum.t-online.de/ -> Service-Foren
--- --- --- --- --- --- --- --- --- --- --- --- --- --- ---
Hallo Ulli,
Gerade habe ich ein Image vom 10. März 2009 zurückgeschrieben. Und dies
scheint auf den ersten Blick sauber zu sein, zumindest was die offen
erkennbaren Punkte betrifft: Die Firewall bleibt stabil eingeschaltet,
und die DNS-Server-Einstellungen werden automatisch bezogen. Mehr habe
ich noch nicht geprüft.
Wenn das System immer noch infiziert sein sollte, müssen sie davon
ausgehen, dass ein auf diesem kompromittierten System laufender
Virenscanner trotzdem nichts finden kann. Indem Sie den Rechner mit
Knoppix von CD-ROM starten, sieht das natürlich anders aus, weil der
Schädling dann nicht laufen kann. Erfolgte der Download von Knoppix und
das Brennen allerdings vom infizierten PC aus, wäre wiederum eine
Manipulation möglich. (Wir haben von einer solchen Funktion einer
Schadsoftware zwar noch nichts gehört und halten sie auch für eher
unwahrscheinlich, aber man weiß ja nie.)
Allerdings muss der unter Knoppix laufende Virenscanner natürlich vor
dem Scan hinsichtlich der Signaturen auf den neuesten Stand gebracht
werden. Haben Sie dies getan?
Mir ist klar, daß jede Überprüfung nicht
erschöpfend sein kann und daß es Schädlinge geben kann, die sich nahezu
perfekt tarnen. Aber es spricht doch einiges dafür, daß ein System
sauber ist, wenn man nicht das Gegenteil feststellen kann. Ich werde
kritisch weiter untersuchen, aber spare mir zunächst die
Neuinstallation. Sonst wäre ich nicht so schnell wieder online.
Letztlich ist dies Ihre Entscheidung.
Über den Infektionsweg kann ich naturgemäß nichts Genaues sagen. Ob
über eine Website oder über einen E-Mail-Anhang, wer will das wissen?
Per E-Mail-Attachment ist heute eher unwahrscheinlich, da Microsoft die
Lücken, die zur automatischen Ausführung von in Mails enthaltenen,
schädlichen Code führten, in seinen Mail-Clients Outlook Express,
Outlook und Windows Mail unseres Wissens schon vor längerem geschlossen
hat. Das erste Einfallstor dürfte heute die Webbrowser sein, daher ist
es auch von Bedeutung, eine Schutzsoftware mit Webfilter zu verwenden,
da solche Angriffe von OnAccess-Scannern nicht entdeckt werden können.
Noch wichtiger als der Webfilter sind aber regelmäßige Updates des
Betriebsystems, der Browser und aller Plugins. Adobe Flash und der Adobe
PDF-Reader (*) haben hier erst jüngst wieder Löcher aufgerissen, Suns
Java gehört auch dazu, hat zuletzt aber keine negativen Schlagzeilen
mehr gemacht.
(*) Beachten Sie hierzu http://www.heise.de/security/news/meldung/137309
Das Problem besteht nämlich immer noch.
Vielleicht weiß einer von Euch eine Antwort auf ein Problem, das ich
nicht auf Malware zurückführe: Oft kann ich das System nach dem
Bootvorgang nicht benutzen, weil sich kein Programm (bis auf wenige, z.
B. Pegasus) öffnen läßt. Auch der Startknopf läßt sich nicht drücken,
so daß nur ein Neustart mit dem Hardwareschalter hilft.
Auch wir würden hier als erstes an "Hardwarefehler" denken, aber das ist
nicht zwingend so. Vielleicht wird dieses Problem ebenfalls durch eine
komplette Neuinstallation beseitigt. (Na? Jetzt motiviert?
Mit freundlichen Grüßen
Ihr T-Home-Team
--- --- --- --- --- --- --- --- --- --- --- --- --- --- ---
http://forum.t-online.de/ -> Service-Foren
--- --- --- --- --- --- --- --- --- --- --- --- --- --- ---
Kaufberatung anfragen
Zum Kontaktformular
Füllen Sie schnell und unkompliziert unser Online-Kontaktformular aus, damit wir sie zeitnah persönlich beraten können.
Angebote anzeigen
Zu den Telekom-Angeboten
Aktuelle Telekom Angebote für Mobilfunk (5G/LTE), Festnetz und Internet, TV & mehr.
