Spionagesoftware ins Netz eingedrungen

"FinFisher FinSpy" -Spionage Software der Deutschen Regierung auf meinen PCs! Wirtschaftsprüfer /Steuerberater. Trotz hochwirksamer Smartcardabsicherung und teuersten Virenscannern im Netz! Gestern Nacht mit dem neuen DETECT von Amnesty International aufgespürt. FFFS ist ein von einer Deutschen Firma produzierter, "extrem sophisticated backdoor", den diese an die Bundesregierung verkauft hat. Bin für jeden Hilfetipp dankbar. Ich bin jetzt sowas von sauer auf diese Stasi-Angie, dass es scheppert!
mkG Eckert

22.11.2014 / 07:54 Uhr
"FinFisher FinSpy" -Spionage Software der Deutschen Regierung auf meinen PCs! Wirtschaftsprüfer /Steuerberater. Trotz hochwirksamer Smartcardabsicherung und teuersten Virenscannern im Netz! Gestern Nacht mit dem neuen DETECT von Amnesty International aufgespürt. FFFS ist ein von einer Deutschen Firma produzierter, "extrem sophisticated backdoor", den diese an die Bundesregierung verkauft hat. Bin für jeden Hilfetipp dankbar. Ich bin jetzt sowas von sauer auf diese Stasi-Angie, dass es scheppert!
mkG Eckert

-pcs vom netz trennen.
-experten mit der analyse möglicher datendiebstähle und entfernung der schadsoftware beauftragen.
-rechtskündigen rat einholen, wie Sie sich jetzt verhalten sollen.
-den ng-administrator bitten, den beitrag zu entfernen.

ps: die smartcard schützt verbindungen, nicht ihre it-infrastruktur. virenscanner allein reichen nicht.

- den Datenschutzbeauftragten informieren

Nur, eventuell ein?!, Virenscanner reicht nicht.
Diverse andere Massnahmen gehören auch dazu. Sind sogar weitesgehend kostenfrei (Updates..).

Gute Nachricht. Ein manueller Intensivscan mit Datev-VIWAS classic V.7.6 (McAffee-Virenscanner) erkennt jedenfalls diesen Staatstrojaner FinFisher FinSpy als unerwünschte Software (unten) und kann ihn sogar vernichten. Das Eindringen konnte VIWAS allerdings nicht verhindern! (Kollegen)rat: Unbedingt das kostenlose neue Detekt ( ResistSurveillance aus diesem Originallink) verwenden. Zumindest weiß man dann, ob man mit staatlicher Spionagesoftware infiziert ist. Dass VIWAS diese backdoor vernichten kann, ist aber großes, wenn nicht reines Glück! Normalerweise muss man den ganzen PC (wertvoll konfiguriert) am besten komplett vernichten. Es sei denn man kann die Kosten für zuverlässige Spezialisten bezahlen, die den tatsächlich wegbekommen! Der Spion nistet sich (nicht lachen!) in C: Documents and Settings-All Users-WindowsProtectManager-wprotectmanager.exe als Generic PUP.x ein. Wie die Datev aber grundsätzlich richtig sagt: Smartcard+Virenscanner reichen grundsätzlich nicht zu 100% aus, PC-Sicherheit zu garantieren. Wird nichts anderes übrig bleiben, als mindestens 1x pro Woche Detect über den PC laufen zu lassen. Über Nacht! Dauert nämlich sehr lange. Danke Datev für den Support. Und danke Amnesty International für Detect . MkG Eckert

Hallo Herr Eckert,

bitte nehmen Sie mit unserem Support Kontakt auf.
Sie erreichen uns unter 0911 319-6060 oder viwas@service.datev.de.

Mit freundlichen Grüßen

DATEV eG
Natalie Titze
IT-Basissoftware 2

Diverse andere Massnahmen gehören auch dazu. Sind sogar weitesgehend kostenfrei (Updates..).

Schonmal gegoogelt, wie der Finspy u. Konsorten sich verbreiten? ;)

@theo

gerade.. auf die schnelle aber nichts gefunden.

meinst du durch updates direkt von der herstellerseite?

meine beiden vor 2-4 jahren aufgesetzten Systeme hatten bisher noch keinen befall, auch nicht mit staatstrojanern. gescannt mit diversen scannern, detekt etc.

so schlimm kann regelmäßiges, vollumfängliches updaten nicht sein ;)

Jo, so ähnlich. Man kann sich zumindest als legitimes Update tarnen (s. englischer Wiki-Artikel oder auch Stuxnet dazu interessant). Wenn Mutti u. Konsorten auf den Rechner wollen, kommen sie auch drauf. Nur eine Frage des Aufwands....

"als legitimes Update tarnen".

ja, gut, wenn man nur direkt von der Herstellerseite Updates zieht und alle andere Videoplayerupdates etc. wegklickt, dann ist man schon relativ "sicher".

Eine Frage des Aufwands und der Kosten.. ja, das stimmt. Nur mit ein paar Regeln bleibt man zumindest von Scriptkiddies bzw. "zufälligen" Infektionen sowie "Amateurhackern" verschont.

Hoax, oder schlechte Werbung für detect ?

Drive-bys gibts unter Windows ja auch noch, zB per infizierten Werbebannern. Soll der FinSpy ja auch können......ist ja auch kein Wunder, bei Regierungen, die nicht nur ZeroDays implementieren, sondern auch den Markt 'leerkaufen' ;) Würd auch mal behaupten, die meisten Router sind kompromittiert (da bspw. Ami-Hersteller) u. gerne auch mal ungepatcht.....und wenn das Ziel interessant genug ist (iranische Atomanlage oder so), gibt halt M$ höchstpersönlich den Man-in-Middle.....

...jetzt wird sogar hier schon getrollt.
Sie meinen tatsächlich, dass ein Staatstrojaner sich einfach scannen und entfernen lässt und nur als einzelne Datei im Benutzerpfad liegt?

lächerlicher hoax

MfG

Ahh - überlesen:

"wprotectmanager.exe als Generic PUP.x" = browser hijacking

(PUP = potentially unwanted program - hier wprotectmanager.exe von Cherished Technology Limited)

Warum ? - "...erkennt jedenfalls diesen Staatstrojaner FinFisher FinSpy..."

Ein kleiner Hinweis:

Das Tool DETEKT von Amnesty International ist mittlerweile in die Kritik geraten.

Heise.de: Scanner-Software DETEKT warnt vor sich selbst

Von daher sollten vermeintliche Eindringlinge auch mit anderen Tools verifiziert werden. Sonst kann da auch schnell nach Phantomen gejagt werden, die nicht da seind.

Apropos Phantome, die nicht oder doch da sind: Seit ca. Windows-XP hatte ich Ereignisse in der Richtung. Einmal war ich ganz bewusst auf einer dubiosen Seite. Avira meldet was, lässt aber im gleichen Zug ne gefühlte Million durch.

Das zweite war die liebe Datev, die mich darüber informierte, dass ich ihnen eine infizierte Mail geschickt hätte, von einen System für das es keine Schadsoftware gibt. Die Mail zurückzubekommen, um das selber zu überprüfen war natürlich nicht möglich. Aber netterweise war so eine Art Protokoll in der Info-Mail: Nur der ClamAV hat was gemeldet. Das hab ich dann mal unter Fehleralarm abgespeichert und mich nicht auf die Jagd nach Gespenstern begeben ;)