USB-Trojaner-Lücke in Windows

**Oscar**

Oh, Mist! Habe auch schon alles versucht, aber die Icons sind (nach dem Neustart) nicht mehr zu sehen.

Das ist irgendwie sehr unbefriedigend. Wenn ich das richtig verstanden habe, dann verbreitet sich der Virus per USB-Stick bzw. durch Weitergabe eben einer LNK-Datei, oder?
Mit anderen Worten: Man muss "nur" verhindern, dass eine solche LNK-Datei mit Windows in Berührung kommt?

Dann werde ich wohl die Änderung an der Reg wieder rückgängig machen. Ohne Icons ist meine Schnellstartleiste ein Witz.

**BugFix**

Zitat von Oscar

Ohne Icons ist meine Schnellstartleiste ein Witz.

Wenn es nur um die Schnellstartleiste geht: dann verwende doch Object-Dock. Das habe ich zusätzlich um nicht so viele Icon auf dem Desktop zu haben. Außerdem gibt es 'ne Menge schöner Effekte und das gratis.

**Oscar**

Es ist ja nicht nur die Schnellstartleiste. Die Icons auf dem Dekstop (habe einige in verschiedene Ordner abgelegt) sind zum überwiegenden Teil auch betroffen.
Wobei ich nicht verstehe, warum nicht alle Icons von Verknüpfungen verschwunden sind!?

Microsoft soll endlich einen Patch für den IconHandler rausbringen...

stayawayknight

[ironie]Basteln wir uns doch was mit Autoit [/ironie]
Ne mal im Ernst, das Ding soll schnell raus, die Lücke ist echt gefährlich. Werde auf jeden Fall die Virenscanner täglich nach Update suchen lassen, evtl. kann ich so eine Sicherungsmaßnahme ergreifen.
So wie ich jetzt verstanden hab, ist die Lücke nur bei USB-Sticks vorhanden - wieso reagiert der Workaround dann auch auf die Desktop Symbole?
Zeigt der Workaround eigentlich nur die Icons nicht an (wäre schlecht) oder schließt die fehlende Parameterüberprüfung?

auch ganz interessant dazu:
http://www.chip.de/news/Trojaner-…t_43895704.html (vor allem weiter unten)

**Greenhorn**

Zitat von Oscar

Wobei ich nicht verstehe, warum nicht alle Icons von Verknüpfungen verschwunden sind!?

Welche meinst Du ?

**Oscar**

Das war unterschiedlich. Auf meinem Hauptrechner (Win7, 64 Bit) war das bei einer Verknüpfung zu einem Spiel, dass dort das Icon weiterhin angezeigt wurde.
Auf meinem Server-Rechner (mittlerweile auch Win7, 64 Bit) wurden die Icons vom AdobeReader, von Firefox und AviraAntivir weiterhin angezeigt. Jeweils alles Verknüpfungen zu den Programmen.

opaed

Hi Leute,
reicht es nicht einfach unter Service den Webclient zu deaktivieren und nur bei Bedarf wieder zu aktivieren.
Natürlich nur solange bis ein entsprechendes Hotfix rauskommt.
Ihr ersparrt euch den Ärger mit den fehlenden Icons.
Das Einschleussen über die USB-Sticks kann man doch am heimischen PC sehr leicht steuern.

progandy

Zitat von Oscar

Das war unterschiedlich. Auf meinem Hauptrechner (Win7, 64 Bit) war das bei einer Verknüpfung zu einem Spiel, dass dort das Icon weiterhin angezeigt wurde.
Auf meinem Server-Rechner (mittlerweile auch Win7, 64 Bit) wurden die Icons vom AdobeReader, von Firefox und AviraAntivir weiterhin angezeigt. Jeweils alles Verknüpfungen zu den Programmen.

Diese Icons werden wohl noch im Cache sein. Der ist aber nicht groß genug für alle

i2c

Ich würde mich da jetzt nicht so extrem auf die USB-Sticks und andere externen Datenträger fixieren. Die Lücke kann doch generell von jeder Installation ausgenutzt werden.

**Oscar**

@progandy: Stimmt! Das könnte sein. Kann man nicht einfach den Icon-Cache vergrößern?

opaed: Problematisch sind nicht nur USB-Sticks, denke ich. Vermutlich reicht auch ein präpariertes ZIP-/RAR-Archiv mit LNK-File und Trojaner. Sobald der Explorer das Icon der Verknüpfung anzeigen will, schlägt der Trojaner zu.

**BugFix**

Am Icon-Cache liegt es m.M. nach nicht. Habe die Iconcache.db gelöscht (wird bei Neustart dann neu angelegt). Effekt gleich Null.
Es sind ausschließlich die Icons von Links auf EXE-Dateien betroffen. Neu angelegte Verlinkungen sind dann auch ohne eigenes Icon.
Ich habe nun versucht mit TweakUI ein Icon Repair auszuführen. Einziger Effekt: Alle EXE-Icon sind jetzt futsch. Unumkehrbarer Vorgang. Naja, ob ein paar oder alle futsch, ist wohl eh Wurscht.

opaed

@ideas2code & Oscar ,
Ihr habt natürlich Recht, war sehr kurzsichtig von mir :pinch:

AntiSpeed

Würde Kaspersky es denn nicht erkennen, wenn die Datei versucht einen Rootkit-Treiber zu installieren?
Wenn Nein, was dennkt ihr, wie lange dauert es noch bis Microsoft das Update rausbringt ? (habe win7x32)

Slowly

Ich denke, dass wir nicht auf den nächsten Patch-Day warten müssen.
Mit der Lücke kommt man ja fast überall hin, unerkannten Schadcode zu entwickeln ist da nicht das Problem, bei der Lücke hilft auch kein AV.

Nur das deaktivieren des Dienstes über die Reg - und die damit unerwünschten Konsequenzen - und , wie immer, ein wenig gesunder paranoider Verstand

progandy

Zitat von SlowlyDead

bei der Lücke hilft auch kein AV.

Warum denn nicht? Der AV muss "nur" die LNK-Datei vor dem Icon-Dienst scannen und gegebenenfalls blockieren.

AntiSpeed

Mit anderen Worten:
Wenn man die Icons umbeding bei einer *.lnk haben möchte, ist man "geliefert".
Oder nicht?

progandy

genau. Bis es entweder einen Patch gibt oder einen AV oder ein anderes Programm, das die lnk-Dateien vor dem Zugriff scannt.

Edit: Oder jemand schreibt einen eigenen Icon-Handler

AntiSpeed

Kann man sich denn nicht anders davor schützen?
Ich mag meine Icons ja sooo .

progandy

Zitat von Antispeed

Kann man sich denn nicht anders davor schützen?
Ich mag meine Icons ja sooo .

Nö, Du kannst aber eine Launcher-Exe mit Icon in AutoIt schreiben, die du statt dem lnk-File verwendest.

Developer30

Zitat von progandy

Warum denn nicht? Der AV muss "nur" die LNK-Datei vor dem Icon-Dienst scannen und gegebenenfalls blockieren.

Doch glaub schon, dass das gefunden wird. Jedenfalls kenne ich einen, bei dem der Virenscanner ein Virus in einer *.lnk gefunden hat.