Trojanerbefall Server

[mancharta]

Servus,

ich habe hier einen Windows Server 2012 R2 mit einem Trojanerbefall. Der Virus / Trojaner hat zuerst alles verschlüsselt (wurde mittels Backup gerettet) und nun ein sehr komisches Problem. Der Virus blockiert alles Virenschutzprogramme und nun das kuriose: Er hat den DHCP Server befallen. Ich habe den DHCP Server mehrfach neu installiert und sämtliche Virenentferner wie ADWCleaner oder Malewarebytes rüberlaufen lassen und nie wird was gefunden. Das laufende Virenprogramm kann ich auch nicht mal beenden da alles geblock wird ("keine Rechte")

Ich hoffe jemand weiß hier weiter oder hatte einen ähnlichen Fall.

 

LG

 

Luca

[thaga]

Ich würde einen befallenen Server unverzüglich vom Netzt nehmen - Festplatte klonen und dann die geklonte Festplatte untersuchen, des weiteren vertraue ich keinem befallenem System und setz es neu auf.

 

Wichtig - Infektionsweg untersuchen.

[BlackIP]

Was für ein Backup ? Full ? 

Kann natürlich sein, dass der Befall schon drauf war als das Backup erstellt wurde. Damit wüdest du es einfach immer wieder au die Kiste drauf bügeln.

Notfalls ein älteres Backup mal installieren. Wenn das nicht hilft kannst du natürlich noch die Festplatte formatieren und komplett alles neu machen - ist natürlich die unschönste Lösung

[KeeperOfCoffee]

Spuckt HitmanPro irgendwas aus? Das Teil findet meist mehr als MBAM. Ansonsten wäre das wohl nicht das allerbeste Forum für sowas...

[Sullidor]

Ich verstehe nicht völlig. Wurde nur 1 Server befallen oder gleich mehrere? Hast du den (DHCP)Server neu aufgesetzt, ihn aus einem Backup wieder hergestellt oder nur die Rolle des DHCP-Servers neu installiert? 

 

[Maniska]

vor einer Stunde schrieb Sullidor:

Ich verstehe nicht völlig. Wurde nur 1 Server befallen oder gleich mehrere? Hast du den (DHCP)Server neu aufgesetzt, ihn aus einem Backup wieder hergestellt oder nur die Rolle des DHCP-Servers neu installiert?

Ich habe es so verstanden, dass er nur die Rolle neu installiert hat, was ich als relativ sinnbefreit ansehen würde.

Ist es ein virtueller Server? Dann offline nehmen, neuen DHCP Server aufsetzen, Einstellungen übernehmen und vor allem das Einfallstor des Verschlüsselungsgewürms dicht machen. Irgendwo muss der ja hergekommen sein.

Ich persönlich traue keinem OS das schon mal einen Schädling hatte. Wenn du den Server nicht sauber aus einem Backup wiederhergestellt bekommst, mach es neu.

 

 

 

[Tayfun]

Du hast einfach zu ungenau die Situation beschrieben.

Hast du den DHCP Server virtuell oder nicht? Wie hast du es neu aufgesetzt? Wie alt war das Backup?

nimm dir mal zeit und beschreibe das ganze etwas besser.