Ich hatte am Donnerstag den mittlerweile zweiten Bekannten auf der Matte stehen, der von seinem Internetprovider (T-Online) eine Mail bekommen hat in der es heißt sein Rechner sei von einer Schadsoftware befallen und Mitglied in einem Botnetz. In der Mail (4 Seiten lang) heißt es unter anderem, dass von seinem Rechner aus Spam-Mails versendet wurden in denen für Viagra und Glücksspiele geworben wird. Deshalb wurde der Zugriff auf sein E-Mail-Konto und einige Ports für den E-Mail-Versand gesperrt.
(Die Mail habe ich nicht gesehen, der Inhalt wurde mir so geschildert, auch von dem Anderen Bekannten - der hatte sein Schlepptop aber schon in Eigenregie neu installiert und mir erst hinterher von der Mail erzählt.)
Er soll seinen PC neu installieren, erst dann werden die Beschränkungen wieder aufgehoben.
Nun, ich hab mir die Kiste dann mal angesehen und konnte nichts feststellen. Er hat ein voll aktuelles Antivir drauf, alle Sicherheitsupdates sind im WinXP drin und die Windows-Firewall ist aktiv. Dazu ist er normal noch von seinem Router geschützt. Die Log-Datei von Antivir ist sauber, es wurde noch nie was kritisches gefunden. Er hat den PC auch regelmäßig alle 2-3 Wochen vollständig scannen lassen.
Hab die Platte dann an einen meiner PCs angeschlossen und den Norton 2010 von meinem PC sowie die Onlinescanner von Bitdefender und Kaspersky auf seine Platte losgelassen. Anschließend sicherheitshalber auch noch PC-Cillin und ClamAV von einer Knoppix-CD aus. Keiner hat etwas gefunden.
Dazu muss ich sagen, dass sein Internetanschluss nur von diesem einen PC genutzt wird, und das per Kabel, ein W-LAN Netzwerk hat er nicht. Also auch keine Möglichkeit, dass sein Anschluss von irgendjemand mitgenutzt wird.
Nun stellt sich mir die Frage, wie die Telekom eigentlich feststellt, dass eine Infektion vorliegt? Anlysieren die die SMTP-Ports und schauen nach was da versendet wird? Kann mir nicht vorstellen, dass die das dürfen... Und warum wird der Zugang zu seiner E-Mail-Adresse gesperrt? Wenn ein Trojaner drauf ist, der Spam raushaut, dann erfolgt das doch anonymisiert über den Trojaner selbst, und nicht über das auf dem PC eingerichtete Postfach, oder sehe ich da was falsch?
Er hat inzwischen mit der Telekom gesprochen und denen geschildert dass der PC überprüft wurde und offenbar sauber ist. Aber die wollen die Beschränkungen erst wieder aufheben, wenn der PC neu installiert wurde. Das bringt mich zur nächsten Frage: Wie bitteschön wollen die Telekomiker feststellen ob ein PC neu installiert wurde oder nicht? Das können die ja gar nicht, außer vielleicht sie sniffen aus der Registrierung des Betriebssystems bei MS den Installationscode heraus - der verschlüsselt übertragen wird. Das darf T-Online aber ganz sicher nicht. Und wenn die Registrierung per Telefon gemacht wird haut das auch nicht hin.
Also was soll das Ganze, könnt ihr euch einen Reim darauf machen? Viel Text, ich weiß - Danke fürs Lesen!
