Ich bin Michael Friedrich, aber nicht die Apay AG. Rechnung als Trojaner

Gestern bekam ich eine Mail von einem Bekannten weitergeleitet, der mich bat, meinen Rechner auf Viren zu scannen. Scheinbar war eine E-Mail von Michael Friedrich, Apay AG bei ihm eingetroffen, die eine ausführbare Datei „Rechnung-April.exe“ enthielt. Etwa ein Virus, der auf mich / meinen Rechner zurückzuführen ist?

Das kam mir merkwürdig vor. Zum einen ist mein Virenschutz nach bestem Wissen und Gewissen in Ordnung und aktuell, zum anderen lautet meine E-Mail-Adresse nicht mfriedrich@fastmail.fm …

Zunächst schrieb ich daher zurück, dass ich mir keiner Schuld bewusst sei und nicht Inhaber der angesprochenen fastmail.fm-E-Mail-Adresse. Aber ich war darüber hinaus sehr unglücklich, dass jemand meinen Namen für seine Spam-Versuche verwendet und ging auf Recherche.

Dabei fand ich unter anderem diesen Artikel von Martin Maciej auf giga.de: „Rechnung von Apay AG und Michael Friedrich: Was Tun?“, der das ganze Umfeld gut beschreibt.

Kurz gesagt gilt aber auch für die E-Mail des falschen „Michael Friedrich“ der Apay AG das, was bei Nachrichten mit falscher Grammatik, fehlender / fehlerhafter Anrede und dubiosen Anhängen im ZIP- oder EXE-Format zu beachten ist:

1. Den E-Mail-Anhang auf keinen Fall öffnen
2. Die betreffende E-Mail endgültig löschen

Das war es auch schon. Wenn man so verfährt, kann ein per Mail versendeter Trojaner keinen Schaden anrichten. Bei der Gelegenheit kann man gern eine grundsätzliche Viren-Scan-Aktion durchführen, das ist aber unabhängig vom Empfang der Mail regelmäßig ratsam. Vernünftige Nutzer haben ohnehin einen eingeplanten und damit regelmäßig laufenden Viren-Scan.

Sollte der E-Mail-Anhang allerdings bereits geöffnet worden sein, ist SOFORT der Virenscan zu aktivieren und der Rechner auf Viren untersuchen zu lassen. Sollte das zu keinem Ergebnis führen, dann ist wahrscheinlich eine Systemwiederherstellung vonnöten.

Ich empfehle, darüber hinaus das Passwort für das persönliche E-Mail-Postfach zu ändern, da der Virus dieses ausgelesen haben kann und der Account zukünftig für den Versand von weiteren Spammails verwenden werden könnte.

Wer sichergehen möchte, dass nichts mehr auf dem Rechner zurückgeblieben ist, kann sich Spybot 2 (kostenlose Version für Privatanwender unter http://www.safer-networking.org/de/private/) herunterladen und installieren. Damit kann man Schadsoftware, Spyware und so genannte Rootkits auffinden – oder seinen Rechner gegen solche Schädlinge immunisieren. Wichtig: Nachdem ein Rootkit gelöscht wurde, springt unter Umständen das Anti-Virus-Programm noch einmal an und findet weitere installierte Trojaner oder andere Schadsoftware.

Technisch interessant ist in diesem Zusammenhang auch die Darstellung des giga.de-Users Johannes Fankhauser, der offenbar ausprobiert hat, was passiert, wenn man den virenbehafteten Dateianhang Rechung-April.exe tatsächlich öffnet. Hier kommt sinngemäß seine Zusammenfassung:

Es starten drei Prozesse:

• Searchprotocolhost.exe
• searchfilterhost.exe
• csrss.exe

Anschließend wird eine rm.bat erstellt, welche sich selbst und die Rechnung-April.exe löscht. Danach laufen die drei genannten Prozesse im Hintergrund weiter.

Das hört sich alles noch nicht so schlimm an, denn alle genannten Prozesse sind als Windows-Systemprozesse bekannt. Allerdings kann es sich bei der csrss.exe, wenn sie außerhalb des Windows-Systemverzeichnis ausgeführt wird, auch um einen Virus, Malware oder ähnliches handeln.

Fazit: Bitte öffnet den Anhang Rechnung-April.exe nicht, auch wenn die Mail scheinbar von mir kommt. Löschen und anschließend macht bitte einen Virenscan!

Euer Michael (Friedrich), nicht die Apay AG