Neue Bedrohung durch Trojaner Ukash-BKA

Lesen Sie in nachfolgendem Beitrag einige Informationen über eine neue Bedrohung namens „Ukash BKA„, die sich in diesen Tagen (Mai 2011) erstaunlich schnell verbreitet und zu etlichen Verwirrungen führt. Insbesondere, da dieser Trojaner eben nicht nur sehr hartnäckig die befallenen Rechner blockiert, sondern auch der Umstand, dass es sehr unterschiedliche Aussagen über dessen Entfernbarkeit gibt.

Aus gegebenem Anlass, heute wieder mal einen Hinweis, von dem ich jedem Leser nur wünschen kann, dass er ihn nicht als Betroffener hiernach gesucht hat, aber für diesen Fall zumindest und –auch entgegen einiger Behauptungen in div. Foren– es doch eine Lösung gibt, bei der Sie nichtgleich den ganzen Rechner löschen müssen.

Ich rede dabei von einem Trojaner namens UKash BKA der sich nach dem Muster einer räuberischen Erpressung mit gezieltem Anspruch auf Bezahlung an den Besitzer wendet und die Behauptung aufstellt, dass erst eine Geldanweisung von 100,oo €uro den befallenen PC wieder freigeben würde. Ganz besonders frech ist hier der Eindruck, dass es sich um eine offizielle Meldung des Bundeskriminalamtes handeln würde und die Adresse für Rückfragen auch noch mit ukash_at_bundeskriminalamtes.org angegeben wird.

Doch schauen wir uns kurz die Fakten an: Bis zum heutigen Tage (Dienstag, der 10.Mai) gibt es noch immer erschreckend viele Antivirus- und Sicherheitsprogramme, die einen Befall des Rechners nicht verhindern, oder auch nur anzeigen würden. Ob dies auch für ihre Sicherheitssoftware zutrifft, können Sie unter anderem bei VIRUSTOTAL.COM nachlesen! Demnach –und mit Stand vom heutigen 10.Mai 2011– immerhin „gerade mal“ 27 der 40 meistgenutzten Sicherheitsprogramm den UKash BKA erkennen können. Um nun überprüfen zu können, ob auch ihre AV-Software sie schützt, können Sie entweder in dieser Liste nachsehen ab welcher Version dies der Fall ist, oder auch direkt bei dessen Hersteller anfragen.

Da ich selbst auf den meisten Systemen, die von mir betreut oder begleitet werden, den aVast von alwill einsetze, habe ich dort mal im Ticket-Center angefragt und die Nachricht erhalten, dass aVast diese Malware wohl erkennt und weiß auch mittlerweile aus anderer Erfahrung, dass ein Ausbruch nicht nur erkannt, sondern auch verhindert wird.

Doch um auch zum guten Teil der Nachricht zu kommen: die leider in gleichmehreren Foren vertretene Meinung, dass hier nur ein Neuaufbau des Rechners noch helfen würde, stimmt so nicht! Wie der Blogbetreiber Steven K. in seinem Beitrag XyliBox: Trojan.Ransom Fake Federal German Police BKA notice. auf seinem Blog erklärt, kann man das Ding durchaus abschalten!

Da Beitrag, wie Erklärung in englisch sind, hier eine rasche Übersetzung dessen:

1. Starte deinen Rechner neu
2. Bevor dein Windows System den s.g. „splash screen“ zeigen kann (also dort, wo auf schwarzem Hintergrund Windows Fahne, Logo, oder der XP-Kasten steht), drücke auf die F8 Taste und wechsle in „Erweiterte Optionsmenü“ von Windows, wo du dann den „Abgesicherter Modus mit Command Prompt“ auswählen musst.
3. Gebe dann ‚regedit‚ in das Konsolen-Prompt ein und gehe an folgende Stelle:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
4. Find dort den Schlüssel ‚Shell‚ und ersetze den dort eingetragenen Wert auf ‚explorer.exe‚
5. Starte deinen PC neu.

Wer hier noch Unsicherheiten hat, der findet auf der zuvor verlinktem XyliBox-Seite einen YouTube-Film der nicht nur eingangs den Virusbefall zeigt, sondern auch ab 1 Minute und 8 Sekunden eine Aufzeichnung der hier beschriebenen Entfernung über die Registry – ist wirklich kein Hexenwerk.

Ein Hinweis zum Schluss noch: diese Beschreibung entfernt nicht den eigentlichen Virus! Im Film wird aber an der Stelle ab 2 Minuten und 21 Sekunden gezeigt, dass der Verfasser auch noch den vorherigen Eintrag in besagtem Registry-Wert bei ‚Shell‚ in die Zwischenablage kopiert und anschliessend –also noch im abgesicherten Modus– dann auch die dort aufgerufene Datei von seinem Rechner löscht.

Ich hoffe damit dem ein, oder anderen geholfen zu haben und wünsche allseits einen sicheren, unterhaltsamen und informativen Aufenthalt in den Wirren des Wordwide Web 😉