BKA-Trojaner bei skyrim.nexusmods

Ich hatte eine Nexus_downloader.exe von Oblivionnexus, aber schon vor ca. 2 Wochen.
(Von einer Skyrim.exe habe ich auch gelesen.)

In diesem Thread auf Nexus wurde viel darüber diskutiert.

Die Datei nannte sich, wie am Anfang schon gesagt, "Nexusmods.exe" und ich habe sie erstmalig und nichtsahnend ausgeführt, da ich dachte, dass bei den Nexus-Mods wieder was neues eingeführt wurde was die Modinstallation angeht. Und ein paar Minuten später begann der Spuk.
Mit dem NMM habe ich es nicht nochmal riskiert.

Ich würde jedem empfehlen, die Nexus-Seiten zu meiden, bis die Admins die Kontamination eingedämmt und es offiziell bestätigt haben.

Hopla schrieb:

... Muss aber wahrscheinlich alles neu aufsetzen...

Zum Vergrößern anklicken....

Das brauchst du nicht, denn der Trojaner lässt sich sehr leicht entfernen.
Dieser "Virus" hat sich in den letzten zwei Jahren zum "Lieblingstrojaner" in meiner Familie entwickelt. 7 oder 8 mal schlug das "Teil" bei meinen Eltern, Bruder, Schwester und auch einmal bei mir zu.
Besonders bei mir mit einer ganz miesen Masche. Jeder hatte wohl schon mal ein Fehlerfenster in dem stand das Programm XY nicht mehr richtig funktioniert und geschlossen werden muss, ein Klick auf OK und schon hatte ich mir damals dieses "Mistvieh" eingefangen. Für alle die nicht wissen, wie sich dieser Trojaner bemerkbar macht: Bei Befall erscheint ein Screen und der Zugriff auf den Rechner wird gesperrt.
Wir hatten da schon so einiges, FBI, BKA oder auch Telekom. Es wird einem vorgeworfen sich ilegale Dinge angeschaut, hoch oder runter geladen zu haben und deshalb werde der Rechner gesperrt bis man ein Bußgeld bezahlt hat.
Merkwürdig ist dabei auch wie und wo man die Zahlung zu leisten hat, oft sogar an Tankstellen. Man soll den Betrag auf Prepaid Kreditkarten laden.
Ist natürlich völliger Unfug und sollte jedem halbwegs logisch denkenden Menschen skeptisch werden lassen, dennoch zahlen wohl sehr viele Unwissende den geforderten Betrag.
Der Vorwurf sich zB Kinderpornos oder Rechtsradikales angeschaut zu haben ist halt äusserst peinlich.
Meine Mutter fiel aus allen Wolken als mein Vater sich mit diesem Vorwurf den Trojaner einfing. Glücklicherweise konnte ich sie aufklären und einen sich anbahnenden Eheschreit gleich im Keim ersticken. :-D

Wichtig für die Entfernung ist nur einen Wiederherstellungspunkt zu haben. Dieser wird im Normalfall bei einem Windowsupdate automatisch gesetzt.
Da man keinen Zugriff auf seinen hochgefahrenen Rechner hat, muss mittels Reset der Rechner neu gestartet werden, beim Hochfahren (vor dem Laden von Windows) je nach BS die Taste für die Windowsstartkonsole öffnen. (Wird meist kurz eingebledet welche Taste gedrückt werden muss) Windows im abgesicherten Modus starten und eine Systemwiederherstellung starten. Danach Rechner neustarten und den Virenscanner seines Virenschutzes die Festplatte(n) durchsuchen lassen. Nach meiner Erfahrung sollten mindestens zwei Schädlinge gefunden werden, diese über den Virenschutz entfernen und voila, der Rechner gehorcht einem wieder.

Lillyen schrieb:

Wie "ausgeführt"? Erst einmal ist das ja eine Exe, die man selbst ausführen muss. Oder hat der NMM diese beim "Mod installieren" ausgeführt?

Zum Vergrößern anklicken....

Nope, dieser Trojaner is da ein wenig hinterlistiger. Um genau zu sein, sehr hinterlistig. Ich hatte den auch schon. Bei mir war es so, dass ein Programm runtergeladen wurde (im hintergrund, beim besuchen einer website), diese hat wieder ein programm runtergeladen, etc. pp. Das ganze ging wohl mehrere Tage, weswegen ich nicht weiß, auf welcher seite ich mir das eingefangen habe. Im Endeffekt haben diese kleinen programme den Trojaner ergeben und auf einmal sollte ich aufgrund von Terrorismus, Kinderpornografie, Illegaler Downloads und was weiß ich nich noch alles 100 Euro zahlen, damit mein Rechner entsperrt wird. Ernsthaft, für den ganzen kram kommt man lebenslang hinter gitter, da kann man sich nich mit 100 mücken rauskaufen. Wer da bezahlt ist selber schuld. Um die Frage zu beantworten, das teil führt sich selbstständig aus, sobald es aufm rechner is.

Shor schrieb:

Ernsthaft, für den ganzen kram kommt man lebenslang hinter gitter

Zum Vergrößern anklicken....

So sicher wäre ich mir da nicht...aber das ist ja nicht das Thema.

Shor schrieb:

Um die Frage zu beantworten, das teil führt sich selbstständig aus, sobald es aufm rechner is.

Zum Vergrößern anklicken....

Du sagst also, dass es möglich ist, dass sich eine exe-Datei selbst ausführt? Das widerspricht nämlich meinem Grundverständnis des Dateiformats: Executables müssen ge"executed" werden. Natürlich wäre es möglich per z.B. JavaScript durch Webseitenaufruf etwas auszuführen...allerdings weiß ich a) nicht ob sich eine exe überhaupt durch JavaScript ausführen lässt und b) ob da kein Sicherheitsmechanismus (Benutzerkontensteuerung?) dazwischenspringt.
Insgesamt lasse ich mich jedoch gerne korrigieren, außerdem ist die Frage noch ungeklärt, ob denn der NMM bei einer Modinstallation eine exe ausführen kann.

@Dacri
wenn man alles zusammennimmt auf jeden fall 😀

eine exe datei wird sich an sich nicht "selbst" ausführen, sie kann aber durchaus ohne zutun des users ausgeführt werden. Damit entsteht der Eindruck, dass sie sich selbst ausführt. Der Effekt ist der gleiche. Ich bin mir jedenfalls ziemlich sicher, keine exe in dem zeitraum angerührt zu haben und irgendwie muss das teil ja letztenendes den aufruf bekommen haben, sich auf dem rechner breit zu machen.
Was die frage mit dem NMM angeht, so denke ich nicht, dass der ne exe ausführt. Jegliche .exe dateien, die mit skyrim plugins in verbindung stehen sind für gewöhlich installer, die das installieren vereinfachen und somit den nmm überflüssig machen.

Ich frage mich immer noch, wie man an den BKA-Trojaner kommt. Möchte mich auch damit auseinander setzen. Ich surfe sehr viel im Web, vorallem auch in "abtrünnigen" Bereich (Warez usw.) und habe bisher keinen Trojaner oder ähnliches eingefangen -> Zumindest laut meinen Linux-Live-CD Überprüfungen. Kennt jemand eine bekannte Webseitde dafür? Würde mal ne VM damit testen wollen.

Also ich kann dir nur sagen, dass ich weiterhin fleissig auf Nexus downloade und bisher noch auf keinen gestoßen bin. Entweder ist der Download sehr sehr selten oder ich bin ein Glückspilz. Allerdings muss ich sagen, meide ich den holländischen Server, der ja vermehrt diese Exe ausgespuckt haben soll. Vielleicht versuchst du ja mal da dein "Glück".

Dante2000 schrieb:

Ich frage mich immer noch, wie man an den BKA-Trojaner kommt. Möchte mich auch damit auseinander setzen. Ich surfe sehr viel im Web, vorallem auch in "abtrünnigen" Bereich (Warez usw.) und habe bisher keinen Trojaner oder ähnliches eingefangen -> Zumindest laut meinen Linux-Live-CD Überprüfungen. Kennt jemand eine bekannte Webseitde dafür? Würde mal ne VM damit testen wollen.

Zum Vergrößern anklicken....

Du könntest dir SemperVideos Videos dazu anschauen, er hat sich damit in verschiedenen Versionen ausführlich beschäftigt. Kann auch gut sein, dass er in den Videobeschreibungen nen DL-Link gepackt hat, müsstest du mal schauen. Einfach mal auf seinem Kanal nach BKA oder GVU suchen.

Edit: hier die Playlist mit allen Viren aus der Kategorie:
http://www.youtube.com/playlist?list=PL961E35488711287F

Edit 2: Er erklärt auch wie man ihn wieder loswird, falls sich jemand hier das Teil eingefangen haben sollte.

Shor schrieb:

eine exe datei wird sich an sich nicht "selbst" ausführen, sie kann aber durchaus ohne zutun des users ausgeführt werden. Damit entsteht der Eindruck, dass sie sich selbst ausführt. Der Effekt ist der gleiche.

Zum Vergrößern anklicken....

Klar, der Effekt ist der gleiche, aber wie gesagt mir geht es nicht um den Endeffekt, sondern um das dazwischen.

@Dacri
Sie wird ohne zutun des Users ausgeführt. Mehr zählt doch nich.

Doch, weil ich nach dem technischem Aspekt gefragt habe, nicht danach, wie das Endergebnis aussieht.

Wer kommt auf die Idee so einen dreisten Virus zu machen?!?

@Dacri
Du vielleicht 😉 von der technischen seite hab ich jedoch nie gesprochen.

@Ethrilias
Wer behauptet, er wäre ein Freund des Enkels, um die alte Frau um ihr Geld zu erleichtern? Geldgeile Penner, die Unwissenheit, Schreck und meinetwegen auch Gutgläubigkeit/Dummheit der Leute ausnutzen. Es geht doch immer nur ums geld.

Ja, ich vielleicht, deshalb habe ich ja nach einer selbstausführenden exe gefragt :roll:

Natürlich installiert sich nichts, auch kein Virus automatisch oder von allein, allerdings können Funktionweisen des PCs, des Browsers oder auch scheinbar harmloser Software, (die sogenannten Sicherheitslücken) eine Installation starten, so das man keinen Einfluss darauf nehmen kann.
Ich glaube das meint Shor.
In meinen Bekannten und Familienkreis bin ich schon seit Jahren als "PCDoc" unterwegs und hatte schon mit äusserst fiesen Viren zu tun, auch wenn meist der PCuser die Hauptschuld eines Virenbefalls, durch Nachlässigkeiten selbst hat, gibt es da so manche hinterlistige Kaliber. Auch wenn es am Thema vorbei geht, ein Nachbar von mir hatte sich vor 4, 5 Jahren mal einen Virus eingefangen, der sich von sogar von einer formatierten Festplatte mit Hilfe von Windowsfunktionen immer wieder installierte. Nur mit Hilfe einer zweiten Festplatte mit BS und einer Software die die Festplatte richtig "löschte" in dem sie, sie voll mit Daten beschrieb, liess sich das Ding damals entfernen. Habe leider den Namen von dem Virus nicht mehr im Kopf, aber das Teil war damals ein paar Wochen lang, echt starker Tobak.

@r4yn
Danke, kannte ich noch nicht. Auch wenn ich meine, das meine Methode schneller geht, brauche ich einen Systemwiederherstellungspunkt dafür. Ist dieser mal nicht vorhanden, weiß ich nun wie es auch ohne geht und muss nicht ewig herum tüffteln. :-D

@Soldiersmurf
Dann kennst du bestimmt auch diesen fiesling, der überhaupt keinen richtigen schaden anrichtet und sich einfach nur an irgendwelche dateien ranhängt? Sobald man das dann in quarantäne verschiebt und löscht, stellt man fest, das windows nich mehr startet x) so ein teil hatte meine mutter mal und ich kannte den nich.

Warscheinlich, hat es mich jetzt auch erwischt. Wenn jetzt der nexusmodmanager direkt, oder über Download with Manager aufgerufen wird, springt sofort mein Sicherheitspaket an und sagt: "C:\Programm\Nexusmodmanager\NexusClient.exe" ist schädlch.
Manuell lassen sich Mods noch problemlos runterladen (mit welchen folgen auch immer). Ich vermute mal, dass das Problem bei mir mit dem letzten Update des NMM`s entstanden ist. Was mache ich den jetzt. Aktiviert ist er wohl noch nicht. Den Modmanager komplett löschen? Funktioniert dann mein Skyrim noch, da die Mods ja auf einen anderen Laufwerk abgelegt sind? Einen älteren Wiederherstellungspunkt wählen (vorher den letzten Spielstand extern sichern)?
Wäre schön, wenn mir hier einer helfen könnte, da ich nicht so ein Systemfuchs bin.

Wir reden hier ja schon eine ganze Zeit über das Thema! Ich würde erwarten, dass es mal langsam seitens Nexus eine Stellungname zu dem Thema gibt. Es kann doch nicht sein, dass man alle Nutzer ohne deutlichen Hinweis, so ins Messer laufen lässt.
Ich sehe hier auch Scharesoft in der Mitverantwortung. Hier wird ja reichlich auf Nexus verlinkt und ausser in diesem Thread, den ja nicht jeder liest finde ich keinen Hinweis auf der Seite. Hat sich den schon seitens Scharesoft einer direkt mit nexus kurzgeschlossen, was da genau los ist und wie es weiter geht?

Es wäre wirklich mal Zeit, dass da mal Klartext gesprochen wird, die scheinen das Problem ja immer noch nicht auf die Reihe bekommen zu haben.

Zu deinem Problem, Veterano:
Im Grunde brauchst du den NMM nicht zum Skyrim zocken, auch wenn du darüber die Mods geladen hast. Sobald diese installiert sind, sind sie im Skyrim/Data Ordner und der NMM ist nur noch für die Loadorder nützlich. Die kannst du allerdings auch manuell im Spiel-Startup verändern, falls du das musst.

Die nicht installierten, aber runtergeladenen Mods legt NMM in einem dafür vorgesehenen Ordner ab, den müsstest du nur kennen, dann kannst du sie daraus auch problemlos extrahieren und installieren, falls du das willst.

Welche Antivirussoftware benutzt du, wenn ich fragen darf? Sollte diese recht haben dann hat sich er Virus bei dir anscheinend im Client direkt eingenistet, was imo der viel einleuchtendere Platz ist als eine lose Datei.

Veterano schrieb:

Den Modmanager komplett löschen? Funktioniert dann mein Skyrim noch, da die Mods ja auf einen anderen Laufwerk abgelegt sind?

Zum Vergrößern anklicken....

Skyrim wird funktionieren, alle installierten Mods werden ja ins Skyrim-Data Verzeichnis kopiert, auch mit NMM. Trotzdem würde ich bei einer größeren Modsammlung zuerst einmal den Modsordner mit den üblichen Programmen überprüfen. Auch wenn ich nicht glaube dass sich der Virus dort eingenistet hat kann ich dir nichts versprechen. Danach eine Sicherung der Modsammlung, sollte diese sauber sein. Ich weis nämlich nicht ob man bei dem entfernen des NMM den Modordner behalten kann. Danach kannst du dein komplettes System mit den üblichen Programmen säubern oder einen Wiederherstellungspunkt wählen. Je nach Geschmack.

Veterano schrieb:

Ich würde erwarten, dass es mal langsam seitens Nexus eine Stellungname zu dem Thema gibt. [...] Hat sich den schon seitens Scharesoft einer direkt mit nexus kurzgeschlossen, was da genau los ist und wie es weiter geht?

Zum Vergrößern anklicken....

Das ist auch das, was ich mir seit auftauchen dieses Threads denke: Wieso merke ich außerhalb dieses Threads garnichts davon? Ich meine Scharesoft ist vielleicht das größte, und sicherlich das in dem ich im Vergleich zu anderen auch am aktivsten bin, aber wenn wirklich ein Virus in den Nexusservern wäre dann müsste das doch noch an anderen Stellen publik gemacht werden? Ich will ja hier niemandem Vorwürfe machen, aber kann es vielleicht sein, dass die wenigen Betroffenen sich den Virus irgendwo anders geholt haben? Wurde die Virusdatei, die ja angeblich schon von einigen erkannt wurde, schonmal auf VT gescannt? Oder könnte es sein, dass es sich hier doch nur um eine Ente handelt?