Copyright: © 2000 by Leo


Was sind Trojaner ?

Stell dir vor jemand klingelt an deiner Tür und du öffnest. Der Fremde geht schnurstracks an deinen Computer und schaut sich in Ruhe auf deinem Rechner um.

Sicher gestattest du ihm das nicht ohne Erlaubnis gibst.

Nun, Trojaner sind Fremde, die einfach nicht um Erlaubnis fragen. Es sind Programme, die sich auf deinem Computer installieren und ab diesem Zeitpunkt eine Hintertür aufhalten (deswegen nennt man diese Art "Backdoor"-Trojaner). Jetzt kann jeder auf deinen Rechner zugreifen als wenn er davor sitzt.

Natürlich wirst du nicht auf die Idee kommen, mal so eben ein Programm dieser Art bei dir zu installieren. Deshalb haben sich "böse" Personen Methoden ausgedacht, wie sie dir ein solches Programm unbemerkt unterschieben können.

Um nur ein paar Beispiele zu nennen:

 Doppelte Dateiendungen

 EXE-Joiner

 Scripte (VBS-Dateien)

 Wenig bekannte Dateiendungen (z.B. SHS-Dateien)

 Tarnung als nützliches Programm

Es gehört eine gewisse Portion Misstrauen dazu, um nicht alle dir angebotenen Dateien herunterzuladen und auszuführen.

Außerdem sollte niemals ein Viren- oder besser Trojanerscanner fehlen. Entsprechende Empfehlungen zu sehr guten Scannern findest du auch auf www.trojaner-info.de.

Merke: Lieber einmal zuviel scannen als einmal zu wenig.

Wenn du einen Trojanerscanner dein Eigen nennst, vergiß auch nie die regelmäßigen Updates der Viren- (oder hier Trojaner-) Signaturen. Die Signaturen sagen dem Scanner, nach was er suchen soll. Sind sie veraltet, nützt der beste Virenscanner nichts.

TC 5 (TrojanCheck) hat selbst eine Scannerfunktion eingebaut, allerdings erstreckt sich diese nur auf wenige Dateien.

Bereits hier merkst du: TC kann keinen Viren- oder Trojanerscanner ersetzen.

Das ist auch gar nicht Sinn der Sache. TrojanCheck wurde so konzipiert, dass man damit schnell und unkompliziert im System installierte Trojaner eliminieren kann. Für den kompletten Scan des Systemes gibt es spezialisiertere Tools.


Willkommen

Herzlich willkommen zu TrojanCheck 5.

Benutzer der Vorversionen werden sich schnell zurechtfinden, für die anderen beschreibe ich ausführlich alle Funktionen.

Wenn du nicht weisst, was Trojaner sind, empfehle ich den Besuch der größten deutschen Webseite zu diesem Thema:

http://www.trojaner-info.de

Wie auch in den vorangegangenen Versionen habe ich versucht, ein leicht zu bedienendes Tool zu schaffen mit dem man schnell Gewissheit hat, ob man von einem Trojanischen Pferd befallen ist oder auch nicht.

Bist du noch nicht mit den Begriffen "Registry", "Startmethoden" usw. vertraut, werde ich dir alles der Reihe nach beibringen. Auf den nächsten Seiten erfährst du, wie sich Trojaner im System verstecken und wie man sie findet.

Falls es dir komisch vorkommt, dass ich dich duze...denk nicht darüber nach. Ich bin es aus diversen Foren und dem Mailverkehr so gewöhnt. Wenn es dich stört: Pech :-)


Der Start

Sicher hast du schon das Programm gestartet. Es präsentiert sich ungefähr so:

Auf den ersten Blick sieht das etwas durcheinander aus, aber keine Sorge: dir wird alles der Reihe nach erklärt.

Im Grunde gibt es drei Hauptbereiche des Bildschirms:

1. die obere Zeile mit den drei Buttons

2. der Hauptanzeige

3. der untere Bereich mit verschiedenen Anzeigen und Buttons

Die obere Zeile

Aktualisieren: Wie der Name schon sagt, wird bei einem Klick auf diesen Knopf die Anzeige im Hauptbereich aktualisiert. Du kannst auch die Taste F5 drücken.

Dateidetails: Wenn du hier drauf klickst oder die Taste F9 drückst, wird in der Hauptanzeige ein graues Feld eingeblendet. Dort stehen Informationen zu einer ausgewählten Datei. Ein erneuter Druck auf F9 oder Klick auf den Button lässt diese Anzeige wieder verschwinden. Diese Funktion besprechen wir noch beim Thema Registry, INI Dateien und Autostart.

Was zeigt diese Seite an: Damit erhälst du schnell Informationen über den Zweck einer Seite in der Hauptansicht.

Die untere Zeile

Links findest du drei Leuchtanzeigen. Sie zeigen an, ob eine bestimmte Überwachung aktiviert ist. Was das im Einzelnen ist, erkläre ich dir...genau...später ;-).

In der Mitte ist das TrojanCheck Logo mit Informationen über die Anzahl von Signaturen. Es gibt zwei Arten von Signaturen bei TC. Einmal die TC-Signaturen an sich. Damit arbeitet TrojanCheck selbst. Dann die IF3 Signaturen, damit arbeitet der integrierte Trojanerscanner. IF3 ist die Bezeichnung der Scan-Engine.

Dir fällt sicher auf, dass zwei TC-Signaturen mit Schrägstrich getrennt angegeben sind. Die erste Angabe steht für die Standardsignaturen. Diese können gegebenenfalls über die Updatefunktion ergänzt werden. Die zweite Angabe steht für die Benutzersignaturen. Diese Signaturen kannst du selber ergänzen.

ProcessViewer: Damit rufst du den integrierten ProcessViewer auf. Ich habe zwar versucht, Englisch so weit wie möglich rauszuhalten, aber nicht immer ist das sinnvoll. Ein "ProzessBetrachter" klingt erstens nicht so gut und zweitens wäre dann die Beschriftung des Knopfes zu lang ;-). Den ProcessViewer schauen wir uns später noch genauer an.

Einstellungen: Damit kannst du TrojanCheck konfigurieren.

Hilfe: Dieser Knopf ruft die Hilfe von TC auf (du liest sie gerade). Im Gegensatz zu dem Knopf "Was zeigt diese Seite an?" wird die komplette Hilfe aufgerufen.

Beenden: Dieser Befehl schließt TrojanCheck (und beendet sämtliche Überwachungen).


Was ist die Registry ?

Die Registry ist der Punkt, wo Windows sämtliche Einstellungen speichert. Eine Art Zentrale.

Die Registry ist baumartig aufgebaut. Es gibt einen Stammbaum (eigentlich mehrere, aber für die erste Beschreibung reicht das ;)). Ausgehend von diesem Stamm verzweigen sich mehrere Äste in alle Richtungen und stellen wieder eigene kleine Stämme dar, die wieder Äste haben können usw...usw...

Nun nennt man das in der Fachsprache nicht Stamm, Baum und Ast, sondern Wurzel, Schlüssel und Wert. Schauen wir uns mal das folgende Beispiel an:

1. HKEY_LOCAL_MACHINE

1.1. Programm = TC.EXE

Die Wurzel besteht aus der Bezeichnung "HKEY_LOCAL_MACHINE". Was das im Einzelnen bedeutet, ist nicht so wichtig. Ausgehend von der Wurzel gibt es einen Schlüssel "Programm" mit dem Wert "TC.EXE". Man sagt auch: "Programm" hat den Wert "TC.EXE" und ist "HKEY_LOCAL_MACHINE" untergeordnet.

Man schreibt solch einen Baum auch so:

HKEY_LOCAL_MACHINE\Programm=TC.EXE

Das nennt man dann Pfad. Bei tieferen Verästelungen kann ein Pfad auch mal so aussehen:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Programm=TC.EXE

Du musst dir keinen Baum oder Schlüssel merken, dass macht TrojanCheck für dich.

Es listet in übersichtlicher Weise die Schlüssel und die zugehörigen Werte auf, die für die Autostartfunktion in Windows benutzt werden.

Wichtig für dich ist die Kenntnis der Abkürzung der Wurzelverzeichnisse:

HKLM steht für HKEY_LOCAL_MACHINE

HKCU steht für HKEY_CURRENT_USER

HKCR steht für HKEY_CLASSES_ROOT

Dies musst du wissen, um die Beschriftung der Registryseite zu verstehen.

Zur Bearbeitung der Registry benutzt man den Registry Editor. Du kannst ihn über TrojanCheck über die Schnellstart-Seite starten. Sei vorsichtig mit irgendwelchen Änderungen wenn du nicht weisst, was sie bewirken.


Verwendete Symbole

In TrojanCheck gibt es einige Symbole, die eine Gefährlichkeit einer Datei ausdrücken.

Hier sind die Symbole aufgelistet. Ein Symbol wird auf verschiedenen Seiten für mehrere Zwecke eingesetzt.

•	Alles ok, die Datei ist in der Datenbank.

•	Eine Prüfung ergab keine bedenklichen Ergebnisse.

•	Die betreffende Datei ist nicht in der Datenbank. Sie ist zur Zeit nicht aktiv.

•	Eine Prüfung brachte fragwürdige Ergebnisse.

•	Die betreffende Datei ist nicht in der Datenbank. Sie ist zur Zeit aktiv.

•	Eine Prüfung brachte sehr fragwürdige Ergebnisse.

•	Ein zu überwachender Prozess läuft nicht.

•	Die Datei ist ein Trojaner.

•	Es wurden Spionagetools gefunden.

•	Die entsprechende Datei zu einem Schlüssel wurde nicht gefunden.

Hinweis: unter sehr ungünstigen Umständen kann es sein, das der zu prüfende Dateiname nicht korrekt ermittelt wird. Es erscheint in solchen Fällen auch eine Taschenlampe.


Update

Extras [image] Update

Strg+U

Die Updatefunktion von TrojanCheck versorgt dich mit aktuellen Programmverbesserungen (Patches) sowie neuen Signaturen.

Klickst du auf [image] werden die verfügbaren Update-Informationen heruntergeladen und angezeigt. Sind die entsprechendenen Dateien auf deinem Computer älter als die verfügbaren Updates, werden sie automatisch zum Update vorgemerkt (angehakt).

Es werden nur die Updates angezeigt, die aktuellere Daten enthalten als die bei dir installierten.

Mit einem erneuten Druck auf [image] werden schließlich die angekreuzten Updates heruntergeladen und installiert.

Steht bei einem Update in der letzten Spalte bei "Neustart?" ein "ja", dann muss TrojanCheck nach dem Update neu gestartet werden. Ein Hinweisfenster am Ende des Updatevorgangs weist dich dann darauf hin. Der Updater übernimmt die Arbeit des Beendens von TrojanCheck, Installieren der Updates und des Neustarts von TrojanCheck.

Es versteht sich von selbst, dass du eine bestehende Internetverbindung haben solltest um die Updates zu laden. Notfalls wählt TrojanCheck deine DFÜ Verbindung nach entsprechender Abfrage.


Registry

Trojaner nisten sich fast immer in der Registry ein. Sie benutzen die Autostartmöglichkeiten von Windows, um sich selbst bei jedem Windowsstart zu aktivieren.

Diese Seite zeigt dir übersichtlich an, was in den entsprechenden Registrysektionen steht.

Die Smileys werden dir noch öfters begegnen und sagen dir, dass der Eintrag in der Registry in Ordnung ist. Es gibt noch ein wenig mehr Symbole. Sie sagen dir, ob eine Datei zum Beispiel ein Trojaner ist oder nicht in der Datenbank (TC-Signaturen) ist.

Wenn "On the Fly" Scan aktiviert ist, scannt TrojanCheck die hier angezeigten Dateien und schreibt ein "OK" in die Spalte "Trojaner?" (oder eben den Trojanernamen).

Neu in TC 5 ist, dass man Einträge hier nicht nur löschen kann, sondern auch deaktiveren kann. Deaktivierte Einträge werden beim Windowsstart ignoriert.

Wenn ein Häkchen vor einem Eintrag ist, so ist der Eintrag aktiv und wird beim Windowsstart ausgeführt. Wenn nicht, dann nicht.

Die Dateidetails (das graue Feld) kann man einblenden um schnell Infos über einen markierten Eintrag zu erhalten.

Auf der linken Seite gibt es die Möglichkeit der Umschaltung zwischen den verschiedenen Sektionen der Registry.

Das sind die Buttons

Dieser Knopf entfernt einen markierten Eintrag aus der Registry und löscht je nach Einstellung auch gleich die zugehörige Datei.

Damit kannst du bisher nicht in den TC-Signaturen befindliche Einträge in die Datenbank aufnehmen und ihnen so einen Smiley verpassen.

Damit zeigst du nähere Informationen über eine markierte Datei an. Es gehört etwas Übung dazu, dort wertvolle Informationen herauszulesen. Werden die schnellen Dateidetails (F9) angezeigt, erscheinen diese Informationen auch in dem grauen Feld sowie du auf einen Eintrag klickst.

Wenn du "On thy Fly" Scan aktiviert hast, werden bei jeder Aktualisierung der Anzeige die zu den Schlüssel gehörenden Dateien auf Trojaner gescannt. Ein Fortschrittsbalken informiert dich darüber.


INI Dateien

Vom Aufbau exakt wie die Registry Seite. Der einzige Unterschied ist, dass hier die Starteinträge in den beiden INI Dateien "WIN.INI" und "SYSTEM.INI" angezeigt werden.

Es gibt in diesen Dateien einen Schlüssel mit einer oder mehreren Dateien in einer Zeile. Hier wird diese Zeile aufgesplittet und die Dateien werden einzeln angezeigt und ggf. nach Trojanern gescannt.

Auch hier kannst du einzelne Einträge aktivieren bzw. deaktivieren.


Autostart

Der Aufbau und die Funktionen entsprechen der der Registry und INI Seite.

Hier werden die Einträge in den Autostartgruppen von Windows angezeigt und können auch aktiviert bzw. deaktiviert werden.

Meist bestehen diese Einträge aus einer Verknüpfung (LNK-Datei), die auf die eigentliche auszuführende Datei verweist. Angezeigt wird daher neben der LNK Datei auch die tatsächlich ausgeführte Datei.


Startdateien

Es gibt Trojaner, die tragen sich an ganz unkonventionelle Punkte ein um sich beim Windowsstart zu aktivieren. Dazu gehören INI Dateien oder andere Dateien, die nicht direkt von TrojanCheck überprüft werden.

Die Standardinstallation von TrojanCheck 5 bringt die meisten Dateien mit, wo sich Trojaner eintragen können (und wo sie auch was bewirken).

Wenn sich nun an den Dateien etwas ändert, zeigt TrojanCheck das an (die Prüfsumme ändert sich). Ein Smiley vor einer Datei zeigt an, dass die Sicherungskopie und das Original gleich ist. Die Sicherungskopie der Datei wird von TC angelegt um eine Prüfung überhaupt möglich zu machen.

Der untere Teil der Anzeige führt den Inhalt der Sicherungskopie im Vergleich mit der derzeitigen Version der Datei auf, sowie du eine Datei in der Liste anklickst.

In der ersten Spalte gibt es drei Angaben:

•	die Zeilennummer

•	die Position der Zeile der Sicherungskopie bezüglich der aktuellen Datei

•	die Position der Zeile der Aktuellen Datei bezüglich der Sicherungskopie

Da das Prinzip und die Anzeige sicherlich einige Fragen aufwirft, erläutere ich hier die Symbole anhand einer fiktiven Beispieldatei.

Wir haben die Datei "beispiel.txt" mit folgendem Inhalt:

Das ist eine

Textdatei.

Die Sicherungskopie sieht zunächst genauso aus.

Das ist eine

Textdatei.

In der Detailansicht sieht das dann so aus

Das bedeutet:

•	Zeile 1 der Sicherung ist komplett identisch mit der aktuellen Datei (das erste [=])

•	Zeile 2 der Sicherung ist komplett identisch mit der aktuellen Datei (das erste [=])

•	Zeile 1 der aktuellen Datei ist komplett identisch mit der Sicherungskopie (das zweite [=])

•	Zeile 2 der aktuellen Datei ist komplett identisch mit der Sicherungskopie (das zweite [=])

Jetzt fügen wir einfach eine Zeile in die aktuelle Datei ein. Nun sieht die Anzeige so aus:

Das bedeutet:

•	Zeile 1 der Sicherung ist eine Zeile höher als in der aktuellen Datei ([-1])

•	in der aktuellen Datei ist an dieser Stelle eine Leerzeile (deswegen [_])

•	die nachfolgenden Zeilen der aktuellen Datei sind bezüglich der Sicherungskopie immer eine Zeile nach unten versetzt und haben deswegen ein [+1] (die letzte Zeile der Sicherungskopie existiert nicht, deswegen steht dort gar nichts)

Wir nehmen die Leerzeile wieder heraus und schreiben stattdessen mal ein Wort komplett groß. Das ist das Ergebnis:

Das [=^] zeigt an, dass hier eine Zeile bis auf die Groß/Kleinschreibung identisch ist. Bei INI Dateien ist es meist von keiner Bedeutung, ob ein Wort groß oder klein geschrieben ist.

Jetzt fügen wir wieder eine Leerzeile in die aktuelle Datei ein:

Nun wird die Verschiebung um eine Zeile zusammen mit der Unterscheidung zwischen Groß/Kleinschreibung angezeigt.

Was passiert, wenn wir eine Zeile komplett ändern ? Schauen wir es uns an:

Das [X] zeigt an, dass die Zeile in der aktuellen Datei nicht mehr vorhanden ist. Dafür erscheint bei der aktuellen Datei in der Zeile ein [*] als Zeichen, dass die Zeile neu ist. Das es lediglich eine kleine Änderung ist, kann TC nicht feststellen. Es ist halt nur ein Programm und für das Programm sind die beiden Zeilen komplett unterschiedlich.

Fassen wir nochmal die Symbole zusammen:

[=]	Zeile gleich

[-...]	Zeile um ... Zeilen weiter oben (bezogen auf die andere Datei)

[+...]	Zeile um ... Zeilen weiter unten (bezogen auf die andere Datei)

[*]	Zeile neu

[X]	Zeile gelöscht oder geändert

[^]	Groß/Kleinschreibung hat sich geändert (Symbol kann auch in Verbindung mit den Verschiebungen auftreten)

Die Buttons

Damit wird von der markierten Datei eine neue Sicherungskopie angelegt (wenn zum Beispiel die Änderung an einer Datei in Ordnung ist und die Prüfsumme aktualisiert werden soll).

Entspricht dem Button "Sichern" für alle Dateien der Liste.

Damit überschreibt die Sicherungskopie die aktuelle Datei. Dabei können dort vorhandene Einstellungen verloren gehen.

Das öffnet den Texteditor mit der (aktuellen) Datei um sie zu bearbeiten.

Damit kannst du weitere Dateien zur Überwachung hinzufügen. Grundsätzlich kannst du jeden Typ Datei (auch EXE usw.) hinzufügen. Nur die Analyse wird dann schwer bzw. unmöglich sein. Aber die Prüfsummen können nützlich sein um Manipulationen an einer Datei festzustellen.

Damit entfernst du die markierte Datei aus der Überwachung. Die zugehörige Sicherheitskopie wird gelöscht.


Shell-Open

Hier ist etwas theoretisches Wissen nötig um diese Seite zu verstehen:

Wenn du eine Datei startest (z.B. den Texteditor), schaut Windows in speziellen Einstellungen nach, ob vor dem Ausführen der gewünschten Datei noch andere Dateien ausgeführt werden sollen.

Diese Einstellung nennt man kurz "shell-open", weil der Registryeintrag dafür shell-open heisst.

Was du wissen musst: der normale Eintrag hierfür lautet "%1" %*.

Trojaner schreiben sich hier gern hinein, um sich am Leben zu erhalten. Dann steht dort z.B.: sub7.exe "%1" %*. Das würde bedeuten, dass jedesmal vorm Ausführen einer Datei die Datei sub7.exe ausgeführt wird...

Das zeigt TrojanCheck so an:

Die Shell-Open Einstellungen gibt es für mehrere Dateitypen. Überwacht werden EXE, COM, BAT und PIF.

Hinweis: es gibt auch weitere shell-open Einstellungen, die hier nicht überwacht werden. Da sich allerdings Trojaner fast immer an mehreren Stellen eintragen, die dann von TC entdeckt werden, nützt ihnen das auch nicht viel.

Zu den Buttons

Trägt in die Registry den Standardwert von "%1" %* für den entsprechenden Dateityp ein

Trägt das bei allen ein.


Prozessüberwachung

In letzter Zeit verwandeln sich immer mehr Trojaner in sogenannte Firewallkiller.

Die Firewall kann Trojaner blocken und so verhindern, dass jemand in deinen Rechner eindringt. Ganz "geistreiche" Leute kamen also auf die Idee, die Firewall auszuknipsen, bevor sich der Trojaner auf die Lauer legt und auf den Hacker wartet.

Im Grunde schießen sie einfach den Prozess der Firewall ab. Abschießen deshalb, weil das Programm nicht auf normalem Weg beendet wird sondern der Prozess aus Windows einfach herausgeschnitten wird. Meist bleiben dann noch die Icons in der Trayleiste (neben der Uhr) erhalten so dass es auch noch so aussieht, als wäre die Firewall noch aktiv.

Um dem vorzubeugen kann TrojanCheck Prozesse deiner Wahl überwachen und Alarm schlagen, wenn ein solcher überwachter Prozess plötzlich nicht mehr läuft.

Im oberen Bild siehst du die Überwachung einer Norton Personal Firewall. Das Smileysymbol zeigt an, dass der Prozess und damit die Firewall aktiv ist.

Wenn ein Prozess plötzlich aus dem System verschwindet erhälst du eine Warnmeldung und die Anzeige sieht nicht mehr so freundlich aus:

Zu den Buttons

Damit kannst du eine Datei von der Festplatte wählen, die in Zukunft überwacht werden soll.

Damit kannst du einen laufenden Prozess überwachen lassen.

Ein Dialogfenster zeigt dir alle gerade laufenden Prozesse an und du kannst einen wählen, der ab sofort überwacht wird.

Damit entfernst du den markierten Prozess aus der Überwachung.


Report

Der Report ist nützlich um sich schnell einen Überblick über das System zu verschaffen oder sich von anderen erfahreneren Anwendern helfen zu lassen.

Es gibt den kompakten Report, der sämtliche Autostarteinträge auflistet, die TrojanCheck überwacht.

Und es gibt den detaillierten Report, welcher auch alle entsprechenden Dateien scannt und Informationen zu jeder Datei anzeigt:

Es dauert natürlich länger, den detaillierten Report anzufertigen.

Die Buttons

Damit kannst du den Report auf der Festplatte speichern (ohne die Farben).

Das kopiert den Report in die Zwischenablage von Windows, wo du ihn dann weiter verwenden kannst.

Druckt den Report auf einem angeschlossenen Drucker aus.


Schnellstart

Hier kannst du verschiedene Dateien per Knopfdruck bearbeiten bzw. den Registry Editor starten.

Der frei belegbare Knopf ist ganz allein für dich. Du kannst dort eine Datei auf den Knopf legen, die dann mit Klick auf den frei belegbaren Knopf gestartet wird. Wenn es eine Dokument-Datei (z.B. TXT) ist, wird die zugehörige Anwendung gestartet und die Datei als Dokument geladen.

Wenn eine entsprechende Datei nicht existiert, wird der Knopf auch nicht eingeschalten.

Wenn du eine Dokumentdatei auf den Knopf legst, für die es kein Programm gibt, passiert einfach nichts, wenn du dann auf den Knopf klickst.


Allgemein

Hier kannst du die Einstellungen aufrufen. Der Klick auf den gleichlautenden Button oder die Tastenkombination Strg+O bewirkt das Gleiche.

Mit Beenden oder der Tastenkombination Alt-F4 beendest du TrojanCheck.


Seiten

Hier findest du noch einmal alle Seiten der Hauptansicht. Du kannst, wie du siehst, jede Seite auch mit einer Tastenkombination aufrufen.

Der ProcessViewer lässt sich auch mit Klick auf den gleichnamigen Button oder der Tastenkombi Strg+P aufrufen.

F5 oder Aktualisieren aktualisiert die derzeit angezeigte Seite (irgendwie logisch, nicht ? ;-)).


Extras

Hier wird es richtig interessant.

Das Menü "Extras" hält ein kleines Bonbon bereit. Und zwar kann TrojanCheck 5 nach Spionagetools suchen. Spionagetools werden eingesetzt, um jemandem am Computer zu überwachen. Das geht soweit, dass Passwörter mitgeschnitten werden, Emails mitgelesen werden u.a.

Die Tastenkombination dafür ist Strg+Y.

Die genaue Funktion wird hier erklärt.

Dateien mit mehreren Erweiterungen (Extensions) werden sehr gern genutzt, um Trojaner zu tarnen. Es ist problemlos möglich, einer Datei die Erweiterung .jpg.exe zu geben.

Je nach Einstellung in Windows (Anzeige der registrierten Dateiendungen) wird dann nur ein JPG Bild angezeigt (die Erweiterung) obwohl es eigentlich eine EXE Datei ist.

TrojanCheck 5 kann nach solchen Dateien suchen. Wie das genau funktioniert ist hier beschrieben.

Unter dem Menüpunkt "Signaturen" findest du die Mögllichkeiten zur Verwaltung von den TrojanCheck Signaturen. Wie das im Einzelnen funktioniert, steht hier.


Informationen über eine Datei

Wenn du auf eine Datei auf der Registryseite, INI oder Autostartseite doppelklickst oder auf "Dateidetails" klickst, erscheint dieses Fenster.

Es wird der Dateipfad angegeben. Ebenfalls die Dateigröße.

Die Angaben "Produktbeschreibung, Produktversion, Dateibeschreibung, Dateiversion" sind interne Angaben über die Datei. Es sind die gleichen Eigenschaften einer Datei, die du über den Windows Explorer, Markieren einer Datei und "Eigenschaften - Details" erhälst. Die Angaben helfen gegebenenfalls, nähere Informationen über den Zweck einer Datei herauszubekommen.

Unter "Erstellt" findest du das Datum, wann diese Datei auf diesem Computer erzeugt wurde.

Unter "Letzter Zugriff" steht, wann das letzte Mal auf diese Datei zugegriffen wurde (wird meist das aktuelle Datum sein).

Und schließlich steht das letzte Änderungsdatum da (kann auch wie im Beispiel älter sein als "Erstellt").

Zu guter Letzt werden noch die Attribute der Datei mit Komma getrennt angegeben:

A:	Archivdatei (Archiv-Attribut)

K:	Komprimiert (die Datei ist komprimiert)

V:	Versteckt (Hidden Attribut)

S:	Datei ist schreibgeschützt (Read-only Attribut)

SYS:	Datei ist eine Systemdatei (System-Attribut)

T:	Datei ist eine temporäre Datei

Kann von einer Datei keine Information erhalten werden (weil sie z.B. nicht existiert), dann wird das Dialogfenster ohne Informationen angezeigt.


Spionagetools

Extras [image] Suche nach...  Spionagetools

Strg+Y

Wenn du die Suche aufrufst, steht zunächst vor jedem Eintrag ein Fragezeichen, weil TrojanCheck nicht weiss, ob ein Spionagetool installiert ist.

Klicke einfach auf [image] und schon fängt TC an, dein System nach diesen Programmen zu durchforsten. Während der Suche nach Dateien wird ein [image] Button angezeigt, mit dem du die Suche abbrechen kannst.

Allerdings wirst du dann mit folgender Meldung begrüßt:

Das heisst einfach, dass nur die INI und Registry Einträge auf Spyware (Spionagetools) geprüft werden und es so nicht ausgeschlossen sein kann, dass sich Dateien von Spyware auf dem Rechner befinden.

Mit einem Klick auf einen Listeneintrag kannst du sehen, welche Teile eines Spionagetools gefunden wurden. Wurde nichts gefunden, steht auch nichts da.

So sieht es aus, wenn TrojanCheck etwas gefunden hat:

Bei allen gefundenen Spionagetools wird ein Häkchen vorn dran gesetzt. Wenn du auf [image] klickst, werden alle angehakten Tools chirurgisch aus dem System entfernt.

Das sieht (meist nach einem erforderlichen Neustart) hinterher so aus:

Achtung:

Es werden nicht die von den Spionagetools selbst angelegten Dateien entfernt sondern nur die Tools selbst.


Scan nach Trojanern auf Festplatte

Extras [image] Suche nach...  Trojanern auf Festplatte

Strg+S

Dies ist ein vollwertiger Trojanerscanner auf Basis der IF3 Engine von ANTS.

Hinweis: Es wird nur nach TrojanerSERVERN gescannt, nicht nach Clients.

Mit den Einstellungen kannst du festlegen, was gescannt werden soll:

Du kannst entweder komplette Laufwerke oder einen bestimmten Pfad inklusive Unterpfade scannen, aber nicht beides.

Die Dateitypen (Erweiterungen) kannst du mit Komma getrennt in das Eingabefeld eingeben. Groß/Kleinschreibung ist dabei egal. Bleibt das Feld leer, werden alle Dateitypen gescannt.

Stellst du die Heuristik ein, werden die Dateien genauer untersucht und auch Trojaner gefunden, die gegen eine Entdeckung geschützt sind. Es sind allerdings auch mehr Fehlalarme möglich und die Scandauer erhöht sich dadurch natürlich.

Nach abgeschlossenem Scan erhälst du ein Dialogfeld mit abschließendem Ergebnis.

Die Statusleiste gibt dir während des Scans Informationen:

Folgendes wird dir angezeigt:

•	Der Pfad, in dem gerade gescannt wird

•	Wieviele Dateien gefunden (nicht gescannt) wurden

•	Wieviele Dateien wirklich gescannt wurden

•	Wie schnell Dateien gefunden werden (nicht gescannt)

•	Wie schnell Dateien wirklich gescannt werden

Wenn du keine Dateierweiterungen angegeben hast, wird die Geschwindigkeit des Scans an sich erhöht (logischerweise, da ja wirklich jede gefundene Datei gescannt wird).

Diese Geschwindigkeit kann anfangs noch stark schwanken, stabilisiert sich allerdings je länger der Scan dauert.

Mit [image] beginnst du den Scan. Während des Scans wird ein Stop-Button eingeblendet, mit dem du den Scan abbrechen kannst.

Mit [image] öffnest du den Ordner, wo sich die markierte Datei befindet (erst nach Ende des Scans möglich).

Mit [image] löschst du die markierte Datei. Wenn in den Einstellungen "Schieben in Papierkorb" aktiviert ist, wird die Datei nur in den Papierkorb geschoben. Ist die Datei im Speicher aktiv, wird deren Prozess vorher beendet.


Dateien mit mehreren Endungen

Extras [image] Suche nach...  Dateien mit mehreren Endungen

Strg+W

Die Liste ist natürlich anfangs leer.

Du kannst in die Zeile Dateitypen die Erweiterungen mit Komma getrennt eingeben, nach denen TrojanCheck suchen soll. Diese Erweiterungen sind die endgültige Erweiterung und nicht die, die die Dateien vorgeben zu sein.

Es ist dabei egal, ob du die Erweiterungen groß oder klein schreibst, sie werden immer in Groß gewandelt.

Wenn du auf [image] klickst, durchsucht TC dein System. Gefundene Dateien werden mit ihrem kompletten Dateinamen angezeigt und es werden die einzelnen Erweiterungen übersichtlich angezeigt.

Natürlich weiss TrojanCheck nicht, dass eine Datei beispiel-8.2.4.exe harmlos ist. Es erkennt die verschiedenen Nummern als eigenständige Erweiterungen.

Mit dem Klick auf [image] kannst du den Windows Explorer starten und in den Ordner springen, wo die Datei ist.

Mit [image] löschst du sofort die entsprechende Datei. Wenn in den Einstellungen "Schieben in Papierkorb" aktiviert ist, wird die Datei nur in den Papierkorb geschoben. Ist die Datei im Speicher aktiv, wird deren Prozess vorher beendet.


Explorer in C
Explorer in C:\

Extras [image] Suchen nach...  Explorer in C:\

Aufgrund eines Fehlers in Windows wird eine Datei mit dem Namen "explorer.exe", die sich im Hauptverzeichnis von C: befindet, vor der eigentlichen explorer.exe von Windows ausgeführt.

Einige Trojaner benutzen diesen Fehler, um so vor Windows aktiv zu werden und sich am Leben zu erhalten.

Die Suche von TrojanCheck findet heraus, ob eine solche Datei existiert und gibt danach eine entsprechende Meldung aus. Meist sollte sie so aussehen:


ProcessViewer

Button "ProcessViewer

Strg+P

Eine detaillierte Beschreibung zum ProcessViewer gibts hier.


Netstat

Extras [image] Netstat

Strg+N

Dies entspricht dem DOS Befehl netstat.

Um die Anzeige richtig zu interpretieren, gehört einiges Wissen über TCP/IP. Hier nur die wichtigsten Angaben:

Local Port:

Gibt an, auf welchem Port dein Computer mit einem anderen Computer verbunden ist. Aufgrund des benutzten Ports lassen sich manchmal die entsprechenden Trojaner zuordnen.

Protocol:

Gibt an, über welches Protokoll die Verbindung läuft.

Remote Host:

Gibt die IP Adresse des verbundenen Rechners an.

Remote Port:

Gibt den Port des verbundenen Rechners an, der mit deinem Computer verbunden ist.

Status:

Zeigt an, wie der Port gerade benutzt wird. Hier nur die wichtigsten Angaben:

•	Listen: der Port "lauscht" auf eine Verbindung, Trojaner nutzen dies, um auf eine Verbindung von einem Angreifer zu warten.

•	Established: Aktive Verbindung besteht.

Suspected activity:

Zeigt an, welcher Trojaner vielleicht mit deinem Computer verbunden ist.

Achtung:

Auch wenn bei "Suspected activity" ein Trojaner steht, heisst das noch lange nicht, dass du auch einen Trojaner hast!

Wenn dort ein Trojaner steht, dann trenne deinen Computer vom Internet und scanne deinen Computer mit einem Virenscanner mit aktuellen Virendefinitionen.


Überblick

Trojaner verhalten sich so unauffällig wie möglich (meistens). Sie erscheinen normalerweise nicht in der Taskleiste und haben kein sichtbares Fenster wie die meisten anderen Windowsanwendungen.

Eines haben sie jedoch immer: einen Prozess. Den kann man nicht verstecken, sondern maximal als harmlos hinstellen.

Um das "Wesen" eines Prozesses zu begreifen muss man Windows aus etwas abstrakter Ebene betrachten. Wird eine Datei gestartet, so erzeugt Windows einen Prozess dieser Datei. Dieser Prozess stellt im Endeffekt das Programm dar, was du siehst.

Es läuft also genau genommen nie die Datei selbst, sondern eine Instanz (Kopie) davon (deswegen kann man Programme auch mehrmals starten und gleichzeitig laufen lassen, es sind einfach mehrere Instanzen).

Der ProcessViewer listet alle im System aktiven Prozesse auf und ermöglicht eine genauere Untersuchung derselben. Meist kann ein ProcessViewer auch einen Prozess beenden (so ähnlich wie Firewallkiller die Firewall ausschalten).

Das Beenden eines Prozesses ist wie die Notbremse eines Zuges. Der Zug bleibt zwar stehen (Ziel "Anhalten" erreicht) aber alles fliegt durcheinander.

Ein Programm sollte immer auf normalem Wege beendet werden, dann kann Windows belegten Speicher vom Programm wieder freigeben und ganz in Ruhe das Programm beenden (die Fahrgäste können in Ruhe ihre Sachen zusammenpacken).

Manchmal ist die Notbremse allerdings der einzige Weg, um ein Programm zu beenden. Eventuell ist ja eigentlich gar nicht vorgesehen, dass ein Programm beendet werden kann (Bremsklötzer der Waggons geklaut). Dann muss man ein paar Ressourcen von Windows opfern und einfach kurzen Prozess machen. Bei Trojanern sollte das dir auf jeden Fall wert sein...

Mache dich mit dem ProcessViewer von TrojanCheck vertraut, er hilft dir, das System sauber zu halten.


Prozesse und Module

Es ist wichtig, dass du Folgendes weisst:

Module sind Bestandteile von Prozessen. Meist sind das DLL Dateien, können aber auch jede andere Datei sein, die vom Prozess auf eine bestimmte Art und Weise geladen und benutzt werden.

Es existiert zu jedem Modul ein sogenannter Modulcounter.

Dieser Zähler zählt, wie oft ein Modul insgesamt geladen wurde. So kann eine DLL mehrmals benutzt werden (dafür sind es ja DLLs=Dynamic Link Library).

Fordert ein Prozess (also ein Programm) ein Modul an, wird der Zähler um 1 erhöht und der Prozess darf das Modul nutzen.

Immer wenn ein Modul wieder entladen wird (zum Beispiel, weil das benutzende Programm beendet wurde), wird dieser Zähler wieder erniedrigt. Erreicht der Modulcounter 0, wird das Modul aus dem Speicher entfernt.

Prozesse kann man beenden, Module nicht. Ein Modul kann maximal ENTladen werden, genauso wie es GEladen wurde. Dies kann nur der Prozess erledigen, der das Modul auch geladen hat.

Deswegen sollte man auch nicht wild Prozesse beenden, weil sonst die daran gebundenen Module möglicherweise nicht wieder entladen werden und dann unnütz Platz im System verschwenden.

Glücklicherweise gibt es bisher nur sehr sehr wenige Trojaner, die als Modul auftauchen und sich ins System einladen. Spector 2.2 (ein Spionagetool) ist beispielsweise solch ein Kandidat.

Um den Prozess von solch einem Trojaner zu entfernen müsste man schon das aufrufende Programm entfernen. Da das jedoch meist ein lebenswichtiger Prozess ist, kriegt man den nicht so einfach weg.


Benutzung

Das Fenster des ProcessViewers kann auf Vollbild vergrößert werden, was du auch tun solltest, denn es gibt viel zu sehen.

Auf der linken Seite siehst du alle laufenden Prozesse. Sie haben ein kleines Computer-Icon davor.

Wenn du einen Eintrag in der linken Hälfte anklickst, erscheinen in der rechten Hälfte Details dazu.

Magst du lieber eine andere Aufteilung (oben und unten statt links und rechts), kannst du die Anzeige umschalten.

Mit diesen Buttons [image] kannst du die linke Ansicht ausklappen oder auch zusammenklappen (alle Einträge auf einmal).

Damit sind wir auch schon bei einer besonderen Eigenschaft. Die Hauptanzeige links ist ein Baum, dessen Einträge aufklappbar sind, wenn du auf [image] klickst. Das Pluszeichen wird nach dem Aufklappen zu einem Minuszeichen. Damit kannst du den Zweig wieder zuklappen.

Mit [image] wird der ProcessViewer neu initialisiert und zeigt den aktuellsten Systemstand an.

Der Button [image] ist ein sehr wichtiger Bestandteil des ProcessViewers. Damit kannst du jeden markierten Prozess in der Liste beenden.

Achtung:

Das System könnte instabil werden, wenn du Prozesse beendest. Beende nur, wenn du weisst, was du tust!

Hinweis:

Man kann mit dem Button keine Module beenden!

Hinter dem Button [image] verbirgt sich eine Mini-Suchmaschine. Dazu kannst du hier mehr erfahren.

Schließen kannst du den ProcessViewer mit das Taste ESC oder dem normalen Schließ-Button.


Anzeigemodi

Der ProcessViewer von TrojanCheck kann mehrere Ansichten darstellen.

Auswählen kann man diese Ansichten in der oberen Combo-Box.

Prozesse

Das ist die erste Ansicht. Alle Prozesse werden untereinander dargestellt.

Klappt man einen Prozesszweig auf, erscheint die zu einem Prozess gehörige Modulliste. Du siehst damit also, welche Module ein Prozess nutzt.

Module haben immer ein kleines Chip-Icon vorn.

In diesem Beispiel siehst du also, dass der Prozess TASKMON.EXE unter anderem das Modul TASKMON.EXE selbst nutzt (also sich selbst), dann noch die USER32.DLL und die GDI32.DLL.

Das dient nur der Information. Du findest zum Beispiel so heraus, wieviel Speicher ein Programm mit bzw. ohne Module belegt.

Prozessbaum

Mit dieser Ansicht siehst du die Abhängigkeiten der einzelnen Prozesse. Das bedeutet, du siehst, welcher Prozess von welchem gestartet wurde.

In dem Beispiel siehst du, dass EXPLORER.EXE das Programm WINCMD32.EXE und dieses wiederum TC.EXE gestartet hat. Das ist manchmal ganz interessant, da es eigentlich nur sehr wenige "Super-Prozesse" gibt, die alle restlichen starten.

Wenn du einen übergeordneten Prozess beendest, laufen die "Kinder" trotzdem weiter. Wenn ich also WINCMD32.EXE beende, heisst das lange nicht, dass auch TC.EXE beendet wird.

Es wird bei dieser Ansicht auch eine extra Checkbox unter der Combobox angezeigt:

Wenn du diese aktivierst, werden wie bei der ersten Ansicht alle zu einem Prozess zugehörigen Module angezeigt. Das wird aber ziemlich undurchsichtig und sollte nur von den Leuten benutzt werden, die solche Bilder wie diese:

zum Frühstück essen...:-)

Module

Die letzte Ansicht zeigt die Prozesse aus der Sicht der Module.

Das heisst, es werden alle im System geladenen Module angezeigt und unterhalb eines Moduls die Prozesse, die das Modul nutzen. Nochmal nachdenken, ist nicht schwer zu verstehen ;-)

In diesem Beispiel sieht man, dass COMCTL32.DLL unter anderem vom Prozess SPOOL32.EXE und SYSTRAY.EXE genutzt wird.

Diese Anzeige bringt nur etwas wenn man speziell nach einem Modul sucht und wissen möchte, wieviel Prozesse es nutzen.


Detailanzeige

Die Detailanzeige in der linken Hälfte (oder unteren) gibt dir teilweise wertvolle Informationen über laufende Prozesse und geladene Module.

Klickst du einen Prozess in der linken Hälfte an, siehst du ein Bild wie dieses:

In dem Fall wurde der Prozess TASKMON.EXE ausgewählt. Es werden die Dateidetails angezeigt, die auch auf der Registryseite zu erhalten sind.

Darunter spezielle Prozessinformationen, die nur entfernt wichtig sind (aber es gibt ja Leute, die können nie genug wissen ;-)).

Module z.B.  gibt an, wieviel Module der Prozess geladen hat. Referenzen gibt an, wieviele andere Prozesse auf diesen verweisen usw.

Klickst du ein Modul an, erhälst du ein Bild wie dieses:

Auch hier werden die Dateidetails angezeigt (die erhälst du sonst nirgends in TrojanCheck).

Und auch hier werden mehr oder weniger unwichtige Infos angezeigt.

Die Angabe "Global genutzt" zeigt z.B. den Modulcounter an. Das Modul ist in diesem Beispiel 21 Mal im System genutzt.


Gespeicherte Ansichten

Der ProzessViewer von TrojanCheck kann die komplette Ansicht der linken Seite speichern. Die Datei ist eine Textdatei.

Bearbeiten [image] Ansicht speichern

Strg+S

Diese gespeicherte Ansicht kannst du beispielsweise verschicken um anderen die Möglichkeit zu geben, deine Prozessumgebund zu beurteilen.

Bearbeiten [image] Ansicht laden

Strg+O

Damit kannst du einen vorher gespeicherten Baum wieder anzeigen lassen.

Beachte, dass dies nicht unbedingt deine Prozessumgebung ist, sondern nur ein "Schnappschuß". Du kannst hier also nicht Prozesse beenden.


Prozesse suchen

Wenn du wissen willst, ob eine bestimmte DLL Datei geladen ist, kannst du den Button [image] benutzen.

In der Combobox werden vorangegangene Suchen gespeichert.

Wenn du diese "Historie" löschen willst: einfach die Datei procsearch.dat im Verzeichnis von TrojanCheck löschen.

Es genügt einen Textteil anzugeben. Durchsucht werden Prozess- und Modulnamen.


TrojanCheck Signaturen

Extras [image] TC Signaturen

Strg+D

Dies sind die Signaturen von TrojanCheck. Im Gegensatz zu der Signaturdatenbank eines Virenscanners, wo die "Bösen" verzeichnet sind, sind bei TrojanCheck die "Guten" in der Datenbank.

Alles was in der Datenbank steht, bekommt bei TrojanCheck ein Smiley verpasst. Der Rest dann ein Fragezeichen oder eine rote Hand. Wenn der Scan einen Trojaner ergeben hat, sogar einen Totenkopf.

Eine Übersicht über alle Symbole findest du hier.

Sämtliche Signaturen liegen in der Datei "tcsigs.dat".

Im Gegensatz zu früheren Versionen gibt es keine Standarddatenbank mehr. Du baust dir deine eigene Datenbank auf. Dazu musst du dir nur einmal etwas Zeit nehmen und prüfen, welche Autostart-Programme in deinem System was machen. Oder besser gesagt, welche Programme harmlos sind.

Diese kannst du dann einzeln per "Schlüssel OK" der Datenbank hinzufügen. Um alle Autostarteinträge auf einmal in die Datenbank einzu tragen, kannst du den Menüpunkt "Alle hinzufügen (Strg+A)" im Menü "Extras [image] Signaturen" nutzen. Achte dabei darauf, dass du wirklich alle Autostarteinträge kennst und du nicht aus Versehen einen Trojaner in die Datenbank aufnimmst.

Mit [image] fügst du manuell einen neuen Eintrag zu den Benutzersignaturen hinzu.

Mit [image] kannst du eine markierte Benutzersignatur entfernen.

 entfernt ALLE Signaturen auf einen Schlag.


IF3 Signaturen

Diese Signaturen werden von der TrojanScan Routine benötigt.

Die TrojanScan-Routine basiert auf der spektakulären IF3 Engine, die auch bei ANTS 2.0 zum Einsatz kommt.

Diese Signaturen kannst du nicht verändern, sondern maximal updaten.


Spyware Signaturen

Diese Signaturen benötigt TrojanCheck, um Spionagetools aufzufinden.

Verändern kannst du sie nicht, nur updaten.


Aus System entfernen

Hier kannst du festlegen, was passiert, wenn du auf "Aus System entfernen" anklickst (Registry, INI und Autostart-Seite).

Schlüssel aus Registry bzw. INI Datei löschen:

Dies löscht nur den Link auf die letztendliche Datei. Sie wird beim nächsten Windowsstart nicht mehr ausgeführt.

Ausgeführtes Programm aus dem Speicher entfernen:

Der Prozess der Datei, die durch den Schlüssel aufgerufen wird, wird beendet (Notbremse). Die Datei ist danach nicht mehr aktiv

Datei dieses Schlüssels bzw. INI Eintrages von Festplatte löschen:

Dies löscht die durch den Schlüssel ausgeführte Datei. Wenn "in den Papierkorb schieben" aktiviert ist, wird die Datei in den Windows-Papierkorb gelöscht. Ansonsten ist sie nicht mehr zurückzuholen (mit normalen Mitteln).

Hinweis:

Eine Datei kann nur gelöscht werden, wenn deren Prozess beendet wurde (außer bei Windows 2000, da kann man Dateien löschen, die aktiv sind). Daher muss "aus Speicher entfernen" angeklickt sein, wenn "Löschen von Festplatte" aktiviert ist.

Der einzelne Punkt "Neustart nach Entfernung" wurde notwendig, nachdem es die ersten Trojaner gab, die sich mit Hilfe von Schutzprozessen am Leben hielten und die Registryeinträge immer neu herstellten sobald sie gelöscht wurden.

Ist dieser Punkt aktiviert, geht TrojanCheck vom Schlimmsten aus, und sorgt dafür, dass die Datei beim nächsten Windowsstart gelöscht wird bevor sie aktiv wird. Nach dem Entfernen eines Schlüssels muss natürlich auch sofort ein Neustart erfolgen (dafür sorg TC schon).


Überwachung

Dies ist die Schaltzentrale zur Überwachung.

Starteinträge auf Veränderung überwachen

Ist das aktiviert, dann prüft TrojanCheck alle X Sekunden, ob sich an den Starteinträgen etwas geändert hat. Berücksichtigt werden dabei Registry, INI und Autostarteinträge. Das Prüfungsintervall kannst du ebenfalls hier einstellen.

Ist die Überwachung aktiv, leuchtet die entsprechende Anzeige auf der Hauptanzeige hellgrün.

Achtung:

Wenn du die Überwachung ausschaltest und danach wieder einschaltest, werden sämtliche Prüfsummen neu gebildet. Änderungen, die während der Ausschaltzeit vorgenommen wurden, werden so nicht erkannt !

Prozesse überwachen

Damit kannst du wichtige Prozesse wie z.B. Firewalls überwachen. Wird ein nicht laufender Prozess gefunden, bekommst du eine Warnmeldung. Du kannst dich dann entscheiden zu warten (Zeit ist hier einstellbar) bis der Prozess wieder erscheint oder die Überwachung für diesen Prozess beenden. Wenn du TrojanCheck neu startest wird er den fehlenden Prozess allerdings wieder bemängeln.

Ist "Immer warten, wenn nicht aktiv" angekreuzt, wirst du mit der ersten Warnung verschont. Das ist nützlich wenn deine Firewall erst nach TrojanCheck gestartet wird.

Diese Funktionen kannst du schneller über die Hauptanzeige ein oder ausschalten (auf den Knopf bei der Leuchtanzeige klicken).


ProcessViewer

Hier kannst du einstellen, ob du den ProcessViewer von TrojanCheck nutzen willst oder lieber ein anderes Tool vorziehst. Wenn du einen externen Viewer nutzen willst, musst du den Pfad zur Datei angeben.


Erweitert

Hier kannst du angeben, ob TrojanCheck gleich mit Windows gestartet werden soll. So wird die beste Überwachung gewährleistet.

Zu diesem Zweck trägt sich TrojanCheck selbst in die Run-Sektion in der Registry mit dem Parameter "-minimize" ein.

Außerdem stellst du hier ein, ob die Dateien sofort bei der Anzeige nach Trojanern gescannt werden sollen. Die Einstellung "auch modifizierte Server" ist die Heuristik. Damit findet der Scanner auch Trojaner, die manipuliert wurden um einer Erkennung zu entgehen. Die Scanzeit ist erhöht, aber die Sicherheit ist auch höher :-)

Diese Scan Funktion kannst du schneller über die Hauptanzeige ein oder ausschalten (auf den Knopf bei der Leuchtanzeige klicken).

Hinweis:

Durch das Aktivieren des OnFly Scans dauert das Starten von TrojanCheck 5 länger, da vor der Anzeige des Registry Inhaltes die Dateien gescannt werden.


Prozessüberwachung

So sieht es aus, wenn ein zu überwachender Prozess nicht (mehr) läuft.

Mit [image] schaltest du die Überwachung für den Prozess ab (beim nächsten Start wird er aber wieder geprüft).

Mit [image] lässt du dem Prozess ein wenig Zeit um sich doch noch zu starten.

Um einen Prozess vollkommen aus der Überwachung zu entfernen, musst du ihn von der Überwachungsliste löschen. Das geht über die Seite Prozessüberwachung.


Starteinträge geändert

Wenn du diese Meldung erhälst, wurde irgendetwas an den Starteinträgen der Registry, den INI Dateien oder Autostartgruppe geändert.

Du solltest dann prüfen, ob diese Änderung gewünscht ist.

Mit [image] lässt du die Änderungen zu und mit [image] werden die angezeigten Änderungen abgewiesen und der Ursprungszustand wieder hergestellt.


Mini-TrojanCheck

Wird TrojanCheck minimiert oder gleich mit Windows minimiert gestartet, befindet es sich in der Trayleiste (neben der Uhr von Windows).

Alle aktivierten Überwachungen werden trotzdem durchgeführt und auch die Alarmmeldungen erreichen dich.

Zusätzlich steht dir auch ein Kontextmenü zur Verfügung, wenn du mit der rechten Maustaste auf das Icon von TrojanCheck klickst:

Das Menü dient vor allem zur Prozesskontrolle. So kannst du mit dem Menü "Prozess beenden" mit einem Klick einen Prozess aus einem Untermenü auswählen und beenden. Das gleiche gilt für die Überwachung.

Außerdem hast du von hier aus schnellen Zugriff auf den ProcessViewer.


Verbindung aufbauen

Diese Meldung erscheint, wenn du nicht gerade mit dem Internet verbunden bist, TrojanCheck allerdings eine Verbindung benötigt.

Klickst du auf [image] wird eine Verbindung aufgebaut.

Klickst du auf [image] wird keine Verbindung aufgebaut und die geplante Aktion kann nicht beendet werden.


Unterschiede
Unterschiede bei verschiedenen Windowssystemen

Windows 95

Unter Windows 95 gibt es nicht die Möglichkeit, erweiterte Dateinformationen (Letzter Zugriff, zuletzt geschrieben usw.) zu erhalten. Deshalb werden die Dateidetailanzeigen entsprechend spärlicher ausfallen.

Windows 2000

Unter Windows 2000 gibt es keine Prozessbaumansicht (ProcessViewer).


Module werden von Prozessen geladen und benutzt. Meist sind es DLL Dateien.


Eine Combobox ist eine aufklappbare Liste, aus der man einen Eintrag auswählen kann.


Wenn du einen Virenscanner hast, dann hat dieser eine Datenbank mit Beschreibungen, wie ein Virus aussieht. Anhand dieser kann er einen Virus durch Vergleich finden.

Diese Beschreibungen nennt man Signaturen.


Eine Checkbox ist eine Möglichkeit, etwas an- bzw. abzuschalten.

Beispiel:


Der Trojanerserver ist der Teil eines Trojaners, der es anderen ermöglicht, auf deinen Rechner zuzugreifen und der die "Angreifer" mit Daten über deinen Rechner versorgt.


Der Client ist der Teil des Trojaners, mit dem ein Angreifer den infizierten Rechner steuert.