Sie sind hier: Home > Digital > Computer > Sicherheit >

Microsoft: Patch MS10-015 kollidiert mit Rootkit-Virus

...

Drucken

0 Kommentare

Cyber-Kriminelle aktualisieren Rootkit

18.02.2010, 09:22 Uhr | Andreas Lerg

Rootkit verursacht Bluescreen und macht PC kaputt (Screenshot: t-online.de) (Quelle: t-online.de)

Schlagabtausch an der Update-Front: Microsoft hat mit Sicherheits-Updates diversen Hintertüren für gefährliche Schädlinge geschlossen. Der aktuelles Sicherheits-Patch MS10-015 aber kollidiert vermutlich mit einem Rootkit-Virus und macht den Computer unbrauchbar, denn er stürzt bei jedem Neustart des Systems ab. Doch jetzt legen die Online-Kriminellen selbst nach und liefern ihrerseits ein Update für ihren gefährlichen Rootkit-Virus. Windows funktioniert damit scheinbar wieder problemlos. Aber auch der Schädling geht wieder ungehindert ans Werk.

Sicherheit

Nach einem Sicherheits-Update von Microsoft Windows kam es bei vielen Nutzern zu dem berüchtigten Bluescreen beim Neustart des Computers. Wie neben Microsoft jetzt auch Symantec und Kaspersky Lab sagen, ist die Ursache sehr wahrscheinlich ein Rootkit-Virus namens Tidserve auf den betroffenen Computern. Der Schädling ruft eine Systemeinstellung auf, die nach dem MS10-015-Update von Microsoft verändert wurde. Da das beim Neustart des Computers geschieht, hängt sich das System auf und es wird der berüchtigte Bluescreen angezeigt. Der PC wird damit unbrauchbar, da er sich nicht mehr starten lässt.

Rootkit-Update beseitigt Störung

Für zweifelhafte Abhilfe sorgen jetzt die Programmierer der Schadsoftware selbst, denn sie haben eine neue Version des Tidserve-Rootkits entwickelt und verteilt. Cyber-Kriminelle passen ihre gefährlichen Werkzeuge regelmäßig an, um die Gegenmaßnahmen von Antiviren-Software und Betriebssystem-Updates auszuhebeln. Mit dem Update des Rootkits funktioniert Windows anscheinend wieder ohne Probleme, der Bluescreen bleibt aus und auch das Rootkit kann wieder unbemerkt Schaden anrichten.

Rootkits sind Schädlinge mit Tarnkappe

Ein Rootkit ist kleines Tool, das sich unbemerkt tief im Betriebssystem einnistet. Dort fungiert es als eine Art Tarnkappe für andere Schädlinge wie Viren und Spionagetools. Das Perfide: Während diese Programme sonst von jedem Virenscanner früher oder später erkannt werden, fallen sie der Schutzsoftware dank der Tarnung durch das Rootkit nicht mehr auf. Die perfekte Täuschung ist möglich, weil sich Rootkits direkt an den Schnittstellen zwischen Systemkern und Anwendungen einnisten. Dort können sie die Kommunikation zwischen dem System, das alle grundlegenden Aufgaben wie Dateisuche oder Datenverwaltung übernimmt, und der übrigen Software so manipulieren, dass etwa der Suchaufruf eines Virenscanners die verborgenen Dateien nicht mehr aufspüren kann.

Microsoft stopft die Lücke vorerst mit einer Notlösung

Microsoft rät wegen der Probleme, die durch die Installation des Patches MS10-015 entstehen, vom Update ab. Doch damit die Lücke, die der Patch eigentlich schließen sollte, für die Anwender nicht gefährlich wird, hält Microsoft ein so genanntes Fix-It bereit, das den betroffenen Teil von Windows einfach abschaltet. Eine Anleitung dazu finden Anwender in Hilfe-Artikel von Microsoft. Das ist natürlich kaum eine Alternative zu einem stabilen Patch. Wie Sie ein Fix-It verwenden entnehmen Sie unserer Foto-Show.

Lösung mit Reparatur-Konsole

Wer den Patch installiert hat und von Abstürzen betroffen ist, kann das fehlerhafte Update wieder deinstallieren. Dazu hat ein Nutzer in den Microsoft-Foren, eine Lösung gefunden, die mittlerweile auch von Microsofts eigenem Support als richtiger Weg aus der Misere angesehen wird. Dafür müssen die Anwender Windows XP von ihrer Installations-CD oder -DVD booten und die Recovery-Konsole starten. Dort geben die Betroffenen einige Befehle ein, um die installierten Updates zu deinstallieren. Das sollten Sie jedoch nur tun, wenn sie von diesem Problem betroffen sind. Schritt für Schritt lautet die Anleitung:

Windows-CD oder -DVD einlegen und vom CD-Laufwerk booten. Dann das Reparatur-System starten. Eine Support-Seite von Microsoft erklärt, wie Sie das tun können.
Geben Sie diesen Befehl ein: CHDIR $NtUninstallKB977165$\spuninst
Geben Sie diesen Befehl ein: BATCH spuninst.txt
Geben Sie diesen Befehl ein: systemroot
Zum Beenden geben Sie diesen Befehl ein: exit.

Danach starten sie den Computer neu und nehmen vorher die CD aus dem Laufwerk. Anschließend sollte der PC wieder normal booten.

Andreas Lerg

Versenden

An die Redaktion