Freewarefreunde aufgepasst: Viele Freewareseiten und auch andere Downloadportale sind inzwischen dazu übergegangen, Donwloads nur noch über einen sog. "Download-Helper" abzuwickeln. Das sind Programme, die man sich zuerst installieren muss, um das Programm, was man eigentlich haben will, auch zu bekommen. Oft werden sie damit beworben, dass der Downoad damit angeblich viel schneller ginge als ohne das Programm.
Diese Download-Helper sind eine ernst zu nehmende Gefahr. Ich habe vor einiger Zeit nach einer brauchbaren Freeware zur Soundbearbeitung gesucht, wurde auf freeware.de fündig, wurde genötigt, den Download-Helper zu installieren und handelte mir dabei eine Vireninfektion allererster Sahne ein.
Das Ding nistete sich derart zäh in den Eingeweiden meines Rechners ein, dass ich ca. 8 Stunden hochkonzentrierter Arbeit brauchte, bis ich die Zecke wieder los wurde. Erstes Indiz für die Infektion war für mich, dass ich im www mit ungewohnten Mengen an Werbung bombardiert wurde. Ein Blick in meine Add-on Liste von Firefox offenbarte, dass sowohl AdBlock Plus als auch NoScript deinstalliert waren. Statt dessen hatte ich ein Add-on namens "Donwload Protect", das angeblich Downloads auf Viren checkt und sich nicht deinstallieren ließ, nur deaktivieren. Bei jedem Neustart des Browsers war es allerdings wieder aktiviert.
Kurz darauf begann mein Virenchecker (antivir), mehrmals in der Minute Alarm zu schlagen. Er meldete mir mehrere Infektionen (zB mit rajving revven), die er auch allesamt erfolgreich desinfizierte. Problem war nur, dass sich die Viren permanent neu installierten. Auch eine Installation anderer AV-Programme (zB Malware-Protect) half dagegen nichts, außer, dass sie mir noch mehr Infektionen meldeten.
Umfangreichere Recherchen förderten zutage, dass sich das Virus auf mehreren Ebenen eingenistet hatte:
- Als Windows-Systemdienst, der ständig checkte, ob das Virus noch installiert war. War es das nicht, wurde es neu installiert.
- Als Windows-Installationsdatei unter einem kryptischen Ordnernamen mit ständig wechselndem Dateinamen. Diese wurde vom genannten Dienst aufgerufen bzw. - war sie gelöscht, wieder neu dort hin kopiert.
- Die eigentliche Schadsoftware (etwa 3-4 verschiedene, ebenfalls immer wieder mal wechselnde Viren), war auch in ständig wechselnden, harmlos klingenden Verzeichnissen an verschiedenen Stellen des Verzeichnisbaums zu finden.
Um das Ding loszuwerden musste ich mit beiden Händen tief in den Eingeweiden meines Rechners wühlen. Ich musste den Windows-Dienst im abgesicherten Modus ausschalten, dabei gleichzeitig diverse kryptische Registry-Einträge löschen, die Installationsdateien löschen, die Ordner auf schreibgeschützt umstellen, die Viren desinfizieren... Mein Rechner hat mich ständig panisch gefragt, ob ich den auch wirklich wisse, was ich da tue, denn meine Änderungen könnten irreparable Schäden nach sich ziehen.
Löschen ließ sich übrigens kein einziger der Viren-Ordner, selbst mit Administrator-Rechten nicht. Was aber ging, war das Aktivieren des Schreibschutzes auf Systemebene, so dass auch der Virus nichts mehr hineinschreiben konnte.
Langer Rede kurzer Sinn: Ich bin das Ding wieder los, AdBlock und NoScript laufen wieder, aber bei Freeware sehe ich inzwischen 10mal hin, bevor ich mir da irgend etwas installiere. Donwload-Helper werde ich nie wieder verwenden, wenn ich die Software ohne diese nicht bekomme, ist sie es mir nicht wert.
Und ganz persönlich: Ich hatte mich nicht nur für einen halbwegs, sondern für einen sehr erfahrenen Nutzer gehalten. Trotzdem ist mir dieser Lapsus passiert, vor allem, weil ich die Seite freeware.de von früher als seriös kannte und daher vielleicht nicht ganz so kritisch/paranoid war, wie ich es hätte sein müssen. Meine Erfahrung hat mir wenigstens geholfen, das Ding wieder loszuwerden. Die Warnung hier habe ich geschrieben, um andere ebenso erfahrene (oder auch unerfahrene) Nutzer vor dem selben Fehler zu bewahren, der mir unterlaufen ist.
Ähnliches gilt übrigens auch für so manche "Taskbar" oder andere "nützliche Helferprogramme", die viele Programme mitinstallieren wollen. Geht die Installation nicht ohne dieses "Extra", taugt das Programm in meinen Augen nicht genug, um von mir installiert zu werden. Selbst mein Antivirenprogramm (antivir) fängt inzwischen damit an, mir irgendwelche Shopping-Helferchen andrehen zu wollen
