Viren, Würmer, Trojaner, Phishing und Spam – als aktiver PC-Anwender sind Sie heute mannigfachen Gefahren ausgesetzt. Fakt ist jedoch auch: Es hat sich bei vielen Anwendern eine Art Gewöhnungseffekt eingestellt, der die Existenz von Schadsoftware aller Art hinnimmt, aber sich mit der Bedrohungslage etwa so arrangiert hat wie mit der potenziellen Bedrohung eines Verkehrsunfalls.
Doch diese schleichende Lethargie ist brandgefährlich, das beweist die neue Schadsoftware namens "Rombertik". Neu ist hierbei keineswegs der Typus Schadsoftware an sich, denn Rombertik ist ein Trojaner. Neu sind ebenfalls nicht die Ziele, die der Trojaner im Auftrag seiner kriminellen Schöpfer ausführt: Rombertik soll so viele Daten des Anwenders ausspionieren und zu geheimen Servern übertragen, wie es nur geht. Rombertik nimmt alles: Zugänge zu E-Mail-Konten, PINs zum Online-Banking, Nutzernamen und Passwörter, sogar Ihre besuchten Webseiten werden von Rombertik ausspioniert.
Das macht Rombertik einzigartig
In der Urzeit der Schadsoftware gab es die Intention gar nicht, Daten zu stehlen. Schadsoftware, insbesondere die klassischen Viren, leisteten zerstörerische Arbeit, ganz ohne wirtschaftlichen Hintergedanken. Das ist heute ganz anders: Moderne Schadsoftware folgt allein dem Ziel, mit den befallenen Systemen auf unterschiedlichsten Wegen möglichst viel Geld zu verdienen. Rombertik verhält sich insofern trivial.
Und doch ist Rombertik anders. Um ihre "Arbeit" geheim zu halten, versteckt sich Malware heute in aller Regel von der Infektion bis zum erfolgreichen oder bitteren Ende so gut es geht. Rombertik handelt anders: Wird seine Existenz von einem Anti-Malware-Tool entdeckt, packt er den virtuellen Knüppel aus, legt den befallenen Rechner komplett lahm, damit sich selbst auch – eine Art virtuelles Harakiri.
Konkret: Rombertik überschreibt die Daten im Master-Boot-Record. Das ist ein spezieller Bereich der Boot-Festplatte (HDD oder SSD), von der das Betriebssystem gestartet wird. Das richtet zwar keinen Hardware-Defekt an dem Laufwerk an, aber nach diesem Killer-Eingriff startet der PC nicht mehr, da kein Betriebssystem mehr gefunden wird.
Das hat nicht nur den Verlust des startbaren Betriebssystems, sondern aller Daten auf dem betreffenden Laufwerk zur Folge. Es ist also auch keine Datenrettung von dem Laufwerk mehr möglich, indem man es als zweite Platte oder per USB-Festplattenadapter an einen anderen PC anschließt.
So schützen Sie sich vor Rombertik
Bislang gibt es keine spezielle „Anti-Rombertik“-Software. Die Frage ist auch, ob dies angesichts des Harakiri-Verhaltes dieser Malware wirklich sinnvoll ist, denn es ist ja neunmal traurige Wahrheit, dass die überwiegende Zahl der PC-Nutzer nicht über ein Backup wenigstens der wichtigsten Daten verfügt. Im Falle von Rombertik ist Prävention daher die sicherste Maßnahme, bis es z. B. über eine Live-CD und damit einen von der Festplatte unabhängigen PC-Start möglich ist, Rombertik zu entfernen. Aktuell sind diese Maßnahmen wichtig:
- Der Infektionsweg per E-Mail macht es erforderlich, dass Sie alle neuen Nachrichten extrem skeptisch prüfen. Ob der Absender nun angeblich Microsoft, DHL, PayPal, eBay oder Ihre Krankenversicherung ist, gehen Sie davon aus, dass es sich nahezu immer um einen Betrugsversuch handelt. Maßnahme: Sofortiges Löschen der Mail.
- Haben Sie zur Kontrolle eine Mail geöffnet und stoßen auf Rechtschreibfehler, eine ungewöhnliche grafische Darstellung oder gar einen unerwarteten Anhang, ist höchste Alarmstufe. Rombertik tarnt sich derzeit als angeblicher Anhang im PDF-Dokumentenformat, dies ist jedoch sicher nur ein erster Türöffner-Versuch. Löschen Sie die Mails sofort, insbesondere, öffnen Sie keinen Link.
- Sofern der Rechner nicht mit einem Anti-Viren-Programm geschützt ist, sollten Sie dies nun unbedingt nachholen. Ansonsten sollten Sie prüfen, ob Ihr eingesetztes Anti-Malware-Programm aktuell ist. Zur Sicherheit sei an dieser Stelle grundsätzlich angemerkt: Ein kostenloses AV-Programm ist besser als keines, aber hochwertigen Schutz bieten Ihnen nur die kommerziellen Vollversionen.
- Wenn Sie Verdachtsmomente hegen, dass Rombertik auf Ihrem Rechner aktiv sein könnte, gibt es eine Möglichkeit, dies zu prüfen. Führen Sie die Tastenkombination [Strg] [Alt] [Entf] aus und öffnen den Windows Task-Manager. Dort kontrollieren Sie im Register „Prozesse“, ob sich dort ein Prozess namens „yfoye.exe“ findet. Ist dies der Fall, führen Sie sofort eine Datensicherung der ungesicherten Daten durch und nutzen keine Dienste mehr, bei denen Sie Passwörter etc. eingeben müssen. Wenden Sie sich im Zweifelsfall an einen Fachmann, ehe Rombertik Ihrer Windows-Installation bzw. dem Zugriff auf Festplatte bzw. Festplattenpartition C: den Garaus macht.