Ein Trojaner aus dem "Partner"-Shop

Ich las im Diskussionsforum des Ama...-PartnerNet und klickte auf den Partner Shop-Link des wohl eifrigsten Helfers und Problemslösers dieses Forums. Und sofort meldete Anti... Guard den Fund des Trojaners e-Browser Plugin 'SPR-Remotwatch', der - wie eine weitere Systemmessage meldete - gerade sich zu installieren versuchte. Die Webseite könnte von Unbefugten über einen IFrame-Aufruf gekapert sein - die Infizierung könnte aber auch vom Shop-Betreiber gewollt sein. Ich wog Nachteile und Nutzen dieses AddOns ab und entschied mich für den Abbruch dieser Installation und das vom Virenscanner angebotene Löschen. Der Ama... Support erhielt eine Mittelung über deren Kontaktformular.

Kurz darauf hangelte ich mich im MS Windows-Explorer von irgendeinem Unterordner zum Arbeitsplatz hoch - und mich traf fast der Schlag: Im Hauptlaufwerk 'C:\' befanden sich genau 36799 temporäre Dateien in einer fortlaufenden Buchstaben- und Zahlennummerierung. Nach dem Versuch, über den Editor den Inhalt einer dieser Dateien einzusehen, meldete dieser ein unbekanntes Makro. Zeitgleich ging die Belastung meiner zuvor eher unterbeschäftigten CPU auf konstant 100% - es ging fast nichts mehr.

Ich mache es kurz: Die CPU-Belastung reduzierte ich durch Entfernen von einigen 'sychost.exe'-Instanzen aus der Prozess-Anzeige des MS Task-Managers. Niemals blind alle dieser Instanzen von WindowsXP schließen - das Betriebssystem würde einen Neustart einleiten. Meine beiden Lieblings-Trojanerscanner Spybot Search & Destroy und Lavas... AdAware fanden nichts Neues. Die Makros bleiben bis zu dessen manueller Entfernung ausgeschaltet. Und die temporären Dateien ließen sich in einer 45-minütigen Aktion löschen. Offenbar wurde deren Erzeuger vom Virenscanner gelöscht, nachdem er dies im Hauptverzeichnis anrichtete.

Ähnliches widerfuhr mir vor Kurzem nach dem Klick auf den 'Nächster Blog'-Link der NavBar von Blogger.com. Daraufhin habe ich diese von Blogger.com angebotene Navigationsleiste und Toolbar aus meinen Blogs entfernt. Denn bei Links mit bekannten Betreibernamen oder-namenszusätzen auf einer vertrauten Webseite wird man leicht unvorsichtig.

Ab sofort möchte ich nur noch über ausgefallene Festplatten und qualmende CPU's berichten - ich kann keine Trojaner mehr sehen.


Nachtrag vom 16.5.07: 4 Tage nach meiner Meldung an den Buchhändler Ama... sind die gefährlichen Links immer noch im Forum verbreitet wie die Grippeviren in der U-Bahn - und zu einer Antwort/Reaktion hat sich dieses Unternehmen auch nicht herabgelassen. Merke: Es gibt auch noch andere Online-Buchhändler - beispielsweise Lesen.de.

(!! WEGEN ABMAHNUNGEN WERDEN HERSTELLER UND PROGRAMMBEZEICHNUNGEN NICHT MEHR MIT VOLLSTÄNDIGEN NAMEN GENANNT !!)