Virenbefall Dank Norton / Welche Lösung

[mae-syn]

Besten Dank @Synchrotron ! So und nun mal ein Update von meiner Seite:

Anlass: Aus unbekanntem Grunde (und nicht erkennbar) war eine als installiert angezeigte Version Norton 360 auf einem PC nicht funktionsfähig. Der daraufhin gestartet Scan brachte eine panikauslösende Anzahl an Virusmeldungen.

Vorgehen: Aus eigenem Antrieb und / oder Hinweisen aus dem Forum habe ich folgende Schritte unternommen (wobei einzelne Forenbeiträgen auch eher zur Verunsicherung beigetragen haben. Aber mehrere Ansichten sind sofern es keine absoluten Wahrheiten gibt ja nicht verkehrt).
- Installation Norton auf dem betroffenen Rechner
- Scan aller Clients (incl. des Betroffenen) : Ohne Schadbefund
- Scan des Servers vom PC via Norton. Überwältigende Anzahl an Virusmeldungen beginnend bei den Snapshots. Vermutung war die Anzahl ist wesentlich kleiner aber durch die Snapshots halt vervielfacht. Im Laufe der weiteren Scans zeigte sich dann, daß die betroffenen Dateien mit hoher Wahrscheinlichkeit alle mindestens 15 Jahre und z.T. noch deutlich älter waren und vermutlich nicht "frei" liegen.
Es scheint KEIN (durch Norton zu identifizierender!!) Schadstoffbefall durch den (vermutlich seit Monaten) ungeschützten Rechner erfolgt zu sein. Es zeigte sich des weiteren, daß die Schaddateien zumindest weit überwiegend innerhalb der Backupdateien von Outlook-Express enthalten waren. Bisher habe ich zwei andere Meldungen gesehen, aber da bin ich mir nicht so sicher, ob das wirkliche Schadsoftware ist. Zu früheren Zeitpunkten waren Fehlalarme (zumindest bei dem von mir überwiegend eingesetzten) Norton eher die Regel.
- Automatisch bereinigung des Systems via Norton (auch wenn ich das Risiko mittlerweile für sehr überschaubar hielt). Eine xx.oeb manuell gelöscht das hartnäckig.
- (Danach) Scan 423+ (68 Stunden!) und 224+ mit dem dafür installierten "Antivirus Essential" von Synology. 224+ sauber, 423+ noch einiges gefunden und bereinigt. Die im Forum diskutierten "Perfomanceprobleme" infolge Überlastung durch AV treffen bei mir nicht zu. Einschränkung "AV Ess." ist allerdings, daß Dateien größer 2.048 MB nicht geprüft werden (dürfte bei mir nur Archivdateien betreffen).
- Gefunden durch AV Ess. alles "Altprobleme"

- (Bisher) 3 von 8 externen USB-Sicherungs-HDDs bereinigt. Für die EXT4 formatierten sehe ich keine (einfache) Möglichkeit der Bereinigung. Der Beitrag von synchrotron bestärkt mich in der Überlegung diese nicht weiter zu prüfen.
- Snapshots des betroffenen Verzeichnisses gelöscht, damit ich nicht bei zukünftigen Scans in Fehlermeldungen "ersaufe". Aufgrund Hyperbackups sowohl 423+ intern als auch 224+ sollte ich - solange da nicht ausgerechnet heute tagsüber jemand Unfug gebaut hat - mehr als ausreichend geschützt sein.

Was steht noch an:
- Werde nochmals Norton über die 423+ jagen (kost ja nichts )
- gleiches gilt für die NFTS-Formatierten USB-Sicherungs-HDDs

Weitere Maßnahmen:
- Termin setzen, daß alle 14 Tage die Funktion Norton auf den Clients geprüft wird.
- "ab und an "Essential" zumindest auf der 423+ laufen lassen.
- Gelegentlich mal einen Profi über meine Einstellungen schauen lassen.

Zusammenfassend: (Hoffentlich verständliche) Erste Panik war nicht angebracht. Ungutes Gefühl sowohl das Norton nicht aktiv war als auch das es keinen Plan gab dies zu erkennen und es der reine Zufall war. Anscheinend Glück gehabt (soweit dies mit "Bordmitteln" erkennbar ist).

Besten Dank für die auf das Thema bezogenen Beiträge.

 

[metalworker]

Danke für die Rückmeldung .

Das Zeigt wieder ,es lohnt sich immer Ruhe zu bewahren und sich dann alles genau anzuschauen .
Geht hier im Forum halt nur bedingt.

Grundlegend werden Aber Backups und Snapshots von Virenscanner ausgenommen. Und man lässt die da auch nicht löschen.
Denn du willst ja nicht das etwas dein Backupbestand bearbeiten kann.

Und es scheint mir so , also wenn du am Client die Snapshots löschen kannst.
Ist eigentlich auch nicht sinn der Sache ., Klar du hast noch die Replication auf nen anderes NAS .
Aber Backups dürfen nie von einem Normalen CLient und User erreichbar sein.

 

[mae-syn]

Danke @ metalworker

Das Zeigt wieder ,es lohnt sich immer Ruhe zu bewahren und sich dann alles genau anzuschauen .
Geht hier im Forum halt nur bedingt.

Ebenso zutreffend wie leicht gesagt

...Grundlegend werden Aber Backups und Snapshots von Virenscanner ausgenommen. Und man lässt die da auch nicht löschen.
Denn du willst ja nicht das etwas dein Backupbestand bearbeiten kann....

Nachvollziehbar, wobei ich den Eindruck hatte, daß die HyperBU auch gescannt werden, es also techn. geht.

...Und es scheint mir so , also wenn du am Client die Snapshots löschen kannst.
Ist eigentlich auch nicht sinn der Sache ., Klar du hast noch die Replication auf nen anderes NAS ....

Falscher Eindruck vermtl. weil ich es nicht weiter ausgeführt habe (Text war eh schon lang). Es ist mir vom Client NICHT möglich Snapshots oder Dateien darauf zu löschen. Vielmehr habe ich die Aufbewahrungsregeln für dieses Verzeichniss im "Snapshot Replication" vorübergehend geändert und bin auf nur 2 zu behaltende Versionen gegangen und schon wurde da mal "durchgewischt".

Hinsichtlich der Rechte habe ich die Warnung aufgegriffen - tatsächlich war ich auch als Nutzer in der Admin-Gruppe, habe mich mal rausgeworfen (und mal sehen ob ich dann etwas vermisse...)

...Aber Backups dürfen nie von einem Normalen CLient und User erreichbar sein....

Das verstehe ich nicht - wie sollen die vom Client geschrieben werden (z.B. Macrium) wenn keine Rechte? Bei "Active Business" mag das anders sein (?).