Ich wurde gehackt - was nun?

Das wichtigste, Strafantrag gegen Unbekannt bei der Polizei machen.
Und ich hab mir angewöhnt meinen Rechner zu sperren zuhause bei Nichtbenutzung.

Welche Gegenmaßnahmen du ergreifen kannst hängt wohl davon ab wie die Infektion zustande gekommen ist.
Sein wir ganz ehrlich, selbst eine billige NAT im Heimrouter verhindert recht sicher das einfach jemand deinen Rechner remote übernimmt.

das mit dem Remote Desktop hört sich für mich eher nach diesen Scam anrufen an die einen dann überreden Teamviewer etc zu installieren und dann deinen Rechner übernehmen.
Dafür braucht es dann natürlich Hilfe vor Ort.

Oder es kam was per Mail mal rein und es ging über ein Office Makro oder es wurde mal ein Spiel bzw. Software mit nem unsauberen Crack installiert.
So wie es sich für mich anhört waren aber auch alle deine Passwörter auf dem Rechner vorhanden oder du warst in allen Diensten angemeldet, ist natürlich nicht das Gelbe vom Ei.

Zitat von Xtra78

Samstag Abend als ich mit meinem Sohn von einer Tour aus Köln zurück gekommen bin, viel mir auf, das ich morgens beim RoutenCheck den PC vergessen habe aus zuschalten.
[...]
Welche Maßnahmen kann ich weiter einsetzen damit so etwas nicht noch einmal passiert?

Ich verstehe das nicht ganz: Hast Du den Rechner eingeschaltet bei dir zuhause gelassen? Oder befand er sich im nicht abgeschlossenen Auto und in einer unbeobachteten Sekunde hat sich jemand daran zu schaffen gemacht?

P.S.: Solange das Passwort von kodinerds nicht gehackt wurde....

Zitat von SkyBird1980

[…]
Und ich hab mir angewöhnt meinen Rechner zu sperren zuhause bei Nichtbenutzung.

Bei nicht Nutzung mache ich meine Geräte aus

Hört sich für mich eher nach einem Scam-Anruf an, evtl. in der Zeit wo du nicht zuhause warst. Neben Teamviewer wird hier auch mal AnyDesk verwendet. War denn in deiner Abwesenheit jemand anderes im zuhause anwesend?

Ich gehe auch schwer davon aus dass die Käufe direkt von deinem Rechner ausgeführt worden sind, ansonsten würden hier sehr schnell diverse Sicherheitsvorkehrungen der Anbieter greifen. Paypal merkt ziemlich schnell dass ein Kauf von einem nicht authentifizierten Rechner oder PC getätigt wird.

Wie @darkside40 schon sagte hängt es davon ab wo das Einfalltor herkommt.

Selber habe ich eine ähnliche Erfahrung letztes Jahr mal gemacht, hierbei in Bezug auf die Deutsche Bahn.
Hatte einen Tag plötzlich Post von der Deutschen Bahn über unbezahlte Rechnungen im Briefkasten (echter Briefkasten). In meinen Account konnte ich mich nicht mehr einloggen, Passwort zurücksetzen ging auch nicht, E-Mail wurde anscheinend geändert, hatte aber nie eine Info über eine Änderung per E-Mail erhalten.
Kurios an der Sache, offiziell kann man online garnicht auf Rechnung buchen.

Naja Anruf bei der Bahn, das Schreiben genannt, Mahnverfahren wurde pausiert, ab zur Post und Anzeige gegen unbekannt. Verfahren wurde dann nach nem halben Jahr eingestellt und seit dem nie wieder was davon gehört.

Mir stellt sich schon die Frage, wie die AnyDesk-Software reingekommen ist. Von selbst passiert jedenfalls so etwas nicht. War der eingeschaltete Rechner nicht trotzdem irgendwann oder sogar direkt gesperrt (Lockscreen)?

Für mich hört es sich an, als ob sich schon vorher ein Virus eingenistet hat. Dieses "nette" Programm hat dann nur auf das Inaktivitätsfenster gewartet und anschließend die AnyDesk-Dateien nachgeladen. Die wahrscheinlichste Variante, wenn ansonsten niemand physisch am Rechner war.

Warst du womöglich irgendwann mal auf irgendwelchen dubiosen Seiten unterwegs oder wurdest dank Werbung dorthin umgeleitet? Denn dann bringen dir sämtliche Firewalls gar nichts.

Hast du irgendwo diese Tour groß angekündigt? Persönlich oder sogar bei FB? Im Stil von "ich mache jetzt 1 Woche lang Urlaub und bin nicht in der Wohnung"? Und dann kommen die netten Leute in deine Wohnung...

Dass der Rechner nicht gesperrt und somit die ganze Zeit ungeschützt offen war, ist sicherlich nicht von Vorteil. Und vermutlich war der PC nicht durchgängig im Ruhezustand.

Zitat von Xtra78

Es kam allerdings auch keine Meldung der Virensoftware das sich etwas eingeschlichen hat. Ich lasse 2 mal am tag einen kompletten Scan laufen.

Gut, aber AnyDesk an sich ist meines Erachtens kein Virus. Wenn kein anderes Programm diese Software nachgeladen hat, ist sie ggf. manuell durch einen User heruntergeladen und installiert worden. Bist du dir also wirklich zu 100% sicher, dass niemand in deiner Abwesenheit an deinem Rechner dran war?

Halte es eher für unwahrscheinlich das dafür jemand in die Wohnung einsteigt.

Die Theorie von dem vorher bereits installiertem Virus der auf Inaktivität wartet ist mMn nach nich das wahrscheinlichste Szenario. Wie schützt man sich davor? Ein weiterer Virenscanner bringt mMn nichts. Diese Programme sind eher ein Problem an sich.

Sinnvollste ist: Gehirn einschaltet. Oder auf ein anderes OS wechseln welches nicht im Fokus von Cyberkriminellen steht. Hast du deinen Rechner mal mit Desinfect gescanned oder direkt platt gemacht?

Bin derzeit nur am Handy aber kann sein das du Anydesk unbemerkt untergeschoben bekommen hast: https://www.pcrisk.de/ratgeber-zum-e…3-anydesk-virus

Wie gesagt bin am Handy konnte die Seite nur überfliegen.

Also eins kann ich sagen. Sämtliche Software, die du installieren könntest, bringt dich da nicht weiter.

Ich habe schon so den ein oder anderen Kontakt zu Pentestern und habe mal live mitbekommen, wie jemand bei einem frisch durchgepatchten Windows 10 keine 5 Minuten brauchte um auf der Kiste Admin-Rechte zu haben.

Das Problem kann überall herkommen. Das zu analysieren, was genau das Einfallstor war bedarf wahrscheinlich einiger Zeit und auch ne Menge "Windows-Foo". Das kann eine installierte Software sein, die durch eine Sicherheitslücke eine RCE (Remote Code Execution) erlaubt. Das kann ein Virus sein, der durch eine Website oder eine Mail rein gekommen ist....da gibt es so viele Möglichkeiten, das ist unbeschreiblich. In dem Moment, wo sich ein Virus auf deinem Rechner befindet (und nicht jeder Virus-Scanner erkennt da sofort alles), ist es vorbei. Da sucht man sich dann auf der Kiste die entsprechende Lücke und schon gehts los. Da reicht es schon, wenn noch SMB1 auf Windows 10 aktiv war. Auch das erlaubte, soweit ich weiß, RCE unter gewissen Umständen.

Wollen wir aber mal ein wenig auf "Sicherheitssoftware" eingehen

Zitat von Xtra78

Zusätzlich nutze ich die Firewall von Avira

Halte ich persönlich nichts von. Wird auch in der Presse nur auf Grund von Lobbyismus gelobt.

Ich lese leider nichts davon, welchen Virenscanner du einsetzt. Eine Firewall ist kein Virenscanner. Der Windows-Defender ist da auch grundlegend schon ausreichend, wenn das System gut konfiguriert wurde. Dazu weiter unten mehr.

Es gibt gute Sicherheits-Suites, die man installieren kann. Die, die mir mal empfohlen wurde, ist ESET Internet Security. Die ist nicht teurer als die Platzhirsche von Kaspersky oder Norton, belasten dein System aber weniger. Wie sich die Platzhirsche mittlerweile verhalten kann ich nicht sagen, weil schon ewig nicht mehr benutzt. Was mir an ESET gut gefallen hat war, dass ESET merkt, wenn ein Portscan gegen den Rechner ausgeführt wird und direkt die verursachende IP geblockt wird. Das habe ich mal bei mir zu Hause getestet und bin mit Metasploit an die Windows-Kiste ran. Da ging dann nicht mehr viel, wenn die IP direkt noch vor den Ergebnissen des Scans geblockt wird. Natürlich ist es kein Hexenwerk sich mit der nächsten IP aus dem Netzwerk wieder daran zu schwingen, aber ich fand es nett, wie ESET da vorgegangen ist.

Thema Konfiguration:

Ich halte es weiterhin für unbedingt notwendig, selbst nicht als Admin angemeldet zu sein. Der Nutzer, den man dauerhaft verwendet, sollte keine Admin-Rechte haben. Das würde auf jeden Fall das Installieren von zusätzlicher Software verhindern. Problem ist, dass die meisten diesen Ratschlag ignorieren und ich möchte wetten, dass entweder dein Admin Passwort sehr schlecht war oder du direkt als Admin angemeldet gewesen bist. Ansonsten ist es nicht möglich Software ohne ein Passwort zu installieren, was den Zugang über AnyDesk verhindert hätte, bzw. in deinem Fall erlaubt hat.

Viel wichtiger als etliche Virenscanner zu installieren ist es also, das bestehende Betriebssystem sauber zu konfigurieren und zu administrieren.

Passworte sollten nicht im Browser gespeichert sein. Beim Schließen des Browsers sollten alle Cookies, Offline-Inhalte, Sessions etc... gelöscht werden. Das verhindert, dass Sessions bestehen bleiben. Das ist zwar unkomfortabel, dafür aber sicher. Es gibt das Sprichwort: "Die Freiheit ist nicht sicher und die Sicherheit ist nicht frei". Da ist leider was dran.

Verwende einen ordentlichen Passwortmanager. Ich kann Keepass sehr empfehlen. Datenbank ist verschlüsselt und man muss sich nur das Masterpasswort merken und dieses natürlich auch stark genug wählen.

Für alle Accounts sollten unterschiedliche Passworte verwendet werden. Passworte sollten mindestens 12 besser 16 Zeichen lang sein, Buchstaben (groß und klein) sowie Zahlen und Sonderzeichen enthalten. Ich mache kein Geheimnis drum. Für alle Internetforen verwende ich das gleiche Passwort. 19 Zeichen lang und nach o. g. Standards. Alle anderen Accounts, die in irgendeiner Form mit "Geld" zu tun haben, haben jeweils ein anderes Passwort. Unter Linux lasse ich sie mir generieren: pwgen 16 1. Etwas ähnliches gibt es bestimmt auch unter Windows. Weiter kann dir Keepass auch Passworte in entsprechender Länge mit gewissen Vorgaben generieren.

Aber wie gesagt....die beste Software hilft dir nicht, wenn sich der Virus schon auf deinem Rechner befindet oder dein System schlecht konfiguriert ist.

Und eines kann ich dir noch sagen...alles was du denkst, was dich sicherer machen könnte....da lass dir gesagt sein, dass echte Hacker dir da schon mindestens 1 Jahr voraus sind.

Man sollte auf jeden Fall jetzt nicht paranoid werden. Wenn man mit dem Holzhammer ran gehen möchte, kaufst du dir eine andere Festplatte, schmeißt deine alte mit allen Daten weg und setzt Windows neu auf. Denke daran, dass sich der Virus in allen möglichen Daten rein setzen kann. Du solltest also keine Daten migrieren.

Das sind so die besten Ratschläge, die ich dir mit auf den Weg geben kann.

Tut mir leid für dich und hoffe, dass alles gut verläuft und du nicht auf viel Geld sitzen bleibst.

Erwischen wird die Polizei die Hacker nicht, wenn die Jungs halbwegs Ahnung hatten.

Zitat von pcrisk.de

Sobald der Benutzer „weg von der Tastatur“ ist, verbinden sich Cyberkriminelle aus der Ferne mit dem System und führen bösartige Aktionen aus.

Ist ja auch mein Verdacht gewesen, nur dass AnyDesk selbst schon das Virus ist und halt nicht erst nachgeladen werden musste.

anydesk schmeißt seine [definition='1','0']log[/definition] Daten in %programdata%\anydesk oder %appdata\anydesk

Da könnte man weiter Suchen ... und anydesk lässt sich auch ohne adminrechte starten.