Vernünftige Trojaner werden heutzutage auch nicht wirklich zuverlässig von Antivirenprogrammen erkannt.
Früher und auch heute benutzt man noch Signaturen von .Exe Dateien ,um
Trojaner zu erkennen. Darüber hinaus erkennen Antivirenprogramme auch über Heuristik
anhand des Verhaltens einer Anwendung, Trojaner. Diese Verhaltenserkennung ist ziemlich begrenzt, denn man kann Trojaner
so programmieren, dass sie sich wie jedes andere Programm verhalten bzw. so tarnen, dass sie zumindest wie ein herkömmliches
Programm wirken. Je mehr man über die Verhaltensweise und Tricks der Trojanern weiß, desto einfacher
kann man sie manuell erkennen. Das ist programmiertechnisch nicht ganz so einfach umzusetzen. Ich möchte
euch erklären, wie ihr diese Trojaner anhand von einigen Indizien einfach erkennen könnt.

Kriterien sind also:


1.)
Sollte im Dateinamen/Pfad etwas nichtsaussagendes wie djekk3p3474 oder 4384748dk oder 4848494 oder dkewkwo stehen,
ist das mit großer Wahrscheinlichkeit ein Trojaner.
Es gibt aber auch Namen wie "runsystem" oder "system run", "system client", die ein Trojaner sein können.
Der Name kann x-beliebig sein, auch ein Lol Client oder Wow Client, kann ein Trojaner sein.

2.) Sollte der Pfad generell seltsam aussehen oder unlogisch wirken z.B so:
Pfadbeispiel1: C:\Users\Peter\AppData\Local\jeoepekwp.exe
Pfadbeispiel2: C:\Users\Peter\AppData\Local\Temp\jeoepekwp.exe

(Seltsam ist daran, dass ein Programm aus dem Temp Ordner automatisch gestartet wird (Pfadbeispiel 2)), das kommt
normal nur bei Updates vor. Man sollte also genau schauen.

Außerdem dieser komische Name jeoepekwp, der nichtsaussagend ist.
Das sind in der Regel Trojaner.

In der Regel sollten die Pfade herkömmlicher Software so aussehen:
C:\Program Files
C:\Program Files (x86)
C:\Programme

Um auf Nummer sicher zu gehen, könnt ihr jeden Pfad den ihr dort seht mal aufrufen mit dem Windows Explorer (ohne den Dateinamen mit Endung entfernen) und schauen, ob im Ordner
noch andere Ordner oder andere Dateien, außer der Datei die ihr begutachtet, existieren.

Sollte wirklich nur eine Datei dort sein, würde ich den Eintrag in jedem Fall entfernen, denn
fast jedes Programm hat mehr als eine Datei im Ordner (da sind meistens immer Unterordner und
andere Dateien). Abgleich mit selbstprogrammierten Tools die euch BEKANNT sind, solltet ihr natürlich machen.



3.) Keine Digitale Signatur

4.) Einige Felder nicht ausgefüllt

Ihr seht in HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
einen Schlüssel, der skypeupdate heißt.
Der Pfad dazu ist jedoch so ähnlich wie:

C:\Users\Daniel\AppData\Local\374749\skypeupdate.e xe

Das ist mit hoher Wahrscheinlichkeit ein Trojaner.

Nun geht es darum, diesen natürlich zu löschen. Da der Prozess ja vermutlich läuft (ist ja im Autostart),
muss man ihn im Taskmanager zunächst beenden.

Ihr sucht also im Taskmanager diesen Prozess.
Falls ihr ihn nicht gut findet, einfach im Taskmanager Prozess für Prozess nacheinander einen Rechtsklick machen
und auf "Eigenschaften" klicken.
Dort wird euch der Pfad angezeigt und ihr könnt den verdächtigen Prozess dann beenden und
löschen.



Habt ihr dies gemacht und alle verdächtigen Prozesse beendet, aus dem jeweiligen Pfad gelöscht und
den Autostarteintrag (in der Registry gelöscht), geht es zum nächsten Schritt.

1.) Hook Spoiler beachten
2.) Abgesehen von Dateinamen und Pfad (siehe Hook Spoiler) , gilt es Zertifikate zu überprüfen.
Klickt ihr unter Eigenschaften auf den Tab "Digitale Signaturen" und ihr seht dort eine Signatur in der Liste,
könnt ihr diese Datei getrost in Ruhe lassen, denn es handelt sich mit hoher Wahrscheinlichkeit NICHT um einen Virus,
sondern ein herkömmliches Programm.