Nach der Malware-Entfernung: reparieren, was der Befall zerstört hat

Der Befall ist weg, das kaputte Leitungssystem nicht

Antivirenprodukte sind gebaut, um Code zu neutralisieren, nicht um Konfiguration zurückzudrehen — und genau in dieser Lücke wohnen die Symptome nach dem Befall. Die Klassiker: ein Proxyserver oder DNS-Override, die die Desinfektion überlebt haben, eine hosts-Datei voller Umleitungen und eine Suchmaschine, die sich nicht zurückstellen lässt, weil die Malware Richtlinien-Schlüssel des Browsers in die Registry geschrieben hat. Dazu geplante Tasks und Run-Einträge, die den Schadcode erneut herunterladen, und still umgebogene Dateizuordnungen — und „saubere“ Scans wirken plötzlich wie eine Formalität. Genau dieses Klempner-Gebrechen ist der Grund, warum Symptome tagelang überleben, obwohl jede Engine Grün meldet.

Es gibt einen zweiten Schaden, den kein Scanner markiert: Daten. Infostealer saugen Passwort-Speicher des Browsers, Session-Cookies und Wallets ab, lange bevor die Entfernung läuft — die Passwort-Rotation ist also Teil der Reparatur, kein Nachspann. Gehen Sie davon aus, dass jedes Geheimnis aus dem Browser inzwischen in fremden Datenbanken liegt. Rechner für Banking, Firmen-Logins oder gemeinsame Familiennutzung verdienen die ehrliche Prüfung einer Neuinstallation.

Die Reparatur-Reihenfolge, die funktioniert

Arbeiten Sie vom Netzwerk nach innen, denn eine immer noch gekaperte Verbindung infiziert schneller nach, als Sie reparieren können. Jeder Schritt dauert Minuten, und zusammen entfernen sie die große Mehrheit der Persistenz-Mechanismen, die eine Standard-Desinfektion überstehen. Halten Sie die Reihenfolge ein: Manche Schritte ergeben erst Sinn, wenn die vorherigen erledigt sind. Vorher einen Wiederherstellungspunkt setzen — damit Sie auch Ihre eigenen Reparaturen zurücknehmen können, nicht nur die der Malware.

• Netzwerk-Reset: Proxy aus, DNS auf automatisch, dann netsh winsock reset und ipconfig /flushdns
• C:\Windows\System32\drivers\etc\hosts öffnen und alles löschen, was kein Kommentar ist
• Rogue-Browser-Richtlinien unter HKLM\SOFTWARE\Policies löschen (Chrome-, Edge-, Firefox-Schlüssel)
• Taskplaner und die Run-Schlüssel in HKCU/HKLM auf Einträge prüfen, die Schadcode nachladen
• Unbekannte Erweiterungen entfernen und die Suchmaschine in jedem Browser und Profil neu setzen
• Kompromittierte Passwörter von einem sauberen Gerät aus rotieren, beginnend mit Mail und Banking

Vertrauen, aber prüfen: die zwei Wochen Nachschau

Prüfen Sie nach der Reparatur, ob Windows Update und der Microsoft Store wirklich funktionieren — kaputte Updates sind die häufigste bleibende Wunde, und DISM /Online /Cleanup-Image /RestoreHealth gefolgt von sfc /scannow heilt die meisten davon. Legen Sie einen frischen Wiederherstellungspunkt an, sobald die Maschine sich benimmt, und geben Sie ihr zwei Wochen Aufmerksamkeit: zäher Start, wiederkommende Popups oder ein Browser, der Einstellungen zurückdreht, sind Gründe, auf Neuinstallation umzuschwenken statt weiter zu flicken. Bei Maschinen mit Infostealern sollten Sie die Neuinstallation ernsthaft erwägen — sie ist die einzige Reparatur mit Garantie. Den Abschluss macht der Reste-Durchlauf durch das Bundle-Müll des Droppers (Toolbars, „Treiber-Updater“, Schein-Cleaner), und eine Reste-Karte wie Kleaner PRO findet diese Überbleibsel schneller als die Jagd von Hand durch AppData.

Fragen und Antworten

Weiterlesen