Probleme mit ausführbaren Dateien lösen
24. Juli 2015
Das zugrundeliegende Problem: Die Schadsoftware hat die Registry-Einträge entsprechend abgewandelt, und nach einer „Schädlingsbekämpfung“ sind die jeweiligen Einträge nicht mehr korrekt erhalten. Meist ist es aber auf solchen Systemen noch möglich, eine Batch-Datei aufzurufen. Oder die Systembetreuer wandeln beispielsweise eine entsprechende EXE-Datei (in die ebenfalls ausführbare Dateiendung „COM“) um.
Auf einem Testsystem im NT4ADMINS-Labor war es beim Reproduzieren etwa möglich, eine Batch-Datei (Test.bat) von einem USB-Stick aus auszuführen. Als Inhalt bei der Batch-Datei war nur die Zeichenfolge „cmd“ enthalten, diese wurde von den Systembetreuern mit erhöhten Rechten gestartet ("Als Administrator ausführen"). Über diesen Umweg konnte eine Kommandozeile mit Administratorrechten gestartet werden.
Danach war es nötig die Verknüpfung der ausführbaren Dateien wiederherzustellen (Zeile eins und zwei), sowie mögliche Reste der Registry-Veränderungen zu entfernen (Zeile drei und vier):
- assoc .exe=exefile
- ftype exefile="%1" %*
- reg delete HKCU\Software\Classes\.exe
- reg delete HKCU\Software\Classes\exefile
Florian Huttenloher
