Trojaner auf Miniserver

[Gast]

Hallo zusammen,

ich bin neu hier im Forum. In der Suche habe ich leider nichts zu meinem Problem gefunden, daher starte ich ein neues Thema.

Avast und auch Windows Defender (Windows 10 und Windows 7) melden einen Trojaner auf meinem Miniserver (Baujahr 2014). Eine Bildschirmkopie habe ich angehängt.

Der Reihe nach:
Die App meldete, dass ein Update zur Verfügung steht. Also hab ich versucht, das Update über die App zu starten. Dies ging nicht, da das Update wohl zu groß wäre.
Also habe ich Config (wie die letzten Male auch) benutzt. Also Config aktualisiert und Update gestartet. Config lud dann zur Sicherung die Daten vom Miniserver runter. Dieses mal hat aber sofort bei der Datensicherung Windows Defender sich gemeldet mit einer Warnmeldung, das auf der URL ein Trojaner sei. Daraufhin habe ich das Update abgebrochen.
Habe das dann Loxone gemeldet. Danach hörte ich ca. 2 Wochen nichts. Dann hab ich mich nochmals gemeldet. Wieder wurde ich vertröstet. Nach weiteren 2 Wochen meinte dann Loxone, dass der Trojaner auf meinem PC wäre und ich solle einen anderen PC nehmen. Habe dann einen Laptop mit Windows 7 genommen (den nehm ich im Jahr höchsten einmal). Config aktualisiert, Avast aktualisiert, Windows Essential ist aktiviert. Dann Update gestartet und das Gleiche wie oben wieder. Hab das jetzt wieder Loxone gemeldet, befürchte aber, die interessieren sich nicht dafür.

Jetzt weiß ich nicht was ich tun soll. Hat jemand von euch schon mal das Problem gehabt?

Viele Grüße

Frank

[Sebastian]

Hi,

hast du die scr-Dateien mal bei Virustotal.com hochgeladen?
Kannst du auf die Dateien verzichten?

Gruß
Sebastian

[Gast]

Hi Sebastian,

hab ein paar Dateien an Virustotal.com gesendet. Die Rückmeldung war, das über 50 Antivirenprogramme es als Malware erkennen.
Loxone hat behauptet, dass definitv kein Trojaner auf dem Miniserver ist.
Hab den Miniserver jetzt aktualisiert, aber habe jetzt keinen Zugriff mehr darauf. Auch mit dem Standartkennwort admin/admin gehts nicht mehr.
Hat jemand ne Idee wie ich jetzt wieder auf den Miniserver komm?

[svethi]

Also auf dem Miniserver ist in der Auslieferung kein Virus. Der kommt von Dir und scr Dateien haben auf dem MS nichts verloren. Die SCR Dateien sind ja auch nicht auf dem MS sondern im Backup und da können die auch beim Anlegen des Backup reingekommen sein.

[Gast]

Ich gehe natürlich davon aus, dass bei der Auslieferung kein Virus/Trojaner drauf ist. Wie der Trojaner drauf gekommen ist, weiß ich nicht. Die letzten Updates hatten keine Fehlermeldung gebracht. Fakt ist, dass Loxone es heruntergespielt hat, ich dann das Update installiert hatte und mich jetzt nicht mehr am MS einloggen kann. Wahrscheinlich muss ich die SD-Karte formatieren und neu aufspielen.

[querex]

Files are probably uploaded by another infected system in your local LAN network trough FTP onto the miniserver...

[doc-brown]

might be - would be a typical behaviour for a virus or trojan…

[Mork vom Ork]

Ich habe das gleiche Problem. Sophos erkennt die Firmware und die konfig als Sicherheitsrisiko und blockiert den Zugriff. Lt. Sophos ist der PC virenfrei.
Rechner wurde in der Zwischenzeit neu aufgesetzt wg Hardwareänderung. Ebenso wurde der Virenschutz auf Windows Defender Enterprice geändert.
Auch der "große" Windows Defender blockiert den Zugriff wg Sicherheitsrisiken.
Das Problem an beiden Sicherheitslösungen ist, dass ich als User nicht einfach eine Ausnahme erstellen kann.
Ich würde mein IT Haus bitten, Ausnahmen zu definieren, wüsste aber gerne, warum die Sicherheitssoftware den Zugriff blockiert.

[Oppi]

Ich habe das gleiche Problem. Sophos erkennt die Firmware und die konfig als Sicherheitsrisiko und blockiert den Zugriff. Lt. Sophos ist der PC virenfrei.
Rechner wurde in der Zwischenzeit neu aufgesetzt wg Hardwareänderung. Ebenso wurde der Virenschutz auf Windows Defender Enterprice geändert.
Auch der "große" Windows Defender blockiert den Zugriff wg Sicherheitsrisiken.
Das Problem an beiden Sicherheitslösungen ist, dass ich als User nicht einfach eine Ausnahme erstellen kann.
Ich würde mein IT Haus bitten, Ausnahmen zu definieren, wüsste aber gerne, warum die Sicherheitssoftware den Zugriff blockiert.

ICh hab das Problem bisdato nicht mit Sophos. Wenn du magst kannst du mir gerne die Dateien zukommen lassen, ich jag das nochmal bei Sophos durch und kann da hoffentlich ein paar mehr Infos zurück geben und auch bei false positive an Sophos entsprechend rückmelden, damit das möglichst nicht mehr passiert (bin selbst Sophos Partner)

Eure Miniserver sind nicht von Außen direkt zugreifbar, oder? Also habt ihr eine Portfreigabe für den Zugriff auf den Miniserver? (für die App)

Interessant, das es exakt das schonmal gab ...
https://www.loxforum.com/forum/germa...cr-auf-sd-card

[Mork vom Ork]

Hallo Oppi,

vielen Dank für Deine schnelle Antwort und den Hinweis auf das ähnliche Thema.
Tatsächlich hat sich nach gründlicher Suche herausgestellt, dass auch auf meinem Loxone Server die Datei Photo.scr vorhanden zu sein scheint und diese jedenfalls im Backup vorhanden ist. Zum Glück wurde die Datei nur abgelegt und nicht geöffnet.
Sophos setze ich seit einigen Monaten nicht mehr ein, da es Probleme im Zusammenhang mit Adobe Produkten kam.

Der Loxone Partner beschäftigt sich nun damit, wie der Loxone Server wieder sauber gebracht wird. Hier bin ich für alle Tipps dankbar.
Das IT Haus wird heute morgen die Firewall und Netzwerkkonfig überprüfen.

Die Frage nach der Portfreigabe kann ich mangels Fachkenntnis aktuell nicht beantworten, werde sie aber mit dem IT Haus besprechen.

Bemerkenswert finde ich als Anwender mit rudimentären Kenntnissen, dass es sich auch in meinem Fall um Photo.scr handelt.
Vielleicht kann ich herausfinden, wie das Teil auf den Loxoneserver gelangt ist.

[Oppi]

Gibt es eine Möglichkeit an diese auffälligen Dateien zu kommen? vlt findet man da auch was raus. Wäre ja toll für alle anderen mit dem Problem.

btw es gibt definitiv keine Probleme mit Sophos und Adobe Das liegt zu 99,9$ an fehler in der Konfiguration vom Sophos ... aber bums ihr seid ja schon gewechselt Konnte mir das nur nicht verkneifen

[Mork vom Ork]

Update: Der Loxone Server ist von außen erreichbar und es gab eine Portfreigabe, die wohl lt. Losone benötigt wurde.
Heute wird das Netzwerk gehärtet und die Firewallregeln ggf korrigiert.
Die Datei sollte durch ein Backup des Loxone Servers "wiederbeschafft" werden. Ich möchte darauf aber gerne verzichten, weil mich das echt viel Nerven und Zeit gekostet hat. Es scheint jedoch sicher, dass die Schadsoftware von außen auf den Loxone Server gekommen ist.

Zu Sophos kann ich nur sagen, dass mein IT Haus ebenfalls Sophos Partner ist und komplett hinter Sophos steht. Jedoch war auch Sophos offenbar nicht in der Lage, das Problem zu fixen, da die Supportanfrage von Sophos so beantwortet wurde, dass ich die Kauflizenz gegen die Mietlizenz tauschen soll und damit mein Problem gelöst wäre. Die "große" Windows Defender Lösung scheint jedenfalls gut zu sein und löst mein Problem mit Adobe. Am ende hat auch das Zeit, Geld und Nerven gekostet und irgendwann muss ich dann mal entscheiden, ob ich teilweise mehrfach täglich eine Reparaturinstallation von Adobe mache oder eine (vergleichbare) Lösung finde, die funzt. Aus Sicht des Schutzes ist gegen Sophos sicherlich nix einzuwenden. Auf dem Handy läuft es perfekt.

Für Deine Unterstützung bedanke ich mich an dieser Stelle nochmal ganz herzlich.

[Oppi]

Dann scheint der fall klar zu sein, die Portfreigabe.
Ich denke da könnte das hier gegriffen haben:

https://www.loxone.com/dede/blog/security-information/

völlig verständlich eure Entscheidung zum MS Defender Der Betrieb muss laufen.

[Mork vom Ork]

[QUOTE=Oppi;n463607]Dann scheint der fall klar zu sein, die Portfreigabe.
Ich denke da könnte das hier gegriffen haben:

https://www.loxone.com/dede/blog/security-information/

Vielen Dank für Dein Engagement.
Das letzte Backup hatte scheinbar keinen Trojaner (12/2024) und die Firmware halte ich nach Möglichkeit aktuell. Die Sicherheitslücke sollte also (wenn ich das mit meinem laienhaften Wissen richtig einschätze) bereits geschlossen gewesen sein.

Ob die Ursache in der firewall-Konfig oder im Loxone Server liegt, wird wohl offen bleiben.
Mir fehlt die Expertise dafür aber ich werde berichten, was das IT-Haus mir sagt.

Bis dahin wünsche ich dir alles gute und möchte auch diese Gelegenheit nutzen, mich nochmal zu bedanken.