[KataNowa]

Hallo Leute,
wir haben seit kurzem auf Arbeit einen Kassenrechner (also für den Verkaufsbetrieb) mit Windows. Dort ist kaum etwas drauf und wir nutzen dort auch keine >Emails oder surfen wie wild. Trotzdem hat Kaspersky letzten Freitag ein Problem angezeigt, was wir bisher nicht lösen konnten.
Angeblich haben wir die Spyware PremierOpinion drauf. Kaspersky konnte mit folgender Datei nichts anfangen, diese Datei kann auch vom Viren oder Malwareprogramm nicht gelöscht werden: ...syswow64/pmls.dll

Was ist jetzt zu tun? Wer kann mir helfen?

Velen Dank. VG Katanowal

[RalphS]

Kaum was drauf?

-- PremierOpionion will Adware sein. Irgendwas auf der Kiste installiert seitdem?

-- "Theoretisch" sollte nichts passiert sein, und außer Zugriffen und Anzeigen von Werbung auch nichts passieren.

-- Dennoch:

--- Falls nicht schon passiert (was ich hoffe): Rechner isolieren, sodaß er KEINEN Zugriff hat auf andere, kritische(re) Systeme. Das gilt ganz besonders, wenn von diesem Rechner aus auch dort geschrieben werden kann.

- Gibt es ein Backup?

-- Ja: Leerputzen und Backup zurück.
-- Nein:
-- Sicherheitshalber ein vollständiges Backup ziehen vom IST-Zustand
-- Soweit der Rechner 'nur' ein Client ist von einem Kassenserver, trotzdem leerputzen und dann neu installieren.
-- Soweit tatsächlich irgendwelche relevanten Daten dort gespeichert sind, Situation analysieren, soweit möglich ein Backup erstellen von all denjenigen Daten, die nicht anderweitig rekonstruierbar sind UND die als ausreichend wichtig einzustufen sind
-- DANN den Rechner plattmachen und neu installieren.

-- Für den hoffentlich nicht eintretenden Fall, daß das so nicht paßt, das zuletzt erstellte Backup zurückspielen.

-- Mittelfristig die Integrität der angeschlossenen Systeme prüfen, ob irgendwelche Zugriffe waren die nicht hätten sein dürfen, Schreibzugriffe insbesondere, und jeweils Virencheck nicht vergessen, falls das Windowssysteme waren.


-- Und Konzepte entwerfen, wie sowas da nicht raufkommen kann. Ggf rausfinden wo das herkam; gegen Internetzugriff sichern bringt kaum was, wenn da USB-Sticks angesteckt werden, die da nicht angesteckt werden sollten -- in welchem Fall via GPO USB mass-storage/* sperren wirksamer wäre.

[KataNowa]

Hallo und danke für deine Info. Also wir sind seit Jahren keine Windows Nutzer mehr, daher auch in dieser Richtung eingerostet.
Folgende Nachricht haben wir gestern von Kaspersky bekommen:

Sehr geehrter Kunde,

Entschuldigen Sie die verzögerte Beantwortung Ihrer Anfrage.

Vielen Dank für die übermittelten Dateien.

> Deinstallieren Sie folgende, potentiell inkompatible Programme:
=> Microsoft Antimalware
=> opensource

> Zur Datei:
Der Prozess PremierOpinion gehört zur Software PremierOpinion der Firma VoiceFive oder VoiceFive Networks (www.voicefive.com) oder PremierOpinion (www.premieropinion.com).

Bitte senden Sie uns die Datei ...syswow64/pmls.dll in einem mit 'infected' passwortgeschützten Archiv, siehe unter

und dann eine Anleitung zur Durchführung dieses Prozesses.

-----
zu deiner Frage:
Nein, wir haben nichts außer die Kassensoftware, Word und Excel sowie den Mozilla am Netz, Drucker, keine Emails etc. Ein reines Arbeitsgerät. Wir haben nichts installiert (aus unserer Sicht). Das Problem scheint diese Datei mit .....dll zu sein.
Platschen ist dann wohl die letzte Alternative, da wir noch nicht wissen wie das Kassenprogramm gesichert ist. Da müssen wir erst nachfragen.

-----
vielleicht hast du noch einen Tipp der uns auf die Spur führen kann.

Liebe Dank,

K.

[DK2000]

Zitat (KataNowa: 06. Dezember 2016 - 09:22)

Wir haben nichts installiert (aus unserer Sicht). Das Problem scheint diese Datei mit .....dll zu sein.

Aber es wird gesurft. Das kann schon ausreichen, wenn man auf eine präparierte Seite geht oder verseuchte Werbung erhält. Irgendwie muss er ja auf den Rechner gekommen sein.

Auf dem Rechner sind aber alle Sicherheitsupdates installiert (System und Browser)?

Hast Du mal zum Entfernen eine andere Software versucht, z.B. diese: https://de.malwareby...om/antimalware/

[Alex_H]

Zusätzlich kann man noch dieses freeware Programm scannen lassen: https://toolslib.net...d/1-adwcleaner/

Das liefert gerade bei Adware durchweg eine sehr gute Erkennungsrate und entfernt diesen Käse i.d.R.
auch restlos.

[RalphS]

Die Tatsache daß irgendeine fremde DLL ins Systemverzeichnis konnte spricht schon Bände.

Da stimmt gravierend etwas nicht. Wird mit Adminkonto gesurft? Ist gar die UAC aus? Oder werden irgendwelche Tools installiert, egal von wo?

Ich bin mir bewußt, daß das so rüberkommt; aber ich möchte tatsächlich nichts unterstellen. Aber ich möchte darauf hinweisen, daß Dateien nicht ohne Weiteres im Windows-Systemverzeichnis landen *können* -- es sei denn, man läßt sie.

Nicht zuletzt deswegen auch mein Hinweis oben, ein Sicherungskonzept für die Kiste auszuarbeiten.

"Normal" wäre das vielleicht nicht so kritisch. Aber wenn da das Wort "Verkauf" und "Beteiligt" im Kontext auftaucht, dann sieht das plötzlich völlig anders aus.

[MOSMarauder]

Ich würd mal im Abgesicherten Modus starten und diese DLL einfach entfernen. (Auf allen meinen Kisten gibt es die nicht..gehört also nicht zu Windows)

Via Regedit dann danach suchen und alle verweise darauf und zugehörige Schlüssel ebenfalls entfernen.

Installed Programme mal nach der Toolbar suchen, ebenfalls in den Browsern und dort auch entfernen.


Normal sollte das dann ausreichen das der Crap nicht mehr gestartet wird.



Chris