Ach, liebe Leute.

Ich weiß manchmal auch nicht mehr so recht, warum ich mir den ganzen Scheiß eigentlich überhaupt noch antue. Ein ganz klein wenig Geld habe ich ja schließlich. Mein Mini-Fuhrpark reicht vermutlich bis an mein Lebensende und das Aktiendepot für den gedungenen Mörder der Anwaltsbitch hatte ich bereits Ende 2013 eingerichtet. 😉

Glauben Sie mir bitte: Lassen Sie die Finger von Aktien, die machen einfach keinen Sinn.

Zahlen Sie den Killer lieber bar Kasse!

Da müssen Sie sich dann wenigstens nicht mehr darüber Gedanken machen, ob Sie beispielsweise nun bei Moneyou 0,35% Zinsen bekommen oder bei Rabodirekt nur noch 0,30%. Die seinerzeit überaus generöse Bank of Scotland ist inzwischen mit 0,1% praktisch auf Sparkassen-Niveau angelangt.

Ja, warum macht jemand wie ich eigentlich überhaupt noch IT? 

Ich vermute, weil ich ganz einfach nicht verblöden will. Oder soll ich irgendwann als alter Knacker mit Sudoku und einem alten, faltigen Mütterchen in der gemeinsamen Küche bei irgendwelchen veganen Bratlingen enden?

NEIN, DANKE!!!

Da setze ich mich doch lieber mit 85 Jahren noch in einen 720 PS starken V12 AMG und schiebe auf dem Inselchen einen Neoplan Doppeldecker-Reisebuss mit ca. 180 deutschen Sandalentouristen gnadenlos von der Straße! Danach setze ich mich zu Robi, trinke 4-5 Tomislav und lasse den AMG sich dazu nachgerade vollautomatisch selbst im Hafenbecken versenken.

Ach, aber wer weiß schließlich was noch so alles kommen wird? … 😉

Und so gibt es in der IT eben immer wieder absolut unvorhergesehene Überraschungen:

Die Thematik der sog. “Ransomware” ist inzwischen leider wohl so gut wie jedem IT´ler mehr oder minder hinreichend leidig bekannt. Als besten Schutz dagegen erachtete ich bis dato eine Software namens Macrium Reflect, mittels derer ich einen kompletten Server in ca. 1-2 Stunden wiederherstellen kann und was ich auch schon mehrfach getan habe bzw. tun musste weil die DAUs bekanntlich auf allem wild herum klickern, was nicht bei drei auf den Bäumen ist.

Nun kann man nicht jedem Kunden eine komplett virtuelle Umgebung mit all ihren Möglichkeiten hinstellen. Erzählen Sie mal einem Rechtsanwalt mit einer Teilzeitkollegin und einer Mitarbeiterin, dass Sie da eine offizielle und lizensierte/supportete z.B. VMware zum Einsatz bringen wollen. Das will alles bezahlt werden und der Berufsstand der Anwälte hat es ohnehin schon finanziell nicht mehr so besonders leicht. Wenn ich überlege, dass ich in meinen besten Jahren teilweise das Doppelte und mehr von wirklich schon recht gut verdienenden Rechtsanwälten zur Steuer getragen habe, dann will das was heißen. Und ich hatte dabei nur minimale Kosten für Büromaterial und Büromöbel sowie meine Firmenwagen.

Deshalb hatte ich umso mehr Geld für die gottverdammte Steuer! 🙁

Wissen Sie was USM Haller so kostet? Auch ein schöner Lederchefschreibtischstuhl will bezahlt sein. Na ja, und alle paar Jahre braucht es neue Böden, die Wände wollen auch ab und an mal neu kekalkt werden. Dann kommt noch der dicke Wagen dazu, denn Kleinwagen fahrenden Anwälten nimmt man den beruflichen – und damit auch wirtschaftlichen – Erfolg gemeinhin nicht ab. Der Anwaltsberuf ist oft echt scheiße, ich weiß wirklich wovon ich da rede. Gerade für Feld-, Wald- und Wiesenanwälte bedeutet er viel Arbeit für zumeist recht wenig Geld. Nun, von der Spermaverkosterin mit Fachanwaltszulassung u.a. für Rektalverkehr brauche ich vermutlich nicht mehr zu berichten. Die schuftet verzweifelt der Altersarmut entgegen und kann nur hoffen, dass ihre Eltern möglichst bald verrecken, damit sie deren Hütte in guter Wohnlage noch rechtzeitig versilbern kann.

Aber welcher Irre kauft sich bei den heutigen Nebenkosten noch eine Villa in einem vergleichsweisen Dreckskaff?!!!

Da wird Frau Anwältin vermutlich ihr zweifelsfrei enges Poloch dem beplauzten Rotary-Maklerfreund gleich mehrfach hinhalten müssen, bevor der sich die Hütte ans Bein bindet. Und dann muss sie zudem noch mit ihrer Schwester teilen. Drei kleine Arschlöcher unter sich, sozusagen!

Vorgestern ereilte mich der Anruf eines lieben und sehr langjährigen Kunden. Die Sekretärin klagte mir ihr Leid, dass sie urplötzlich Fehlermeldungen u.a. beim Erstellen von Dokumenten erhalte. Kein gutes Zeichen! Ich schaltete mich via VPN auf den Terminalserver auf, schaute in ihr Downloadverzeichnis (bereits vercrypted) und alsdann auf die USB-HDD-Datensicherung. Ebenfalls vercrypted.

Verdammt!

Ich fuhr den Server sofort remote herunter und fragte die Sekretärin was für E-Mails sie geöffnet habe. Nur eine mit einer Word-Anlage. Die sei von einer Bewerberin gekommen und man habe ja im Moment auch eine Stellenausschreibung laufen.

Hm, na klar kann man in *.doc-Dateien jede Menge Dreck unterbringen.Und hier stellt sich ein Grundsatzproblem vieler Anwaltssoftwarelösungen, denn sie schleppen oftmals noch irgendeinen uralten VBA-Code mit sich herum, ohne den die Dokumentenerstellung nicht vernünftig funktionieren würde. Fährt man also in Word die Sicherheitseinstellungen auf Maximum hoch, dann hat man faktisch kein Schreibprogramm mehr, sondern eine reine Betrachtungssoftware für Word-Dateien aus klinisch reinen IT-Umgebungen. Gibt es auch umsonst im Internet herunterzuladen, nennt sich Word-Viewer.

Ich nahm alsdann remote Zugriff auf den PC der Sekretärin, lud mir Hiren´s PE *.iso herunter und brannte die DVD. Da ich alle Server stets so einstelle, dass sie – auf entsprechende Auswahl hin – von DVD booten, konnte die Sekretärin mir das PE hochfahren. Hiernach installierte sie von mir telephonisch geführt noch ein TightVNC (ja, das klappt trotz PE von DVD wirklich!) und schon konnte ich beginnen die Maschine zu scannen. Malwarebytes fand absolut nichts, was mir schon ziemliche Sorgen bereitete. Aber ESET schlug dann sehr schnell an, wobei es leider jede vom Trojaner erstellte *.txt Datei als viral erkannte, was natürlich Unfug ist.

Ich machte mir daher die Mühe die Liste der ca. 2.200 Dateien durchzuscrollen. Und da war sie, die Verursacherin, die miese kleine Schlampe von einer Word-Datei:

Es brauchte insgesamt drei Scans mit ESET bis der Rechner sauber war. Das nur mal z.K., denn nicht wenige Schlaumeier meinen ein oder zwei Scans würden ausreichen. Niemals, so lange wie auch nur eine einzige infizierte Datei gefunden wird scannen Sie besser nochmals. Der Kunde hat nichts davon, wenn er hier vielleicht 2-3 Stunden vermeintlich einspart. Viren, Trojaner usw. sind so ähnlich wie Scheiße im Meer. Sie schwimmen irgendwann immer wieder hoch, sofern man sie nicht endgültig eliminiert.

Und hierbei vertraue ich schon längst nicht mehr allein auf Softwareautomatismen. Zumindest die üblichen “Verdächtigen“, wie Systemordner und Autostart-Einträge der Registry (auch Browser usw. betreffend) sollten m.E. manuell durchsucht werden.

Nun, jedenfalls fand sich ein Ableger von GandCrab, der ganz offenbar durch den Word-Makrocode auf die Maschine nachgeholt worden war. Wer VBA ein wenig kennt, der weiß um die Macht dieser Programmiersprache, die sowohl direkten Zugriff auf die Registry, als auch auf das Dateisystem erlaubt, siehe z.B. das KILL-Statement. Ich zitiere https://docs.microsoft.com/en-us/office/vba/language/reference/user-interface-help/kill-statement.

Deletes files from a disk.

Syntax

Kill pathname

The required pathname argument is a string expression that specifies one or more file names to be deleted. The pathname may include the directory or folder, and the drive.

Witzig ist das nicht wirklich, wenn das Öffnen eines Word-Dokumentes Dateien von Ihrem System löschen kann. Oder hätten Sie etwa gedacht, dass so etwas Harmloses wie ein digitales Stück Papier Ihren Rechner komplett zu schrotten in der Lage sein könnte?

Natürlich kann man sich jetzt wieder über Microsoft aufregen und die Kriegsflagge der Apple- und iPhone-Nerds schwenken. Aber haben Sie vielleicht auch schon einmal in Ruhe darüber nachgedacht, warum es keine vernünftige Anwalts- oder Steuerberatersoftware gibt, die nativ unter Apple oder gar Linux läuft? Ganz einfach, weil von Entwicklern benötigte Funktionalitäten leider eben immer auch Missbrauch zulassen. Und VBA ist da nur ein Beispiel von vielen.

Jedem, der schon mal ein klein wenig Software entwickelt hat, wird bei nachfolgenden Code-Anmerkungen Angst und Bange:

Procedure : RunFile
' Author    : CARDA Consultants Inc.
' Website   : http://www.cardaconsultants.com
' Purpose   : Run/Execute files from vba (bat, vbs,…)
' Copyright : The following may be altered and reused as you wish so long as the
'             copyright notice is left unchanged (including Author, Website and
'             Copyright).  It may not be sold/resold or reposted on other sites (links
'             back to this site are allowed).
'
' Input Variables:
' ~~~~~~~~~~~~~~~~
' strFile - full path including filename and extension
' strWndStyle - style of the window in which the program is to be run
'               value can be vbHide,vbNormalFocus,vbMinimizedFocus
'               vbMaximizedFocus,vbNormalNoFocus or vbMinimizedNoFocus
'
' Usage Example:
' ~~~~~~~~~~~~~~~~
' RunFile("c:\test.bat", vbNormalFocus)

Sie können also grundsätzlich jedweden noch so kriminellen Task sogar in einem versteckten Fenster ausführen lassen. Na dann aber später mal viel Spaß bei dessen Erkennung!

Meine Erkenntnis aus dieser Erfahrung ist jedenfalls klar. Die Mitarbeiterin hatte nicht einmal mehr den Hauch einer Chance die Word-Anlage als gefährlich zu identifizieren. Die Absenderadresse war auch ok und nicht etwa wie sonst üblich z.B. paragaranona.xyz.wipewet.org@fuckukongo.dam.com.dom.lom.

Die Datei war auch nicht gezippt oder sonstwie maskiert. Malwarebytes in der Bezahlversion mit Echtzeitschutz und allem Drum und Dran war auf dem Server 2016 installiert, ebenso wie der WIndows Defender mit allen aktuellen Updates.

Keine Chance!

Für mich bleibt vorerst nur eine Vorgehensweise: Den Kunden strikt zu verbieten ihnen übersandte Office-Dateien zu öffnen. Das wird aber auf Dauer nicht funktionieren. Das klappt bei kleinen Kunden. Sobald ein Kunde aber mehrere Schreibkräfte mit E-Mail-Zugriff beschäftigt, können Sie es bereits haken. Die öffnen gnadenlos jede Anlage, ganz so als sei es ein Ü-Ei, dessen Intelligenz viele von ihnen ja in etwa auch teilen.

In letzter Konsequenz verbliebe damit allein noch die Möglichkeit den E-Mail-Verkehr nur noch dem Kanzleiinhaber zu gestatten. Dann wissen Sie wenigstens jederzeit zuverlässig wer den Bock geschossen hat. Praktikabel ist das aber natürlich nicht.

Und deshalb empfehle ich als Backup Lösung ab heute das vergleichsweise preiswerte Macrium Reflect Server oder Workstation Edition 7.x mit dem neuerdings  integrierten “Image Guardian“.

About Macrium Image Guardian

To protect Macrium backup files against ransomware attacks, our experienced team of developers added Macrium Image Guardian. MIG will prevent unauthorised modifying of Macrium backup files on local and USB volumes.

Should the worst happen, you can be assured that your latest backups are recoverable. Unlike antivirus software products, MIG is focussed on the single task of protecting Macrium files. It has a small footprint and will not impact the performance of your PC.

 

Macrium Image Guardian protects your backup files from unauthorised modification.

 

MIG only grants write access to Macrium Reflect version 7.1 (und später, Anm. d. Red.) and any image tools created by us. All other processes will be denied write access.

 

MIG protects local NTFS volumes and allows Macrium Reflect version 7.1 and later to use the protected volume as a shared network resource.

Und es funktioniert tatsächlich. Die Sicherungsdatei ist – zumindest unter Server 2016 – nicht einmal mittels des Unlockers löschbar! Ja ja, wer den Unlocker zu programmieren weiß, der kann alles löschen!

Und die Nahles kann bei all ihren Hirnfürzen ganz sicher auch riesige Haufen scheißen!!!

Reflect Workstation liegt bei 75$ und Server bei 275$. Das ist für so viel Sicherheit eigentlich ein Witz, bedenkt man was Acronis im Vergleich dazu kostet. Und wenn Sie absoluten Luxus benötigen, weil Sie eventuell Ihren Exchange mal auf granularer Ebene wiederherstellen möchten – Hä? Was ist denn granular? Hat das was mit dem schwarzen Zeugs gerade aktuell auf unseren Straßen zu tun? – dann gibt es auch noch Server plus für 599$.

So viel Geld sollte wirklich jedem seine IT wert sein, denn einen zuverlässigen Antivirenschutz gegen Ransomware gibt es m.E. nicht!