© Adrian Hughes, 123RF.com

Von Viren infizierte Windows-Rechner wiederzubeleben gehört zum Adminalltag. Unterstützung bieten die Linux-Live-Distributionen von Kaspersky, F-Secure und Avira. Das ebenfalls getestete Trinity-Rettungssystem von Open-Source-Entwicklern brachte das Windows-System dagegen erst richtig in Gefahr.

Wenn der Windows-Rechner nicht mehr mag, liegt der Verdacht nahe, dass sich Microsofts Betriebssystem eine Infektion in Form allgegenwärtiger Viren oder Trojaner eingefangen hat. Jetzt muss ein Gegenmittel her, am besten eins, das reinigt und sichert, ohne das kranke System erneut zu starten und so den Viren neues Leben einzuhauchen. Linux scheint die perfekte Wahl, so verwundert es nicht, dass immer mehr Hersteller von Antivirensoftware das freie Betriebssystem für sich entdecken.

Drei prominente Antivirensoftware-Anbieter (Avira, F-Secure und Kaspersky) bauen ihre proprietären Virenscanner in Linux-Live-CDs ein und bieten diese kostenlos zum Download an. Nach dem Booten von CD lädt das System zunächst aktuelle Virensignaturen aus dem Internet, danach scannt und reinigt es die Windows-Festplatte. Die Autoren des Linux-Magazins haben die drei Rettungsanker Antivir Rescue System 3.7.16 von Avira [1], Rescue CD 3.11 von F-Secure [2] und Kasperskys Rescue Disk 10 [3] genauer unter die Lupe genommen (siehe Kasten “So haben wir getestet”). Zusätzlich hat die Redaktion das jüngst in Version 3.4 veröffentlichte Trinity Rescue Kit ([4], TRK) getestet und gerade mit dieser Open-Source-CD so manche Überraschung erlebt.

Avira Antivir Rescue System

Der Hersteller des Virenscanners Antivir stellt sein Rescue System kostenlos auf der Homepage zum Download bereit. Im Angebot sind eine selbstausführende Exe-Datei, die selbstständig das ISO-Image brennt, und die reine Abbilddatei. Beide Dateien bringt der Hersteller laut eigenen Angaben mehrmals täglich auf den neuesten Stand, um möglichst aktuelle Sicherheitsupdates auszuliefern. Eine detaillierte Anleitung fehlt auf der Webseite zwar, dafür gibt’s aber ein Supportforum [6], in dem Avira-Mitarbeiter und Nutzer rege diskutieren, Neuigkeiten austauschen und ihr Wissen teilen.

Nach dem Booten der Live-CD präsentiert sich eine ansehnliche X11-Oberfläche (siehe Abbildung 1). Das Rettungssystem prüft direkt im Anschluss, ob die Avira-Virendefinitionsdateien (VDF) aktuell sind. Der Anwender hat hier die Möglichkeit, online nach den neuesten Virensignaturen zu suchen und diese herunterzuladen. In vier Abteilungen konfiguriert er die Scanfunktionen und legt darüber hinaus fest, wie Avira mit infizierten Dateien verfährt. Hier entscheidet er beispielsweise, ob das Rescue System Malware entfernt oder einfach nur darüber berichtet.

Abbildung 1: Das GUI von Antivir Rescue System überzeugt. Es ist einfach und übersichtlich gehalten und kümmert sich um die Hauptaufgabe – den Virenscan.

Will der Benutzer das Livesystem genauer in Augenschein nehmen, begibt er sich auf eine der virtuellen Konsolen: [Strg]+[Alt]+[F1],[Strg]+[Alt]+[F2] und so weiter; zurück zum GUI geht’s über [Alt]+[F7]. Auch wer ein Partitionierungswerkzeug sucht, ist auf der Konsole richtig aufgehoben, denn zu diesem Zweck steht nur Fdisk auf der Shell zur Verfügung (Abbildung 2, zur besseren Lesbarkeit invers dargestellt).

Abbildung 2: Auf der Konsole offenbart sich das Innenleben der spartanischen Live-Distribution. Zum Partitionieren steht nur Fdisk zur Verfügung.

Als Unterbau benutzt die Avira-CD einen aktuellen Kernel in der Version 2.6.35.1. Damit dürfte sie nur wenig Probleme mit neuerer Hardware haben. Das Linux-System bringt außerdem NTFS-Unterstützung in Form der allerdings etwas angestaubten Fuse-Treiber von 2009 mit [7]. Der Funktionalität tut diese ältere Variante jedoch kaum Abbruch, nur bei Raid 5 musste das System im Test die Segel streichen.

Ohne Raid erledigte der Virenscanner im Test seine Arbeit auf dem virtuellen Windows in flotten 4 Minuten; mit Raid 1 dauerte das Ganze schon doppelt so lange. Eine Überraschung ist das nicht, da das System in diesem Fall einfach beide Platten durchforstet. Das Eicar-Testfile erkannte Avira zuverlässig auf allen getesteten Windows-Systemen – trotz altem NTFS-Stack – auch in den Tiefen der Archiv-Verzeichnisstrukturen. Selbst wenn die Ausstattung des Antivir Rescue System eher mager ausfällt, gefiel die handliche Live-Distribution im Test und arbeitete zuverlässig.

F-Secure Rescue CD

Die Rettungs-CD der finnischen Firma basiert auf Klaus Knoppers Live-Linux. Auf der F-Secure-Homepage finden Anwender eine Zip-Datei zum Download, die neben dem ISO-Image die Release Notes sowie ein ausführliches englisches Handbuch im PDF-Format enthält. Das zugrunde liegende Knoppix hat genau wie die Rescue CD selbst schon zwei Jährchen auf dem Buckel.

Der Hersteller verzichtet komplett auf eine grafische Benutzeroberfläche und schickt den Admin stattdessen in ein Ncurses-Interface. Damit bietet die Live-Distribution zwar nur sehr eingeschränkte Möglichkeiten, erfüllt ihren eigentlichen Zweck aber zuverlässig. Ein freundlicher Bootscreen mit Logo begrüßt den Anwender, doch danach hat er eigentlich keine echte Wahl mehr (siehe Abbildung 3). Das Online-Update der Signaturen ist Pflicht, Extratools finden sich nur wenige auf der CD, aber immerhin ist zum Beispiel Parted für das (Re-)Partitionieren dabei.

Abbildung 3: Ncurses als GUI-Ersatz wirkt altbacken, erfüllt aber seinen Zweck.

Vor ein größeres Problem könnte der alte Kernel viele Anwender stellen: Die Version 2.6.28 mag zwar in Debian-Welten noch sehr häufig anzutreffen sein, doch unterstützt sie sehr wahrscheinlich neuere Hardware nicht oder nur schlecht. Auch der NTFS-Treiber (NTFS-3g 2.2531) stammt aus dem Jahr 2008 – eigentlich ein Unding angesichts der vielen Verbesserungen, die dieses Projekt in den letzten drei Jahren erfahren hat.

Trotzdem kam F-Secures CD im Test mit allen Windows-Versionen klar und scannte auch Raid 1 zuverlässig, allerdings nicht gerade schnell: knapp 9 Minuten. Mit verschlüsselten Partitionen und mit Raid 5 kann F-Secure nichts anfangen (siehe Abbildung 4), das Eicar-Testfile fand es jedoch in allen Varianten auf der Festplatte.

Abbildung 4: Raid 5 und verschlüsselte Partitionen erkennt F-Secure nicht.

Kaspersky Rescue Disk

Diese Live-Distribution liegt mittlerweile in Version 10 vor. Neben einem ISO-Image bietet der Hersteller auf seiner Homepage ausführliche Informationen und Hilfestellungen in deutscher Sprache an. Das System präsentiert vom Bootscreen bis zur grafischen X11-Oberfläche einen durchaus stylischen Look. Kurz nach dem Start offenbart die CD ihre Herkunft: Das russische Software-Unternehmen setzt auf Gentoo (siehe Abbildung 5). Unter der Haube werkeln Kernel (2.6.32-gentoo-r7) und die NTFS-Fuse-Version 2010.5.16. Beide sind hinreichend aktuell und sollten daher auf den meisten Rechnern wenig Probleme bereiten.

Abbildung 5: Ein Blick auf die Startmeldungen verrät, dass im Hintergrund von Kasperskys Rescue Disk ein Gentoo Linux werkelt.

Von der Raid-Unterstützung kann man das allerdings nicht behaupten: Als einziges System im Test konnte Kasperskys Disk weder mit Raid 1 noch mit Raid 5 etwas anfangen. Dafür erwies sich der Virenscanner als gewohnt zuverlässig und einigermaßen performant. Ohne Raid brauchte die Rescue Disk 6,5 Minuten für den Scan, was einen Platz im Mittelfeld einbringt.

Tabelle 1: Vier Rescue-CDs im Vergleich” width=”300″ height=”219″ /> Tabelle 1: Vier Rescue-CDs im Vergleich

Genau wie die Konkurrenz reduziert auch Kaspersky seine Rettungs-CD auf das Wesentliche, nämlich den hauseigenen Virenscanner. Dessen Stärken sind bekannt, daher verwundern die Einträge in Tabelle 1 nicht: Das Eicar-Testfile stellte keine echte Aufgabe für die russische Software dar. Andere Tools fehlen aber; immerhin gibt es auch hier mit Parted die Möglichkeit, die eigene Partitionierung umzubauen (siehe Abbildung 6).

Abbildung 6: Schön und kompromisslos: Kaspersky ist hübsch verpackt und konzentriert sich auf die Hauptaufgabe, nämlich Malware finden und beseitigen.

Trinity Rescue Kit

Ein besonderes “Feature” bemerkten die Autoren des Linux-Magazins, als sie sich die jüngst erschienene Version 3.4 von Trinity Rescue Kit ansahen. Anfangs funktionierte alles einwandfrei, doch bei erneuten Testläufen nach einigen Tagen erzeugte der integrierte Open-Source-Virenscanner Clam AV schwerwiegende Probleme [8] und schlug sogar systemrelevante Windows-Binaries zum Löschen vor, zum Beispiel den Windows Explorer »explorer.exe« .

Zwar passierte das nur unter Windows XP mit Service Pack 2 und 3 sowie auf Windows Server 2003 ab Service Pack 1, aber wer das Löschen unbedacht bestätigt, findet sich wenig später vor einem nicht mehr startenden Windows-System wieder (Abbildung 7).

Abbildung 7: Augen auf beim Löschen: Während des Tests sorgte ein Clam-AV-Bug dafür, dass TRK systemrelevante Windows-Programme und DLLs löschen wollte.

Nach kurzer E-Mail-Konversation mit Trinity-Maintainer Tom Kerremans stellte sich heraus, dass das Problem mit der Clam-AV-Version 0.96.1 zusammenhängt. Kerremans aktualisierte daraufhin die über ein Online-Update installierte Version des Virenscanners und setzte einen Bugreport ab. Ab Clam-AV-Version 0.96.5 sollte der Fehler nicht mehr auftreten, dennoch ist hier Vorsicht geboten. Zum ohnehin nicht sonderlich guten Ruf der freien Antivirensoftware tragen die False Positives wohl nicht bei.

Auch an anderer Stelle hakte es im Test. Zwar hat Trinity mit Clam AV, Vexira, Bit Defender und F-Prot gleich vier verschiedene Virenscanner im Angebot, aber die Ergebnisse in Tabelle 1 überzeugen nicht wirklich – zu oft blieb das Eicar-Testfile unentdeckt. Die Tatsache, dass Trinity nur mit einer Kommandozeilen-Benutzerschnittstelle kommt, dürfte Einsteiger abschrecken, auch wenn die menügeführte Bedienung durchdacht ist und Admins schnell zum Ziel führt.

Das Rescue Kit punktet dafür an anderer Stelle. Schon beim Booten hat der Anwender die Wahl zwischen zahlreichen Optionen und kann damit beispielsweise alle Laufwerke einem Virenscan unterziehen oder lokale Skripte auf den Platten aufrufen. Im Hauptmenü (siehe Abbildung 8) zeigt sich dann der komplette Umfang des TRK, das zusätzlich zu den Scannern auch Paketsniffer und sogar Mass Clone [9] zum Klonen von PCs übers Netz mitbringt. Die Liste der Extratools kann sich sehen lassen, auch Samba und das Backup-Wrapper-Skript Pi [10] sind enthalten.

Abbildung 8: Voll ausgestattet ist die Trinity-Rescue-Disk, da lässt sich auch das Fehlen eines GUI verschmerzen.

Fazit

Wer eine professionelle und sichere Malware-Bekämpfung sucht, kommt derzeit an den proprietären Antivirenprogrammen nicht vorbei. Die Live-CDs von Avira, F-Secure und Kaspersky überzeugten im Test und beweisen, dass weniger manchmal mehr ist. Die Hersteller beschränken sich bei der Software-Auswahl auf ihre eigenen Virenscanner und bauen einfache, aber funktionale GUIs drum rum.

Trinity glänzt mit zahlreichen Extras, leistet aber dank Clam AV & Co. keine guten Dienste beim Aufspüren von Unholden und Entfernen infizierter Dateien. Daher landet die Open-Source-Live-CD nur auf dem letzten Platz. Auch das Desaster um die fehleranfällige Clam-AV-Version, die im Test glücklicherweise nur eine virtuelle Maschine in Gefahr brachte, dürfte nicht zu einem großen Vertrauensvorsprung beitragen. Grundsätzlich gefällt die Dreieinigkeit wegen ihrer Funktionsvielfalt dennoch.

Im Ernstfall sollten Admins auf eine der kostenlosen proprietären Lösungen zurückgreifen. Antivir Rescue System, Rescue CD und Rescue Disk sind wegen der enthaltenen Virenscanner zwar per Lizenz nur eingeschränkt kopierbar, finden und entfernen aber zuverlässig alle versteckten Störenfriede, die Windows-Admins plagen.