BERT-Methode

Die BERT-Methode ist ein Leitfaden für die Säuberung eines virusbefallenen Computers. Die Bezeichnung BERT-Methode existierte bereits zu Beginn der 1990er Jahre. Nach der Jahrtausendwende geriet sie weitgehend außer Gebrauch. Die einzelnen Schritte sind aber auch heute noch relevant.

Bedeutung

Das Akronym BERT steht für:

• B – Booten des Systems von einem virenfreien Systemdatenträger. (englisch: boot). Beim Booten von einem virenfreien Systemdatenträger wird verhindert, dass der Virus sich in den Speicher lädt oder anderweitig aktiviert wird. Verseuchte System- oder Anwendungsprogramme werden so umgangen.
• E – Entfernen oder bereinigen der infizierten Komponenten. (englisch: erase). Die Infizierten Dateien oder Sektoren müssen bereinigt werden. Das kann vollständige Löschung bedeuten, sofern der Virencode sich nicht einzeln entfernen lässt. Wenn kein Antivirusprogramm zur Verfügung steht, aber dafür ein virenfreies Backup, ist Löschen eine effektive Notlösung.
• R – Restaurieren von eventuell gelöschten Komponenten mit einem virenfreien Backup. (englisch: restore). Gelöschte Dateien, Dienste oder Sektoren müssen wieder hergestellt werden. Dazu dient in der Regel eine Sicherungskopie. Auch die Neuinstallation von Betriebssystem oder Anwendungen fällt unter diesen Punkt.
• T – Testen auf Systemkonsistenz und Virenfreiheit. (englisch: test). Ist das System wieder instand gesetzt, müssen gründliche Tests durchgeführt werden, um sicherzugehen, dass die Malware auch wirklich vollständig entfernt wurde. Das Dateisystem und der Systemspeicher sollten in nächster Zeit auf ungewöhnliche Veränderungen beobachtet werden.

Schwächen der BERT-Methode

Die BERT-Methode hat für sich allein genommen Schwächen, sie bezieht sich nur auf die Rekonstruktion des Systems. Sie ist auf den Malwaretyp des klassischen Computervirus bezogen und wäre bei einem Netzwerkwurm kein adäquates Mittel zur Beseitigung.

Alle weiteren Folgen der Infektion und die daraus resultierenden Notwendigkeiten werden nicht beachtet:

• Das Verhindern der weiteren Ausbreitung der Malware wird nicht berücksichtigt.
• Die Gefahr der erneuten Infektion wird nicht ausreichend beachtet.
• Bei Schadensfällen ist manchmal die Beweissicherung wichtig: Einerseits wegen eines möglichen Versicherungsfalles, andererseits um eventuelle rechtliche Schritte einzuleiten.
• Die Infektions-Analyse wird nicht beachtet. Die Frage, wie es zur Infektion kam, gibt Rückschluss auf Sicherheitslücken im System (siehe Exploit).
• Sind Daten von Dritten betroffen, wie z. B. Login- oder Kunden-Daten, ist auch Öffentlichkeitsarbeit eine zwingende Folge. Die Geschädigten müssen informiert werden.
• Spätestens seit der Jahrtausendwende ist es in manchen Fällen auch ratsam, bei Malware-Befall die Passwörter des Systems zu ändern.
• Hat die Malware Änderungen an Diensten, wie z. B. der Windows-Aufgabenplanung oder der Ordnerfreigabe, durchgeführt, muss dies rückgängig gemacht werden.
• Als Reaktion auf eine gefundene Schwachstelle sollte diese entfernt bzw. geschlossen werden. (Hotfix, Patch, Änderung der Einstellungen, Einrichten sicherer Passwörter oder Deaktivierung von nicht benötigten Diensten)
• Allgemein wird bei Virenbefall mittlerweile empfohlen, ein Live-OS mit Antivirensoftware zu booten. Vor dem Scan sollte die Virus-Datenbank über eine Netzwerkverbindung aktualisiert werden.