HowTo: GVU-Trojaner entfernen

Alle Jahre wieder gibt es neue Versionen des GVU-Trojaners. Der Trojaner blockiert den Zugriff auf Windows schon beim Systemstart und behauptet, dass die GVU den Computer aufgrund erkannter Urheberrechtsverletzungen gesperrt hätte. Gegen einen bestimmten Geldbetrag soll man seinen Rechner wieder benutzen können. Diese Erpressung ist natürlich grober Unfug und das Werk von Kriminellen. Hier nun eine kleine Anleitung, wie man den GVU-Trojaner kostenlos wieder loswird.

Was ist der GVU-Trojaner?

Der GVU-Trojaner ist ein gefährlicher Trojaner mit dem Ziel, ahnungslosen Nutzern Geld aus der Tasche zu ziehen. Die Schadsoftware kann man sich einfangen, ohne es zu bemerken. Allerdings startet Windows beim nächsten Start nicht wie gewohnt auf den Desktop, sondern zeigt stattdessen einen offiziell wirkenden Sperrbildschirm an, der angeblich von der Gesellschaft zur Verfolgung von Urheberrechtsverletzungen (GVU) stammt. Dem User wird vorgeworfen, unrechtmäßig beschafftes urheberrechtlich geschütztes Material auf seinem Computer zu haben. Gegen eine bestimmte Gebühr soll man seine Schuld begleichen und wieder Zugriff zu seinem Computer bekommen.

Abgesehen davon, dass es sich hierbei schlichtweg um Abzocke durch kriminelle Personen handelt, die nichts mit der GVU zu tun haben, ist es auch nicht garantiert, dass der Rechner wieder freigeschaltet wird. Umgehen lässt sich der Sperrbildschirm nicht, denn weder Registry noch Taskmanager sind verfügbar. Um den GVU-Trojaner zu entfernen, muss man ein paar Tricks anwenden.

Wie entferne ich den GVU-Trojaner?

Zunächst muss man wissen, dass es nicht „dein einen GVU-Trojaner“ gibt. Die Schadsoftware wird regelmäßig weiterentwickelt und kursiert in unterschiedlichen Versionen. Dadurch kann es sein, dass nicht jede Methode der Beseitigung zum Erfolg führt. Erscheint der Sperrbildschirm nach einer Maßnahme erneut, sollte man eine Andere wählen.

1. Entfernen mit der Systemwiederherstellung

Ein einfacher Weg führt über die Systemwiederherstellung von Windows. Entweder startet man das Windows-Setup über ein Installationsmedium und wählt die Systemwiederherstellung unter dem Punkt „Computerreparaturoptionen“, oder man startet sie über den abgesicherten Modus.

Um in den abgesicherten Modus zu gelangen, drückt man während des Bootvorgangs „F8“ und wählt im nun erscheinenden Menü den Punkt „Abgesicherter Modus mit Eingabeaufforderung“. Nach Abschluss des Bootvorgangs kann man die Systemwiederherstellung mit dem Befehl „rstui.exe“ starten.

Im folgenden Menü wählt man den zeitnahesten Systemwiederherstellungspunkt vor dem Befall durch den Trojaner aus. Persönliche Daten und eigene Dateien bleiben von dieser Wiederherstellung unberührt, lediglich Änderungen am System, beispielsweise danach installierte Software, müssen neu vorgenommen, bzw. installiert werden.

2. Entfernen mit Kaspersky WindowsUnlocker

Ein anderer Weg führt über das kostenlose Tool „WindowsUnlocker“ von Kaspersky.  Die Software steht zum kostenlosen Download zu Verfügung und richtet sich gegen jede Art von Erpresser-Malware. Bei dem Download handelt es sich um eine .ISO-Datei, die über ein Brennprogramm oder, im Falle von Windows 7 oder 8 auch mit der integrierten Brennoption, auf einen CD- oder DVD-Rohling gebrannt werden muss. Wer keinen Rohling zur Hand hat, kann auch einen USB-Stick benutzen. Um einen bootfähigen Datenträger mit WindowsUnlocker zu erstellen, bedient man sich des Tools „Kaspersky USB Rescue Disk Maker“, welches ebenfalls kostenlos heruntergeladen werden kann.

Hat man den Datenträger erstellt, bootet man den Rechner neu und im Bios das entsprechende Laufwerk (CD, DVD oder USB) als Bootmedium aus. Anschließend folgt man den Anweisungen auf dem Bildschirm. Nach einem Neustart sollte das Problem behoben sein.

3. Entfernen durch Löschen des Verursachers

Die einfachste, dafür aber unsicherste Methode, ist das Löschen der Datei, die den Trojaner ausführt. Dazu startet man wie unter Punkt 1 beschrieben in den abgesicherten Modus, allerdings ohne Eingabeaufforderung. Nach erfolgreicher Anmeldung durchsucht man das Laufwerk C: nach „*.exe“ und lässt sich die Ergebnisse sortiert nach dem Änderungsdatum anzeigen.

Ist eine neue, unbekannte Datei dabei, gehört diese umgehend gelöscht, denn es handelt sich dabei höchstwahrscheinlich um die Datei, die den Erreger enthält. Sollte sich der Trojaner in einer neuen Version allerdings tiefer ins System eingraben, ist diese Methode wirkungslos.

Nach Entfernung einen ordentlichen Tiefenscan durchführen

Bootet der Computer wieder wie gewohnt, sollte man möglichst sichergeben, dass der Schädling auch wirklich keine Überreste hinterlassen hat. Die sicherste Variante ist es natürlich, die eigenen Dokumente etc. zu sichern und das ganze System neu zu installieren.

Wer dazu keine Zeit oder keine Lust hat, der sollte seinen Computer gründlichst von einem Virenscanner durchsuchen lassen. Dabei sollte es tunlichst nicht der Scanner sein, den man bereits nutzt, denn dieser hat schließlich auch nicht verhindert, dass das System überhaupt infiziert wurde. Ein sehr guter und kostenloser Virenscanner ist zum Beispiel Trend Micro HouseCall. Dieser Scanner durchsucht das System sehr intensiv und funktioniert ohne Installation. Man sollte nur darauf achten, unter „Einstellungen“ den vollständigen Systemscan auszuwählen.