Desinfec’t – Wikipedia

Desinfec’t (vormals Knoppicillin)
c’t software kollektion 5
Entwickler	c’t-Redaktion
Lizenz(en)	proprietär
Akt. Version	Desinfec't 2024 (22. Mai 2021)
Kernel	Linux
Abstammung	GNU/Linux ↳ Debian GNU/Linux ↳ Knoppix ↳ Knoppicillin (’04–’09) ↳ Ubuntu ↳ Desinfec’t (’11–’24) ↳ Red Hat Linux ↳ Fedora ↳ Desinfec’t 8 (2010)
Architektur(en)	IA-32 (x86)
Chronik	CD: Knoppicillin 3 Knoppicillin 4 Knoppicillin 5 u. 5.2 Knoppicillin 6 Knoppicillin 7 Desinfec’t 8 DVD: Desinfec’t 2011 Desinfec’t 2012 Desinfec’t 2013 Desinfec’t 2014 Desinfec’t 2015 Desinfec’t 2016 u. 2016-9 Desinfec’t 2017 Desinfec’t 2017/2018 Desinfec’t 2018 Desinfec’t 2018/2019 Desinfec’t 2019 Download: Knoppicillin 3.1 Desinfec’t 2020 Kombination: Desinfec’t 2020/21 Desinfec’t 2021 Desinfec’t 2022 Desinfec’t 2023 Desinfec’t 2024
Kompatibilität	32-Bit- oder 64-Bit-IBM-PC-kompatibler Computer mit BIOS oder UEFI
Installations­medium	Installationsskript, ISO-Datei
Sprache(n)	Deutsch
Sonstiges	Preis: Ohne Virenscanner kostenlos (mit Virenscanner nur in einer Heftausgabe) Sprache: Deutsch, uvm.
Desinfec’t (heise Download)

Desinfec’t ist ein auf Linux basierendes Live-System zur Desinfektion von Rechnersystemen nach einem Virenbefall. Sie wird von der c’t-Redaktion als Heftbeigabe zu regulären c’t-Ausgaben wie auch zu c’t-Sonderheften herausgegeben und in regelmäßigen Abständen aktualisiert. Bis 2009 trug die Distribution den Namen Knoppicillin. Anfangs war es eine CD, von 2011 bis 2019 ist es aufgrund der Datenmenge eine DVD. Seit 2020 ist Desinfec’t nur noch als Download verfügbar und muss vor Gebrauch auf ein vom Zielsystem unterstütztes startfähiges Medium übertragen werden, ab Version 2020/21 ist Desinfec’t zudem als direkt startfähiger USB-Stick erhältlich.

Das Konzept, den Virenscanner von einer Boot-CD zu starten, stellt sicher, dass die Betriebssystemumgebung des Scanners nicht verseucht sein kann. Ein Schädling kann so weder den Scanner selbst manipulieren, noch sich mit Funktionalitäten eines Rootkits unsichtbar machen, da sein Programmcode nicht während des Systemstarts von der Festplatte ausgeführt wurde. Ebenso kann er sich beispielsweise nicht in den Arbeitsspeicher kopieren und von dort aus erneut das System infizieren. Außerdem ist es von einer Live-CD auch dann noch möglich, das System zu booten, wenn eine Vireninfektion dies beim normalen Betriebssystem verhindert.

Desinfec’t ist damit ein wirksames Mittel bei einem Befall mit Schädlingen mit Rootkit-Eigenschaften, der mit herkömmlichen Virenscannern nicht aufgedeckt werden kann – bei anderen Rootkits kann es allerdings (im Gegensatz zu herkömmlichen Viren und Trojanern) sinnvoll sein, diese im aktiven System zu suchen, da ihre charakteristischen Eigenschaften nur dann erkannt werden können.

Die modifizierte Linux-Distribution enthält mehrere teils kommerzielle Virenscanner und Treiber für alle gängigen Dateisysteme. Damit ist Desinfec’t wie sein Vorgänger Knoppicillin in der Lage, auch NTFS-Partitionen zu durchsuchen und zu säubern. Eine Aktualisierung der Virensignaturen ist während der laufenden Session automatisch über das Internet oder manuell per Diskette und USB-Stick möglich, oder man erstellt eine Kopie der CD und integriert dabei gleich aktuelle Virensignaturen.

Knoppicillin basierte auf Knoppix als Distribution, woher sich auch der Name ableitet. Bei Desinfec’t wurde zunächst auf Fedora umgestellt, was jedoch von einigen Anwendern nicht gut angenommen wurde. Ab der zweiten Veröffentlichung, Version 2011, setzt Desinfec’t auf die Linux-Distribution Ubuntu auf.

Wegen der Lizenzen einiger Virenscanner ist Desinfec’t nur kostenpflichtig erhältlich, während Knoppicillin sich in der recht alten Version 6.0.2 von 2008 nicht komplett herunterladen lässt. Zudem ist bei einigen Virenscannern eine Aktualisierung nur bis zu einem Jahr nach Erscheinen der CD möglich, also bis zum Erscheinen der nächsten Desinfec’t-Ausgabe.

Das in Ausgabe 20/2004 erschienene Knoppicillin 3 enthält die drei Virenscanner von F-Secure, Sophos und Kaspersky Lab. Für den Zugriff auf NTFS-Partitionen sorgt der proprietäre Treiber von Paragon.

Bei der Produktion der CDs hatte sich ein Fehler eingeschlichen, der erst kurz vor dem Jahreswechsel 2004/2005 festgestellt wurde und dazu führte, dass die Signaturdateien für den Virenscanner von Sophos nicht mehr aktualisiert werden konnten.

Die c’t-Redaktion darf zwar wegen der enthaltenen proprietären Software kein komplettes ISO-Abbild von Knoppicillin Version 3.1 im Internet zum Download bereitstellen, hat aber eine Aktualisierung erstellt, welche auch gleich aktualisierte Virensignaturen mit dem Stand von Januar 2005 enthält.

Eine eigene, auf Version 3.1 aktualisierte Knoppicillin-CD kann mittels der Software Jigdo sowie der Original-CD Softwarekollektion 5 hergestellt werden.

Dem Heft 23/2005 wurde das aktualisierte Knoppicillin 4 auf CD beigelegt, das die Virenscanner von Kaspersky Lab und Sophos inklusive entsprechender Aktualisierungsberechtigung für ein Jahr enthält. NTFS-Partitionen werden mittels der libntfs-Bibliothek angesprochen; diese ermöglicht zwar noch keinen vollständigen Schreibzugriff, genügt aber zum sicheren Löschen von infizierten Dateien.

Mit Heft 21/2006 erschien das aktualisierte Knoppicillin 5, das die Virenscanner von Bitdefender Antivirus Scanner, F-Secure Anti-Virus und Sophos SAVScan inklusive entsprechender Aktualisierungsberechtigung für ein Jahr enthält. In der c’t spezial „Security“ im März 2007 ist eine aktualisierte Version 5.2 enthalten. Nachdem das Datenformat bei Sophos 2007 geändert wurde, ist dieser Scanner nicht mehr mit aktuellen Signaturen benutzbar.

Die Version 5.2 erschien mit dem Sonderheft c’t special 03/2007 mit dem Titel „Security“.

Die Version 6 erschien mit Heft 26/2007, im Dezember 2007. Enthalten sind die Virenscanner von Avira AntiVir und Bitdefender mit Aktualisierungsberechtigung für ein Jahr.

Version 7 ist mit Ausgabe 26/08 der c’t erschienen. Auf x86-Apple-Computern mit mehreren Boot-Partitionen werden nun auch Daten-Partitionen im Format HFS Plus gemountet und gescannt, sofern man diese nicht explizit im Knoppicillin-Assistenten abwählt. Allerdings berichten einige Benutzer,^[1] dass die CD auf ihren Rechnern nicht bootet. Dieses Verhalten wird auf eine Inkompatibilität mit dem Award-BIOS zurückgeführt^[2] und lässt sich nur durch Ändern des Inhalts der CD umgehen. Hierfür hat die c’t ein Patchprogramm zur Verfügung gestellt.^[3]

Mit dem Mitte September 2009 erschienenen Heft „c’t kompakt Security“ gab es eine neuere Version, die aber ebenfalls Knoppicillin 7 heißt.

Inhalt:

• Linux-Kernel 2.6.27.5
• Avira AntiVir 7.9.1.3/2.1.12-193
• Bitdefender AntiVirus Scanner 7.60825
• Kaspersky Anti-Virus 5.7.20
• Knoppicillin-Updater 1.1 für Windows
• Iceweasel/Firefox 3.6
• Xorg 7.3 und IceWM
• Midnight Commander, MyBashBurn und vsftpd

Der Nachfolger von Version 7 heißt nun Desinfec’t, trägt die Versionsnummer 8 und ist mit Ausgabe 2/10 der c’t erschienen (Erscheinungsdatum: 4. Januar 2010).

Basierte Knoppicillin noch auf einer Knoppix-Live-Distribution, so setzt Desinfec’t auf eine Fedora 12-Live-CD als Unterbau. Wie dem Forum zur offiziellen Projektseite zu entnehmen ist, waren einige Anwender mit diesem Umstieg nicht zufrieden. In einigen Beiträgen geht es darum, dass etliche neue Fehler mit Version 8 auftraten, die in Knoppicillin Version 7 nicht vorhanden waren. Letztmals wird eine CD als Medium benutzt, alle folgenden Versionen müssen aufgrund gewachsener Datenmengen auf DVD erscheinen.

Desinfec’t 2011 liegt c’t-Ausgabe 8/11 bei, die ab dem 26. März 2011 erhältlich ist. Es verwendet nun eine Ubuntu-10.10-Live-CD als Unterbau. Enthalten sind wieder die kommerziellen Viren-Scanner von Avira, Bitdefender und Kaspersky, sowie das freie ClamAV. Erstmals lässt sich die Distribution mit der Desinfec’t-DVD als Ausgangspunkt auf einen USB-Stick übertragen und dieser dann startfähig machen. Damit hat man den Vorteil, ein Boot-Medium zu besitzen, auf dem man die Virus-Definitionen stets aktuell halten und im Bedarfsfall auch wichtige Dateien sichern kann. Allerdings ist das Live-Linux in dieser Form dann kompromittierbar, sofern ein USB-Stick ohne Schreibschutzschalter verwendet wird.

Neben dem eigentlichen Desinfec’t befindet sich auch die Software-Kollektion 2/2011 auf der DVD, welche deshalb 2,1 Gigabyte groß ist.

Der c’t-Ausgabe 9/12 mit dem Datum 10. April 2012 liegt Desinfec’t 2012 bei. Gegenüber Desinfec’t 2011 wurde hauptsächlich die Bedienbarkeit verbessert. Wie die Vorversion baut es auf Ubuntu auf, diesmal auf dem Live-System 11.10 “Oneiric Ocelot”. Es enthält Ein-Jahres-Abos für die Viren-Scanner Avira AntiVir, Bitdefender und Kaspersky Anti-Virus, sodass sich deren Virus-Definitionen über eine Internetverbindung innerhalb dieses Zeitraums unentgeltlich aktualisieren lassen. Auch das freie ClamAV ist wieder enthalten. Neu ist die Möglichkeit, Virenfunde mit einem Standardpasswort zu verschlüsseln, damit ein Virus-Scanner die umbenannte Datei nicht fälschlicherweise ein zweites Mal entdeckt. So ist sichergestellt, dass wichtige Inhalte wiederherstellbar sind und gleichzeitig ein System als sauber bestätigt werden kann.

Die als Software-Kollektion 2/2012 betitelte DVD ist 1,7 Gigabyte groß.

Desinfec’t 2013^[4] liegt der mit dem Datum 22. April 2013 versehenen c’t-Ausgabe 10/13 bei. Es beruht auf Ubuntu 12.04.02 Long Term Support und kann daher auch mit UEFI umgehen. Es beinhaltet wieder Ein-Jahres-Abos der Viren-Scanner von Avira, Bitdefender und Kaspersky sowie das freie ClamAV. Als große Neuerung enthält Desinfec’t nun eine startbereite Version von TeamViewer, was die Fernwartung bzw. die Hilfe z. B. für Familienangehörige erheblich erleichtern soll. Auch die Windows-Version von TeamViewer Portable befindet sich auf dem Medium. Truecrypt ist aus lizenzrechtlichen Gründen allerdings nicht mehr Bestandteil der Version 2013, kann aber nachträglich installiert werden. Das Transferieren auf einen USB-Stick ist ebenfalls wieder vorgesehen. Das Starten im UEFI-Modus ist dank Ubuntu sogar bei eingeschaltetem Secure Boot möglich. In Einzelfällen kann es jedoch passieren, dass man Secure Boot und eventuell sogar den UEFI-Modus abschalten muss, um im BIOS-Modus zu starten, damit es funktioniert. Bei Windows 8 muss das Betriebssystem jedoch vor dem Start von Desinfec’t ganz heruntergefahren werden, da sich Windows 8 sonst normalerweise im Hyperboot-Modus befindet und ein Schreiben auf das NTFS-Dateisystem in diesem Modus zu Datenverlust führen würde. Ein Script zum vollständigen Herunterfahren von Windows 8 befindet sich auf dem Desinfec’t-Medium („shutdown“). Die DVD mit der Beschriftung Software-Kollektion 2 umfasst rund 1,3 Gigabyte.

Die der c’t-Ausgabe 12 aus 2014 (19. Mai 2014) beiliegende Version von Desinfec’t 2014 wird von der Redaktion im zugehörigen Heft-Artikel als Modellpflege bezeichnet. Somit baut es auf bereits Bewährtem auf und bringt hauptsächlich Aktualisierungen und kleinere Detailverbesserungen. Als Grundlage dient Ubuntu Linux 12.04.4 LTS (Februar 2014), sodass sich gegenüber der Vorversion Desinfec’t 2013 eine bessere Hardware-Unterstützung ergibt; außerdem sind damit gleichzeitig einige Fehler in Ubuntu behoben. Neu ist die Funktion, Virenfunde direkt an Virustotal hochzuladen, was die Identifikation und Bewertung von Virenfunden erleichtern soll. Die DVD mit der Beschriftung Software-Kollektion 2 umfasst rund 1,5 Gigabyte.

In der Ausgabe 14 von 2015 (13. Juni 2015) lag die Desinfec’t 2015 bei. Sie basiert auf Ubuntu 14.04 LTS und enthält die Virenscanner von Avira, Bitdefender, ClamAV und Kaspersky. Neu hinzugekommen ist der Easy-Scan-Modus, mit dem die Suche noch einfacher vonstattengehen soll. In diesem werden bei einer Internetverbindung automatisch Signaturupdates heruntergeladen. Anschließend werden alle Windows-Laufwerke von dem Scanner Aviras untersucht.

Bei einer Installation auf einem USB-Stick wird freier Speicher für Auslagerungsdateien und Log-Dateien verwendet.

In einem Verzeichnis finden sich „Experten“-Tools, wie z. B. einen Registry-Editor, der Kaspersky Windows Unlocker oder ein Skript zum Entfernen eines Windows-Passwortes.

In der Ausgabe 12 von 2016 (28. Mai 2016) lag die aktualisierte Version Desinfec’t 2016 auf DVD bei. Sie basiert auf Ubuntu 14.04 LTS. Statt Bitdefender ist in dieser Version ESET NOD32 Antivirus als Scanner enthalten.

Das Sonderheft c’t Security von 2016-09 (2016-09-19) enthält eine aktualisierte Version vom Desinfec’t.

Diese Version ist seit dem 27. Mai 2017 erhältlich. Die enthaltenen Virenscanner sind von Avira, ESET, F-Secure und Sophos. Es basiert wieder auf einer aktuellen Ubuntu-Version.

Diese Version ist seit dem 24. Oktober 2017 erhältlich. Die enthaltenen Virenscanner sind von Avira, ESET, F-Secure und Sophos. Als Basis dient die aktuelle Ubuntu-Version 16.04 LTS.

Diese Version ist seit dem 26. Mai 2018 erhältlich. Die enthaltenen Virenscanner sind von Avira, ESET, F-Secure und Sophos. Als Basis dient die aktuelle Ubuntu-Version 16.04.2 LTS.

Diese Version ist seit dem 26. September 2018 erhältlich. Die enthaltenen Virenscanner sind von Avira, ESET, F-Secure und Sophos. Als Basis dient die aktuelle Ubuntu-Version 18.04.1 LTS (Kernel 4.15.0).

Diese Version ist seit dem 25. Mai 2019 erhältlich. Die enthaltenen Virenscanner sind von ESET, F-Secure, Kaspersky und Sophos. Als Basis dient die aktuelle Ubuntu-Version 18.04.2 LTS.

Diese Version ist seit dem 22. Mai 2020 erhältlich. Es ist die erste Version, die der Zeitschrift nicht mehr als DVD beiliegt; sie kann von Käufern und Abonnenten heruntergeladen werden. Das ISO-Abbild kann wahlweise auf einen USB-Stick übertragen oder auf eine Dual-Layer-DVD±R(W) gebrannt werden. Die enthaltenen Virenscanner sind von ESET, F-Secure, Kaspersky und Sophos, außerdem kommt erstmals ein Open Threat Scanner auf Basis von YARA mit Anti-Malware-Listen von abuse.ch mit. Als Basis dient die aktuelle Ubuntu-Version 18.04.4 LTS.

Diese Version ist seit dem 7. Oktober 2020 online erhältlich.^[5] Erstmals kann auch ein USB-Stick erworben werden, der den Heftinhalt als PDF-Datei enthält und von dem aus Desinfec't 2020/21 direkt gebootet werden kann.^[6] Enthalten sind Virenscanner von AVAST, ESET, F-Secure und Sophos sowie erneut der Open Threat Scanner auf Basis von YARA. Als Basis dient die aktuelle Ubuntu-Version 20.04.1 LTS.

Desinfec’t 2021 ist für Käufer der c’t-Ausgabe 12/2021, die das Datum vom 22. Mai 2021 trägt, als Download verfügbar oder kann im Shop auf USB-Stick bestellt werden.^[7] Neben den bereits in der Vorversion verwendeten Virenscannern von AVAST, ESET, F-Secure und Sophos, für die es Gratisaktualisierungen der Signaturen bis Juni 2022 gibt, findet sich für erfahrene Nutzer wieder der Open Threat Scanner und zusätzlich der neu implementierte Thor Scanner Lite von Nextron, der neben YARA-Regeln auch Bedrohungen auf Basis von Indicators of Compromise (IOC) aufspüren kann. Als Basis dient wieder die LTS-Ubuntu-Version 20.04.2.

Der Ausgabe der c’t 13/2022 mit dem Datum vom 4. Juni liegt Desinfec’t 2022 als Download bei. Alternativ ist ein USB-Stick der c’t-Ausgabe als PDF im Heise-Shop bestellbar, der auch ein vorbereitetes Desinfec’t direkt startbar enthält.^[8] Als Virenscanner dienen in dieser Version ESET NOD32 in Version 9 und With-Secure (ehemals F-Secure) mit Gratisaktualisierungen der Signaturen bis Juli 2023, sowie ClamAV. Microsoft Defender für Linux, der aus lizenzrechtlichen Gründen nicht enthalten ist, lässt sich nachinstallieren; die Anleitung dazu richtet sich an erfahrene Linux-Anwender.^[9] Auch der Open Threat Scanner (OTS) und Thor Scanner Lite (THOR Lite) sind wieder enthalten. Wie die Vorversion basiert es auf der LTS-Version 20.04 von Ubuntu-Linux, bietet allerdings alternativ zu Linux-Kernel 5.13 auch den relativ aktuellen Kernel 5.17 als Bootmenü-Option an.

Das Konzept, einen Computer zum Zwecke forensischer Untersuchungen von einem sterilen Medium zu booten, ist nicht neu oder erst mit Knoppicillin eingeführt worden. Früher waren dafür schreibgeschützte Disketten üblich, die aber heutigen Anforderungen in Bezug auf Speicherkapazität nicht mehr gerecht werden.

Wegen der mit enthaltenen Scannern verbundenen Lizenzen sind Knoppicillin und Desinfec’t an den Erwerb einer Heftausgabe der c’t gebunden, während im Laufe der Zeit neben kommerziellen Produkten auch freie entstanden, die diesem Zweck dienen und auf DOS/Windows oder Linux-Derivaten basierenden bootbaren CDs erschienen wie z. B. UBCD oder Helix. Neben anderen forensischen Tools sind oft auch Virenscanner darauf enthalten, die entweder vollständig frei oder zumindest für den nichtkommerziellen Gebrauch frei sind.

Auch auf verschiedenen Versionen der Knoppix-Live-CD/DVD, auf deren Konzept Knoppicillin beruht, waren bisher Virenscanner enthalten, so z. B. F-Prot von F-Secure (ursprünglich von FRISK Software aus Island) oder auch ClamAV. Zudem bieten einige Hersteller auch eigene Rettungs-CDs zum kostenlosen Download an, z. B. Avira Rescue System (welches ebenfalls auf Ubuntu basiert), Kaspersky Rescue Disk.

• Mit Knoppicillin auf Virenjagd^[3] – Offizielle Knoppicillin-Projektseite von Heise.de
• Mit Desinfec’t auf Virenjagd – Offizielle Desinfec’t-Projektseite von Heise.de
• Desinfec't-Forum – Offizielles Desinfec't-Forum auf Heise.de
• Arbeiten mit Knoppicillin – Einführung der Landesakademie für Fortbildung und Personalentwicklung an Schulen des Landes Baden-Württemberg
• Desinfec’t 2013 in der Praxis – Fachartikel und Praxiserfahrungen

1. ↑ Heise online Forum: Notfall CD bootet nicht, 6. Dezember 2008.
2. ↑ Heise online Forum: Boot-Probleme mit der Notfall-CD in Heft 26, Christiane Rütten, 8. Dezember 2008.
3. ↑ ^{a b} Christiane Rütten: Mit Knoppicillin auf Virenjagd. In: Heise online. 6. Dezember 2008 (ctpatcher.zip). Abgerufen am 10. März 2016.
4. ↑ Jürgen Schmidt: Virenjagd mit Komfort – Desinfec’t jetzt einfacher vom Stick und mit Fernwartung. In: Heise online. 20. April 2013 (Desinfec’t 2013). Abgerufen am 22. April 2013.
5. ↑ Dennis Schirrmacher: Jetzt herunterladen: Trojaner mit Desinfec't 2020/21 plattmachen. In: Heise online. 7. Oktober 2020. Abgerufen am 15. Oktober 2020.
6. ↑ Dennis Schirrmacher: Ab sofort am Kiosk: c't-Sonderheft mit Desinfec't 2020/21. In: Heise online. 13. Oktober 2020. Abgerufen am 15. Oktober 2020.
7. ↑ Dennis Schirrmacher: Trojaner jagen und eliminieren: Desinfec’t 2021 ist da - auch auf USB-Stick. In: Heise online. 21. Mai 2021. Abgerufen am 21. Mai 2021.
8. ↑ Dennis Schirrmacher: Ausbildung zum Virenjäger: Trojaner mit Desinfec't 2022 jagen und erledigen. In: Heise online. 3. Juni 2022. Abgerufen am 5. Juni 2022.
9. ↑ Dennis Schirrmacher: FAQ Desinfec’t 2022. In: Heise online. 3. Juli 2022. Abgerufen am 3. Juli 2022.; Zitat: „Aus lizenzrechtlichen Gründen müssen Sie den Scanner nachinstallieren und ihn mit einer von Ihnen erstellten Lizenz ausstatten. Die Implementierung ist allerdings noch im Beta-Stadium und die zugehörige Anleitung richtet sich an Linux-Bastler.“.