15. September 2007
Disclaimer: Achtung, enthält möglicherweise jugendgefährdende Fotos und Dateien 
Ich finde das ja durchaus interessant. Da bekomme ich also (mühsam aus dem Spamordner gefischt) folgende E-Mail:
Die liebe (mir unbekannte) Maria Webber hat also eine Webseite aufgesetzt, und lädt mich ein ihre Bilder zu betrachten. Die Webseite selbst sieht so aus (Unkenntlichmachung von mir, ich weiß nämlich nicht, ob die Dame mit der Veröffentlichung des Bildes einverstanden ist oder ob das Bild irgendwo einfach geklaut wurde):
Beim Anlicken von “Andere Fotos finden Sie im Archiv” bekommt man eine Datei “photos.exe” (ZIP-File, Achtung Download auf eigene Gefahr) angeboten. Ich habe die Datei an Virus Total geschickt, um sie testen zu lassen, nachdem mein lokaler Virenscanner nichts gefunden hat. Das Ergebnis ist relativ eindeutig:
Zumindest 10 der vorgeschalteten Virenscanner kommt die Datei suspekt vor, im Allgemeinen wird ein Trojan Dropper (d.h. ein Programm, das weiteren Schadcode nachlädt) mit dem Namen PolyCrypt erkannt.
Mich beeindruckt ja der Aufwand, mit dem das Verbreiten von Schadcode inzwischen erfolgt. Früher wäre die Datei einfach als Attachment in der Mail enthalten gewesen. Heute setzen die Angreifer eigene Webseiten auf (ok, enthält nur ein Photo, aber die URL muß zumindest registriert werden), verbreiten passenden Spam und warten darauf, daß die nichtsahnenden Nutzer sich den Schadcode selbst auf den Rechner laden.
Ich bin mir sicher, das Verfahren läßt sich auch hervorragend für gezielte Social Engineering Angriffe gegen Unternehmen mißbrauchen. Einfach eine ähnlich klingende Domain registrieren, eine passende Mail gezielt an einzelne Mitarbeiter verschicken und abwarten, was passiert …
Anmerkung: AntiVir 7.06.00.05 vom 06.09.2007 erkennt den Schadcode noch nicht, AntiVir 7.06.00.10 vom 15.09.2007 erkennt den Schadcode. Da sieht man mal wieder, wie wichtig aktuelle Virenscanner-Updates sind. Auch interessant, AntiVir sucht inzwischen nach 1071077 Virenstämmen, über 1 Million, schon krass. Vielleicht doch langsam Whitelists einführen?
Tags: AntiVir,
PolyCrypt,
Social Engineering,
Trojan Dropper,
Trojaner,
Viren,
VirusTotal
10. September 2007
Nachdem N-TV ja die Nachrichten von Sat.1 produziert, können wir vermutlich davon ausgehen, daß die N-TV Webseite auch die autoritative Nachrichtenquelle der ProSiebenSat.1 Media AG ist. Deshalb interessiert es mich durchaus, im Vergleich zur eher linken Süddeutschen Zeitung, der rechten Welt, der konservativen FAZ und der öffentlich-rechtlichen ARD, was die privaten Sender so dazu schreiben.
Insgesamt kommt mir die Berichterstattung bei N-TV überraschend kompetend und kritisch daher, ganz im Gegensatz zur scheinbar seriöseren Welt. Der folgende Absatz aus dem Kommentar vom 13.07.2007 ist bezeichnend:
Würde der Regierung tatsächlich an der öffentlichen Sicherheit gelegen sein, hätte sie nicht tatenlos zugesehen, wie seit dem 11. September 2001 tausende (!) Stellen bei der Polizei gestrichen wurden. Die kosten allerdings Geld - ganz im Gegensatz zur sinnfreien und hysterischen Debatte über “gezielte Tötungen” und Online-Razzien. Das wirft letztlich die Frage auf, ob der Innenminister, der diese Debatte betreibt, sich lediglich als “harter Hund” profilieren will, oder ob bei diesem Mann, der immerhin durch einen Anschlag schwer traumatisiert und fast um seine Karriere gebracht wurde, noch mehr dahinter steckt. Beide Alternativen sind allerdings nicht gerade ermutigend.
Sehr gute Einschätzung.
Tags: Bundestrojaner,
Datenschutz,
N-TV,
Nachrichten,
Online-Durchsuchung,
Politik,
Presse,
Presseschau,
Schäuble,
Trojaner
2. September 2007
31. August 2007
30. August 2007
29. August 2007
Also eigentlich will ich ja Politik weitgehend aus diesem Blog raushalten, es soll schon weiterhin um IT-Security gehen, aber manchmal überschneidet sich das einfach zu sehr. Das Bundesinnenministerium bekommt zur Zeit schließlich von allen auf den Deckel, denn weniger Kompetenz in IT-Fragen geht eigentlich kaum noch. Inzwischen sind ein paar Dokumente bekanntgeworden und von netzpolitik.org veröffentlicht, was sich das Bundesinnenministerium da so vorstellt. Ein paar Zitate will ich hier rausgreifen:
“Es gibt eine Vielzahl von Einbringungsmöglichkeiten, die nunmehr auf Tauglichkeit für den jeweiligen Einsatz überprüft und eventuell angepasst werden müssen. Grundsätzlich ist dabei die unwissentliche Mitwirkung der Zielperson notwendig, um einen Entdeckung der Maßnahme zu verhindern. Eine generelle Aussage zur genauen Einbringungsmethode ist nicht möglich […]”
Aha, die erwarten also wirklich, daß der dumme User auf ein Attachment klickt und dann den Trojaner selbst installiert. Ich dachte ja eher an verdeckt in eine Wohnung eindringen, den Rechner aufschrauben, den Trojaner auf der Platte installieren und dann heimlich wieder abhauen, also so richtig coole Stasi-Methoden. Anscheinend ist das mit dem Einsteigen in die Wohnung aber eine größere Verfassungsänderung, also muß das wohl anders passieren. Ich fürchte ja, bei Beckstein und Co. dürfte das auch klappen. Aber Politiker sollten nicht immer von ihrem beschränkten Wissen auf andere schließen.
“Die gewonnenen Ergebnisse werden so lange verschlüsselt auf dem informationstechnischen System zwischengelagert, bis eine Internetverbindung durch die Zielperson hergestellt wird. Bei aktiver Internetverbindung werden die verschlüsselten Daten auf einen von den Sicherheitsbehörden genutzten Server übertragen.”
Hihi, also wäre eine einfache Möglichkeit sich gegen den Bundestrojaner zu schützen, einfach die Festplatte zumüllen. Dann ist kein Platz für die Zwischenspeicherung. Mein DSL-Router protokolliert übrigens alle ein- und ausgehenden Verbindungen mit, die Protokolle werden auch zeitnah ausgewertet. Da fällt das auf, wenn plötzlich größere Datenmengen verschoben werden. Die rechnen echt nur mit dem dümmsten anzunehmenen User.
“Das Versenden von E-Mails unter dem Namen einer anderen Behörde wäre mit großen Risiken verbunden und könnte nur in begründeten Ausnahmefällen in Absprache mit der betroffenen Behörde zum Einsatz kommen.”
Das klingt doch super und die Tagesschau hat das schön visualisiert. Ich kommuniziere ja ab und zu digital mit Behörden. Ich lasse mir jetzt von allen schriftlich mit Vertragsstrafe versichern, daß sie mir keinen Bundestrojaner schicken und mich sofort informieren, wenn das BKA auf sie zukommt. Wäre lustig, wenn das alle Bürger so machen würden Krass ist jedoch, daß sie damit e-Government quasi komplett einstellen können. Wer vertraut denn noch so einer Regierung?
- “Grundsätzlich bestehen folgende Umgehungs/-Ãœberwindungsmöglichkeiten (Anm.: für Verschlüsselung):
- “Abzweigen” der Klar-Information vor bzw. nach Ver-/Entschlüsselung
- Verwendung von absichtlich “geschwächten” Verschlüsselungsprodukten
- treuhänderische Hinterlegung von kryptographischen Schlüsseln (”key escrow”)
- Zugriff auf im System gespeicherte oder über Tastatur eingegebene Schlüssel durch Einsatz von “Sniffer”-Software”
Sie haben aber erkannt, daß 2 und 3 zur Zeit politisch nicht durchsetzbar sind. Das erinnert mich an den SchlAG von Andreas Pfitzmann. Unbedingt lesen, sehr intelligent geschrieben.
“Ausgeschlossen werden kann, dass Daten auf dem Zielsystem durch den Einsatz der RFS manipuliert werden, da der Einsatz umfangreich und nachvollziehbar dokumentiert wird.”
Das kenne ich von anderen Softwarefirmen. Sicherheitsrisiken können natürlich komplett ausgeschlossen werden. Vielleicht lassen sie die Software von Microsoft entwickeln?
“Speziell wird sichergestellt, dass die Software nicht ohne erheblichen Aufwand dazu veranlasst werden kann, an einen anderen Server als den vom Bundeskriminalamt verwendeten zurückzumelden, und dass die Software weder von außen erkannt noch angesprochen werden kann.”
Aha.
“Die Durchführung einer Online-Durchsuchung soll ebenfalls lückenlos dokumentiert werdem. So werden die Einbringung der RFS auf den Zielrechner, jeder Remote-Zugriff auf den Zielrechner, alle Befehle für den Zielrechner und die Ãœbertragung der Daten vom Zielrechner protokolliert.”
Verstehe ich jetzt nicht. Grad eben hat das Bundesinnenministerium doch noch behauptet, daß die Software von außen weder erkannt noch angesprochen werden kann. Aber Remote-Zugriff ist doch möglich? Werden die beschlagnahmten Drogen denn nicht vernichtet sondern im BMI verbraucht? Und wie wollen die protokollieren, wenn die Festplatte z.B. voll ist? Wird dann nicht durchsucht?
“Das Bundeskriminalamt hat beim (verdeckten) Zugriff auf das informationstechnische System kein Interesse an der Kenntnisnahme etwa von Krankheitsberichten, Tagebüchern oder Liebesbriefen. Von Interesse sind vielmehr allein ermittlungsrelevante Informationen zu Terroristen und Extremisten, […]”
Terroristen und Extremisten. So wie in der Definition des StGB 129a, da fällt der CCC vermutlich jetzt auch schon drunter. Wegen organisierter Verstöße gegen StGB 202c. In wenigen Jahren sind Filesharer dann auch Extremisten, das kennen wir von anderen Beispielen wie dem Kontozugriff oder der Autobahnmaut.
“Bei der hier in Rede stehenden RFS handelt es sich nicht um eine „Spionagesoftware“, sondern um ein technisches Mittel zur Datenerhebung.”
Stimmt. Back Orifice ist auch kein Backdoor-Programm sondern ein Remote-Administrationstool. Ich frage mich ja, wenn das BMI dieses Teil auf meinem Rechner installiert und ich das finde und für einen Hackerangriff verwende, muß dann der Bundesinnenminister wegen Zugänglichmachung der “Hackingtools” nach §202c in den Knast?
“Abgesehen davon, dass das Entdeckungsrisiko als solches als gering einzustufen ist, wäre eine anschließende Manipulation im Vergleich zu anderen Möglichkeiten der Nutzung von frei verfügbarer Schadsoftware extrem aufwendig.”
Schon, aber das hat noch nie jemanden abgehalten, z.B. das iPhone freizuschalten oder die XBox zu hacken. Ein wenig naiv ist die Vorstellung der Beamten da schon.
“Die Sicherheitsbehörden und das Bundesministerium des Innern verfügen grundsätzlich über genügenden Sachverstand. [Anm.: bei der Konfiguration von Online-Durchsuchungen].”
Ha, ist das so viel Sachverstand wie bei den Chinesen-Trojanern? Die machen sich doch komplett lächerlich! Das ist ja gar nicht mehr zu fassen.
Sehr schön ist folgende Feststellung der SPD-Fraktion:
“Damit einher geht eine Umwertung der bisherigen Sicherheitspolitik. Die Sicherheitsbehörden und das BSI machen das Netz nicht sicherer, sondern im Gegenteil: Es gibt ein staatliches Interesse, „Hintertüren“ in Betriebs- und Anwendungssysteme zu nutzen oder sogar „einzubauen“. Hinzu kommt, dass wenn die deutschen Sicherheitsbehörden heimlich auf Rechner zugreifen können, dass dies dann auch Dienste anderer Staaten können.”
Da scheint jemand tatsächlich einen Teil der Problematik auf den Punkt gebracht zu haben.
Naja, warten wir ab … Sony hat sich bei sowas ähnlichem schon mal eine blutige Nase geholt.
Tags: § 202c,
Back Orifice,
BKA,
BMI,
BSI,
Bundesinnenministermium,
Bundestrojaner,
CCC,
Schäuble,
Spionage,
Trojaner
6. August 2007
War eigentlich klar.
Ich frage mich ja, ob man analog zur Versteigerungsplattform von WabiLabiSabi eine Plattform zum Verkauf von Viren, Trojanern und Botnetzen einrichten könnte. Oder wird das durch den § 202c illegal?
Tags: Trojaner,
Versteigerung,
Viren,
WabiSabiLabi
20. Juli 2007
Langsam bin ich ja schon enttäuscht. Da gibt es einen neuen Virus, der versucht die Leute zu erpressen (neudeutsch Ransomware) :
Hello, your files are encrypted with RSA-4096 algorithm (http://en.wikipedia.org/wiki/RSA).
You will need at least few years to decrypt these files without our software. All your private information for last 3 months were collected and sent to us.
To decrypt your files you need to buy our software. The price is $300.
Und wenn wir berücksichtigen, daß die meisten Privatleute (und erschreckend viele Firmen) keine Backups haben, ist das eine realistische Drohung. Nur: das ist schlicht gelogen. Der Trojaner scheint eine leicht modifizierte RC4-Routine zu verwenden. Das ist jedoch im Gegensatz zu RSA ein symmetrisches Verfahren und der Schlüssel zum Verschlüsseln ist der gleiche wie zum Entschlüsseln. Wenn der Virus die Daten verschlüsselt kann folglich aus dem Virus auch der Schlüssel zur Dechiffrierung extrahiert werden. Die cleveren Jungs von Kaspersky haben das rausgefunden und ein kostenfreies Tool zum Entschlüsseln veröffentlicht. Das wären dann 300 USD gespart. Nett von Kaspersky.
Bootnote (Begriff von The Register geklaut):
Wenn ich der Virenautor wäre, würde ich jetzt Kaspersky wegen wettbewerbsfeindlichem Verhalten verklagen. Die machen einfach das Geschäftsmodell kaputt. Und außerdem ist das garantiert ein Verstoß gegen den DMCA, der so Reverse-Engineering zur Umgehung von Sicherungsmaßnahmen (und das ist die Verschlüsselung ja wohl) eindeutig verbietet.
Wollte nicht auch mal Cult of the Dead Cow Symantec verklagen, weil die Back Orifice 2000 in Norton Antivirus als Schadprogramm erkannt haben? Dabei ist das doch ein normales Remote-Admin Tool, vergleichbar mit PCAnywhere und Symantec will nur die Wettbewerber ausschalten … ich finde aber keine Quelle mehr dazu.
Tags: Back Orifice,
CDC,
Cult of the Dead Cow,
DMCA,
Erpressung,
Kaspersky,
Ransomware,
RC4,
RSA,
Symantec,
Trojaner,
Viren
19. Juli 2007
Das FBI hat zur Aufdeckung eines Straftäters zum ersten Mal einen Trojaner zur heimlichen Durchsuchung eines PCs eingesetzt. Das Programm CIPAV (PDF) ist ein Windowsprogramm, das an das FBI eine Liste der Programme auf einem Rechner, Registry-Informationen und Browser-Daten wie zuletzt besuchte URLs übermittelt. Im Gegensatz zum von Schäuble geforderten Bundestrojaner ist keine heimliche Durchsuchung von Dateien geplant, der FBI-Trojaner würde sogar den deutschen Anforderungen des Datenschutzes genügen.
Die Gegenmaßnahmen sind dagegen einfach: da bisher immer nur von Windows-Trojanern die Rede ist, wird es genügen einfach das Betriebssystem zu wechseln, zu Linux oder FreeBSD zum Beispiel und schon hat man vor der Schnüffellust des Innenministers erstmal Ruhe.
Tags: Browser,
CIPAV,
Datenschutz,
FBI,
FreeBSD,
Linux,
Schäuble,
Trojaner,
Windows
14. Juli 2007
Die Virenhersteller sind ja meistens recht zurückhaltend, wenn es um Informationen geht, wie Programme auf Schadcode untersucht werden. Insbesondere die Analyse neuer Schadprogramme in virtuellen Umgebungen gehört zu den größeren Geheimnissen. Zum einen sollen wohl die Mitbewerber nicht allzuviel wissen, zum anderen ist es für die Autoren von Viren und anderen Schadprogrammen durchaus sinnvolk, die virtuelle Umgebung zu kennen, um das Verhalten des Programms in solchen Umgebungen zu verändern.
Umso interessanter ist es, wenn ein Virenscanner-Hersteller ein wenig aus dem Nähkästchen plaudert, wie hier Kaspersky.
Hier erfährt man beispielsweise, daß Mac OS X drei verschiedene Laufzeitumgebungen hat und die meisten Programme liegen im Mach-o Format vor. Der erlernte Wissen wird in der Analyse des IM-Worm.OSX.Leap angewendet.
Ein lesenswerter Artikel.
Tags: Kaspersky,
Mac OS X,
Mach,
Trojaner,
Viren,
Wurm
