Mitternachtshacking

Endlich wird so eine Smurf Attack einmal anschaulich erklärt 🙂

Open Source Security Information Management

Kennt das jemand? Ist das zu gebrauchen?

Nein, nicht Watergate, aber ein sehr interessanter Artikel auf Milw0rm, wie man das linux-gate.so.1 für einen RET2ESP-Exploit verwenden kann.

Mark Russinovich, der früher mal Sysinternals gemacht hat und heute so ein Microsoft Droide ist, hat was Interessantes zum Tarnen von Programmen geschrieben:

This example highlights a few practices that software vendors should follow for reliability and to prevent the confusion I faced. First is the use of environment variables and Shell special paths instead of hard-coded strings. IECheck (which I presume stands for Icon Editor Check) references the Program Files directory by name, which is only valid on English installations of Windows, so if installed on a foreign system, IECheck would fail to find the executables it looks for. Instead, it should locate the Program Files directory by using the %PROGRAMFILES% environment variable, or call ShGetFolderPath with CSILD_PROGRAM_FILES for the folder parameter.

To avoid scaring security-conscious users, all executables should have a version resource with a company name and a description that clearly identifies the executable’s purpose. Further, vendors should obtain a code signing certificate to digitally sign their code. Windows relies more and more on signature information to help users make trust decisions, and users can leverage tools like Process Explorer, Autoruns, and Sigcheck to verify that executables are what they advertise instead of malware. I’ve contacted the author of IconEdit2 and he’ll be updating his application to follow this guidance. All vendors need to do their part to avoid this kind of needless scare.

Gut, das mit dem Code Signing ist jetzt ein wenig schwierig. Aber alles andere sollte man von einem guten Virenautor doch erwarten. Gebt den Schadprogrammen schlüssig klingende Namen. Packt einen ordentlich gefälschten Versionsstring und einen namhaften Hersteller mit rein, damit das nach was aussieht. Und spart Euch den Unsinn mit den Rootkits, das ist viel zu auffällig.

Fefe schrieb gestern:

Kleines Detail der neuen Ermächtigungsgesetzgebung:

1. § 129a, „Bildung terroristischer Vereinigungen“:
   (2) Ebenso wird bestraft, wer eine Vereinigung gründet, deren Zwecke oder deren Tätigkeit darauf gerichtet sind, […] 2. Straftaten nach den §§ 303b […]
2. Der neue § 303b sieht so aus:
   (1) Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er […] 2. Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil zuzufügen, eingibt oder übermittelt

   und

3. der neue § 202a liest sich so:
   (1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, unter Überwindung der Zugangssicherung verschafft […]

Fassen wir also zusammen: der CCC ist ab übermorgen eine terroristische Vereinigung.

Schon etwas länger her, aber die Überschriften von The Register sind einfach zu gut …

Virus writers have girlfriends – official
And some don’t even need inflating

Aha.

Das erinnert mich an einen früheren Job in einer Bank. Da gab es zum Surfen im Internet einen sehr restriktiven URL-Filter. Alles was irgendwie anstößig war, wurde verboten. Hacking, Rotlichtseiten (um das böse P-Wort zu vermeiden), sogar die Seiten von anderen Banken wurden blockiert. Und nur der Vorstand durfte über Ausnahmen entscheiden.

Und dann geht Beate Uhse an die Börse …

Heute nur ein kurzer Link:

Convert Physical Windows Systems Into Virtual Machines

VMware ist schon was feines …

… wegen Geschäftsschädigung. Das gibt es auch nur bei den Amis.

Zango, laut Infoworld früher als 180solutions bekannt, hat PC Tools, den Hersteller von Spyware Doctor verklagt, da dieser die Zango Spyware Nutzsoftware als Spyware einstuft. Wenigstens schließt sich die US-amerikanische FTC der Meinung an, dass Zango Nutzsoftware Spyware ist.

Microsoft hat jetzt schwarz auf weiß veröffentlicht, welche Verbesserungen in Windows Vista enthalten sind. Erstaunlich, das Dokument (natürlich im proprietären Word-Format) kann auch von einem Nicht Genuine Windows (aka Linux) mit Nicht Genuine Internet Explorer (aka Firefox) heruntergeladen werden.

Zu den Inhalten:

Engineering a Secure Operating System: ein paar Informationen zum Windows Security Life-Cycle, viele bunte Bilder und ein Haufen Marketing Blabla

Under the Hood of Windows Vista: kurz NX und ASLR angesprochen, Kernel Patch Protection erklärt, Driver Signing, aber keinerlei echte Details

New User, Network, and Application Security Options: User Account Control wird angesprochen, außerdem Werbung für die Windows Firewall, Windows Defender, das Windows Security Center und Network Access Protection gemacht.

New Data Protection Options: Bitlocker ist dabei, außerdem EFS-Verbesserungen und das Digitale Restriktionsmanagement (Rights Management Services, RMS) wird lobend erwähnt.

Security Options in Internet Explorer 7: Der Microsoft Phishing Filter, der zwar recht effizient aber schweinelangsam ist, die SSL Zertifikatsvalidierung, die es richtig schwer macht, auf Server mit selbstgebastelten Zertifikaten zuzugreifen, außerdem der Protected Mode des Internet Explorers und ActiveX-OptIn, was der gleiche Schmarrn ist wie „Safe for Scripting“, weil der Entwickler und nicht der User entscheidet, was sicher ist.

Kurz, 19 Seiten die sich nicht wirklich lohnen, außer um einen Überblick der aktuellen Schlagwörter und Säue zu bekommen, die gerade durch’s Dorf getrieben werden. Ich hätte mir da mehr erwartet.

Ach ja, einen Verweis auf den Windows Vista Security Guide gibt es auch noch. Der wird aber nur als MSI angeboten, wahrscheinlich aus dem einzigen Grund, weil man dann unter Linux das File nicht einfach mit OpenOffice öffnen kann (naja, eine Fancy License ist auch noch dabei). Bei XP und Windows 2003 gab es das noch als ZIP-File.

F-Secure pusht mal wieder die Idee einer Toplevel-Domain .bank die nur für Banken zur Verfügung stehen soll. Auf den ersten Blick klingt das gar nicht so schlecht und F-Secure sucht wohl auch gerade einen Sponsor, der das Thema bei ICANN weitertreiben soll. Auf den zweiten Blick wird das insgesamt nicht viel bringen.

1. Die Leute klicken sowieso auf alles was sich bewegt, selbst wenn extra dabei steht, dass man sich damit seinen Rechner infiziert
2. Die Phisher basteln sich auch weiterhin lustige URLs wie www.postbank.bank.secure.hk und die Leute fallen auch weiterhin drauf rein
3. Weil es immer wieder Lücken im Browser gibt, mit denen z.B. durch JavaScript falsche URLs in der Kopfzeile angezeigt werden können
4. Weil sogar die Default-Einstellungen von Firefox nichts taugen

Das einzige, was eine solche Toplevel-Domain bringt ist, dass sich die Hersteller von Virenscannern und Personal Firewalls leichter tun. Wenn es nach .bank geht ist es ok, braucht man schon mal nicht mehr kontrollieren. Und irgendwann ist einfach alles andere suspekt und fertig.

Hey F-Secure, macht Eure Hausaufgaben 🙂