|
Bootkit Nemesis- Bios/Firmware Malware im VBR , alle Systeme infiziert Hallo, wir sind seid mehreren Mobaten mit dem oben genannten Bootkit infiziert. Betroffen sind 2 Laptops,1 Desktop Rechner iund ein Surface. Die Malware infiziert sowohl Linux als auch Windows. Formatierung der Festplatte und Neuinstallation hilft nicht, selbst nach Festplattenaustausch (durch eine werksneue) ist die Malware noch da. Alle nisheigen Antiroozkit-Tools und Rescure-Disk können das Bootkit nicht entfernen. Die versteckten Partition kann ich unter Linux mit einigen Tools sichtbar machen, z.b enthält die "Boot:X " einen Ordner "PseudoWindows", löschen lassen sich die "loop"Volumes nicht. Alle Logs, Screens die ich habe,hänge ich in kürze an. Die Links unten folgen auch gleich. PS: Da ich schon in anderen Foren als "Spinner" und ähliches beschimpft wurde, bitte mit den Links unten und dem Thema "Rootkit in der Hardware" beschäftigen, bevor Stichwörter wie "unmöglich" und ähnliches fallen. |
Hallo und :hallo: Hast du noch weitere Logs (mit Funden)? Malwarebytes und/oder andere Virenscanner, sind die mal fündig geworden? Ich frage deswegen nach => http://www.trojaner-board.de/125889-...tml#post941520 Bitte keine neuen Virenscans machen sondern erst nur schon vorhandene Logs in CODE-Tags posten! Relevant sind nur Logs der letzten 7 Tage bzw. seitdem das Problem besteht! Zudem bitte auch ein Log mit Farbars Tool machen: Scan mit Farbar's Recovery Scan Tool (FRST) Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:  FRST 32-Bit | FRST 64-Bit(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)
 Lesestoff:Posten in CODE-Tags Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR oder 7Z-Archiv zu packen erschwert mir massiv die Arbeit. Auch wenn die Logs für einen Beitrag zu groß sein sollten, bitte ich dich die Logs direkt und notfalls über mehrere Beiträge verteilt zu posten. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:
|
gmer log Dann gehts los: Gmer Teil I Code: GMER 2.1.19357 - hxxp://www.gmer.netLink zum Rest des Logs https://drive.google.com/open?id=0Bx1u3DoFeTwiNFNodkRBWE1BbDA Wo soll ich die TXT alternativ hochladen, wenn die Logs zu lang sind? |
FRST FRST Logfile: Code: Untersuchungsergebnis von Farbar Recovery Scan Tool (FRST) (x64) Version:05-03-2016FRST ADDITIONAL FRST Additions Logfile: Code: Zusätzliches Untersuchungsergebnis von Farbar Recovery Scan Tool (x64) Version:05-03-2016Bevor es hier weiter geht: Folgende Antirootkit-Tools habe ich schon X-mal durchklaufen lassen, Sie finden etweder nichts oder das Rootkit bricht den Start sofort ab: -Antirootkit Tool von Kaspersky TTSS -Antirootkit Tool Antimalwarebytes und der "normale" Malewarescanner -Antirootkit Tool von McAffe -Antirootkit Tool von Bitdefender -Antirootkit Tool von Sysinternals -Antirootkit Too von TrendMirco Außderdem finden fast alle Security-Suiten und AV-Software nichts, die man als durchschnittsbürger bekommen kann. Habe fast alles durch, auch schon AV-Rescure Disks und die Antirootkit-Tools nur von CD gestartet. Ich schlage deshalb vor, das ich erstmal die logs der letzten Wochen poste, die etwas gefunden haben. Anschließend kann ich gerne alle nachreichen, wo noch Bedarf ist bzw. was helfen könnte. Grundsätzlich zu der Logs: Das Rootkit debuggt AV-Software und Browser, enweder mit Scripten, VB, Hooks oder der Angreifer selbst mit PowerShell. Die sind quasi zu vernachlässigen. Das ganze Betriebssystem hat ja auch nicht mehr viel mit dem Original Windows10 zu tun. Siehe z.B. Gmer-Log aswMBR - auch nochmal frisch von heute Code: aswMBR version 1.0.1.2252 Copyright(c) 2014 AVAST SoftwareZitat:
Links zuM Bootkit: https://www.fireeye.com/blog/threat-research/2015/12/fin1-targets-boot-record.html hxxp://www.golem.de/news/nemesis-bootkit-neue-malware-befaellt-finanzinstitute-1512-117906.html |
Und wo genau meinst du jetzt eine Bootkit Infektion zu sehen? |
Dann mach ich mal munter weiter (bitte auch den Links zu den gesamten Logs folgen) Chtchme-Antirrotkit (Vor Sart abgebrochen) Code: detected NTDLL code modification:Code: GMER Logfile: |
GMER (Mittlerer Teil): Code: Reg HKLM\SYSTEM\CurrentControlSet\Control\NetworkSetup2\Protocols\{56465050-5343-5456-47F9-EC637C282991}\Properties\{a111f200-5923-47c0-9a68-d0bafb577901}\0028 |
Kannst du mal bitte etwas deutlicher werden?? Wo genau steht in deinen Logs etwas, was genau auf dieses Bootkit hinweist, deiner Meinung nach? Die anderen Logs über dein Google Drive kann ich nicht sehen (Fehlercode: sec_error_unknown_issuer) also stell sie bitte hier anders zur Verfügung. Screenshots direkt hier rein, wir haben hier extra IMG-Tags und die restlichen Log-Textfiles direkt in CODE-Tags posten. |
Bitte zeig mir jetzt genau die Stelle, die dein Bootkit entlarvt anstatt hier einfach weitere Logs reinzuknallen, nach denen ich nicht gefragt habe. |
Ja, gerne, dann dazu als erstes: GMER log ,erster von oben, hier jetzt komplett ohne Link: GMER I TEIL-2 Code: fffff800ef7b5280 \SystemRoot\system32\ntoskrnl.exe [PAGE] |
GMER 1 TEIL 3 Code: ---- Modules - GMER 2.1 ----Code: |
TEIL 5 Code: 00007fff713a0000 |
Poste keine UNIX/Linux Logs mehr. Von Windows nur von dem einen betroffenen Windows-System. Da bitte MBAR laufen lassen: Malwarebytes Anti-Rootkit (MBAR) Downloade dir bitte  Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers |
TEIL 6 Code: Library C:\Windows\system32\OLEAUT32.dll (*** suspicious ***) @ C:\Windows\system32\svchost.exe [1004] 00007fff771a0000Code: 0007fff73f80000Code: 0 00007fff73520000 |
Deine Linux-Logs hab ich ausgelagert => http://www.trojaner-board.de/176707-...lware-vbr.html Was ist jetzt mit MBAR??! |
Zum GMER-log fehlen noch mindestens 10 Teile, aber dann breche ich den mal ab... Ubuntu ist auch vom Bootkit betroffen, wie alle Linuxsysteme, die ich bisher probiert habe. Nur der Zugriff des Clienten läuft über SSH und Samba, auch wenn ich die dazugehörigen Dienste stoppe und Programme deinstalliere. MBRR findet nichts, auch wenn ich den von CD mit Schreibschutz laufen lasse, aber kann ich trotzdem nochmal laufen lassen. Etwas Geduld muss Win10 wieder mal neu installieren... Hier kurz ein etwas älterer: Code: Malwarebytes Anti-Rootkit BETA 1.9.3.1001Code: RogueKiller V11.0.13.0 [Feb 22 2016] (Free) by Adlice Software |
Zitat:
|
Aber das ist doch völlig egal, welches OS du installiert hast, das Rootkit hat - quasi wie im Netzwerk- eine oder mehrere verstecke Partitionen direkt "neben" dir und kann alles beliebig manipulieren. Da hilft auch die Verschlüsselung nichts, wenn du mit dem System hochgefahren bist. Bei mir in Ubuntu werden die Packetlisten manipuliert und sie sie auch schon direkt nach Installation des OS, wenn ich nur einen download starte, dann habe ich automatisch manipulierte Packete installliert....wenn ich keine Packete installierte, werden irgednwann welche versteckt installiert. Und das sind nur Zugangswege des Rootkit, die mir bekannt sind.... Hier auch nochmal eine kleine Gallerie: Rootkit nimmt Kaspersy auseinander, Hooks https://imageshack.com/i/plH73ZWZp So oder ähnlich ist es mit fast alles Anti-Rootkit Tools https://imageshack.com/i/pnwIDn4Bp https://imageshack.com/i/plquSB0fj https://imageshack.com/i/pnqFPbhUp https://imageshack.com/i/pmclX1txj Wenn man sich gegen die Malware wehrt, passiert bei den Security Suiten das: https://imageshack.com/i/poe5pGywp Windows 10: Ein paar Minuten nach der Neuinstallation: Das Rootkit hat schon alles vorbereitet, Win total maipuliert: https://imageshack.com/i/plZKBi0fp https://imageshack.com/i/poBZCsNGp https://imageshack.com/i/poybuz6vp https://imageshack.com/i/pnTxTu5dp Ein weiterer Zugriff ging über eine VOIP-Schwachstelle in der FritzBox, wir hatten nie Telefone eingerichtet, schongar nicht mit Rufumleitung https://imageshack.com/i/pmsY0RPWp Meines Erachtens müssen dies die verstecketen Volumes sein (loop), das Bild zeigt nämlich die Volumes auf der Festplatte; aber es dürfte gar keine geben, weil ich vorher alle Partitionen mit DBAN gelöscht habe. https://imageshack.com/i/pnK3lx4bj @cosinus Ich denke, ich habe auch für Ubuntu ausreichend Belege für eine Infektion, aber konzentrieren wir uns doch -wie gewünscht - zunächst auf Windows. |
Sry aber mir wird das hier ein wenig zu müßig. Du postest da wild ein Screenshot nach dem anderen mit mehr als schwammigen Beschreibungen. Wo Windows zB direkt nach der Installation manipuliert sein woll geht da überhaupt nicht raus. Oder du hast irgendwo was aufgeschnappt und schlussfolgerst aus dem falschen Wissen bzw der falschen Annahme irgendwelchen Lötzinn? Eine einfache Googlesuche nach "loopdevice" oder den besagten S-Usern usw hätte dir ein wenig Panik genommen. Rootkit in dxgkrnl.sys und tm.sys? Die Prüfsummen sind i.O. Rootkit, das in eingebildeter versteckter Partition sein soll, gleichzeitig in Windows und Linux läuft? Also ich glaub du siehst vor lauter Hysterie alles mögliche.... |
Zitat:
|
und btw: Zitat:
|
da ich bisher noch nicht daran glaube, dass es hier was zu bereinigen gibt, werd ich mal in den Diskussionsbereich verschieben. |
Die Frage ist nicht ob es etwas du bereinigen gibt, sondern ob das die geeignete Plattform/ hinreichende Kompetenz für diese komplexe Malware ist. Und das ist weniger eine Kritik an das Board als vielmehr an mir, denn ich hätte viel füher AV-Hersteller direkt kontaktieren müssen. Vor mehr als 6 Monaten als die Infektion deutlich wurde, wollte ich - wie viele andere die darüber informiert sind - das Ausmaß auch nicht wahr haben. Heute sehe ich das anders. PS: Ubuntu, das ich heute neu installiert habe fährt jetzt schon nicht mehr hoch und zeigt Fehlermeldungen, trotz Vollverschlüsselung. Bin wieder mit einem LIVE-OS online. |
Bei sowas wie Viren und Trojaner kann man schnell in Paranoia verfallen. Vor einigen Jahren wurde angeblich ein Super-Biosvirus entdeckt, den letzten Beweis blieb man allerdings schuldig: hxxp://www.chip.de/news/BadBIOS-Potentieller-Supervirus-befaellt-alle-Systeme_65235066.html Ich bin ja Linux-Nutzer, vor einigen Jahren verhielt sich mein System auch merkwürdig. Wenn ich ein Programm startete, zeigte System Monitor immer einen Netzwerkverkehr an. Laut Firestarter sendete mein Notebook Pakete über wlan, obwohl mein Laptop per Kabel und DSL-Modem mit dem Internet verbunden war. Denn Ubuntu-Beitrag finde ich leider nicht wieder. Bis heute weiss ich nicht, was da genau vorgefallen war. Mein Modem konnte jedenfalls kein Wlan. Irgendwann bekam ich einen neuen Router, ich setzte das System auch neu auf, und seitdem scheint Ruhe zu sein. Man muss sich halt vor Augen halten, dass man als normaler Nutzer sich vor einem gewissen Prozentsatz an bösartiger Software schützen kann, aber eben nicht vor jeder. Allerdings sind die Typen mit professioneller Software sind sowieso nicht an normale Nutzer wie du und ich interessiert. |
Zitat:
Fakt jedenfalls ist, dass MBAR nix gefunden hat und aswMBR Standardcode im MBR fand. Also nix Bootkit. Und FRST war auch unauffällig. Also zum letzten Mal, poste die genauen Zeilen aus den Logs, die eine Infektion belegen oder ich bin hier raus. Einfach nur behaupten und sich einreden da sei ne Infektion, weil ja alles was man nicht kennt durch einen Virus kommt, ist nur eine Behauptung, kein Beleg. Zitat:
Was genau soll vor sechs Monaten Passiert sein? Erläuterung fehlt Fehlermeldungen - ja welche denn genau? Weil man deren Ursache nicht kennt ist alles ein Virus oder wie? Was hat eine Vollverschlüsselung mit Schädlingen zu tun? Genau, ziemlich wenig, wenn das System gestartet ist, sind die cryptodevices gemountet und man sieht sie normal als wenn sie unverschlüsselt seien |
Jungs, das Thema ist doch in ein paar Sekunden vom Tisch. Spinnen wir mal etwas rum, und bleiben bei der Theorie: Wenn dieses Bootkit es jemals, jemals, aus dem Labor raus geschafft haben sollte (falls es existiert, auch hier fehlen schlussendlich Fakten) und dann auch noch anstatt große Firmen und Finanzinstitute einen stinknormalen, langweiligen Normalbürger infiziert (nix gegen Dich @TO, aber so Dinger findet ein Normaluser nie im Netz), und sogar schon Festplatten getauscht wurden, ist eine "Bereinigung" nicht möglich. Also ist das Thema schon beendet. Wenn selbst ne neue HDD und alle Tools dieser Welt nix können, bleiben nur 2 Schlussfolgerungen: 1) da war nie was 2) da geht nie was, in Sachen "Bereinigung" fertig. |
Evtl. wäre es sinnvoll wenn ihr interne mal darüber diskutiert, wie hier mit Usern die Hilfe suchen umgegangen wird und ob das angemessen ist. Ich habe mich hier aus meiner Sicht angemeldet um Hilfe zu erhalten und so viel wie möglich Informationen zu liefern, damit das Problem analysiert und evtl. behoben werden kann. Dazu habe ich meine Sicht der Ding zur Infektion ergänzt. Ergbnis: Ich erhalte Beiträge im Wortschatzbereich der Fäkalsprache und werde - so kommt es bei mir an - als Spinner hingestellt, der Aufmerksamkeit sucht. Und dass von den Verantwortlichen hier.. Angemessener wäre z.B. sicher Folgendes Fazit gewesen: "Also anhand der Logs und bisherigen Infos ist nicht anzunehmen, das du infiziert bist, evtl. solltest du das zur Sicherheit nochmal bei XY abklären. Du dafst einige Funde einzelner Tools nicht überinterpretieren" Das wäre vollkommen okay für mich gewesen. Zudem solltest ihr auch dringend klären, wo die Grenzen eurer Hilfe sind. Es kann nicht sein, dass sich User, die hier Hilfe suchen, sich beleidigt fühlen, weil ihr an eurer Kompetenzgrenze angekommen seid oder etwas für unmöglich haltet. |
Zitat:
Hinsichtlich der Kompetenzen sei Dir gesagt, dass wir eng mit AV-Herstellern zusammenarbeiten. Ich habe den Thread nur kurz überflogen - aber Du postest wild und unaufgefordert irgendwelches Zeug. Poste doch mal ein Log von TDSS-Killer. (Scan mit allen Parametern) So wie Schrauber schon sagt, ist es äußerst unwahrscheinlich mit solcher Malware in Kontakt zu kommen. Und zusätzlich ist sie für Win 8 oder 10 auch nicht konzipiert (Secure Boot). |
Zitat:
|
@dennissteins: sagma, ganz ehrlich :D bist du auch als Lazarus Long im Heiseforum bekannt? => Rootkit löschen?!? | Forum - heise online Anfang/MItte Februar 2016 hast du auch was ins Kundenforum von HP gepostet => Bios-Rootkit auf meinem HP280 G1 MT - HP Kundenforum - 394037 Und da hast du ja erwähnt, dass man dich woanders schon als einen "Spinner" bezeichnete... :dummguck: |
Zitat:
Aber wie wäre es wenn Du auch mal über die von Dir geposteten Fakten nachdenkst, bevor Du sowas ablässt? All unsere Tools, all unsere Kompetenzen auf diesem Gebiet, alles was via Forum möglich ist, das alles hat eines gemeinsam: Es findet auf deiner Festplatte statt! Diese wurde erneuert. Also bliebt nur irgend ein Chip auf dem Board oder der Graka, oder, da is gar nix ;) |
Liste der Anhänge anzeigen (Anzahl: 5) Im Heise-Forum bin ich nicht angemeldet, der Thread im HP-Forum ist von mir. Mag sein, das die geposteten Logs und Screens unübersichtlich sind und einige meiner Schlussfolgerungen unzureichend belegt sind. Auch sehr wahrscheinlich, dass es nicht Nemesis ist, was ich vor einer Woche noch vermutet hätte. Aber: Meine Verlobte und ich bilden uns seid ca. 6 Monaten sicher nicht ein, dass wir Abbuchung vom PayPal-Konto nach Osteuropa hatten, ungerechtigte Zugriffe auf Onlinebanking, Bestellungen in diversen OnlineShops wo wir angemeldet waren, Portfreigaben auf der FritzBox, meine externe Festplatte mit beruflichen Daten verschlüsselt wurde und vieles mehr. Und mit Blick auf die bisherigen von mir geposteten Infos: da lässt sich sicher -rein fachlich - das Ein oder Andere entkräften, aber in der Summe sind das ziemlich viele Zufälle/Ausnahmen. Wer in Berlin wohnt kann sich gerne bei mir per PM melden und kann gerne vorbeikommen und sich alles ansehen. Das wäre kein Problem. GDATA findet viele unbekannte Serveranwendungen. Auf Anfrage lässt GDATA das zunächst -bis auf "sehr ungewöhnlich" - unkommentiert und bittet um weitere Logs. Einige werden jetzt sicher wieder behaupten man kann das Programm auch in die Tonne kloppen (legales registriertes Jahresabo Vollversion) oder GDATA war schon immer buggy. Dritte Bild von links ist ein anderes Programm. Gucke ich noch nach, welches das war. Setzte die später noch vergrößert rein, aber "nebenbei" auch noch einen Beruf. |
Versucht man als Außenstehender die Sache sachlich anzugehen bleiben für mich zwei Punkte: 1) Eine neue Festplatte ist sauber, da kann nichts drauf sein. 2) Vor kurzem gab es einen Einbruch bei (Ubuntu)Mint mit Manipulation der Distri. So gesehen wäre es vielleicht möglich, daß Dir eine manipulierte Ubuntuversion untergeschoben wurde, wie wahrscheinlich das ist, kann ich nicht beurteilen. Um aber auch diese Möglichkeit auszuschließen solltest Du Dir noch einmal eine Version aus einer sicheren Quelle herunterladen, etwa von hier: Ubuntuuser DE Auf DVD brennen, anschließend das System plattmachen indem die Festplatte neu formatiert wird, neu partitionieren, und dann das "neue" Ubuntu installieren. Ersatzweise kannst Du das Ganze ja auch mal statt mit Ubuntu, mit SuSE probieren; jetzt bin ich bei @Cosinus endgültig in Ungnade gefallen. :pfeiff: :zunge: :blabla: openSUSE Wenn das Alles nichts bringt, schmeiß den Rechner auf den (Sonder)Müll, und versuch´s mal hiermit: Akkordeonunterricht Berlin - Willkommen :Boogie: :taenzer: |
Zitat:
|
dennissteins schreibt ja das sowohl Windows als auch Linux Rechner betroffen sind und das er eine Fritzbox verwendet. Vielleicht müsste er da ansetzen und die Fritzbox mal aktualisieren bzw überprüfen auf ein neues Firmware hin zumal die Fritzboxen vor nicht allzu langer Zeit Sicherheitslücken hatten die Angriffe mit Root Rechten zuliessen: http://www.computerbase.de/forum/showthread.php?t=1548786 |
https://photos-1.dropbox.com/t/2/AAB...&size=1280x960 https://photos-1.dropbox.com/t/2/AAC...size=2048x1536 https://photos-1.dropbox.com/t/2/AAB...size=2048x1536 https://photos-2.dropbox.com/t/2/AAD...size=2048x1536 https://photos-4.dropbox.com/t/2/AAB...size=2048x1536 https://photos-1.dropbox.com/t/2/AAA...&size=1280x960 Zitat:
Neben der Fritzbox mit immer aktuellster Firmware, haben wir schon einen Speedport und einen ZyXel-Hardware-Firewall ausprobiert. Bringt aber nicht, da der Angriff von Innen kommen muss Und da es sich ja jetzt um einen Diskussionsthread handelt, darf ich sicher weiter wild irgendetwas posten. Netstat unter Ubuntu Code: |
Zitat:
Zitat:
Zitat:
|
letzter Post; dritte Screen von oben ist übrigens "AVZ Antiviral Toolkit". Zugriff auf die Geräte haben physisch nur meine Verlobte und ich. Die selbsternannten Experten kann ich dir PM schicken, beide Unternehmen aus Berlin, Privatkundenbereich und über 10 Jahre im Geschäft. Aber unprofessionell.. |
Von den sechs Screenshots sehe ich genau einen ;) Die Frage war nicht, wer die Experten sind, sondern was deren Meinung zu den Problemen war. |
Links checke ich gleich nochmal. Gerade nochmal chkrootkit laufen lassen und den log gekürzt: -->Packete die ich nicht installiert habe -->Possible Linux/Ebury --> SNIFFER Code: [sudo] Passwort für denniss: Das erste Unternehmen hatte nur einen Desktop-PC, das war im Okt/Nov 2015, die fanden "Auffälligkeiten", und nannten hohe CPU-Auslasung, vor allem durch svchost.exe . Da deren Scanner nichts fand, stuften sie den Rechner als sauber ein. Als ich den PC abgeholt und abgeschlossen habe, stürtzte der von denen installierte Bitdefender nach 30 Min Online-Zeit permanent ab und Updates schlugen fehl. Gemacht haben die dann auf Rückfrage nichts mehr, es kam nur die Aussage: "Dann müssen Sie einen Verteiler in der Nähe haben". Das zweite Unternehmen hat nach Absprache 3 Rechner und 2 Mobiltelefone von uns mitgenommen und ich habe alles was als Infektionsquelle in Frage kommen könnte weggeschmissen, z.B. USB-Sticks usw. Alles Systeme wurden überprüft, aber mehr als "Auffälligkeiten" gab es dort auch nicht. Als der Techniker dann zur Routerkonfiguration und zur Rückbringung der Rechner kam, fiel Ihm der Fremdzugriff auch auf, er wusste dann aber auch nicht weiter: "Mehr können wir da auch nicht machen". Ergänzung: fehlende Screens von oben http://fs5.directupload.net/images/160312/4u9mn6h4.jpg http://fs5.directupload.net/images/160312/itdnoufg.jpg http://www.directupload.net/file/d/4...3sdily_jpg.htm AVZ Funde http://fs5.directupload.net/images/160312/fko2mdy2.jpg Router IP Freigabe http://fs5.directupload.net/images/160312/fsrjn5zd.jpg http://fs5.directupload.net/images/160312/o98q7ktt.jpg |
Mal ein paar Gedanken/Theorien zu der Thematik: Du hattest vor 6 Monaten diverse „Probleme“. U.a. Missbrauch PayPal, Onlinebanking und Onlineshops. Möglichkeiten, wie es dazu kommen konnte, gibt es viele. Ein kompromittiertes System ist nur eine davon. Treten in diese Richtung noch Probleme auf? Wahrscheinlich suchst du seit diesen Ereignissen fleißig nach Sicherheitslücken sowie schadhaften Prozessen und bist allem gegenüber sehr skeptisch, was du nicht kennst bzw. vermutest direkt das schlimmste. Um das Suchen einfacher zu machen, nutzt zu Tools, die evtl. aus zweifelhaften Quellen stammen und fängst dir genau hierbei immer wieder etwas ein. Das kann sein, muss aber nicht sein. Zweifelsohne hast du aber einfach nicht genug Wissen, um Logfiles und ähnliches sinnvoll auswerten und vor allem bewerten zu können. Als Laie nutzt du weiter irgendwelche Tools und gehst davon aus, dass alles, was bei 3 nicht auf dem Baum ist (und damit als ‚sicher‘ bewertet), bösartig sein muss. Hast du schon mal recherchiert, welche Qualität die von dir eingesetzten Tools haben bzw. wie man diese zielgerichtet einsetzt? Eventuell hast du dir nach diversen Neuinstallationen und Festplattentausch wieder und wieder etwas eingefangen. Hier hast du eine gute Plattform (qualitativ wohl die einzige ihrer Art in Deutschland), bei der du Hilfe finden kannst. Daher meine Empfehlung, wenn du weiterhin davon ausgehst, dass du deinen „Blinden Passagier“ hast: Eröffne für ein System einen Thread im entsprechenden Sub-Forum und mache genau das, was dir mitgeteilt wird. Nur so führt es zu etwas. Zu dem Screenshot der Fritzbox: Hier findest du Aufrufe, die von der Fritzbox „dokumentiert“ wurden. Das kann dadurch passieren, dass bei deinem Modell ein Filter aktiv ist, der direkte Zugriffe auf IP-Adressen nicht zulässt und dann eben aufzeichnet, damit im Bedarfsfall eine Freigabe erfolgen kann. Eine der beiden IP-Adressen ist von Google. Nachdem nicht erkennbar ist, von wann diese beiden Einträge sind, könnte das natürlich von irgendeiner Schadsoftware sein, die direkt über eine IP-Adresse weitere Dateien (vergeblich) nachladen wollte und daraufhin zur Prüfung einer bestehenden und funktionsfähigen Internetverbindung bspw. einen Ping an die Google-IP ausgelöst hat, was aber ebenfalls nicht funktioniert hat. Oder es war eine ganz normale (nicht bösartige) Anwendung. Geschrieben hattest du, dass du eine Hardwarefirewall hast. Hast du denn Erfahrung im Umgang mit Firewalls? Falls ja, dann richte sie dir doch mal so ein, dass alles gesperrt ist und jeder Zugriffsversuch nach außen und von außen protokolliert wird. Im Anschluss schaltest du im Netzwerk die Geräte für genau das frei, was tatsächlich benötigt wird. |
Code: ---------------------------------------Code: Code: AVZ Antiviral Toolkit log; AVZ version is 4.46Code: ;uVS v3.87 [hxxp://dsrt.dyndns.org] [Windows 10.0.10586 SP0 ]Code: |
Hmmmm Ich habe schon einiges gesehen und ich habe vor 20 Jahren Malware gesehen, die Faehigkeiten hatte, die heute noch nicht oder kaum in freier Wildbahn auftreten. Aber das hier klingt schon ein wenig seltsam. Aber gehen wir mal vom Schlimmsten aus. Fassen wir einmal zusammen, die vermutete Malware befaellt Linux und Windows als Bootkit und soll noch Netzwerkfunktionalitaet bieten. Sowas passt nicht mal schnell so in den Speicher der Tastatur, selbst wenn es maszgeschneidert waere. Also muesste es verteilt im System stecken und dort auch ansprechbar bleiben. Theoretisch machbar, wenn die genaue Hardware bekannt und die Malware angepasst wurde. Praktisch hiesse das aber, dass jemand mit besonderem Interesse und Zugang am Werke waere. In dem Fall stimme ich Schrauber zu, wer auch immer das Zeug hat, sich derartigen Zugang zu verschaffen, wird es wieder tun. Eine Behebung auf Dauer waere unwahrscheinlich. Dann waere eine Infizierung ueber den Festplattencontroller/SSDController am wahrscheinlichsten und bei einer Neulieferung vermutlich schon eingebaut. Reden wir ueber ein "Bootkit von der Stange", dann muss es irgendwo leben und sich benoetigte Komponenten nachladen. In dem Fall waere die vollstaendige Isolation eines der Geraete plus Festplattentausch ein Anfang. Ohne Netzugriff koennen keine Komponenten geladen werden und in den intern verfuegbaren Speichern ist nicht genug Platz fuer Alles. Dann sollte die Neuinstallation auch nur von einem Originaldatentraeger erfolgen. Ein gelegentliches Nachladen von Virusdefinitionen zum Beispiel ueber den Umweg einer auf einem sauberen System gebrannten Live-CD muesste ja dann irgendwann zur Erkennung fuehren. Aber generell betrachtet ist dieses Forum nicht geeignet fuer derartige Aufgaben, da waere ein Kontakt zu einem oder mehreren AV-Anbietern geeigneter. Speziell Kaspersky bezeugt immer wieder Interesse an ausgefallenen Sachen. Fuer eine solche Malware muessten mindestens drei Spezialisten zusammenarbeiten um diese zu erstellen. Sehr unwahrscheinlich, dass es zu einer solchen Zusammenarbeit kommt, ohne dass nicht mindestens Einer abgeworben wird. Das Ganze waere auch recht langwierig und von irgend etwas muessen die Coder ja leben in der Zwischenzeit. Ganz zu schweigen von der zum groessten Teil kostenpflichtigen Informationsbeschaffung. Beziehungsweise der Unmoeglichkeit, solche Informationen ueberhaupt zu bekommen. Pervers: Einer der preiswertesten Wege war und bleibt wohl die Analyse und Wiederverwertung von professionellen Kopierschutzmasznahmen. Dieser Aufwand wird in aller Regel nur betrieben, wenn es sich direkt lohnt oder jemand dafuer die Rechnung freiwillig bezahlt. Fuer ein paar Kroeten von einem Paypalkonto kriegt man meist noch nicht mal ein einziges Whitepaper mit relevantem Inhalt. Wenn der Threadersteller da tiefer eintauchen will, wuerde ich empfehlen, einen kleinen Ausflug in die Prozessormodi von x86 bzw besser x64 Prozessoren zu machen. Wenn ein Bootkit sich komplett verstecken will, muss es sich schuetzen. Aber der Schadcode muss deswegen trotzdem lesbar bleiben, es sei denn, der wird bei jedem Start ganz normal im Speicher abgelegt. Dann waere er aber auch bei jedem Start deaktivierbar und das System wuerde bei Updates eventuell(mehr im englischen Wortsinn) instabil. Ja, ein solches Bootkit benoetigt auch noch konstante Pflege und Anpassung. Die Arbeitsweise eines Hypervisors kommt so einem vermuteten Bootkit in Teilen nahe. Vielleicht aber ist ja voerst die Installation von EMET in der aktuellen Version schon hilfreich, da diverse Schutzmechanismen ein allzueinfaches Kapern erschwert und EMET neuerdings auch gerne mal mault, wenn tatsaechlich irgendetwas im Busch ist. Ansonsten ist im Normalbetrieb eine einzige AV-Loesung nicht nur ausreichend sondern meist zielfuehrender als ein Wust von DiesUndDas-Blockern die sich gegenseitig checken und auch noch Warnmeldungen ueber den jeweils Anderen bringen. Was das Netzwerk angeht, da wuerde ich empfehlen, den Verkehr extern zu loggen und auf Auffaelligkeiten zu untersuchen. Viele Malware klinkt sich heutzutage in bestehende Prozesse (wenn moeglich -> EMET) und verschluesselt/verschleiert, so dass eher zeitliche Auffaelligkeiten interessant sind. Oder zum Beispiel IPv6 Verkehr trotz Deaktivierung von IPv6 im Adapter. Noch einmal zum Punkt, zu einer Analyse wuerde ich die Originalplatte im Safe lagern und mit einer neuen, im Laden gekauften Platte und einer gepressten Original-DVD starten und dann das Betriebssystem auf das allernotwendigste verschlanken und dann mal gucken, was uebrigbleibt und wo Auffaelligkeiten bestehen. Keine Geraete anschliessen, die sich vorher im System befanden. Eventuell einen Hypervisor installieren und das OS in eine VM. Sollte tatsaechlich ein Bootkit herumlungern, waere zu erwarten, dass es dann zu Komplikationen kommt. Ausserdem kann man die VM relativ leicht auf Veraenderungen checken bzw zuruecksetzen. Oder nochmal zu Schraubers Aussage zurueck, ist der benoetigte Aufwand es wert oder kann man mit preiswerten Mitteln (dediziertes Tablet?, ich schwoere nach wie vor auf das Playbook) bestimmte sicherheitsrelevante Aufgaben einfach erledigen? Absolute Sicherheit gibt es nicht und wenn firmenrelevante Daten vermutlich kompromittiert sind, dann ist auch noch die Haftung des Betriebes ein Problem. Dann sollte eine moeglichst strikte Trennung der IT in "Privat" und "Geschaeftlich" stattfinden. Unter anderem auch, weil es dann auch steuerrechtlich klarer definiert ist. Wie ueblich, erst das Konzept. Oder nochmal ganz kurz, erstmal Nachdenken ueber die Wahrscheinlichkeit einer derartigen Attacke und danach ueber eventuelle Masznahmen (Kosten/Nutzen). |
Zitat:
Viel zu viel Aufwand, eventuell nötiger physischer Zugriff auf das Gerät, und das alles nur um einen Einzelnen zu ärgern. Never. |
Danke für die Antworten, werde noch auf alle eingehen. Einige Screens, v.a. mit ObjectExplorer und ProcessExlorer sowie uVS v3.87. Werde die noch zu gegebener Zeit noch einzeln kommentieren. http://fs5.directupload.net/images/160329/qqebhrwo.png http://fs5.directupload.net/images/160329/7jf3j9x8.jpg http://fs5.directupload.net/images/160329/5ah383fd.png http://fs5.directupload.net/images/160329/xr6rib83.png http://fs5.directupload.net/images/160329/gdpeualm.png http://fs5.directupload.net/images/160329/9no5vflc.png http://fs5.directupload.net/images/160329/b242jewh.png http://fs5.directupload.net/images/160329/9i3ritzp.png |
hmmm Zitat:
Damit waere eine Verwendung bei besser geschuetzten Zielen unmoeglich bzw. koennte sich dieses Wissen dann noch gegen den Urheber richten. Das Normalbuerger-Windows hat genuegend potentiell ausnutzbare Luecken um ohne den Einsatz von spezialisierter Software zum Ziel zu kommen bzw. waere die Verwendung von Stock-Software wesentlich effektiver, geeigneter, kostenguenstiger und vor allem kann man hinterher die Hand heben und sagen, dass sich das Opfer dieses ja ueberall geholt haben koennte. Und ich behaupte mal, dass es mit dem Normalbuerger-Linux auch nicht viel besser bestellt ist. Es braucht schon einen guten Admin um ein System halbwegs wasserdicht zu bekommen. Und ein guter Win-Admin ist nicht automatisch ein guter Linux-Admin und umgekehrt. Mal abgesehen von der zwanghaften Neigung einiger Vieler, immer den Rechner als Admin nutzen zu muessen und wenn das normale Benutzerkonto noch so komfortabel eingerichtet ist. Sobald der Normalnutzer das Adminpasswort kennt, wird er es zwanghaft benutzen statt mal Rechte fuer Anwendung/Benutzerkonto anzupassen. Sprich: da ist sehr oft eine erhebliche Sicherheitsluecke am GUI zu finden. |
http://fs5.directupload.net/images/160329/ylerdwjf.png Evtl. ist es schon einigen aufgefallen: die neuren Scrrens und Logs sind nicht vom infizierten HP-Desktop, sondern vom Surface 3 Pro! Und: Windows 10 nach diskpart und clean immer neu aufgesetzt. |
Zitat:
|
und er postet weiter wild Screenshots ohne Funde in Übergröße, dass es jeden Bildschirm sprengt..... |
Dann noch die ergänzende Info: Ich hatte mit mbar bisher nie Funde (seid mehr als 6 Monaten) nicht! Meine Vermutung ist, dass durch die Installation von "Malwarebytes Anti-Exploit" VOR den Download der AV-Tools deren Manipulation verhindert wurde. |
Sicherheit Um ehrlich zu sein, halte ich ich die Veroeffentlichung von Benutzerkonten, deren Rechten, IDs, Lokalitaeten etc. bei einem vermuteten Angriff fuer wenig zielfuehrend. Von dem was ich sehen kann sind die Daten der alten Platte einfach kopiert worden oder aber das Betriebssystem/Registry wurde knallhart ueberschrieben. Damit duerfte auch ein eventuell vorhandener Normalschaedling mitgewandert sein koennen. Wobei ich mir die Zeit noch nicht genommen habe, diesen Wust mal anzuschauen. Mehr Info fuehrt nicht unbedingt zu mehr Wissen. Im Gegenteil, es ist eine bekannte Abwehrtechnik, den Analysten in einem Haufen von nichtrelevanten Informationen einfach absaufen zu lassen. Zitat:
Zitat:
|
Zitat:
Du hast einfach nur reingesülzt, dass es beim "Normalbürger-Linux" (was auch immer du darunter genau verstehst) nicht besser aussieht als unter Windows. Und das ist so einfach totaler Unfug. Was ein Admin hier oder da verdient hat mit der Untermauerung deiner Behauptung auch rein garnix zu tun. |
Zitat:
Also für die AV-Nachwuchs-Jäger ist mbar doch die ultima ratio /nonplus-ultra, und der Logs von mir zeigt mehrer Funde, oder bilde ich mir das jetzt wieder ein? Oder interpretiere ich den Log falsch oder ist das ein Fehler vom Tool, weil es ja Windows-Datein sind und die ja - nach meinung vieler hier - nicht manipuliert werden können? Code: ---------------------------------------Zudem ist mir der Argumentationsgang nicht nach verständlich: Einerseits ist eine solcher Angriff möglich (aber nicht bei uns, weil wir Privatpersonen sind), andererseits soll /muss ich hier eindeutige Infektionsvektoren oder infizierte Datein aufzeigen, obwohl jedem klar ist, was das Hauptziel eines Rootkits/Bootskits ist. Nochmal zur Klarstellung: Ich poste hier so viel - und auch teilweise ist definitiv auch unnützes Zeug- weil die Malware nicht direkt zu identifizieren ist! Jediglich die Summe der "Auffälligkeiten" lässt eine Infektion vermuten/nachweisen.Zudem verfügt die Malware über Abwehrmechnismen um nicht erkannt zu werden, z.B. spamt die Malware die Festplatte mit "harmloser" Malware zu, wenn mal ein AR-Tool starten und der Scan läuft... |
Zitat:
|
Kurz: du kannst oder willst nix untermauern sondern kommst mit einer Gegenfrage - dein Ernst? :wtf: |
Zitat:
|
Zitat:
Windows kann nicht einschaetzen ob es sich in einer Multi-Boot-Umgebung befindet oder der Datentraeger auch in anderen Systemen zum Einsatz kommt. Zitat:
|
Zitat:
|
Zitat:
|
ix Betriebssysteme per se sind bei weitem nicht das Bollwerk und die Antwort auf alle Sicherheitsfragen. Oder wie war das nochmal mit Android? Wenn die Plattform gross genug ist, lohnt es sich auch, sich damit zu beschaeftigen. Sinnvolle Absicherungsmasznahmen muessen weiterhin vom Admin meist nachtraeglich eingerichtet werden. Alleine die Wahl der Backupstrategie wuerde jede automatische Installation sprengen oder eine AI in der Installationsroutine erfordern. Zitat:
Zitat:
Wie gesagt, Platte raus, Neue rein und keine Bestandslaufwerke mehr anklemmen. Kopien am besten nur ueber FAT/CDFS Laufwerke, dann werden auch keine Rechte etc. mitkopiert. Installation auf keinen Fall von der gebrannten DVD. Alle Geraete ab bei der Fritzbox und dann AV als Allererstes ziehen, wenn moeglich ueber Kabel und ohne WLAN. Wenn danach wieder unbekannte Benutzer auftauchen, werde ich glaeubig und moechte eine Kopie der Platte. Ich fand Avira in der Vergangenheit recht proaktiv und fuer meine Zwecke ausreichend. dennissteins, wie schon bei den Logs, weniger ist mehr. Ich wuerde auch nur wirklich dringend benoetigte Software darauf packen und nicht Alles, was mal in einem Forum erwaehnt wurde. |
War jetzt klar, dass du mit dem schlechtesten Beispiel Android kommst....da ist in der Tat alles verhunzt was sonst in gängigen Linuxdistros die Stärke ausmacht. :D aber das ist ja auch kein Desktop-System von dem wir hier reden. Davon mal abgesehen müssen Backups eh gemacht werden. Das ist unter Linux meist auch viel einfacher und übersichtlicher, idR reicht es ja einfach /home zu sichern. Vllt kommt von dir auch noch mehr fundiertes rüber, denn außer "ist auch kein Bollwerk" und man "sei auch nicht sichererei aufgestellt" kam da bisher nix Konkretes rüber. Vllt fangen wir mal klein an. Was passiert denn wenn ein Betrugsmail reinflattert? Versuch mal diesen Vorgang bei einem Windows- und einem Linux-User zu vergleichen. |
Zitat:
Vermutlich auch einen PDF-Reader, welcher per se Scripting unterstuetzt. Dich werde ich moeglicherweise nicht dazu bekommen ein Script anzuklicken ohne dass Du einen Blick reingeworfen hast, aber wie sieht das mit einer PDF aus? Ich bin kein Linux-Spezi aber wenn ich genuegend Linux-User zur Auswahl haette, einer davon wuerde garantiert das lustige Script anklicken, dass ihm eine 18jaehrige Schoenheit verheisst oder den neusten Bericht ueber eine Linux-Luecke etc. Das ist unter Windows jetzt nicht wirklich anders oder auch unter Android oder IOS. Sollte die Mail einen funktionierenden Exploit enthalten, dann wird sie unter Windows Zugriff auf Bereiche ausserhalb der Sandbox erhalten, mit einem weiteren Exploit waere eine Rechteausdehnung moeglich. Unter Linux wuerde genau das Selbe ablaufen, nur dass die Systemaufrufe einfacher sind und ich nach einer Rechteausdehnung vermutlich gleich die (G)IDT manipulieren kann. Denn ich kann nicht versehentlich in einem (Super)useraccount gelandet sein, welcher zufaellig root hiess. |
Erstmal weißt du garnicht, welchen PDF-Reader dein Linux-Opfer genau verwendet. Dann musst du für das unbekannte Programm einen Exploit finden und auch noch hoffen, dass dein Opfer seit Wochen keine Updates mehr gemacht hat obwohl gängige Distros sich mit einem Klick komplett aktualisieren lassen und nicht so wie unter Windows üblich. Also kannste festhalten: irgendein Opfer zu finden durch ne PDF ist schon extrem schwierig Jetzt mit dem Script wird es witzig. Wie genau machst du das ausführbar? Willst den völlig unwissenden Anwender in der Mail dazu überreden, das Script im Terminal mit sh auszuführen? Oder vorher mit chmod +x ausführbar zu machen? Bei Windows ist das anders. Da biste im Zweifel nur ein Doppelklick entfernt. Ist die UAC eine Hürde? Wohl nicht, denn sonst hätten petya Opfer keinen zerschossenen MBR oder Opfer andere ransomware noch intakte Schattenkopien. |
Linux ist für mich aus 2 Gründen am Desktop sicherer: - Wenig Marktanteil, daher uninteressant für die Trojanermafia - Wird eher von versierten Anwendern eingesetzt (Ist ja nicht beim Kauf dabei, sondern man muss sich das selbst downloaden, brennen, installieren, damit beschäftigen). |
nix vs win Und woher weisst Du im Gegenzug, welchen PDF-Reader der Win-Anwender benutzt? Mal abgesehen von der Moeglichkeit, das fuer einige Anwender via trojaner-board.de sehr praezise aufgelistet zu bekommen? Du startest deine Pythonscripte via sh? Hmm?! Als ich damals rumgespielt habe, waren die sehr komfortabel per Mausklick verfuegbar, ich tippe doch nicht jedesmal im Terminal den selben Unfug ein. Einmal reicht doch, oder? Du startest auch HTML und Javascript / Java in der Mail via sh? Nun, dann bist Du definitiv auf der sicheren Seite. Links in deinen Mails sind auch nur via sh zu erreichen. Was soll ich da noch sagen? Dass die Fragmentierung von Linux ein Hindernis ist, gebe ich gerne zu. Aber wie einfach ist es, einen unbedarften Anwender zu sudo sonstwas zu ueberreden? Und da glaubst Du sh waere eine grosse Huerde? Ist es nicht eher so, dass Linuxanwender, einmal darauf trainiert Kommandozeilen zu tippen, dieses nur allzu bereitwillig tun, denn sie kennen es nicht anders. Und nicht jeder Anwender hat die kompletten man pages auswendig gelernt. Es wird getippt ohne zu hinterfragen, das war schon unter DOS nicht anders. Dir ist aber schon klar, dass die UAC nur ein aufgepropftes Mittel ist, um wenigstens eine rudimentaere Rechteeinschraenkung standardmaessig zu etablieren. Die hat nicht wirklich viel mit der Nutzerverwaltung von Windows zu tun. Haettest Du dich damit mal beschaeftigt, haette ich als Gegenargument eher den system account erwartet. Irgendein Opfer durch ne PDF zu finden ist nicht wirklich schwierig, die Masse bringt es. Irgendwer ignoriert immer die voellig verhunzte Rechtschreibung und die seltsame Grammatik oder versucht gar mit Google Translate die englisch aussehende Mail noch zu entziffern. Und irgendwer benutzt den einen oder anderen anfaelligen PDF-Reader zwangsweise, da diverse Behoerden in Europa auf eingebettete Scripte und Strafzahlungen setzen, wenn das Dokument nicht rechtzeitig ausgefuellt zurueckgesendet wird. Versuch mal aus einem stinknormalen Nutzeraccount (member: user) unter Windows den MBR zu zerschiessen. Schick mir eine PM wenn dir das gelungen ist. Schattenkopien werden mit Systemrechten angelegt. Viel Erfolg bei einer Manipulation ohne administrative Rechte. Oder versuch mal unter Windows mit einem Nutzeraccount eine Datei zu veraendern, der nur Schreib- aber keine Aenderungsrechte zugewiesen sind und der Nutzer keine Uebernahmerechte besitzt. Zitat:
|
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
Zitat:
|
Zitat:
- Updatemechnismus (abgesehen von Android :p) - Paketverwaltung - Ausführbarkeit von Dateien |
Zitat:
Empfehle mal den Thread hier zu lesen ... in Ruhe, geht eh nicht anders, weil zu lang dafür. Von dem Threadtitel sollte man sich nicht irritieren lassen. :kaffee: www.hackerboard.de/linux-unix/40171-linux-flame.html? :D |
nix vs win Demgegenueber stehen eine Unzahl an kleinen gekaperten Linuxservern weil die Hobbyadmins versaeumt hatten, empfohlene Einstellungen zu treffen oder veraltete Pakete sich im System befanden. Der Anteil verschiebt sich mehr und mehr. Speziell im LAMP Bereich kann man davon ausgehen, dass eine Standardkonfiguration vorliegt. Bei bekannten Angreifbarkeiten kippen die dann gleich reihenweise. Demgegenueber stehen die Klagen von Linuxadmins, dass die Nutzer nur allzu bereitwillig mit dem "Zauberbefehl" sudo umgehen. Jetzt moechte ich gerne hoeren, dass noch nie jemand auf den boshaften Rat gehoert hat, format c: einzugeben und dazu die Kommandozeile zu finden und zu oeffnen. Wenn Linux als Standardsystem fuer jedermann herumstehen wuerde, dann wuerden auch vermehrt Kinder und Jugendliche und andere Menschen ohne fachlichen Hintergrund an den Rechnern sitzen und den selben Unfug nur auf Linuxart machen wie schon ihre DOS/Windows/Android/OSX - Kollegen zuvor. Nie vergessen, der Computer soll doch das machen, was der Nutzer will und wenn er diesen Komfort nur als Admin richtig geniessen kann, dann wird er ein notorischer Admin, sei es Linux oder Windows. Warum wohl benutzen so viele Menschen den Entwicklermodus in Mobilgeraeten ohne sich ueberhaupt ueber die Folgen, abgesehen von "erweiterter Funktionalitaet" klar zu sein? Frag mal jemanden, der Linux von seinem fachkundigen Freund empfohlen bekommen hat, was der Unterschied zwischen der Adminkonsole und der Konsole ist, die Anwort wird vermutlich in etwa lauten: in der Adminkonsole funktioniert immer Alles. Aber wenn dein Linux sicherer ist als mein Windows, dann ist das doch toll fuer Dich und ich muss mit all den Nachteilen leben, reicht das nicht als Genugtuung? Eigentlich witzig, dass sich die Gemueter derart erhitzen koennen an Fragen, die keine eindeutigen Antworten liefern koennen und werden. Ich halte weder Linux noch Windows fuer ausgesprochen sicher ausser es wird staendig ueberwacht und an Bedrohungen angepasst. Eine Standardkonfiguration wird immer zu Missbrauch einladen. Es sei denn, wir bekommen irgendwann einmal eine Rechnerarchitektur mit festen Befehlslaengen und eineindeutigem Befehlssatz hardvercoded und direkter Ausfuehrung ohne Pipelines/Caches etc. bei denen bereits der Chip eine unfaelschbare Pruefsumme (auch ueber sich selbst) + unknackbare Verschluesselung + perfekte echte Zufallszahlgewinnung beinhaltet. Allerdings ist dann die Auswirkung im Falle eines doch vorhandenen Fehlers gigantisch. |
Zitat:
Natürlich kann Windows nix dafür wenn der User einfach alles anklickt, aber wenn die Hürden so niedrig sind stimmt doch irgendwas am Design nicht so richtig. |
Ahja, ich habe vergessen zu erwaehnen, dass es mittlerweilen ein Linux-Botnetz gibt trotz der Unangreifbarkeit von Linux. Ja, da Manipulieren von Netzwerkpaketen geht angeblich soviel einfacher unter Linux. |
Zitat:
|
Diese Diskussion bringt eh nichts. Ich halte Linux nicht grundsätzlich für sicherer, das Problem sitzt in beiden Fällen eh meist vor dem Bildschirm. Und wenn man nicht mit der Technik umgehen kann, dann ist eh alles gleich unsicher. Siehe alleine zig schlecht oder gar nicht gewartete Linux-Server von Karnickelzüchtervereinen oder Game-Clans, die sich statt nem Rootserver besser einen Managed-Server gemietet hätten. |
Es geht ja auch nicht darum, dass Leute aus Unwissen- oder Faulheit ihre Software nicht updaten. Sondern um die technische Umsetzung. Und die kann man gut vergleichen. Das ist in modernen/gängigen Linux-Distros einfach besser gelöst als unter Windows. |
Zitat:
Dafuer Derjenige, der den Unfug ausbuegeln musste umso mehr. Ich hatte mal ein System vor mir mit ueber 200 Schaedlingen, den Nutzer hat das staendige Generve vom AV soweit getrieben, dass er ihn schlussendlich deinstalliert hat. Daraufhin habe ich ein komplett neues System aufgesetzt mit Benutzerkonten, zwei Wochen spaeter kam derjenige wieder an und hatte ueber hundert Schaedlinge drauf, er hatte sich entschieden, nun das Adminkonto fuer alles zu nutzen statt mal "Ausfuehren als" im Bedarfsfall. Tja, den Spass habe ich mir nicht ein zweites Mal gegoennt und ihn an Bezahlservices verwiesen. Ich wuerde Geld darauf wetten, dass er auch ein Linuxsystem in die Knie gezwungen haette und dann eher bei Anderen Schaden angerichtet. Er haette sicher laenger gebraucht. Aber ich waere dann als 24/7 Support missbraucht worden. Okay, nicht 200+ Schaedlinge sondern 200+ Funde inklusive Cookies etc. Ein schicker Mix aus Viren/Trojanern und Bots. Das System ging in die Knie, deswegen schlussendlich der Hilferuf. |
Eigentlich sind genau solche Leute mit einem Linux besser dran als mit einem Windows.... |
Ja, diese Leute ja, aber in letzter Zeit hatte ich kaum gekaperte Windowssysteme, dafuer aber jede Menge verschluesselte Geschichten und die Schaedlinge sassen oft auf ix-Rechnern. Haben dort tatsaechlich wenig bis keinen Schaden angerichtet aber dafuer auf verbundenen shared Cloudaccounts gewuetet und die armen Windowsbenutzer mit schickem AV waren nicht betroffen aber ihre Daten los. Leider lassen sich naemlich nicht grosse Mengen an verschluesselten Dateien zurueckrollen und wenn mehrere tausen Dateien verschluesselt wurden und nur knapp 1000 zurueckgerollt werden koennen, dann ist das ziemlich unguenstig. |
Die Diskussion Linux-vs.-Wondows im Security-Kontext ist für diesen Thread null und nichtig. Eröffnet doch einen eigen Thread zum Thema Grund: die Systeme werden höchstwahrschenlich schon während der Installation manipuliert (bei Win würde ich alles darauf wetten, bei Linux-Ubuntu spricht auch vieles dafür). Bevor jetzt wieder Beweisforderungen an mich kommen: erst alle Beiträge lesen, bevor gleich wieder mit Unmöglich-Thesen rumgespamt wird. |
So, was für Schädlinge saßen denn da rum? :rolleyes: |
Zitat:
Oder müssen wir die selber in den ellenlangen Logs finden? |
Zitat:
Nun hat Apple ja kuerzlich die Existenz von Ransomware fuer OSX offiziell einraeumen muessen, dieser Fall allerdings ist schon Monate her. |
KeRanger: Erste Ransomware-Kampagne bedroht Mac OS X | heise Security Lt. Heise die erste ransomware für OS X. Entweder meinst du den oder ein Windows-Client hatte den ransom ausgeführt und auch Dateien auf Freigaben verschlüsselt. |
Es gab wohl 2013 schon Ransomware, welche aber nicht "korrekt" funktionierte. Dass einer der Windowsclients tatsaechlich an der Infektion beteiligt gewesen waere ist in Anbetracht des fehlenden Schluessels recht unwahrscheinlich. Ausserdem liessen sich auf den in Frage kommenden PCs keinerlei Spuren einer Infektion finden. Wohingegen der Mac wohl die typische Cryptolockerseite gezeigt hatte. Was aber tatsaechlich kein 100% sicheres Zeichen ist, da es Driveby-Cryptolockerimitate gab. Welche aber nicht verschluesselten sondern nur den Browser kaperten. Driveby's auf dem Mac sind wohl mittlerweilen recht verbreitet. |
@dennissteins Keine Ahnung ob es auch bei dir helfen könnte aber schau dir mal das an was der User dort geschrieben hat: http://www.computerbase.de/forum/showthread.php?t=1571643&page=2&p=18630413#post18630413 vielleicht würde das auch bei dir helfen falls sich irgendein Virus, Rootkit oder was weiß ich in den MBR deiner Festplatte eingenistet hat der es sogar überlebt wenn der MBR neu geschrieben wird. |
Zitat:
|
Zitat:
Zitat:
|
Wenn der keine Bedrohung war kann man den ja nun nicht wirklich mitzählen. Aber bei bombinho muss er ja zugeschlagen haben nach seiner Schilderung - und das schon anno 2013 :kaffee: naja nix genaues weiß man nicht |
Zitat:
Auch, wenn die Zeitangabe hier 2014 ist. https://www.reddit.com/r/sysadmin/co...0105_any_tips/ Offensichtlich gab es noch mehrere Leute, die sowas gesehen haben zu glauben. Ich habe weder das befallene System zu Gesicht bekommen noch irgendwelche Binaries in die Hand. Ich habe nur eine Handvoll der verschluesselte Daten in die Hand gedrueckt bekommen mitsamt der Schilderung und hatte Zugriff auf die PCs des Betroffenen, welche offensichtlich in einwandfreiem Zustand waren und keinen Hinweis auf eine kuerzliche Infektion ergaben und auch keine lokalen Dateien, welche verschluesselt waren, enthielten. |
Also kein wirklicher ransom...wohl eher eine Art "erster Versuch" Die ersten Versuche bei Linux waren ja auch eher lächerlich => Erpressungs-Trojaner für Linux stümpert ? noch | heise Security Also mal ehrlich...da müssen so viele Voraussetzungen erfüllt sein. Und der übliche uralte Trick wie unter Windows greift da nicht. |
Zitat:
www.vodkaycaviar.com/lang-de/kaufen-online-chatka/129-cangrejo-real-ruso-chatka-60-patas-220-gramos-4600390000312.html Ach ja, fast vergessen: www.youtube.com/watch?v=09Rf2KqA7a4 |
Zitat:
|
Zitat:
Die letzten Ransomware-Geschichten verschluesseln ja nun oft recht gut, wenngleich es gluecklicherweise ab und an bei der Schluesselerzeugung und -Hinterlegung hapert. Wenn das Schule macht, dann werden in Zukunft Entwicklerzertifikate auf der Handelsliste stehen. Auch Microsoft geht bei Win10 einen aehnlichen Weg, voererst nur bei Universalapps und Treibern aber die Schritte sind gemacht. Zum Einen sind die Zertifikate recht preisintensiv und zum Anderen hervorragend geeignet um kurzfristig bestehende Schutzmasznahmen zu unterlaufen. "Hack den Dev" brrrr. |
Zitat:
Da muss schon wirklich was her, dass auch der DAU innerhalb von einem Wimperschlag ausführen kann. Am besten sowas wie ZIP in der was Ausführbares steckt. Einfach doppelklicken und bäm. Ach geht ja unter Linux (noch?) nicht :D Oder dann eher ein Makro in einem ODT-Dokument. Oh halt, hat der User überhaupt LibreOffice oder was anderes? Haut das Makro da auch genauso hin? Das sind alles Fragen über Fragen. Zitat:
Und leider ist die Kette des Unglücks auch oft "perfekt" - keine (zeitnahen) Backups - Schattenkopien inaktiv - oder Schattenkopien gelöscht dank Adminrechte - beim locky selbstverständlich Makroausführung in MS-Office abgenickt - Netzlaufwerke (für zentrale Datenablage) zwar vorhanden aber auch da keine Schattenkopien aktiv oder man meinte, man müsste ein RAID1 NAS nehmen und kann damit das Backup sparen Zitat:
Und Windows muss auch lang bekannte und nervige Unzulänglichkeiten endlich mal beseitigen. |
Zitat:
Dann sollte z.B. noch ein Linuxspezi ins Boot geholt werden, welcher dann Dateisystem, Netzwerkcode, Verschluesselungen von Linux auf den Trojaner adaptiert, denn das Alles mal schnell neu zu erfinden koennte etwas langwierig und fehlertraechtig werden. Alleine die Entwicklungszeit und -geschichte des NTFS-Treibers fuer Linux duerfte den Aufwand verdeutlichen. Ein solches Ding haette in etwa den selben Entwicklungsaufwand wie die Programmierung eines kleinen Betriebssystems. Es waere so ziemlich die Kreuzung eines Hypervisors mit einer Auswahl an Microkernels um die verschiedenen Betriebssysteme befallen zu koennen. Wer sowas schreibt, der lagert seine Routinen nicht in den Speicher des befallenen Systems aus sondern faengt Aufrufe fuer das befallene OS transparent ab. Und mit Rechten, die weiter reichen als der Systemaccount wuerde ich nicht anfangen ominoese Benutzer anzulegen, damit sichtbar im Dateisystem rumzuwerkeln und dann diese Benutzer wieder zu loeschen und wenn doch, dann nicht mit nur 2 Stueck. Hmm, eigentlich interessante Idee, klingt nach einer Moeglichkeit, Dateisysteme zu ueberlasten. Ohne den genauen Aufbau von NTFS zu kennen, erinnere ich mich, mal gehoert zu haben, dass alle Informationen in NTFS wie Dateien gehandhabt werden. Wenn man also genuegend Nutzer anlegt und dann fuer jeden Nutzer extra Zugriffsrechte fuer jede Datei (nicht vererbt) festlegt, duerften die NTFS-Treiber ordentlich ins Schwitzen kommen, ganz zu schweigen von der Last auf dem Datentraeger und den benoetigten Ressourcen. Zitat:
Und ich hatte diverse Distros mal so anprobiert. Am Ende ist es aber wie erwaehnt anders gekommen und sie ist gluecklich mit nunmehr Windows und Win Phone. Nach kurzer Umstellung kam sie aufgrund der Aehnlichkeit damit super zurecht. Und sie lebt schon seit ueber einem Jahrzehnt gluecklich und zufrieden ohne ueberhaupt ein Administratorpasswort zu kennen und ich habe weniger Aufwand mit diesen Geraeten als mit anderen, wo die Nutzer ueber einen Adminzugang verfuegen. Witzigerweise nutzen die Meisten nach einiger Zeit nur noch den Adminaccount. Aber den habe ich,wo moeglich, ein wenig verschlankt und noch keines der Geraete hatte im letzten Jahrzehnt Befall trotz minimalster AV-Loesung. Also es geht auch anders, offensichtlich. Ich selbst bin wohl zu alt und zu bequem geworden um ohne Not umzusteigen. Den grossen Bruch werde ich wohl erst machen, wenn es tatsaechlich eine Plattform schhafft, dass ich sowohl on- als auch offline damit geraeteuebergreifend arbeiten kann, statt vieler Geraete fuer viele Aufgaben, die schlussendlich doch alle mehr oder minder das selbe koennten, wenn die Hersteller das nur zuliessen. |
Wenn der Nutzer aber kein Adminkonto nutzen kann, nichtmal zur Wartung, kann er auch viele Programme nicht updaten. D.h. irgendwann werden die Sicherheitslücken in den benutzten Programme akut und man hat durch die eingeschränkten eigentlich das Gegenteil erreicht: weniger statt mehr Sicherheit... Ok, bei der Mutter wird's wohl kein Problem sein. Da wirst du denn wohl einmal im Monat per Fernwartung oder direkt draufschauen...aber wenn es irgendwelche Privatkunden sind? Die kann man ja nicht ohne Adminzugriff im Regen stehen lassen. Keine Adminrechte helfen ja unter Windows auch nur bedingt bei Kryptotrojanern... |
Zitat:
Adobe ist ist ein grosses NoGo wenn es nicht absolut zwingend benoetigt wird, demzufolge auch nicht auf dem Rechner. Ueber die Software dieser Firma muss ich vermutlich nicht viel sagen. Google Software ist auch meist kein Problem, da fast alles serverseitig bereitgestellt wird. Also wenn man nicht zwanghaft Alles runterladen muss, was ausfuehrbar ist, kommt man mit sehr wenig administrativen Eingriffen im System zurecht. Selbst auf meinem meistgenutzten System reicht in aller Regel der monatliche Reboot fuer alle Updates. Der Rest der Software wird meist nicht monatlich gepflegt oder hat einen Updater mit Systemrechten. Auf meinem Produktivsystem habe ich das letzte mal einen Adminlogin durchgefuehrt als ich auf Office 2016 upgedatet hatte, das duerfte auch schon wieder fast ein halbes Jahr sein. Und wenn dich die Softwareinstallation / Updates derartig geschaeftig halten, dann kannst Du das auch gerne mit einem Superuseraccount erledigen. Mit dem kannst du weiterhin keinen MBR zerschmeissen oder Direktzugriff auf den Netzwerkstack zum spoofen etc. erringen aber ansonsten fast alles was dein Herz begehrt machen. Allerdings hat Windows meist keine extra Rechte im Dateisystem fuer Superuser angelegt, das muesstest Du dann im Bedarfsfall von Hand machen. Aber Superuser sind Mitglied von User also ist das auch selten ein Problem. Wie Du siehst, Microsoft hat vieles eingebaut. Pervers ist aber, dass einige der wichtigsten Sicherheitsmasznahmen in den Homeeditions nicht aktivierbar sind, was sich MS dabei gedacht hat, kann ich nicht nachvollziehen. Ob das der Schutz gegen Brute Force Attacken ist, welcher standardmaessig ausgeschaltet ist und bei den Homeeditions auch gar nicht aktiviert werden kann oder die Dateisystemrechteverwaltung, welche in den Homeeditions nur via Kommandozeile muehsam nutzbar war. Bei der Nutzerverwaltung glaube ich auch, dass vieles bei den Homeeditions gar nicht geht. Damit hat MS eine Zweiklassengesellschaft errichtet. Auch da muss man Linux wieder einen Pluspunkt vergeben, wenn auch die Rechteverwaltung nicht so fein eingestellt werden kann, so ist sie doch fuer Alle verfuegbar. Und sogar mit ziemlich sicheren Standardvorgaben. Zitat:
Und einige Accounts hast Du ja nun ohnehin schon publiziert. Ich habe Windows 10 gesehen, wie ist die Installation erfolgt? Die Kontenrichtlinien haette ich auf meinem Rechner nicht so belassen. Da ist nun schon soviel Zeugs auf dem Rechner, es waere ein Wunder, wenn das reibungslos koexistieren koennte. Also, zum dritten Mal, eine Festplatte / SSD im Einzelhandel erwerben, Windows offline vom Originaldatentraeger installieren. Bitte keine gebrutzelte Win10 DVD (und erst recht keine gebrutzelte Win7/8/8.1). Dann die Kontenrichtlinien etwas einschraenken, online gehen, Updates und AV ziehen, am besten was kostenloses wie Avira. Wenn Du einen der noch seltenen Win10 Datentraeger hast, Avira braucht eine Weile um zu funktionieren. Da ist bei Win10 noch nicht alles im Reinen. Wenn Avira meldet, dass die Dienste nicht funktionieren, dann nochmal in die Installation (Einstellungen) --> Aendern und etwas deaktivieren, in einem weiteren Versuch dann wieder aktivieren und voila. Manchmal reicht schon ein Update in der Verwaltung. Wenn Du dann ein schickes jungfraeuliches System hast, dann kann der Spass beginnen. Aber in diesem Ramsch irgendwelche Aussagen zu treffen zu koennen ist zumindest mir nicht moeglich. Das System sieht uebler aus als meine nach Jahren der Nutzung. Ich denke, wir sollten erstmal laufen lernen, bevor wir uns zur Olympiade anmelden. Auf so einem jungfraeulichen System ist es soviel einfacher, mal zu schauen ob und was da schief geht. Dann muss man nicht die Nadel im Heuhaufen suchen. Und die vorhandene Platte bleibt in ihrem Ist-Zustand, das kann mitunter sehr wichtig sein, auch wenn es nun offensichtlich schon einiges spaeter als zu spaet ist. |
Natürlich kann man eine "selbst gebrutzelte" DVD für Windows 10 nehmen. Das ist doch ein offizieller Weg: Win10 ISO laden und diese dann per Imagebrennfunktion auf eine Disc bringen. Oder alternativ einen Stick. Das ist überhaupt kein Problem auf einem sauberen/vertrauenswürdigen Rechner. Und mit Empfehlungen wie "nimm sowas kostenloses wie Avira" solltest du dich besser zurückhalten...das Teil empfehlen wir schon seit Jahren aus mehreren Gründen nicht mehr. Ein Grund ist ne rel. hohe Fehlalarmquote, der zweite Hauptgrund ist, dass die immer noch mit ASK zusammenarbeiten (Avira Suchfunktion geht über ASK). Auch andere Freewareanbieter wie AVG, Avast oder Panda sprangen auf diesen Zug auf; so was ist bei Sicherheitssoftware einfach inakzeptabel. Vgl. Antivirensoftware: Schutz Für Ihre Dateien, Aber Auf Kosten Ihrer Privatsphäre? | Emsisoft Blog |
Zitat:
Was Avira angeht, zum einen war das fuer den Zeitraum der Analyse, es ist nicht hilfreich, wenn sich da eine oder mehrere Suiten im System vergraben. Zum anderen hatte ich einige Schluesselmomente mit Avira, die mein Vertrauen sehr gefestigt haben. Ob ihr das empfehlt oder nicht ist mir ziemlich egal, denn es erfuellt die gestellte Aufgabe bisher makellos. Ich benoetige keinen Eier kochenden AV plus Keksanalysator denn die einschlaegigen Domains sind bei mir bereits per se geblockt und werden damit Schwierigkeiten haben, bzw scheitern real daran, bei mir lustige Cookies und Scripte zu hinterlegen. Ausserdem schicke ich Alles, was mir ueber den Weg laeuft zu Avira zum Einpflegen, ergo haben die eine Datenbank, in der sich die Sachen befinden, die mir "in the Wild" begegnet sind. Was will ich mehr? Eine Deinstallation von Avira zum Zwecke der Installation der moeglicherweise vorliegenden bereits lizensierten Loesung ist auch im Handumdrehen (und hoffentlich offline durchgefuehrt!) moeglich ohne, dass Spuren hinterbleiben. Seine Privatsphaere hat dennissteins bereits mit dem Posten von Interna seines Rechners eingebuesst, jetzt koennen nicht nur bestimmte Firmen sondern jeder der einen Browser hat mal schauen, was sich so alles in dem geposteten Wust befindet. Und nach seiner Aussage ist ihm das auch egal. |
CDFS manipuliert ... :wtf: ... also dann sollte man aber auch vorher alle Kabel tauschen :D Wenn du mit Avira zufrieden bist ist das ok bzw mir ist das egal, nur hier im TB wird das Zeug nicht mehr empfohlen. Hersteller die Müll, Junkware oder Spyware in ihre Produkte reinbasteln haben sich aus unserer Sicht disqualifiziert. Und es braucht nun wirklich kein Avira mehr um sich zweite oder dritte Meinungen zu holen, da gibt es echt Brauchbareres: MBAM, MBAR, ESET Online, Emsisoft EK |
Die Frage, wuerde ich eine kostenlose Version von Avira persoenlich verwenden? nicht unbedingt. Aber wuerde ich ein System weitgehend ungeschuetzt lassen? Auf gar keinen Fall, dann lieber kostenlos als gar nicht. Zitat:
Zitat:
Zitat:
Ahja, was die Suchleisten angeht, wann hast Du das letzte Mal eine Suchleiste zum Suchen benutzt? Wenn man das weiss, dann ist es einfach, man gibt nichts ein was da nichts zu suchen hat. Das ist nicht anderes als an der Linuxkonsole. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:07 Uhr. |
Copyright ©2000-2025, Trojaner-Board