Angriffs-Scenarien in der IT-Landschaft, Trojanische Pferde, Würmer, Viren, Hoax, Spam, Phishing, Pharming

HP Compaq 6005

AMD Phenom II X4 B95
2GB PC3-10600 SDRAM
2x 500GB SATA 7200rpm HDD
1Gbps to NIX
32Mbos to transit
unlimited monthly bandwitdh

€ 112,-/month

Order now!

Coolhousing

Angriffs-Scenarien in der IT-Landschaft, Trojanische Pferde, Würmer,Viren Hoax,Spam, Phishing

Mittwoch, 20. August 2008

Trojanische Pferde, Würmer,Viren Hoax,Spam, Phishing, Pharming Der Einbruch in ein Computersystem bedeutet z.B. schadhaften Code einzuschleusen, und ihn dort auszuführen, oftmals passiert dies in einem kriminellem Kontext. Momentan sind ca. 80000 Arten solcher Programme/Angriffsarten bekannt, man geht davon aus, dass jeden Monat 500 - 800 weitere Methoden entdeckt und umgesetzt werden. Das Problem bei der Erkennung ist jedoch, das kein einheitlich bewährtes Verfahren gibt um solche Schadsoftware aufzuspüren, und zum anderen ist es sehr schwierig zu erkennen ob es sich nur um eine kleine Abänderung eines bekannten Programmes, oder um ein komplett neues Programm handelt. Abhängig von der Art und dem Aufbau solcher Programme, kann man jedoch folgende Klassifizierung anwenden.

Trojaner (trojanisches Pferd)

Normalerweise ein interessantes, oder auf den ersten Blick sinnvoll anmutendes Programm. Diese Anwendung enthält oder installiert jedoch weiteren Code, der meist folgende Aktionen durchfuehrt:

ist nicht in der Lage seinen Code zu vervielfältigen, befällt keinen anderen Anwendungen
gefährliche Aktionen wie z.B. Key-Logging, aufzeichnen der Internet Aktivitäten, oder aber auch Datenvernichtung (Festplatten formatieren, löschen zufälliger Sektoren)
Starten bestimmter Aktionen abhängig von einem für den Benutzer unbekanntem Ereignis (Anzahl von Programmstarts, Systemzeit etc.)

In den letzten zwei Jahren wurden Trojaner aber auch in Verbindung mit anderen Schadprogrammen eingesetzt (z.B. Würmer). Diese Trojaner können wie folgt eingeordnet werden:

Spyware/Adware - Programme, welche das Internet Nutzerverhalten protokollieren, und konsequent Werbebanner und Popup's einblenden, abhängig vom jeweiligen Nutzerverhalten.
Keylogger (Passwort-Ausspähung) Aufzeichnen von Tastaturanschlägen und entfernten Angreifern Zugang zu sensitiven Daten gewähren (Zugangscodes, PIN etc.)
Remote Access Trojaner - dieses Programm gewährt entfernten Angreifern Zugang zum Rechnersystem
BOT dieses Programm führt Anweisungen von einem Steuerserver aus,um z.B. Spam emails zu versenden oder um sogenannte DDoS Attacken auszuführen

Würmer

Eigenständige Programme (Programmfamilien) welche nicht auf dem Zielsystem installiert sein müssen.

ein aktiver wurm ist in der Lage seinen entscheidenden Programmcode ohne menschliches Eingreifen auf andere Rechnersysteme ueber das Internet zu kopieren, dabei werden bekannte Schwachstellen und Fehler an häufig eingesetzten Betriebssystemen und Protokollen ausgenutzt (E-Mail, IRC,WWW etc.) insgesamt werden die gleichen Aktionen wie bei einem Wurm ausgefuehrt.
I-Wurm vervielfaeltigt sich meist in Form eines EMail Anhangs und verwendet sogenanntes "social Engineering" um Angriffspunkte und weitere Mail Kontakte des Nutzers auszuspaehen oder aber auch bekannte Schwachpunkte von EMailprogrammen auszunutzen. Ein Beispiel ist die Änderung der Dateierweiterung von .exe in .pif, .scr, .lnk oder verketten zu .jpg.exe .zip.exe um die Programmart zu verschleiern. So das eine ausfuerbare Datei "nur" als zip Datei oder Bildschrimschoner dargestellt wird
startet automatisch (ändert die regsitry oder wichtige .ini dateien)
verwendet seinen eignen SMTP Mechanismus um sich zu vervielfältigen, späht die Adressen seiner Opfer aus Daten von der befallenen Festplatte aus z.B. Adressbuch, temporäre Internet Dateien, ICQ Datenbank und anderen Dateien
ist meistens in der Lage Dateien zu befallen, welche sich in freigegebenen Netzwerklaufwerken befinden, (wenn der Zugriff nicht ausreichend gesichert ist) oder freigegebene Dateien in kleinen Peer-to-Peer Netzwerken mit Zugang zum Internet
die Palette von schaedlichen Aktivitäten ist sehr breit, meistens ist damit ein versenden sensitiver Daten übers Internet verbunden

Viren

Programmcode welcher an ein ausführbares Systemprogramm angehangen ist zum Beispiel: (.exe Datei, .cmd script, Makro, Installer etc.). Wenn dieses Programm gestartet wird, so wird automatisch der Virus mitgestartet. Folgende weitere Aktionen werden meist ausgefuehrt:

befaellt weitere Programme in dem es seinen Programmcode an weitere ausfuehrbare Programme anhängt
ist in der Lage andere Computersysteme zu befallen
führt weitere schädliche Aktivitaten durch (je nach Art mit mehr oder weniger starkem Ausmass)

Hoaxes

Eine Warn-E-Mail die sich Mechanismen des "social engineeering" bedient (Luege,***) , um somit zu allenn Kontakten des Benutzers geschickt zu werden. Folgende Eigenschaften haben diese Mails

bringen Sensationsmeldungen (z.B. neue aufgetretene Viren)
beziehen sich auf Aussagen grosser IT-Konzerne (IBM,Microsoft) um somit glaubwürdig zu erscheinen
fordern auf zum sofortigen Weitersenden an alle Kontakte des Benutzers
Absender ist meist ein Bekannter des Nutzers

Gründe um Hoaxe zu erstellen:

sind darauf angelegt den Benutzer abzulenken und deren Aufmerksamkeit gegenüber solchen Gefahren zu senken, und um zu erreichen das zukünftige Warnunen ignoriert werden
das Computersystem des Benutzers zu beschädigen, in dem er zu Aktionen aufgefordert wird die "angeblich" den Virus löschen, dabei werden dann aber essentielle Bestandteile des OS verändert

Wenn man regelmaessig die hoax Datenbanken von Antivirenprogramm-Herstellern beobachtet kann man sich davor schützen (z.B. www.mcafee.com)

SPAM

Unerwünschte Werbemail, welche meist unmoralische Güter oder Dienste anbietet. Meist wird SPAM von einem befallenen Computersystem versendet, es werden gefälschte Mailadressen verwendet, so dass es sehr schwer ist den eigentlichen Absender ausfindig zu machen, es lässt sich somit auch nicht die SMTP Kommunikation mit diesem Absender sperren, da die gefälschte Adresse nur einmal verwendet wird. Die Mail-Adresse wurde meist zuvor durch einen anderen Viren/Wurmbefall ausgespäht oder aus anderen öffentlichen Quellen gesammelt (ICQ,Usenet,Foren)

Das Motiv ist extrem billiges Marketing, die Gesetze in vielen Laendern verbieten jedoch unerwünschte Werbemails (in der Tscheschei ist es der Certain Information Society Services Act No. 480/2004 Coll. Antispam Act").

Phishing, Pharming

Phishing basiert zumeist auf einer gefälschten EMail welche Mechanismen des "social engineering" verwendet und weitere Tricks (weitergeleitete URL,falsch angezeigte URLs), um den Benutzer aufzufordern wichtige Bankdaten einzugeben (PIN-Nummer, TAN-Nummern, Kreditkartendaten). Pharming ist dem sehr aehnlich jedoch wird der Benutzer durch ein kompromittiertes DNS System auf gefälschte Bankseiten geleitet.

Eine der Vereinigungen die gegen solche Angriffe vorgehen ist die Anti-Phishing Working Group (APWG), welche einen enormen Anstieg an entdeckten gefälschten Seiten im Februar 2005 verzeichnete (siehe http://www.antiphishing.org).