Hallo,
Post by Harald KlotzPost by Juergen Ilseandere laden Komponenten aus dem Netz
nach, und wenn der Scannerhersteller das ding in die finger bekommt,
haben sich die "nachgeladenen Komponenten" bereits ge- aendert (weil
etwas anderes auf die entsprechenden Server hochgeladen wurde), so
dass der Scannerhersteller gar keine Chance mehr hat, die
urspruenglich nachinstallierte Komponente zu analysieren, denn er hat
sie nie gesehen ...
Bist du wirklich so dumm wie du dich hier gibst.
Du bist offenbar zu daemlich, um zu begreifen, dass sich die Daten
unter der URL von der ein Schaedling weitere Komponenten nachlaedt
von einem Moment zum anderen aendern kann. Wenn also der Svanner-
hersteller den nachgeladenen Code analysiert, anaöysiert er evt.
etwas voellig anderes als das, was nur eine halbe Stunde vorher
bei der Infektion eines anderen Systems nachgeladen wurde. Noch
schlimmer ist es bei Schaedlingen, die eine Hintertuer installiert
installiert haben: da kann man nicht wissen, ob bis zur vermeint-
lichen "Bereinigung" nicht jemand diese Hintertuer genutzt und
manuelle Aenderungen am System vorgenommen hat (und wenn ja, welche).
"sauber" waere das System erst wieder, wenn alle diese Veraenderungen
rueckgaengig gemacht wurden, aber wie will man das machen, wenn ,an
nicht weiss, was alles veraendert wurde? Nein, der Scannerhersteller
kann das unter solchen Umstaenden auch nicht wissen ...
Post by Harald KlotzGlaubst du ernsthaft, die Scannerhersteller analysieren die Viren nicht.
Das nuetzt nichts, wenn sie (da sich die Komponenten unter der
"Nachlade-URL" mittlerweile geaendert haben) etwas viellig anderes
analysieren, als das was bei der Infektion bei deren Kunden nachge-
laden wurde ...
Post by Harald KlotzGlaubst du ernsthaft, egal was, kann langfristig unentdeckt bleiben?
Wenn sogar ein Programmierfehler in der bei Debian mitgelieferten
openssl-Version, der dazu fuehrte, dass die damit generierten Schluessel
nur 16 Bit Entropie enthielten, ueber mehr als 2 Jahre unentdeckt blieb,
obwohl sogar der Quelltext fuer *jeden* frei verfuegbar war, dann ist
es sehr unwahrscheinlich, dass jede Aenderung an einem System durch
einen Virenscanner automatisiert erkannt werden koennte, wo doch der
Scannerhersteller weder vom System noch von den Veraenderungen am System
Quelltexte vorliegen hat ...
Post by Harald KlotzPost by Juergen IlsePost by Harald KlotzNatürlich kann ein Virus einen Bot nachladen, natürlich kann man
nicht ausschliessen, dass es zunächst nicht bemerkt wird.
Ich behaupte aber, dass niemals langfristig unbemerkt bleibt.
Du hast keine Ahnung aber davon reichlich.
Dann beweise deine Sprüche anhand entsprechender konkreter
Presseberichte.
Ich habe es (bei einem Rechner eines Kunden) erlebt, dass dieser
infiziert war (es war zwar kein Windows sondern Linux, aber es
gibt mit Sicherheit auch genug entsprechende Beispiele fuer
Windows). Ich habe alle von verschiedenen "rootkit-Erkennungs-
Tools" erkannten Infektionsmerkmale beseitigt (damit wir den
Rechner temporaer wieder ans Netz haengen konnten, damit der
Kunde noch seine Daten sichern konnte). Es existierten aber
offenbar noch weitere nicht gefundene Veraenderungen am System,
denn nur 24 Stunden spaeter (als der Kunde seine Daten gesichert
hatte, wobei ich nicht weiss, ob ihm die fesicherten Daten noch
etwas genutzt haben ...) war die Maschine abermals infiziert ...
Seitdem wird bei mir sowie bei meinem Arbeitgeber auf den Aufwand
eines "Reinigungsversuchs" verzichtet und kompromittierte Rechner
nicht mehr (auch nicht temporaer) ans Netz gelassen, bis sie
komplett neu aufgesetzt sind. Dieses Erlebnis ist schon etliche
Jahre her, hat aber bis heute sicherlich keinerlei Aktualitaet
verloren (ausser dass kompromittierungen heute teils noch schwerer
zu erkennen sind).
Ueberigens hat es seinen Grund, wenn man sogar im Microsoft Technet
so etwas hier liest:
http://technet.microsoft.com/en-us/library/cc512587.aspx
Post by Harald KlotzBitte aber nicht von der Qualität des anonymen Spinners, der sich als
der tolle Hacker ausgibt, alle Banekrechner knackt usw.
Joanna Rutkowska hat im Jahre 2006 vorgefuehrt (durch einen selbst-
programmierten "Proof of Concept" namen "blue pill"), dass ein Schaed-
ling sich *unerkennbar* fuer einen auf dem infizierten System laufenden
Virenscanner berstecken kann. Die Behauptung eines Scanner-Herstellers,
er koenne eine solche Infektion trotzdem aus dem infizierten System
geraus erkennen, konnte *nie* nachgewiesen werden. Das sind *Tatsachen*
(die du leicht mit einer Suchmaschinen-Recherche nach "blue pill"
finden kannsz). Dass das funktioniert, wurde 2006 *live* *vorgefuert*,
es sind also keine unbeldten Behauptungen, und es wird heutzutage
von *keinem* wirklichen Experten angezweifelt. Scanner-Hersteller
verschweigen so etwas aber gern, da sie sonst Luecken ihrer Produkte
zugeben muessten. Und Zeitschriften berichten nicht darueber, weil
das ein uralter Hut ist ...
Post by Harald KlotzSolche Berichte können wahr sein, aber erstunken und erlogen.
Wenn du es ausprobieren willst: AFAIK ist der Quelltext von blue pill
oeffentlich verfuegbar. Aber so etwas willst du ja nicht hoeren oder
lesen ...
Post by Harald KlotzPost by Juergen IlseWie soll denn in dem zweiten von mir dort oben beschriebenen Szenario
der Scannerhersteller jemals die nachgeladene Komponente analysieren
oder gar wiedererkennen koennen?
Wenn der nicht blöd ist, indem er es selbst auf einem Testrechner
nachläd, dazu darf er aber keine Mitarbeiter mit nur deiner Intelligenz
haben.
Was genau hast du an den von mir beschriebenen Szenarien (in denen der
regulaere Nutzer des Rechners jeweils *gar* *nichts* *selbst* nachge-
laden hat) nicht verstanden?
Post by Harald KlotzPost by Juergen IlseDas haben die meisten User von "AV-Software" und/oder "Personal
Firewalls" noch nie geschafft.
Was haben die nie geschafft?
Jahrzehntelang ohne eine Kompromittierung zu bleiben.
Post by Harald KlotzPost by Juergen IlsePost by Harald KlotzDie hackergeschicht betrachte ich übrigens ebenfalls als reine
Phantasie.
Im Web kann man alles schreiben.
Ich habe so etwas (bis auf das Ende, wo die Polizei den Rechner
beschlag- nahmt hat) durchaus schon erlebt (zu dem Schluss der
Geschichte kamm es nicht, weil die Kompromittierung durch
Neuinstallation vorher beseitigt wurde). Nein, es handelte sich nicht
um meinen Rechner.
Und du kannst sicher auch belegen, dass ein Virenscanner lief, es keine
Auffälligkeiten und Warnungen gab, die allesamt ignoriert wurden?
Nach Aussagen des Rechnerbesitzers ja, und ich habe keinen Grund,
ihm diesbzgl. zu misstrauen.
Post by Harald KlotzErst als das nicht mehr ging, bat man mich um Hilfe, es war auch nur
wichtig, das Spiel ganz schnell wieder zum Laufen zu bringen.
Du willst doch ernsthaft behaupten, solche Leute würden ihren Rechner
ohne Virenscanner sicher administrieren wollen?
Viele tun *genau* *das*, und sind z.N. mit den von Stefan vorgeschlagenen
Methoden auch sicher unterwegs.
Post by Harald KlotzDeine Behauptungen, dass Viren Bots oder anderes nachladen und das
generell sehr lange unentdeckt bleibt, solltest du durch entpsprechende
seriöse Presseberichte belegen.
Dass Schaedlinge weitere Komponenten nachladen, kannst du sogar in den
Beschreibungen der Scannerhersteller nachlesen (bei allem, was so etwas
wie "trojan-Downloader" oder dergleichen im Namen hat, und davon gibt
es reichlich). Das sich die nachgeladenen Teile von einem Augenblick
zum anderen aendern koennen (weil jemand die Datei azf dem Server von
den bachgeladen wurd geaendert haben koennte) sagr einem der gesunde
Menschenverstand, dafuer benoetigt man keine Beweise.
Post by Harald KlotzWoher weisst du übrigens, dass der betreffende Rechner Kinderpornos
verbreitet hat.
Ich weiss nicht, was er (ausser der Malware) noch verbreitet hat, aber
ich weiss, dass Botnetze schon mal benutzt wurden, um solchen Schrott
zu verbreiten (was zumindest beweist, dass so etwas moeglich ist, un-
abhaengig von dem von mir angesprochenen Fall).
Post by Harald KlotzDir traue ich beim besten Willen nicht zu, so etwas zu anlysieren.
Hast du schon mal einen (z.B. mit wireshark) erstellten Netzwerkdump
gelesen und analysiert? Ich schon ...
Post by Harald KlotzPost by Juergen IlsePost by Harald KlotzNur ging es nicht ums Hacken.
Die Methoden der Kompromittierung sind in beiden Faellen gleich.
Nein.
Doch sie sind *genau* *gleich*. Der Unterschied ist, dass sie bei
Viren ohne Rueclmeldung an einen Menschen auskommen (muessen), das
ist aber auch schon der einzige Unterschied. Jeder von einem mensch-
lichen Hacker durchgefuehrte Angriff kann genauso auch in einem
Virus implementiert werden.
Post by Harald KlotzDer Hacker installiert kein sich selbst verbreitendes Programm, daher
wird es auch den Scannerherstellern nie bekannt werden.
Hacker, die Botnetze aufbauen wollen, bedienen sich dabei nur allzu
oft "speziell angepasster Viren", um den Botnetzclient in moeglichst
viele Systeme zu bekommen.
Post by Harald KlotzPost by Juergen IlseBei allem, was bei den Virenscannerherstellern ein "Downloader" oder
aehnliches im Namen hat, kann der Scannerhersteller nicht wissen,
was denn aktuell an Komponenten nachgeladen wird (er kennt immer nur
die "Moment- aufnahme" von dem Zeitpunkt, als er das ding analysiert
hat, die "nach- ladbaren Komponenten" koennen sich aber von Minute zu
Minute aendern),
Ja und?
Diese Frage zeigt, dass du nicht in der Lage bist mitzudenken, was das
denn in der Konsequenz bedeutet. Gaettest du mizgedacht, haettest du
diese Frage erst gar nicht gestellt.
Post by Harald KlotzIch habe häufig darüber gelesen, dass die Scannerhersteller berichten,
dass die nachzuladenden Komponenten wechseln.
Sie koennen aber nicht alle entsprechenden Server staendig auf Veraen-
derungen ueberwachen, da ihnen dazu schlicht die Resourcen fehlen. Es
ist also immer moegöich, dass sie bei mehreren kutz nacheinander auf-
tretenden Aenderungen eine davon nicht mitbekommen ...
Post by Harald KlotzDas scheint denen also nicht entgangen zu sein.
Das sie auch mal Aenderungen mitbekommen heisst nicht, dass sie *jede*
Aenderung mitbekommen haetten ... Von Moeglichkeiten wie "anycast-Server,
die unterschuedliche Versionen der nachladbaren Komponenten bereitstellen"
(wo man dadurch von verschiedenen Stellen des Internets aus unterschied-
liche Ungalte sieht) oder "DNS-Caches", die dafuer sorgen, dass bei DNS-
Aenderungen unterschuedliche DNS-Server unterschiedliche Namensaufloesungen
liefern, und somit der selbe Schaedling auf verschiedenen Rechnern trotz
gleicher Diwnload-URL von unterschiedlichen Servern Komponenten nachlaedt
einmal ganz zuschweigen ... Du setzt Dinge als gegeben voraus, die im
realen Internet einfach nicht gegeveb sind. Gelegentlich werde ich mit
so etwas konfrintiert (wenn auch nicht im Zusammenhang mit Viren sondern
im Zusammenhang mit Wenseiten, die aufgrund solcher Dinge auf unter-
schiedlichen Rechnern zwischenzeitlich unterschiedliche Inhalte liefern).
Post by Harald KlotzNur du bist so einfältig und glaubst die Scannerhersteller merken so
etwas nicht und bist auch noch dumm genug deinen Schwachsinn zu
verbreiten.
Mancher, den du hier als "ahnungslos" bezeichnest, hat vielleicht
schon mehr ueber das Thema vergessen als du jemals wissen wirst ...
Post by Harald KlotzMir zeigt auch das genannte Beispiel, bezüglich des Hackerkongresses, wo
man beweist will, dass Signaturkennungen umgehbar sind, dass man auf
reinen Populismus aus nicht.
Solche Leute darf man nicht ernst nehmen, die aufzeigen, dass veraltete
Verfahren heute nicht mehr passen.
Es gibt ein einfaches Verfahren, das ausnahmslos *alle* Viren als
Schadsoftware erkennt: Man "erkennt" einfach *jede* *beliebige* Datei
als Schaedling. Dass dieses Verfahren trotz der 100%igen Erkennungs-
rate voellig unbrauchbar ist, ist fuer jeden leicht einsehbar. Mit
den "Heuristiken" ist es nicht viel anders: die Erkennungsrate liegt
noch immer deutlich unter 100%, dafuer sorgt eine deutlich hoehere
Rate von "false positives" dafuer, dass die Ergebnisse wieder deut-
lich unbrauchbarer werden ...
Man kann dann (sogar voellig unabhaengig vom Sc<nergebnis) ganz genau
sagen, dass das System kompromittiert ist oder auch nicht ... SEHR
HILFREICH!
Post by Harald KlotzDas sit das gleiche wie die Jahrmarktsgaukler, die Unwissenden ihre
Kreidepaste als Wundermittel zum Putzen für teures Geld andrehen, indem
sie ein einfach zu putzenden Teil zum Glänzen bringen.
Uberraschung: Bei Virenscannern tut man genau das, wenn man ihre
Wirksamkeit durch die Erkennungsraten von bereits bekannten Schaed-
lingen einzuschaetzen versucht ...
Post by Harald KlotzOder das Superreinigungmittel, welche in der Lage ist bestimmte
Farbstoffe zu neutralisieren, da wird ganz wild Rote Beete Saft und
andres in eine Schüssel gekippt, ein wenig Neutrlisator hinterher und
das Wasser wird wieder klar.
Das funktionier aber nur, wenn ganz bestimmte Vorraussetzungen gegeben
sind, ohne diese funktioniert es nicht mehr.
... was oft genug bei Virenscannern nicht anders aussieht.
Merkst du was? Bermutlich nicht ...
Post by Harald KlotzIm Grunde der gleiche Trick wie auf dem Hackerkongress, man zeigt auf,
dass es unter ganz bestimmten Vorraussetzugen klappt.
Welcher Scanner erkennt "blue pill", wenn er auf dem infizierten System
ausgefuehrt wird? Nenne nur *einen* *einzigen*.
Post by Harald KlotzEs ist übrigens arm, dass du direktes Hacken und Virenverbreitung unter
einen Hut steckst.
Es zeugt von deiner Ahnungslosigkeit, dass du zwischen beidem prinzpielle
Unterschiede zu erkennen glaubst.
Post by Harald KlotzPost by Juergen Ilsealso kann er gar nicht erkennen, ob und wenn ja wieviele Komponenten
nach- geladen wurden, und erst recht kann er sie nicht erkennen, wenn
er sie rein zufaellig schon einmal gesehen hat.
Du willst also ernsthaft behaupten, die nachgeladenen Komponenten können
langfristig unentdeckt bleiben?
Wenn der Scannerhersteller sie niemals zu Gesicht bekommen hat (was
durchaus moeglich ist, wie ich schon mal erlaeutert habe) garantiert.
Post by Harald KlotzPost by Juergen IlsePost by Harald KlotzJa, wieder Deppen deiner Art, die lautstark beweisen, was jeder
Fachmann seit Jahrzehnten weiss und niemanden mit Kenntnissen
beeindruckt.
Nur Deppen lassen sich von solchen Vorführungen beeindrucken.
Fuer einen Virenautor ist es ein leichtes, sein "Produkt" von
aktuellen Scannern untersuchen zu lassen und so lange zu veraendern,
bis es mit den bis dato aktuellen Signaturen nicht mehr erkannt wird.
Ja und?
Er muss auch noch die Heuristik austricksen.
Heuristik ist nur gerungfuegig besser als raten oder wuerfeln. Nicht
umsonst gibt es keine einheitlichen Empfehlungen, welches Mass an
"Heuristik" empfehlenswert sein soll. Wenn das so gut funktionieren
wuerde wie du glaubst, warum kann man das dann in den Scannern unter-
schiedlich einstellen?
Post by Harald KlotzIm Gesundheitswesen ist es nicht anders, die Heilmittel werden erst
entwickelt wenn eine Krankheit erkannt wurde.
Ein Lebewesen hat (zumindest in gewissem Umfang) Selbstheilungskraefte
und Anpassungsfaehigkeit des Immunsystems, Eigenschaften, die Software
*vollstaendig* fehlt. Und auch in der Medizin gibt es Ktankheiten, die
bzr schwer oder gar nicht sicher "zu Lebzeiten des Patienten" diagnos-
tizierbar sind, und andere, die nicht geheilt werden koennen (z.B. HIV).
Post by Harald KlotzMerkst du eigentlich die Albernheit deiner Ausführungen?
Ich merke, dass du *nicht* bemerkst, dass *DU* albern argumentierst.
Post by Harald KlotzPost by Juergen IlseIst der Rechner
erst erinmal kompromittiert, kann der Schaedling den Scanner
"unterlaufen" und ihm (trotz Infektion) ein "sauberes System"
vorgaukeln.
Dummes Gerede, was durch deine Wiederholungen auch nicht sinnvoller
wird.
Informiere dich ueber "blue pill", vesorf dir den Source und experimentiere
selbst damit herum.
Post by Harald KlotzPost by Juergen IlseAus diesem Grund sollte eine komplette Untersuchung eines
moeglicherweise kompro-
mittierten Systems *auch* die Untersuchung "von aussen" (also von
einem "unkompromittierten System" aus) erfolgen (z.B. booten von CD
und unter- suchen der Bottplatte von dem von CD gebooteten System
aus).
Du wirst immer alberner.
Wie will eine Untersuchung von aussen einen unbekannten Virus finden?
Gar nicht, aber man hat zumindest eine Chance, die bekannten zu erkennen,
die sich imlaufenden System erfolgreich vor dem Scanner verstecken (so
etwas gab es uebrigens schon, wenn auch wegen fehlendem Virtualisierungs-
support bei damaliger Hardware noch nicht so ausgereift wie bei blue pill,
in den achziger Jahren bei den DOS-Viren ... Anfaenge davon waren z.B.
damals bei "Yankee-Doodle! zu finden (den ich damals mal ansatzweise
analysiert habe). Hast du schon mal selbst einen Virus analysiert?
Post by Harald KlotzPost by Juergen Ilseweil man zur vollstaendigen Kontrolle der
software auch *saemtliche* Interprozesskommunikation ueberwachen
muesste,
Das wäre doch einmal eine Aufgabe für die Fritzbox.
Das kann sie nicht. Die Fritzbox "sieht" nur den Netzwerktraffic von
anderen Rechnern, nicht die Interprozesskommunikation (oder weisst du
gar nicht was das ist?).
Post by Harald KlotzEs nutzt ja alles nicht, aber ein schwacher Schutz ist besser als kein
Schutz.
Nein, Stichwort "Risikokompensation".
Post by Harald KlotzDu wirst es den Nutzern nicht beibringen können ihr System sicher zu
administrieren.
Ich habe es schon einigen Leuten beigebracht.
Tschuess,
Juergen Ilse (***@usenet-verwaltung.de)
--
Ein Domainname ist nur ein Name, nicht mehr und nicht weniger.
Wer mehr hineininterpretiert, hat das Domain-Name-System nicht
verstanden.