TelkoTalk

Wer heute die Nachrichten hörte oder sah, staunte nicht schlecht: Ein Virus in den Nachrichten! Dazu noch ein “alter” Schädling. Was steckt dahinter?

Der Virus, um den es geht, ist ein Trojaner. Er verbiegt im PC die Abfrage der Domainnamen. Der Rechner fragt nun nicht mehr bei den DNS-Servern des eigenen Providers, sondern auf Servern der Kriminellen nach den IP-Adressen. Einen DNS-Server braucht man, damit eine URL wie z.B. www.telkotalk.de in die richtige IP-Adresse (in diesem Beispiel 85.114.130.79) übersetzt wird. Ein solcher Server in der Hand von Kriminellen führt dazu, dass gezielt Seiten verbogen werden. Statt der gewünschten Webseite wird dem Surfer eine Fälschung untergeschoben, um seine Nutzerdaten für Webseiten wie facebook, ebay usw. abzugreifen. Oder Kreditkartendaten. Da nur wenige Seitenaufrufe umgebogen werden, der Rest normal funktioniert, bleibt es lange unentdeckt.

Im Falle des Trojaners “DNS-Changer” wurden dieTäter  im vergangen Herbst gefaßt, die manipulierten Server vorrübergehend vom FBI durch normale DNS-Server ersetzt. Aber der Trojaner war erfolgreich und aktuell sind es laut FBI mehr als 35.000 deutsche Nutzer täglich, deren Rechner nicht die DNS-Server ihres Providers nutzen, sondern die vom Trojaner verbogenen. Auf mindestens 35.000 deutschen PCs ist der Trojaner also noch aktiv!

Da das FBI will nun diese Server Anfang März abschalten und daher ruft das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem Bundeskriminalamt und der Telekom zum Test des eigenen Rechners auf Befall durch diesen Trojaner auf. Auf der Webseite www.dns-ok.de kann der Rechner einfach getestet werden. Dort findet man auch Tipps, um den Schädling bei Bedarf zu entfernen.

Noch einmal der dringende Rat: Schützen Sie Ihren Rechner durch einen wirksamen Virenschutz. Dazu kann man auch auf kostenlose Software zurückgreifen. Waren es vor Jahren Schüler, die aus Jux Viren schrieben und verbreiteten, so sind es heute fast ausschließlich gut organisierte kriminelle Banden, die mit Trojanern Daten ausspähen oder SPAM versenden wollen. Die Schädlinge schaffen es leider immer wieder, durch Lücken in veralteter Software auf die Rechner zu gelangen und Schutzsoftware zu umgehen.

Daher der dringende Rat:

1. Halten Sie das Betriebssystem und die verwendeten Programm immer auf dem aktuellen Stand.

2. Software, für die es keine Updates mehr gibt, sollte durch aktuelle Software eines anderen Herstellers ersetzt werden

3. Nutzen Sie Antivirensoftware. Diese muss nicht teuer sein – rudimentären Schutz gibt es sogar kostenlos. Kommerzielle Softwarelizenzen sind ab 20 Euro pro Jahr erhältlich.

geschrieben von Holger \\ tags: BSI, Bundeskriminalamt, Datenschutz, DNS-Server, DSL, Internet, Nachrichten, Server, Sicherheit, SPAM, Telekom, Trojaner, Viren

Wir haben uns alle daran gewöhnt, an SSL. Es ist herrlich bequem und sicher. Bequem ja, weil man sich selbst nicht um Schlüssel bemühen muss. So bietet jeder Telefonanbieter seinen Kunden den EVN lieber als Download von einer SSL geschützten Seite an, anstatt eine PGP-verschlüsselte Mail an die Kunden zu senden. Weil jeder zweite mit der PGP-Mail nicht anzufangen wüßte, wäre der Support dafür unendlich teuer.

Aber ist SSL auch sicher? Anfang diesen Jahres hätte auch das noch fast jeder mit einem klarem JA beantwortet. Jetzt haben wir Oktober und immer mehr drängt sich der Verdacht auf, dass es mit der Sicherheit nicht zum Besten steht.

Zum einen der Hackereinbruch bei Diginotar, einem niederländischem Zertifikatsaussteller. Dieser fand mutmaßlich bereits am 17 Juni statt und wurde zwei Tage später bemerkt, aber nicht konsequent genug gehandelt. So konnten sich die Täter im Juli insgesamt 531 falsche Zertifikate ausstellen, darunter auch für die Domain google.com. Diginotar selbst versuchte offenbar, diesen Vorfall zu vertuschen – vielleicht auch, weil man erst viel zu spät merkte, was der oder die Täter gemacht haben. Die Konsequenz war dann brutal und folgerichtig – alle Browserhersteller haben sofort das Root-Zertifikat und damit alle jemals erzeugten Zertifikate von Diginotar gesperrt.

Sofort nach diesem Vorfall gab es Stimmen, die der Meinung waren, der Einbruch bei Diginotar sei nicht der Einzige gewesen. Schnell kam die Zahl vier ins Gespräch – bei vier weiteren Anbietern von Zertifikaten soll es zu Hackereinbrüchen gekommen sein. Zuvor war auch schon bei dem Anbieter Comodo eingebrochen worden – vermutlich von den gleichen Tätern, denn es gibt viele Parallelen wie die Liste der Domains, für die falsche Zertifikate ausgestellt wurden. Die Spuren führen in beiden Fällen in den Iran. Die Auswahl der Domains legt den Verdacht des Staatsterrorismus nahe.

Neben der Frage, wie lange die private Internetwirtschaft den Angriffen von Staatsterroristen mit praller Kasse und vielen Ressourcen auf breiter Front standhalten, droht eine weitere Gefahr für das SSL-System. Ein neues Denial-of-Service Tool legt verschlüsselnde Server lahm.

Gut, DOS-Attacken sind ein alter Hut und funktionieren sowieso nur, wenn viele mitmachen und man gemeinsam einen Server lahmlegt. Stimmt, aber nicht in diesem Fall. Hier reicht ein Rechner an einer dünnen DSL-Leitung, um mit seinen Anfragen einen Server zu beschäftigen. Wie das geht? Leider viel zu einfach. Das eigentliche Verschlüsseln geht recht schnell, aber der Aufbau einer verschlüsselten Verbindung ist rechenintensiv, denn hier kommen rechenintensive Verfahren wie RSA zu Einsatz, um die Schlüssel auszuhandeln und zu versenden. Hier baut dieses Tool einfach ca 1000 Verbindungen auf und fordert permanent neue Schlüssel an – damit sind auch Hochleistungsserver schnell am Limit. Ein solcher Angriff betrifft nicht nur Webserver, sondern jegliche Art von Servern, die SSL-gesicherte Verbindungen anbieten, wie z.B. viele Mailserver.

Bedingte Abhilfe schafft das Deaktivieren der Schlüsselneuaushandlung. Dann reicht ein Angreifer nicht mehr aus, um genug Last zu erzeugen. Aber von dem Tool soll eine Version existieren, die distribuierte Angriffe ermöglicht, ganz ähnlich den “normalen” DDoS Attacken. Mit einem solchen Angriff lassen sich vermutlich auch SSL-Load-Balancer in Knie zwingen.

Und zu allem Überfluss sind auch erste Schwachstellen in der Verschlüsselung selbst aufgetaucht. Noch nichts besorgniserregendes, aber die Summe der Schwachstellen offenbart höchsten Handlungsbedarf für ein SSL der nächsten Generation. Es wird höchste Zeit, einen Nachfolger oder eine Weiterentwicklung auf die Beine zu stellen. Sonst ist eines Tages das kleine Schloss im Browser nichts mehr wert…

geschrieben von Holger \\ tags: Angriff, Datenschutz, DDoS, DoS, Internet, Meinung, Schlüssel, Secure Socket Layer, Server, Sicherheit, SSL, verschlüsseln

Ok, es ist ein wenig offtopic hier und so ganz neu ist der UKASH BKA Trojaner auch nicht. Aber gestern Abend wurde der Blogger von einer Bekannten zur Hilfe gerufen. Da war er also der PC, der nach dem Windows Start behauptete, das BKA haben zahlreiche Rechtsverstöße auf diesem Rechner gefunden und die Besitzerin müsse nun 100 Euro mittels UKASH zahlen. Das POPuP des Trojaners zeigt auch gleich, wo man solche Voucher kaufen kann.

Wie erwähnt, ganz neu ist der Trojaner nicht, er ist wohl seit Ende März im Umlauf. Die Infizierung findet über  JAVA-Code in Werbe-POPups oder verseuchte Flash-Inhalte statt. Letztere Lücke soll von Adobe vor wenigen Tagen gestopft worden sein, aber nicht Jeder aktualisiert seine Software sofort. Das Erschreckende an diesem Trojaner ist, dass er es auch im Juni noch schafft, sich an aktuellen Antiviren-Programmen vorbei zu “schleichen”, obwohl es seit mehr als zwei Monaten zahlreiche Meldungen über den Trojaner gab.

Wenn es passiert ist und das BKA vom Bildschirm grüßt, dann gilt es Ruhe zu bewahren.  Natürlich zahlt man nicht die 100 Euro und natürlich hat das BKA mit diesem Trojaner nichts zu tun, außer dass man dort natürlich die Hintermänner dieses Trojaners sucht. Die nicht ganz fehlerfreie Grammatik im deutschen Text lassen jedoch vermuten, dass die Drahtzieher aus dem Ausland kommen.

Gott Lob ist der UKASH-Trojaner eigentlich harmlos. Er ändert 30 Registry-Einträge und ersetzt die Shell durch das POPuP Programm. Das wiederum versucht die IP-Adresse des Rechners zu ermitteln und startet mit dieser Adresse zwei DNS-Abfragen – dadurch werden der vermeintliche Rechnerstandort und der Provider ermittelt. Daher kann man den Rat, nur ein Neuaufsetzen des Systems sei ein sicheres Vorgehen, bei diesem Trojaner ausnahmsweise ausser Acht lassen. Das wird allerdings in Foren heftig diskutiert – stellvertretend für zig deratiger Threads hier ein Link ins Gulli-Board, wo ein Mitarbeiter einers AV-Labors mitschreibt.

Wie also wird vorgegangen:

1. Für alle Fälle wird ein Backup des infizierten Systems gezogen, um evtl. doch noch Daten retten zu können, falls etwas wider Erwarten schief läuft. Die Sicherung wird mit einer Rescue-CD oder Notfall-CD vorgenommen, wie sie in regelmäßigen Abständen diversen Zeitschriften beiliegen.  [Update: Die Notfall-CD 2.2 der Computerbild kann man sogar kostenlos downloaden und als CD brennen oder nach Anleitung auf einen USB-Stick kopieren] . Ebenfalls gut geeignet sind die Notfall-CDs vieler Backup- oder Partitionierungs-Programme z.B. von Paragon. Wer mit Linux klar kommt, kann auch eine beliebige Linux Live-CD nehmen. Wer ein halbwegs aktuelles Backup hat, kann notfalls auf die Sicherung verzichten.

2. Das Windows nun starten, mit F8 sofort in den abgesicherten “Modus mit Eingabeaufforderung“  wechseln.

3. Die Systemwiederherstellung starten. Dies geschieht mit der Eingabe
\windows\system32\restore\rstrui.exe
Anschließend wählt man einen Wiederherstellungspunkt, der mindestens einen Tag älter als das erste Auftauchen des Trojaners ist, aus und startet die Wiederherstellung. Evtl. nach diesem Datum installierte Software muss danach allerdings neu installiert werden.

4. Nun sollte das System wieder starten. Die Registry ist auch 100% sauber. Aber die Dateien des Trojaners sind noch auf der Platte und müssen noch entfernt werden. Da der Trojaner aber nicht aktiv ist, sollte nun ein gutes AV-Produkte keine Probleme haben, den Müll zu beseitigen.

Alternativen:

Das BSI stellt seit Mai auf der Webseite www.Botfrei.de drei Anleitungen bereit, wie der Trojaner sicher entfernt werden könne. Die Kaspersky-Rescue-CD kann der Blogger ganz und gar nicht empfehlen. Das Durchsuchen und Desinfizieren eines älteren Rechners mit 42GB Festplatte dauerte zwei Stunden. Beim folgenden Neustart merkte Windows, dass es beschädigt war und hat sich selbst mit der “letzten funktionierenden Konfiguration” repariert und dabei den Trojaner ebenfalls wiederhergestellt. Mag sein, dass es im April oder Mai mit der CD funktioniert hat und der Trojaner seitdem “verbessert” wurde.  Wie sich der CD-Cleaner oder die Avira Rescue-CD schlagen, ist leider unbekannt. Die Avira Rescue-CD wird immerhin tagesaktuell gehalten, so dass hier nach dem Download keine Internet-Aktualisierung erforderlich ist.

geschrieben von Holger \\ tags: AV, BKA, BSI, Computerbild, Entfernen, Internet, Notfall CD, Rescue-CD, Trojaner, UKASH, Ukash BKA Trojaner