350 likes | 579 Views
Trojanische Pferde. Erkennen und Beseitigen. Proseminar IT-Security - WS 2004 / 2005. Sophie Stellmach, Ulrike Zenner. Quelle : http://www.designerspiele.de. Inhalt. kurze Übersicht zu Trojanischen Pferden Erkennen und Beseitigen softwaregesteuert manuell zentral
E N D
Trojanische Pferde Erkennen und Beseitigen Proseminar IT-Security - WS 2004 / 2005 Sophie Stellmach, Ulrike Zenner Quelle: http://www.designerspiele.de
Inhalt • kurze Übersicht zu Trojanischen Pferden • Erkennen und Beseitigen • softwaregesteuert • manuell • zentral • spezielle Trojaner (Rootkits) • Trojanische Pferde unter Linux Seite
Was ist ein Trojanisches Pferd? „Als Trojanisches Pferd bezeichnet man in der Computersprache Programme im weitesten Sinne, die etwas anderes tun, als sie vorgeben, die beispielsweise in einem System unbemerkt Schadsoftware (Malware) oder Ähnliches einschleusen.Zitat, http://de.wikipedia.org/
Übersicht zu Trojanern • eigentlich „Trojanisches Pferd“ • meist im Hintergrund • unerwünschte Aktionen, wie bspw.: • Ausspionieren von Benutzerdaten • Löschen wichtiger Dateien • totale Übernahme des Systems
Übersicht zu Trojanern (2) • keine aktive Weiterverbreitung • gezielte Einschleusung • vom Benutzer unbewusst selbst installiert (Shareware / Freeware, E-Mail-Anhänge...) • viele verschiedene Varianten • Backdoor, Adware, Spyware, Rootkits, Key Logger, Dialer...
Erkennen eines Trojaners Ausganssituation: Trojanisches Pferd befindet sich bereits auf dem PC Anmerkung: Es existiert keine 100%ig wirksame Erkennungsmethode gegen Trojaner!
Verstecken Polymorphismus Modifizierung des böswilligen Codes Erhaltung der Funktionalität Metamorphismus Modifizierung des böswilligen Codes Veränderung der Funktionalität Schutzmechanismen Deaktivierung der Anti-Trojaner-Software
1. Software-gesteuerte Suche 1. Trojaner-Scanner 2. Logging Mechanismen 3. Hashwert-Berechnung 4. SandBox-Technologie
1.1. Trojaner - Scanner • Trojaner hat eindeutige Signatur • falls Trojaner entdeckt wird, analysiert Anti-Trojaner-Industrie dessen Struktur/Funktion • Update der Anti-Trojaner-Datenbank mit diesen Daten
Einfaches Beispiel Annahme: Trojanisches Pferd X schreibt als Merkmal „Hey there :-)“ in Windows-Registry Aufnahme dieser Eigenschaft in Anti-Trojaner-Datenbank also: Suche in spezieller Registry nach „Hey there :-)“ Satz enthalten -> Computer mit X verseucht
Problematik Kopie / technische Spezifikationen des Trojaners müssen vorhanden sein Viren relativ leicht aufspürbar - monatl. ca. 500–2000 neue Computerviren - kopieren sich selbst weiter - tausende Computer in kurzer Zeit infiziert - Resultat: „anormale Aktivitäten“ Trojanische Pferde: - bleiben meist unerkannt
1.2. Logging-Mechanismen • Protokollierung von Systemmeldungen • zum Erkennen von Abweichungen vom bekannten „Sollzustand“ des Systems Quelle: „Hacker Contest“, Markus Schumacher, 2003
1.3. Hashwert-Berechnung • vorab festgelegte Hash-Funktion • Berechnung und Sicherung von „Modification Detection Code“ (MDC) • Bildung einer Basis • Überprüfung auf Manipulation • erneute Berechnung • Vergleich mit Basis • falls Übereinstimmung, dann keine Manipulation
Beispiel: TripWire Quelle: http://www.tripwire.com/
1.4. SandBox-Technologie • Hauptmerkmal: Simulation und Früherkennung • Transfer und Ausführung verdächtiger Dateien in virtuellem Computer • Durchführung von Abwehrmaßnahmen bei bösartigem Verhalten
2. Manuelle Suche (Windows) • Überprüfung • laufende Prozesse • Autostart • Win.ini, System.ini, autoexec.bat, Config.sys (Systemkonfiguration) • Winstart.bat • Standard-Fall: Windows-Registrierungeinträge
Vergleich mit Win-Registry • Sicherung der Regristrierungsdateien • leichteres Erkennen veränderter Einträge durch Vergleich mit diesen Dateien
3. Zentrale Suche • Attacken auf Netzwerke • Intrusion Detection System
Attacken auf Netzwerke Normalzustand: Traffic teilt sich am Internet-Router auf alle Clients hinter dem Router auf Quelle: http://www.schoe-berlin.de/Security/DDoS-Attacken/body_ddos-attacken.html
Attacken auf Netzwerke (2) Breitbandattacke: ein Rechner wird gezielt mit Anfragen oder Datenmüll überhäuft -> Distributed Denial of Service = DDoS Quelle: http://www.schoe-berlin.de/Security/DDoS-Attacken/body_ddos-attacken.html
Intrusion Detection System • vom Militär entwickelt • Erkennen bekannter Attacken (Signaturen) • Probleme in der Praxis: falsche Warnungen / Nichterkennung von Attacken • Aufteilung in HIDS und NIDS
Hostbasierte IDS (HIDS) • scannt Systemdaten • Erkennen und Loggen von Angriffen • Vorteile: • viele Details über Angriff • umfassende Überwachung • Nachteile: • DoS hebelt HIDS aus • hohe Lizenzkosten • Beendung von HIDS bei Systemabsturz
Netzwerkbasierte IDS (NIDS) • überwacht mit einem Sensor ein Teilnetzwerk • Vorteile: • Erkennen von Angriffen, die Firewall umgehen • eigenständiges System -> kein Leistungsverlust • Nachteile: • keine lückenlose Überwachung garantiert
Sicherheitsstrategie • Gateway-Malware-Scanner, um eMails, HTTP- und FTP-Verbindungen zu prüfen (Gateway-Kontrolle) • Nutzung mehrerer Anti-Trojaner-Engines
Spezielle Trojaner: Rootkits • schlimmste Art von Trojanern • verschaffen Angreifer volle Kontrolle über das befallene System • können ihre eigene Existenz nahezu perfekt verschleiern • beliebte Verstecke: • in DLLs (Dynamic Link Libraries) • Tarnung als Gerätetreiber
Vorgehen gegen Rootkits • handelsübliche Trojaner-Scanner versagen meist • nur effektiv, wenn Signatur des Trojaners vor dessen Installation bekannt • somit schon Verhinderung seiner Installation • einziger Schutz ist also: ständiger Betrieb eines Trojaner-Scanners mit stets aktueller Datenbank
Linux - Nutzerrechte • Linux: Multiuser-System mit unterschiedlichen Nutzerrechten • Root=Superuser (Administratorrechte) • jeder Prozess durch Nutzerrechte eingeschränkt • normale User können System nicht beeinträchtigen
Kritische Systemverzeichnisse • /bin und /sbin -> elementare Systemprogramme, vlg. c:\windows\system • /usr -> Anwenderprogramme • /etc -> alle globalen Programmeinstellungen, auch Systemeinstellungen vgl. Registry • alle ohne root-Zugang schreibgeschützt
Zusammenfassung • kurze Erläuterung zu Trojanischen Pferden • Schutzmechanismen • Erkennen und Beseitigen mit Hilfe von Software • manuelle und zentrale Suche • Rootkits • Linux
Quellenangaben (1) Internet-Links • http://www.univie.ac.at/comment/arch/04-1/041_10.html • http://www.pc-special.de/?idart=2060 • http://de.wikipedia.org/wiki/Trojaner_%28Computer%29 • http://www.emsisoft.de/de/kb/articles/tec040105 • http://source-center.de/forum/archive/index.php/t-1471.html • http://www.internetfallen.de/Hacker-Cracker/Trojaner/Trojaner_Entfernen/trojaner_entfernen.html • http://www.ap.univie.ac.at/security/opsys_windows_general_registry_keys.html • http://www.gfisoftware.de/de/whitepapers/network-protection-against-trojans.pdf
Quellenangaben (2) Internet-Links • http://www.designerspiele.de/ReneVaplus/Looser/Trojaner/trojaner.htm • http://www.schoe-berlin.de/Security/DDoS-Attacken/body_ddos-attacken.html • http://www.itseccity.de/?url=/content/produkte/antivirus/040808_pro_ant_normans.html • http://www.vhm.haitec.de/konferenz/1999/linux-malware/welcome.htm Bücher • „Hacker Contest“, M. Schumacher, U. Rödig, M.-L- Moschgath, 2003 • „Malware. Fighting Malicious Code.“, E. Skoudis, 2003