Viren, Trojanische Pferde & Denial of Service Attacken Matthias Neeland Björn Mahn Holger Kaßner

Viren, Trojanische Pferde & Denial of Service Attacken

Matthias Neeland

Björn Mahn

Holger Kaßner

Viren – Übersicht

Definition: Virus Arten Klassifikation Funktionsweise Infektion und Verbreitung Aufstöbern und entfernen Fazit

Thema: Viren Matthias Neeland

Definition: Virus

1972 Begriff Virus Science Fiction Geschichte

1980 Diplomarbeit „Selbstreproduktion bei Programmen“

1983 Doktorarbeit Begriff Virus etabliert


Definition: Virus

Schlagworte: Programm Replikat Trigger Auslöser Payload Wirkteil

Programm das repliziert


Virenarten

Der Standard-Virus

Nutzprogramm

Replikator

(Auslöser)

Wirkteil


Virenarten

Minen (Bomb) Keine Replikation!

(Auslöser)

Wirkteil


Virenarten

Pilz (Myko) Pilz = Mine + Replikator

Replikator

(Autostarter)

(Auslöser)

Wirkteil(Auslöser)

Wirkteil

(Auslöser)

Wirkteil


Virenarten

Wurm Makro-/Dokumentenvirus Systemviren

Boot-Viren Boot-Sektor-Viren ...


Verteilung 2001


Würmer52%

Boot14%

File1%

Makro28%

Trojaner5%

Klassifikation

Hoax (engl.) (Zeitungs-)Ente

harmlos gefährlich


Funktionsweise

Auslöser (Trigger) Wirkteil (Payload)

Kopierteil (Replikator) Autostarter


Funktionsweise

Beispiel Cascade 1701

Programmdatei Virus

Sprung-befehl

Ver-/Ent-schlüsseln


Infektionsmechanismen

Diskette Raubkopien Dubiose Software Mailboxen Netzwerke Shareware, Public Domain


Ausbreitungsmechanismen

Replikation Vervielfältigung 1-zu-1 Polymorphie

Anhängen an Dateien Mail


Aufstöbern & Entfernen

Virenscanner bekannte Viren Signatur

Checker Gültigkeitsprüfung Virus bleibt unbekannt

Blocker Alarmfunktion


Fazit

Was können Viren?

Was nicht?

Vorsorge – Besser ist das!


Trojanische Pferde

Thema: Trojanische Pferde Björn Mahn

Trojaner – Übersicht

Was ist ein Trojaner? Typen bzw. Klassifikationen

Backdoors Demonstration (Sub7)

Infektionsmechanismen Aufstöbern und Entfernen Rechtslage


Was ist ein Trojaner?

Benutzer

Programm


Was ist ein Trojaner?

Unterschied zu Viren Ist selbständig Keine Replikation

Trägerprogramm Replikation Trägerprogramm ist nur „Tarnung“


Nicht verwechseln!

Backdoor spezieller Trojaner Logische Bombe kein Trojaner

Trägerprogramm normale SW Auslösungszeitpunkt/ -ereignis

Easter Egg harmlose Form einer log. Bombe


Typen bzw. Klassifikationen

Normal

Autostart


Kombinationen

Spione

Backdoors

Dropper

Typen bzw. Klassifikationen

Normal


Kombinationen

Spione

Backdoors

Dropper

Backdoors

BackdoorServer

BackdoorClient

Internet

ahnungsloserBenutzer

Hacker

API u. Daten (Anf.)

Daten

Zugangsdaten


Demonstration


Demonstration

Sub7Server

Sub7Client

LAN

ahnungsloserBenutzer

Hacker


Infektionsmechanismen

Keine eigenständige Ausbreitung Trägerprogramm: Mail, IRC etc.

Toolkits Demonstration


Aufstöbern und Entfernen

“.... ist ein Programm, welches dem Benutzer eine gewisse Funktion vorspiegelt (Tarnung), jedoch eine andere (schädliche) ausführt.”



Allgemein Siehe Definition unmöglich

Dropper Virenscanner/ -monitor

Spione und Backdoors Firewall Systemübersicht/ -pflege



Systemübersicht/ -pflege Auffällige Veränderungen im FS

• Screenshots, „key.log“ Autostart (Spione und Backdoors)

• Windows-Registrierung, etc.• System.ini: shell=Explorer.exe

„Netstat –an“


Rechtslage

§ 202a StGB Ausspähen von DatenWer unbefugt Daten, die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind, sich oder einem anderen verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft.


Rechtslage

§ 202a StGB DatenveränderungWer rechtswidrig Daten löscht, unterdrückt, unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe bestraft.Der Versuch ist strafbar.


Denial of Service Attacken

Thema: Denial of Service Holger Kaßner

DoS – Übersicht

Was ist DoS? Welchen Zweck hat DoS? Welche Arten gibt es? DDoS Gegenmaßnahmen Fazit


Was ist DoS?

Denial of Service (Dienstblockade)

Ist die gewollte Überlastung eines Dienstes bzw. Servers, welche durch Dritte verursacht wird


Welchen Zweck hat DoS?

Server zu überlasten Server komplett lahm legen

Server ist nicht mehr verfügbar es entsteht z.B. wirtschaftlicher

Schaden, wenn dies mit Servern großer Firmen geschieht.


Welche Arten gibt es?

UDP Packet Storm

TCP SYN Flooding

PING Flooding


UDP Packet Storm

Große Anzahl (korrekter) Pakete wird an das Zielsystem geschickt, welches dann unter Last ausfallen kann.


TCP SYN Flooding

Aufbau (gefälschter) Verbindungen, die sofort wieder abgebrochen werden


TC P-Q ue lle TC P-Zie lSEQ = 4711FLAG S = SYN

SEQ = 5010AC K = 4712FLAG S = SYN, AC KSEQ = 4712

AC K = 5011FLAG S = AC K

PING Flooding

System wird mit (gefälschten) ICMP-Echo-Reply-Paketen belastet

Bei gefälschter Größe kann bei manchen Systemen zu weiteren Störungen führen

Mit gefälschter Absenderadresse kann dieses oder ein anderes System zusätzlich belastet werden


PING Flooding

O pfer

Angreifer

D ritter

Angreifer

O pfer

O pfer

Angreifer

H eader D aten vorgetäuschte D atenI CM P-Echo-Reply


DDoS

Distributed Denial of Service Koordinierte DoS-Attacken Effektiver als DoS

Opfer: Yahoo, eBay


Funktionsweise


Angreifer

H andler H andlerH andler

Agent AgentAgentAgentAgent AgentAgent

O pfer

Weiterentwicklung

Verschleierung der Kommunikation: Variable Portnummern bei TCP und

UDP Verschlüsselung „Wartbarkeit“ durch Updates von

Handlern und Agenten


Gegenmaßnahmen

Keine, nur Möglichkeiten nicht zum Handler oder Agenten zu werden: Konservative Systemkonfiguration Zeitnahes Einspielen von

Sicherheitspatches Dienste auf notwendigen Netzbereich

beschränken Verwendung von Verschlüsselung für

Authentifikation und Kommunikation


Fazit

cert.dfn.de: „Ein wirksamer Schutz vor Angriffen auf die Verfügbarkeit von offenen Systemen ist mit informationstechnischen Mitteln prinzipiell nur sehr eingeschränkt möglich.“

(cert = Computer Emergence Response Team)


Abschluß


http://schaedlinge.ptol.de

Documents

Viren, Trojanische Pferde & Denial of Service Attacken Matthias Neeland Björn Mahn Holger Kaßner