News FTP-Client FileZilla mit eingebautem Trojaner im Umlauf

[Helmpflicht]

Damit meint er wohl, dass Leute, die Zugriff auf einen (FTP-)Server haben, ein Mindestmaß an Kenntnissen der IT-Sicherheit haben sollten.

 

[Greenmaxn]

Mal im ernst, wie findet man solche Seiten? Auf den ersten 2 seiten von google schon mal nicht...

 

[Randy89]

Bei Virus Total kann man jetzt jedenfalls mal sehen, wie lange die Hersteller brauchen, bis ihre Scanner reagieren.

At VirusTotal we are tired of repeating that the service was not designed as a tool to perform antivirus comparative analyses, but as a tool that checks suspicious samples with several antivirus solutions and helps antivirus labs by forwarding them the malware they fail to detect. Those who use VirusTotal to perform antivirus comparative analyses should know that they are making many implicit errors in their methodology, the most obvious being:

• VirusTotal's antivirus engines are commandline versions, so depending on the product, they will not behave exactly the same as the desktop versions: for instance, desktop solutions may use techniques based on behavioural analysis and count with personal firewalls that may decrease entry points and mitigate propagation, etc.
• In VirusTotal desktop-oriented solutions coexist with perimeter-oriented solutions; heuristics in this latter group may be more aggressive and paranoid, since the impact of false positives is less visible in the perimeter. It is simply not fair to compare both groups.
• Some of the solutions included in VirusTotal are parametrized (in coherence with the developer company's desire) with a different heuristic/agressiveness level than the official end-user default configuration.

https://www.virustotal.com/de/faq/
Auch wenn die Scanner bei VT selber so lange brauchen oder immer noch nichts gefunden haben, kann es immernoch sein, dass ein Verhaltensschutz-Modul oder ähnliches die Ausführung verhindert.

 

[CloakingDevice]

@anonymous_user
Doch, das Interesse besteht bei Microsoft durchaus. Wenn auch primär aus dem Grund damit Geld zu verdienen. Deshalb hat man ja in Windows 8 den zentralen Store eingeführt.

@malachias
Das OS hat im Grunde nichts mit dem Trojaner zu tun. Es geht viel mehr darum aus welcher Quelle du Filezilla beziehst. Auch eine Mac-Version wäre einfach erstellt, auch wenn es dafür wie bereits gesagt, bisher keine Anzeichen gibt. Also gilt nach wie vor: Augen auf.

 

[Cool Master]

Auch eine Mac-Version wäre einfach erstellt, ...

Nope. Dank der neuen Funktion in OS X Lion kann man einstellen, dass nur Apps erlaubt werden die aus dem App Store oder von Verifizierten Entwicklern kommen. Daher ist die Gefahr bei OS X deutlich geringer als bei Linux oder OS X.

Trotzdem würde ich nur direkt von bitbucket oder Github laden und nicht von 3. Quellen.

 

[KillX]

Nope. Dank der neuen Funktion in OS X Lion kann man einstellen, dass nur Apps erlaubt werden die aus dem App Store oder von Verifizierten Entwicklern kommen. Daher ist die Gefahr bei OS X deutlich geringer als bei Linux oder OS X.

Trotzdem würde ich nur direkt von bitbucket oder Github laden und nicht von 3. Quellen.

Aha die Gefahr bei OS X ist also geringer als bei OS X ?
Entweder meinst du Windows oder ältere OS X Versionen ^^

Und das mit Linux versteh ich nicht. Wenn man Pakete nur aus dem default repo zieht ist das mMn genauso sicher.

 

[Cool Master]

Ähh Natürlich Windows

Klar wenn man aus dem Def Repo zieht es es sogar unter Windows 100% sicher Nur werden einige das nicht machen.

 

[bu.llet]

Ist die schärfere Einstellung bei OS X default? Wenn nicht werden 99% das sicher nicht so eingestellt haben.

Solange Deine Version aus den Paketquellen Deiner Distribution stammt, sollte das sicher sein.
Allerdings hat beispielsweise Debian (und vermutlich andere auch) ein Problem mit GnuTLS 3.x und nutzt daher ah vielen Stellen noch 2.12.x. Das Problem ist, dass GnuTLS 3.x nicht mit der LGPLv2.1+ kompatibel ist. Das liegt an Nettle, das von GMP abhängt. GMP ist aber unter LGPLv3+ lizensiert.

Ahja. Einige Akronyme konnten entschlüsselt werden.
Die Hürde bei Linux - sofern man nicht händisch installiert - ist ja auch erst mal ein kompromittiertes Repository zu erstellen und dieses entsprechend zu propagieren damit auch Leute davon ziehen.
Bei den "normalen" Repo-Quellen ist man doch schon ziemlich sicher.

 

[Cool Master]

@bu.llet

Standard ist der "Mittelwert" Es gibt 3 Punkte:

• Nur App Store
• Nur App Store & Verifizierte Entwickler --> Default
• Keine Einschkränkung

Leider zum Teil sehr blöd. Ich hatte z.B. erst ein Kunde der eine ältere version von Filezilla nicht nehmen wollte bis ich ihm erklärt habe und versichert habe das Bitbucket als Quelle sehr sicher ist.

Man kann durch ein Rechts Klick (bzw. Strg + Klick) über Öffnen das Programm öffnen auch wen es nicht von einem Verifiziertem Entwickler kommt. Das ist praktisch ein "Manuelle Keine Einschränkung".

 

[Tuxman]

Hihi, FileZilla... die zur "Sicherheit" auf Sourceforge verlinken - und Sourceforge mischt bekanntlich selbst Adware in das FileZilla-Installationsprogramm.

Profis.

 

[DocWindows]

Tja, und die Lösung des Problems wäre so einfach. Nennt sich Repository
Damit könnte Microsoft jeglichen Fake Download Seiten einen Riegel vorschieben. Will man aber Offenbar nicht.

Was hat Microsoft damit zu schaffen dass du dir irgendwelche komishce Software aus dubiosen Quellen auf dem Computer installierst?
MS hat ein Repository für die Wartung der Software die von ihnen kommt. Nennt sich Windows Update. Wenn du z.B. Filezilla in deinem Linux-Repository nicht finden solltest und gezwungen wärst es per Hand zu installieren kann dir genau das gleiche passieren. Mußt nur ein installierbares Paket aus dubiosen Quellen laden. Dem gegenüber gibts die Möglichkeit direkt vom Hersteller zu laden, und zwar für Linux und Windows.

Weiß gar nicht warum so viele nach einem Software-Repo für Windows schreien. Wer soll das bereitstellen? Wer soll es warten? Vertraue ich demjenigen der es bereitstellt? Enthält es alle Programme die ich brauche?
Ich lade mir lieber die Programme die ich jeweils von den jeweiligen Herstellerseiten runter. Mir würde es schon reichen wenn sich alle Anbieter von Windows-Software mal dazu durchringen würden den integrierten Paketmanager (MSI Installer) zu nutzen und keinen Drittanbieterkram der am System vorbei installiert.

 

[Tuxman]

Weiß gar nicht warum so viele nach einem Software-Repo für Windows schreien.

Echt.

 

[DocWindows]

@Tuxman: Nö, dann lieber Npackd. Hat ne schöne GUI dabei.

 

[Tuxman]

Es gibt sicherlich auch GUIs für Chocolatey, wieso auch immer...

 

[CloakingDevice]

Nope. Dank der neuen Funktion in OS X Lion kann man einstellen, dass nur Apps erlaubt werden die aus dem App Store oder von Verifizierten Entwicklern kommen. [...]

Doch. Das macht das Erstellen der manipulierten Version in keinster Weise schwieriger.

Das einzige, was erschwert wird ist die Ausführung des Programms. Und zwar durch einen einzigen Warnbildschirm. Der wohlgemerkt auch erscheint falls du Filezilla von der offiziellen Seite beziehst. Das ist übrigens deine einzige Bezugsmöglichkeit, denn im Mac App Store ist das Programm nicht verfügbar.

-> Get your facts straight.

 

[Cool Master]

Doch. Das macht das Erstellen der manipulierten Version in keinster Weise schwieriger.

Aber 100% wird es das. Da man erst mal Geld zahlen muss ($99) hinterlässt man eine Geldspur diese kann man zurück verfolgen und, auch wenn er es nicht war, Urheber damit herausfinden. Somit wäre der Weg frei für Straf- und Zivilansprüche gegen diese Person bzw. das Unternehmen. Damit würde sich ein Täter also praktisch auf dem Teller servieren.

Mir ist klar das die einzige Bezugsmöglichkeit Sourceforge ist, da die Entwickler eben nicht einsehen $99 im Jahr zu zahlen - kann man auch verstehen.

-> Get your facts straight.

Oh die sind gerade, mach dir da mal keine Sorgen

 

[CloakingDevice]

Wenn dir das klar war macht deine Aussage überhaupt gar keinen Sinn mehr.

 

[anonymous_user]

Was hat Microsoft damit zu schaffen dass du dir irgendwelche komishce Software aus dubiosen Quellen auf dem Computer installierst?

Du behauptest also selber, das Microsoft nicht die Usabiltiy und Nutzerfreundlichkeit zum Ziel haben sollte? Und welche Komische Software(Filezilla)? Und woher weiß der normale Nutzer überhaupt welche Quelle "Dubios" ist und welche nicht? Genau genommen ist nämlich weder die Viren Freie Original Quelle(Sourceforge) noch die von dir "Dubios" betitelte Quelle wirklich "Seriös".
Soll das jetzt die Dauerhafte Lösung sein das "Normalo" Nutzer sich unter Windows erstmal damit beschäftigen sollen welche Quelle Seriös ist, wo man sowieso schon nebenher darauf achten muss das man sich unter Windows nicht schon unter Seriösen Quellen was einfängt (eingeschleuste Scripte) nur durch Besuch einer Seite ohne Script Blocker?

Spoiler: OT deshalb Spoiler

Wenn du z.B. Filezilla in deinem Linux-Repository nicht finden solltest und gezwungen wärst es per Hand zu installieren kann dir genau das gleiche passieren.

Hätte, könnte, würde. Ist aber nicht so, Ende. Davon ab kann ich mir weitere Repos hinzufügen, wenn ich einmal eine Seriöse Quelle habe, merke ich mir die einfach oder mach eine Sicherung der Sources.list. Kann also nach der Neuinstallation die Repo direkt wieder reinkopieren, oder die Repo Seite besuchen und eine andere Version wählen, falls ich eine andere Systemversion benutze.

Mußt nur ein installierbares Paket aus dubiosen Quellen laden. Dem gegenüber gibts die Möglichkeit direkt vom Hersteller zu laden, und zwar für Linux und Windows.

Macht man sich unter anderen Systemen aber nicht so kompliziert, weil man dort schon im Umgang mit dem System gewohnt ist:
1. Software nicht auf so umständlichen wegen zu Installieren.
2. Misstrauisch ggü. Fremdsoftware und Quellen zu sein.
3. Wesentlich mehr Software in den Vertrauten/Seriösen Quellen zur Verfügung steht.

Weiß gar nicht warum so viele nach einem Software-Repo für Windows schreien.

-Nach einer Neuinstallation und Update orgie, die bei Windows sowieso schon viel zu lange dauert, darf man sich auch noch jedes Programm einzeln aus dem Internet besorgen, samt Kontrolle das Google/Bing/whateverSE einen nicht auf eine Unseriöse Quelle weiterleitet.
-Jedes Programm wird einzeln geupdatet, was dann entweder mit dem für jedes Programm zusätzlichen Update Dienst geschieht(zusätzliche Verschwendung von Ressourcen) oder man nochmals die Seriöse Quelle raussuchen darf.

Wer soll das bereitstellen? Wer soll es warten? Vertraue ich demjenigen der es bereitstellt? Enthält es alle Programme die ich brauche?

Wer wohl, natürlich Microsoft, mit der Möglichkeit weitere Repos hinzuzufügen, und für den Business Bereich den eigenen Windows Server als Repo zu benutzen. Wenn man Microsoft in dem Fall nicht vertraut, naja, der sollte wohl kein Windows mehr nutzen. Und die Option Software Manuell zu Installieren muss ja nicht geschlossen werden. Nur spart dir der weg über Repos viel Zeit und Nerven.

Ich lade mir lieber die Programme die ich jeweils von den jeweiligen Herstellerseiten runter.

Kannst du ja auch mit Repository weiterhin so handhaben, mir ist's aber eine zu Große Zeitverschwendung, wenn man bedenkt das es Funktionierende, Sicherere Alternativen gibt.

 

[MountWalker]

Sorry fürs "wiederausgraben", aber es gibt einen akuten Grund: Das aktuelle AVG 2014 Free Edition erkennt das "Original"-Filezilla-Windows-Paket von Sourceforge, vermutlich wegen der Adwareverseuchung, als eindeutigen Virus. Ist erstmal ein False Positive, kommt ja vor, aber: Egal wie oft man auf "ignorieren" klickt oder wie weit man in den Einstellungen von AVG 2014 Free Edition nach einer Einstellung dafür sucht, die einzige Möglichkeit die Installations-EXE von SourceForge zu öffnen, besteht darin, den Echtzeitschutz von AVG zu deaktivieren, weil sich AVG 2014 nicht merken kann, dass man eine Datei als falschpositiv bewertet hat.

Ich hab, um die Gefahr auszuschließen, dass Sourceforge vielleicht gecrackt wurde, mit Windows 8 Defender und McAfee Labs Stinger (tagesaktuell) gegengecheckt - ist ein False Positive von AVG.

Insofern kann ich anonymous_user nur beipflichten: Der normaluser hat schlechte Chancen die sichere Quelle zu erkennen, weil ja aktuell gerade die sichere Quelle für die geraten 10% der Windows-User, die AVG einsetzen, als unsicher gebrandmarkt wird.

 

[Helmpflicht]

Du weißt es wahrscheinlich selber, aber am besten kann man Dateien gegenchecken, indem man Virustotal nutzt. Bei mir ist es sogar direkt unter "Senden an" zu finden.