News In Java geschriebene Malware nutzt Java-Lücke aus

[Simpson474]

Wie sieht es eigentlich zurzeit mit Automatischen Updates bei Java aus?

Was erwartest du von Oracle - bei den ganzen Klagen gegen Google hatte man natürlich keinerlei Zeit sich solchen Aufgaben zu widmen

Die Funktionsweise eines Windowsservice ist immer noch nicht bis zu Oracle vorgedrungen und daher gilt auch weiterhin, ein Update ist nur mit Adminrechten möglich. Der Begriff "automatisch" dürfte bei Oracle völlig unbekannt sein, selbstverständlich gehen die Updates nur manuell. Ich muss jedoch eine kleine Korrektur abgeben - es wurden durchaus neue Features in das fortschrittliche Update-Programm integriert: seit einigen Versionen verbreitet das Update-Programm annähernd automatisch unerwünschte Software - und benötigt dafür noch nicht einmal eine der zahlreichen Sicherheitslücken in Java.

 

[hpichd10]

Für alle kleinen Linux Fanatiker hier ,Linux ist nicht sicher,schaut euch Android an und wenn eure Linux Distrubution genauso populär wäre und der Marktanteil steigt ,würde auch diese sehr interessant für Hacker werden und ein beliebtes Angriffsziel für Schadware und genau deswegen gibt es dafür auch kaum Schadware ,weil sich keiner so groß für eine bestimmte xyz Distribution interessiert.

Nur weil es dafür noch keine Schadware, oder sehr wenig gibt dafür ,heißt es noch lange nicht das Linux nicht angreifbar wäre .Es gibt auch andere Wege ein Linux zu infizieren ,ich sage hier nur Rootkits und die gab es auch für Linux schon .

Für viele sehr beliebte Distributionen wie Ubuntu wird es hier genauso zunehmen und man sollte auf ein anständiges AV nicht mehr verzichten ,auch wenn viele es als unnötig ansehen und überflüssig .

Aber klar ihr habt mal wieder die Ohren zu und wollt es nicht hören.

 

[Helmpflicht]

hpichd10, was redest du hier eigentlich tagein tagaus für ein Schwachsinn? 80% der Webserver laufen unter Linux, jetzt sag mir bitte nochmal, dass Linux kein lohnendes Ziel wäre.

 

[hpichd10]

Für Server ja ,aber nicht für den normalo User PC.

Was wollen sie da holen an Daten außer Bankdaten ,wenn man dieses über PC abwickelt ?

Somit interessiert es auch keinen der kleine User ist unwichtig,der zu Hause nur ein bissel surfen tut mit seinen PC und hier und da mal eine Mail abfragt .

Server oder ähnliches die hier angriffen werden dienen dann ehr der Daten Spionage in Firmen und da lohnt es sich sicher ehr.

Du kannst nicht Server und Desktop auf eines legen,somit ist es auch kein Schwachsinn.

 

[Greenmaxn]

Buttmad

Natürlich sind offene Systeme wie GNU/Linux und Windows prinzipiell etwa gleich gefährdet, was Schadware anbelangt.

Die Unterschiede liegen in der Konzeption: Linux-Distributionen (und viele andere unixoide Betriebssysteme) sind eher auf die Benutzung mit Paket-Managern wie apt-get, yum, ports oder pacman ausgelegt.
Das heißt, ein Team von erfahrenen Programmierern/Packagern betreut zusammen bspw. mit einem Sicherheitsteam ein Repository, von dem man sich Software mit einem bash-Befehl laden kann, und genauso wieder mit einem bash-Befehl wieder entfernen kann.
Auch die Updates erfolgen zentralisiert, ohne dass 20 verschiedene Daemons laufen müssen, wie bei Windows (Google Updater, Adobe Updater, Java Updater, etc.)
Bei Windows hingegen sind die Binaries über das komplette WWW verstreut, man lädt sich überladene Installer, die, wenn man nicht genau aufpasst, Adware und andere Dinge installieren.
Darüber hinaus sind die Privilegien meist anders verteilt. Man surft nicht einfach als root auf Linux, man surft als User mit eingeschränkten Rechten. Will jetzt ein Programm bspw. in den Autostart schreiben, Proxyeinstellungen ändern etc. funktioniert das nicht, außer das Programm wurde bereits mit root-Rechten gestartet. (und dafür ist ein Passwort notwendig). Währenddessen sind viele dieser Funktionen bei Windows bereits dem normalen "Admin"-User zugänglich.

Ums kurz zu fassen: Ja, wenn man sich das falsche Paket/den falschen Installer für bspw. Java lädt, den als root ausführt und er mit einem 0-Day-Exploit daherkommt, dann ist der PC genauso wie bei Windows gefährdet. Aber die Wahrscheinlichkeit, dass so etwas passiert, ist viel geringer, da ich dafür nicht erst rumsuchen muss, sondern mir die JRE einfach mit "sudo apt-get install openjdk-7-jre" installiere und damit sicher sein kann, ein mehrfach überprüftes, offenes, freies und signiertes Paket zu erhalten

Mit Android hast du natürlich recht, das würde ich aber auch etwas abseits der klassichen Linux-Varianten platzieren. Es verwendet zwar den Linux-Kernel, ist aber durch einen hohen Anteil an unfreier und geschlossener Software fehleranfälliger, genauso dadurch, dass oftmals Packages einfach von irgenwelchen Internetseiten runtergeladen werden und die Kontrolle des Google App Store wohl mehr als lasch ausfällt (im Vergleich bspw. mit dem Standard Debian Repository).

Ich hoffe, ich konnte dir damit etwas näherlegen, inwieweit Linux (zumindest in gewisser Weise) sicherheitstechnisch besser aufgestellt ist als Windows, ohne "hurr durr, Linux ist besser"

PS: Dass man Server und Desktop nicht auf eine Schiene legen kann, stimmt so nicht. Der Kern der benutzten Distributionen ist der selbe, am Desktop läuft dort eben der X-Window-Server mit KDE und dergleichen, auf einem Server sicher nicht, dafür eben bspw. ein mysql-Dienst und ein Apache-Webserver Grundlegende Sicherheitslücken, die die eine Sparte betreffen, würden damit ziemlich sicher auch die andere Sparte betreffen.

 

[hpichd10]

Sicher ist Android eine etwas andere Sache aber auch nur wegen Google und dem abgeänderten Kernel und weniger Rechteverteilung ,die einfach fehlt mal so und ich hoffe ja Google tut mal endlich was dagegen.

Nur leider ist dann auch die geliebte Freiheit futsch.

Das sagte ich ja auch nicht das Linux sicher ist ,deswegen meine Anspielung zur Popularität und das es Sicherheitslücken auch dafür gibt in Hülle und Fülle ist bekannt .

Ob Debian oder Ubuntu in etwas weiter entwickelter Form ,jedes davon hat seine Schwachstellen und alles beruht auf Linux, das es generell nicht angreifbar ist ist einfach falsch ,auch die von dir genannten Apt Dateien können inherhalb des Servers manipuliert werden und mit Schadware versehen werden und somit nutzen dir auch deine eingeschränkten Rechte nichts mehr.

Die Gefahr ist einfach da und dessen sollte sich jeder bewusst sein.

Schau dir nur Mac OS an ,wie sehr haben dort die eingefleischten User getrollt es sei ja so sicher und was war ein Flash Trojaner und die Sicherheit war dahin .

 

[Phneom]

@hpichd10
Sieh dir mal die Funktionsweise von den Distros an und erst dann Nörgel. Green beschreibt das ziemlich gut.
Nichtmal diese Malware würde übrigens am Rechte System vorbeikommen weil man Java mit root rechten Starten müsste bzw die Jar damit diese Systemdateien verändern kann....
100% sicher ist nichts außer vielleicht... na ihr wisst schon.

Ansonsten zu Android:
Das kannst du mit den aktuellen Distros nicht vergleichen weil anders aufgebaut. Such mal nach Dalvik, infizierte APKS nutzen Exploits aus(von Dalvik) und im PlayStore wirst du diese nicht finden. Die Anwendungen laufen in einer JavaVM + Sandbox.

 

[hpichd10]

Ich habe doch grade schon geschrieben schau dir Apples Mac OS an, oder Google bitte danach wie sicher dieses ist /wahr,dann können wir gerne weiter reden.

flasch back trojaner.... 100000 Rechner weltweit sind/waren davon betroffen.

Oder warum glaubst du nutzt man jetzt aufn Mac OS ein AV, oder warum wurde dieses entwickelt dafür ? Weil die User auch im glaubten sie seien ja so sicher.

Deine Rechtverteilung die du hier ansprichst, ist gelinde ausgedrückt fürn A*** !!

Ein offenes Buch klipp/klapp ,aufgeschlagen und zugeschlagen.

Und jetzt komme mir bitte nicht ,ich kann Mac OS nicht mir Linux vergleichen.

Das war eine gute Lehrvorführung und ein gewaltiger Schock für die Apple Welt ,für derer die nun erkennen mußten ,das ihre geliebete Sicherheit garnicht so sicher ist ,wie sie immer glaubten.

 

[Phneom]

Nichts für ungut aber wer einen gefälschten Flash installer ausführt und nicht merkt das dieser auf Java aufbaut hat es nicht anders verdient bzw auf vermeintliche Updates im Internet klickt ( ala Divx Player 1000000% FREEEEE!!! ) Die root rechte konnten nur durch die Schwachstelle im eigentlichen Java selbst erlangt werden, weil Apple das Update verzögert ausgeliefert hat zudem musste sogar das Java Plugin aktiv sein für einen Drive-bye Download. Schwachstelle nicht zeitnah geschlossen - fertig.
Nur weil beides Unix basierend ist, ist es übrigens nicht gleich. Suche mir mal einen aktiven Nativen Trojaner der nicht auf Java aufbaut.
Du kannst als besonders paranoider Mensch auch Java komplett in sämtlichen Distros entfernen dann dürftest du das Problem gelöst haben und auch besonders intelligente klicksüchtige primaten dürften keine Probleme mehr haben

2. Du vergisst übrigens leider auch das die größte Schwachstelle der Mensch ist und jetzt denk mal scharf nach:

Wer sitzt vor Linux Rechnern ?
Wer sitzt vor Macs ?
Wer sitzt vor Windows PC's? - hier dürfte es sich wohl aufteilen....

Merkst du was ? Leute die sich mit ihrem OS beschäftigen wissen ganz genau was wann zu machen ist. Du wirst kein 100% sicheres System finden ich auch nicht. Nur wenn die Leute ihre Software aus dem Repo ziehen es kaum native Schadsoftware gibt und dann noch einer davor sitzt der was im Kopf hat dann dürfte das Risiko fast bei 0 liegen.
Es kann sein das man irgendwann mal einen AV Scanner braucht aber jetzt oder in nächster Zeit ? Nö zumal die auch nur immer hinterherhecheln und nur einen Teil zum Sicherheitskonzept beitragen.

Ansonsten ändere mal deinen Ton:

"Für alle kleinen Linux Fanatiker hier"
"Deine Rechteverteilung"

Dazu noch wahr.
Sind alles Punkte wo mir meine Zentrale sagt das du (um es mal für dich deutlich zu machen) gelinde gesagt unreflektierten Müll laberst und Leute grundlos anmachst weil dir mal ein Furz quer liegt. Weitere Diskussionen erspare ich mir, weil du im Endeffekt trotz aller genannten Punkte immer wieder die nächste Viren Apocalypse für unix basierte Systeme vorraussiehst.

 

[Blutschlumpf]

Ab und zu sollte man halt Java updaten... dafür sind die Updates ja da.

Ich denke die Antwort ist relativ einfach:

Leider aktualisiert sich Java RE nicht automatisch im Hintergrund...

Was soll bitteschön die Scheiße, die die mit jedem Update abziehen?
Wieso ist es nicht möglich Java einfach wie nen Mozilla automatisch upzudaten?
Stattdessen ne beknackte Meldung und man muss alle 2 Wochen das Update manuell installieren und jedes Mal wegklicken, dass irgendein Crap dazu installiert wird.

Alle paar Monate fragen mich meine Eltern was das da ist und ob die das machen sollen. Selbst Windows schafft es sich selber zu aktualisieren, warum so eine Software wie Java nicht ?


Ich frag mich seit Jahren warum Java so verbreitet ist.
Ständig Sicherheitlücken, dauernd Updates, jede 2. Java-Software funktioniert nicht richtig mit diversen Java-Versionen, totales Durcheinander weil die offensichtlich nicht ein "aktualisier alles was Java im Namen trägt" Programm hinbekommen.

 

[hpichd10]

@ Phneom

Meinst du Leute die einen Mac haben beschäftigen sich nicht damit? Zumal Mac als 100% sicher galt und geschlossenes System.

Aber wie heißt es so schön diskutiere mit einem Stück Holz,es bringt nichts !!!

Somit hast du Recht und ich meine Ruhe .

Linux besitzt genauso Rootkits, die so ziemlich alles auf deinem System kaputt machen können .

Aber da du ja alles weißt anscheinend ,denke ich muß ich auch mit dir nicht über den weiteren Werdegang diskutieren ,wie diese Malware dann auch auf einen Linux Rechner gelangen und auch bei Menschen die was im Kopf haben .


Und wo wir grade schon mal dabei sind ,du stellst hier Leute grade als dumm da ,wenn diese sich Malware aufn ihren Rechner durch was auch immer geladen haben ,sehr gutes Beispiel für deine Tonart !!

Du solltest echt noch viel lernen und dich mit Linux ausführlicher und gründlicher beschäftigen ,bevor du andere hier dumm machst und selber nicht mal weiß wie gelangt solche Malware überhaupt auf den Rechner.

Und es nicht mit sinnlosen Diskussionen und Beleidigen abtun .

Hand of Thief Trojaner 2013 stielt Daten
Linux Hutizu Trojaner 2012 Backdoor Linux

Es gibt also kaumt Schadware soso .... ich habe sie dir mal freundlicher Weise aufgezeigt und auch einen Link mit hinzugepackt,was du daraus machst ist deine Sache.

http://mikespeier.cwsurf.de/wordpress/2012/09/30/linux-und-viren-das-ende-eines-maerchens/

Linux egal welcher Art ist ein QuellOffenes System und immer genauso anfällig gegen Viren,Trojaner und Rootkits wie Windows,Mac OS,oder andere Unix Ableger.

Wenn dieser Binnare Code geändert wird und in einem System mit Linux eingeschleust wird, ist es mit deinem "ich bin ja schlau im Kopf und habe Linux drauf ,mir passiert ja nix Gebluber vorbei. "

Und nun reiß dich mal ein bisschen zusammen und fange an sachlich und mit Argumenten zu diskutieren und nicht mit deiner persönlichen Meinung ,es interessiert keinen hier, aus und fertig.

 

[Cool Master]

Linux besitzt genauso Rootkits, die so ziemlich alles auf deinem System kaputt machen können .

In der tat, allerdings läuft das wie unter OS X erst nach der Passwort Eingabe und wenn aufeinmal die Passwort Abfrage kommt ohne das man was getan hat würde man denke ich nicht das PW eingeben.

 

[hpichd10]

Man weiss es nicht in wie fern der Rottkit dann was anzeigt und sich getarnt als Systemmeldung ausgibt.

Wenn er schon Zugriff hat auf ein Linux System ,weil er eine Meldung ausgibt wie du sagtest und verlangt ein PW ,so hat er schon mal gewisse Rechte erlangt .

Was es anrichten kann sieht man ja am BKA Trojaner und unter Windows ,der zwar schlecht programmiert wurde ,aber doch mit den Jahren immer agressiver zu Sache ging ,bis hin zum löschen von Dateien ,bzw. verschlüsseln.

Da sowas zwar ehr nicht geht unter Linux mit dem Trojaner ,wie unter Windows da ihm auch die Registry fehlt ,aber den noch Dateien getarnt abgelegt werden können auch unter Linux ,ich will es nicht erleben.

 

[Cool Master]

@hpichd10

Für Updates muss man kein PW eingeben, außer es wird etwas am Kernel geupdatet aber das passiert nicht wirklich oft und wenn sieht man ja direkt was sich installieren will und man kann schauen ob man so ein Paket schon auf dem Rechner hat. Wie gesagt die Chance das man unter OS X oder Linux sich etwas einfängt ist sehr sehr Gering - wenn man aufpasst natürlich. Wenn ich bei allem und überall mein PW eingebe ist es klar das ich damit nicht sicherer fahre als unter Windows. Dazu kommt, wie du schon sagtest, dass es Repos gibt. Ich wüsste jetzt ausm Kopf nicht das ein (großes) Repo schon mal gehackt wurde.

 

[hpichd10]

Das es geht sah man ja bei Sony vor ein, oder zwei Jahren wo das war ,wo sie sämtliche Bankkonten leergeräumt haben von Usern ?

Ganz üble Sache ,aber auch nur weil mit schlecht und veraltetet Software gearbeitet wurde .


Das sollte man auch unter Linux nicht vergessen ,ein Sicheres System ist auch nur dann sicher ,wenn es aktuell ist und der User selber auch dazu beiträgt ,das kein unberechtigter Dritter auf seinem System eindringt kann.

Das es manchen egal ist sieht man ja Eindrucksvoll auch hier,ein Virenprogramm brauche ich nicht unter Linux und eine Firewall auch nicht ,es ist ja sicher und genau dieser Grundgedanke ist falsch .

Die MacOS Welt dachte auch mal so und es wurde ihnen gezeigt das sie verwundbar sind,nicht mal weil sie dumm waren, oder sich nicht damit beschäftigt haben ,nein weil sie genauso dachten ,ich bin ja sicher mir kann ja nichts passieren und Schutzsoftware brauche ich schon mal garnicht ,bzw. gab es dafür ja auch zu der Zeit noch nicht ,weil jeder dachte das dieses System unantastbar wäre.

 

[Cool Master]

Das ist klar, wenn das OS nicht Up2Date ist kann es natürlich nicht sicher sein.

Bzgl. Viren Scanner:

Na ja man brauch sie nicht wirklich für Linux oder den Mac. Wenn man halt Binaries aus nicht super sicheren Quellen bezieht muss man sich aber nicht wundern wenn man was abbekommt. Hält man sich an App Store, Repos und ein halbwegs sicheren Browser mit AdBlock + Noscript so ist das ganze kein Problem.

 

[Miuwa]

@Cool Master: Mit der Passworteingabe läuft das doch genauso unter Windws oder täusche ich mich?

 

[Humaer]

Hmmmm. hpichd10 sagt, dass ich einen Virenscanner für mein FreeBSD-Linux brauche - andere sagen ich brauche keinen. Was denn nun ? Jetzt bin ich doch etwas verunsichert.
Gibt es eigentlich "Security Essentials" auch für BSD ? Der ist ja kostenlos und soll ganz gut sein.

 

[Cool Master]

@Miuwa

Ähnlich. Ein Account unter Linux/OS X hat aber keine root Rechte. Durch die Passwort eingabe wird das ganze als root ausgeführt nicht über dein Account.

@Humaer

Wenn du nicht gerade ein Tausch"server" betreibst auf dem jeden Tag 50 USB Stick eingesteckt werden brauch man kein Viren Scanner. Du musst halt wissen was du machst sprich nur aus Rpeos laden oder Quellen welche du 100% vertrauen kannst.

 

[rille]

@JuggernautX

Das letzte mal das ich Java aktiviert haben musste war in den 90er... Seit dem hat keine Seite ich besucht habe Java mehr dabei. JavaScript ja, aber das ist was anderes.

Es gibt durchaus mehr als Java-Applets auf Webseiten

Ich frag mich seit Jahren warum Java so verbreitet ist.

Lern programmieren, dann weißt du es...