News Neue Conficker-Angriffswelle am 1. April

[Turrican101]

Warum sollte es? Es wird wohl wenn nur hirnlose user treffen die auf jeden mist draufklicken, und dateien aus jeder quelle saugen und am besten ihren ungesicherten rechner in die dmz stellen... Mit UAC oder vista hat das nix zu tun.

Sasser (oder wars Blaster?) hätte damals durch die UAC auch geblockt werden können und den hat man sich auch eingefangen, wenn man kein hirnloser User war. Da hat ja auch jeder gesagt "hey ich hab doch XP SP1 undn Virenscanner, mir kann nix passieren"
Aber UAC ist ja nervig und sollte deshalb abgeschaltet werden, "man hat ja Vista SP1 undn Virenscanner"...

 

[Azi]

Tja ohne Patches kein sicheres System.

Conficker kann mir jedenfalls nix.

 

[Timmynator]

Also ich habe die Erfahrung gemacht, mit Win98, WinNT und WinXP über Monate hinweg keine aktuellsten Updates zu nutzen, sondern nur die jeweiligen Servicepacks. Kein Virenscanner oder Softwarefirewall. Stundenlang gesurft, auch in zwielichtigeren Ecken. Kurz vorm Format C aktuellen Virenscan des Komplett-System gemacht... immer gleich 0. Und jetzt eben auch... nix!

Die Service Packs sind im Wesentlichen nichts anderes als eine Zusammenstellung der wichtigsten Patches. Und nur, weil ein Virenscanner nicht anschlägt, muss das nicht heißen, dass der Rechner nicht infiziert ist.

 

[Gafuliz]

Ich hab die ganze Diskussion verflogt, aber eine Sache versteh ich immer noch nicht: Woher weiß (wer auch immer) wie viele Rechner befallen sind und wie kann jeder einzelnen das überprüfen (gar nicht, da die Scanner Conficker nicht finden?!).
Danke schon mal für die klärenden Worte

 

[noskill]

Stimmt so nicht ganz. Eine Linuxkiste kannst du idR ganz gut über Exploits für Server-Applikationen die im Hintergrund laufen kapern.

idR Kapern?

Damit kannst du vielleicht den XServer einfrieren...
Da mache ich mir mehr Sorgen bei proprietären Treibern, da die meisten Hersteller meinen keinen vernünftigen Treibersupport für Linux bieten zu müssen.

idR höre ich ständig von Würmern, die sich wie Epidemien auf Windows-Systemen verbreiten.
idR sind die ganzen Botnetze Windowsrechner.

Wenn du Flash (was ja auf Java basiert) in den root Ordner legst bist du selbst schuld...aber allgemein in Bezug auf Java gebe ich dir durchaus recht.
Die Wahrscheinlichkeit, dass jemand aber in einem bestimmten Browser einen Exploit auslösen kann, diesen Exploit schafft auszunutzen um root Zugriff zu erlangen und dann ein Script nachlädt, dass sich übers Netzwerk selbstständig verbreitet, ist im Vergleich zu einem Windows-System um Längen geringer und das hat nichts mit der hohen Verbreitung von Windows zu tun.
Dazu sind die Kernel distributionsspezifisch noch nachgepatcht...

Bei Windows hingegen kann jedes Script, jedes Programm, jeder Cookie schon vom Prinzip ganz leicht Zugriff auf die Systemdateien erlangen, da hilft auch dieser Pseudoschutz bei Vista nichts, der abfragt ob ein Programm wirklich ausgeführt werden soll.

 

[Azi]

natürlich hilft der schutz genau dort.
Solange der Dialog nicht bestätigt ist, ist das programm nicht "root".

systemdateien können auch seit xp nicht einfach so verändert werden, windows erkennt das.

Das Problem an windows ist nicht windows, sondern dass viele keine Patches installieren. Ein gepatchtes windows ist nicht gefährdet.

Linux hilft da auch nichts wenn man nicht patcht, idR benutzen komplette daus noch kein Linux und die verbreitung gammelt seit ewigkeiten bei ~1% von daher kommt auch kein interesse seitens der Viren/ Botnetzautoren.

siehe dazu noch:
http://www.heise.de/security/Sophos-Linux-spielt-wichtige-Rolle-in-Botnetzen--/news/meldung/103563

 

[Timmynator]

Ich hab die ganze Diskussion verflogt, aber eine Sache versteh ich immer noch nicht: Woher weiß (wer auch immer) wie viele Rechner befallen sind und wie kann jeder einzelnen das überprüfen (gar nicht, da die Scanner Conficker nicht finden?!).
Danke schon mal für die klärenden Worte

Hier kann man sehr schön nachlesen, was er alles auf dem eigenen Rechner anstellt.

Durch Reverse Engineering des Wurms durch Firmen wie Symantec oder SRI konnte die ungefähre Anzahl an infizierten Rechnern geschätzt werden. Man hat herausgefunden welche Sites der Wurm zwecks Update kontaktiert und die Anzahl der PCs gemessen, die Verbindung mit diesen Seiten aufgenommen haben.

 

[b@iR]

Das gruselige ist vll. haben schon welche von uns den Conficker und wissen es nicht.
Aber das mit den sicheren Passwörtern bringt doch nichts wenn Keylogger eingesetzt werden.
9 mio. ist zwar ne gewaltige Zahl aber Weltweit?
Allein in Deutschland haben ungefähr schon die hälfte der Einwohner einen Interneanschluss und in den anderen europäischen Ländern wird das wohl fast genauso sein und dann kommt ja noch China, die USA und Russland dazu und allein in China haben ungefähr 300 mio. Menschen einen Internetzugang also ist da 9 mio. noch ne vertrettbare Zahl.

Deswegen mache ich mir auch nicht großartig sorgen das es mich mit den Conficker treffen kann.

PS: Wieso zum Teufel heisst der eigentlich Conficker und nicht Confucker?
Der heisst ja auch auf internationalen Seiten so, ist der aus den deutschsprachigen Raum?

 

[Timmynator]

so zum Teufel heisst der eigentlich Conficker und nicht Confucker?
Der heisst ja auch auf internationalen Seiten so, ist der aus den deutschsprachigen Raum?

War wohl nur eine Frage der Zeit, bis das Wortspiel aufkommt. Das dürfte nichts mit dem deutschen Wort zu tun haben, sondern dürfte ein Kunstname sein. Wenn man sich die Namen anderer Würmer anschaut, ergeben die auch nicht zwingend einen Sinn. Downadup, das Alias des Wurms, ergibt zumindest keinen offensichtlichen Sinn.

 

[pabitto]

wo kann ich updates runterladen, die ich dann auf einem offline rechner ausführen kann? hoffe jemand weiß, was ich meine...

geht es hiermit oder wird xp da auch auf validität geprüft?

http://www.heise.de/ct/Offline-Update--/projekte/133634


gruß

 

[Zer0day]

Sasser (oder wars Blaster?) hätte damals durch die UAC auch geblockt werden können [...]

Selten so einen Müll gehört.
Was bitte soll dein tolles UAC gegen einen Exploit anrichten, der einen Dienst angreift, welcher mit NT AUTHORITY/SYSTEM-Rechten läuft?
UAC ist grundsätzlich eine gute Sache, jedoch kein Allheilmittel!

 

[pabitto]

ok, dann hast du sicher nen guten tipp...

 

[noskill]

natürlich hilft der schutz genau dort.
Solange der Dialog nicht bestätigt ist, ist das programm nicht "root".

Sobald das Programm sich zum Starten gemeldet hat ist es auf Systemebene.
Ab diesem Moment kann es alles im Windows System (auch bei Vista) machen.
Ob du den Knopf drückst oder nicht interessiert ein Programm nicht, das ausgeführt werden will.
Es klinkt sich einfach in diese "Kontrollroutine" ein und fertig, da jedes Programm auf die Systemdateien zugreifen kann.
Das der Benutzer das oft nicht kann ist eine andere Sache...
Und root oder etwas annähernd Vergleichbares gibt es bei Windowssystemen nicht!
Genau da liegt die größte Schwachstelle.
Bei Unix und Linux existiert auf Kernelebene eine strikte Benutzertrennung!

systemdateien können auch seit xp nicht einfach so verändert werden, windows erkennt das.

Windows XP erkennt überhaupt nicht, wenn Systemdateien ungenemigt manipuliert worden!
Sonst würden auch solche Dinge wie XP Antyspy nicht funktionieren.
Der beste Beweis dafür ist der Kopierschutz StarForce!
Denk mal darüber nach...

 

[Creshal]

Windows XP erkennt überhaupt nicht, wenn Systemdateien ungenemigt manipuliert worden!

http://support.microsoft.com/kb/222193
Kein Kommentar...

 

[noskill]

http://support.microsoft.com/kb/222193
Kein Kommentar...

Stimmt, kein Kommentar:
http://wapedia.mobi/de/StarForce#2.

Zwischen soll und ist gibt es einen ziemlich bedeutenden Unterschied!

Falls die Datei geschützt ist, sucht der Windows-Dateischutz nach der Dateisignatur in einer Katalogdatei, 
um zu überprüfen, ob die neue Datei in der richtigen Version vorliegt. 
Wenn die Datei nicht die richtige Version aufweist, ersetzt der Windows-Dateischutz 
die neue Datei durch die Datei aus dem Cacheordner (falls sie sich dort befindet) oder aus der Installationsquelle. 
Der Windows-Dateischutz sucht in der angegebenen Reihenfolge an den folgenden Orten nach der korrekten Datei:

   1. Cacheordner (standardmäßig "%Systemroot%\System32\Dllcache").
   2. Netzwerk-Installationspfad, wenn das System über das Netzwerk installiert wurde.
   3. Windows-CD, wenn das System von CD installiert wurde.

Selbst wenn das Prüfsystem greift, z.B. weil die Dateisignatur nicht gefälscht wurde, werden von der Prüfroutine wieder hunderte Möglichkeiten aufgetan die Routine selbst zu blocken.
Deshalb nochmal -> StarForce, XP AntiSpy

 

[ChilliConCarne]

idR Kapern?

Damit kannst du vielleicht den XServer einfrieren...

http://www.heise.de/security/Root-Exploit-fuer-Linux-Kernel--/news/meldung/103279
Da geht bzw. ging noch weit mehr.

idR höre ich ständig von Würmern, die sich wie Epidemien auf Windows-Systemen verbreiten.
idR sind die ganzen Botnetze Windowsrechner.

Habe ich vorher etwas anderes behauptet?

Die Wahrscheinlichkeit, dass jemand aber in einem bestimmten Browser einen Exploit auslösen

Browser? Du meinst, Einbrüche passieren nur über den Browser?

ist im Vergleich zu einem Windows-System um Längen geringer und das hat nichts mit der hohen Verbreitung von Windows zu tun.

Wieder: Habe ich das behauptet? Lies doch bitte nochmal meinen vorherigen Beitrag.

Dazu sind die Kernel distributionsspezifisch noch nachgepatcht...

Hier andersherum: Habe ich oben nicht eben das Selbe gesagt?


Ich glaube du verstehst mich grundlegend falsch. Es geht mir nicht darum, welches OS gerade mehr Lücken hat, sondern ich versuche dir gerade zu erklären, dass deine Behauptung der beinahen Unverwundbarkeit von Linux ziemlich ... Banane ist.

Und root oder etwas annähernd Vergleichbares gibt es bei Windowssystemen nicht!

Administrator Benutzer? Dass jetzt die meißten Heimnutzer diesen als Standardaccount haben, sei jetzt erstmal Nebensache.

Bei Unix und Linux existiert auf Kernelebene eine strikte Benutzertrennung!

Ja. Aber wie im obigen heise Link, gibt/gab es Lücken, die die Umgehung dieser Trennung zum Ziel haben. Zudem verschwimmt die Trennung leicht, wenn du wie gesagt irgendeinen Dienst im Hintergrund als root laufen hast, wie zB Apache. Deshalb, kommen ja solangsam Sichereitsmechanismen wie SeLinux zutage.

Windows XP erkennt überhaupt nicht, wenn Systemdateien ungenemigt manipuliert worden!

Nein: http://en.wikipedia.org/wiki/Windows_File_Protection


Bitte nicht falsch verstehen, aber was du hier gerade alles schreibst ist eher "suboptimal".

Und damit es nicht ganz OT wird: Bei alle dem bezweifle ich, dass soetwas wie Conficker auf Linux Ebene realisiert werden könnte.

EDIT: Zu StarForce. Ich selbst habe unter StarForce noch nicht gelitten, aber ich denke, dass sich StarForce ohne Administrationsrechte erstmal nicht einrichten kann, daher auch kein Änderung der kritischen Dateien. Das ist das Selbe, als würde ich sudo oder fakeroot ändern, als root installieren und schwupps, jeder user kann zB in /etc rumpfuschen.

 

[pabitto]

http://winfuture.de/downloadstart,1238340831,2136.html

halöle, hab das update pack runtergeladen. weiß jemand, ob ich das ohne os-prüfung ausführen kann oder ob es probs geben wird?
wäre sehr dankbar für ne hilfreiche antwort...

 

[b@iR]

War wohl nur eine Frage der Zeit, bis das Wortspiel aufkommt. Das dürfte nichts mit dem deutschen Wort zu tun haben, sondern dürfte ein Kunstname sein. Wenn man sich die Namen anderer Würmer anschaut, ergeben die auch nicht zwingend einen Sinn. Downadup, das Alias des Wurms, ergibt zumindest keinen offensichtlichen Sinn.

Ich bin davon ausgegangen dass der Name einen Sinn ergibt da es auch einen Virus gibt der "Systemfucker" heisst der das System zerstört indem er alle Registryeinträge löscht.

 

[Creshal]

@pabitto Wie wärs mal mit ausprobieren? Oder hast du angst, dass MS dein raubkopiertes Windows deaktiviert?

 

[pabitto]

gab keine probs, trotzdem backup durchführen und systempunkt setzen. falls da noch was kommen sollte, poste ich es

für sp2 http://winfuture.de/downloadstart,1238348331,1403.html

für sp3 http://winfuture.de/downloadstart,1238348695,2136.html