1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Security: Neuer Bot nistet sich im…

Ich verstehe das so..

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Ich verstehe das so..

    Autor DylanD09 14.02.13 - 18:10

    Ich verstehe das ganze so, dass man sich diese Score.dll über drive-by mit Firefox in Verbindung mit Flash einfängt. Wahrscheinlich über einen Bufferoverflow weil es ja speziell angepasste Shellcodes für die einzelnen Windowsversionen gibt. Aber wie genau man sich die Score.dll einfängt soll im Moment egal sein, soweit ich weiss haben die Virenentwickler da spezielle Begriffe und trennen das Verteilen der Viren von den eigentlichen schädlichen Funktionen. Dann agiert die Score.dll aus dem Speicher und ist zu dem Zeitpunkt noch nirgends abgelegt. ABER: spätestens wenn die Score.dll die Explorer.exe runterlädt und auch i.d.F. als IAStorIcon.exe unter Autostart ablegt ist sie ja auf der Platte hier muss sie jeder Virenscanner finden können (wenn er sie einmal kennt)?!

    Sie selbst (die IAStorIcon.exe) ist wiederum "nur" eine Art (Management-)Container für nachladbare Plugins/Shellcodes, für den nachladbaren eigentlichen schädlichen Code halt eben. Dieser nachgeladene Schadcode wird verschlüsselt mit AES nachgeladen, ok, nichts besonderes und macht Sinn aus Sicht der Schurken/Virenentwickler. Andererseits ist sie (die IAStorIcon.exe) aber sozusagen genauso eine ausgefeilte Runtime für das Ausführen des nachgeladenen Codes mit integrierter Speicherverwaltung und Funktionsimportierungsfunktion (bspw. aus kernel.dll, gdi und der restl. win32-api, nehme ich an.. welche (die win32-api.dlls) die IAStorIcon.exe wiederum selbst bereits im Speicher geladen hat, so verstehe ich es zumindest..). Sie (die IAStorIcon.exe) verbindet (linkt) somit die externen Funktionsaufrufe (so wie es das OS macht). Ich verstehe dass genau das NEU sein soll (Funktionsimportierung bzw. mapping/linking auf win32-api und im eigenen Prozess ausführen des Schad-Moduls, somit gibt es halt keinen eigenen Prozess für ein Modul - macht Sinn imho aus Sicht der Schurken/Virenentwickler.

    Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner sein die IAStorIcon.exe zu lokalisieren?

    Grüße,
    DylanD09

    Benutzer wird von Ihnen ignoriert. Anzeigen

  2. Re: Ich verstehe das so..

    Autor vergeben 14.02.13 - 21:29

    DylanD09 schrieb:
    --------------------------------------------------------------------------------

    > Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner
    > sein die IAStorIcon.exe zu lokalisieren?

    Ist es nicht. Reine PR das ganze.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  3. Re: Ich verstehe das so..

    Autor EvilSheep 15.02.13 - 13:22

    Ich glaube die IAStorIcon.exe zu finden ist nicht das Problem. Die liegt ja auf der Platte, hat einen eigenen Prozess und ist im Autostart.

    Problematisch dürfte eher sein das der eigentliche Schadcode nie als solcher auf der Platte liegt sondern von der IAStorIcon.exe erst bei jedem Start zusammengebastelt wird und dann nur im Arbeitsspeicher existiert.

    Die IAStorIcon.exe macht ja auch erst mal nichts böses und dürfte daher keinen Alarm auslösen, somit ist alles was der Virenscanner auf der Platte findet harmlos.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  4. Re: Ich verstehe das so..

    Autor DylanD09 15.02.13 - 13:37

    @EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer Signatur gefunden werden können von Virenscannern, ob sie nun bereits Schadcode nachgeladen hat oder nicht. Der Schadcode ist doch zunächst egal, also muss ein Virenscanner diese schnellstens entfernen, noch bevor der Schadcode die IAStorIcon.exe noch selbst verändert und sie damit wieder unauffindbar macht. Und dass der eigentliche Schadcode (die verschlüsselten nachgeladenen Module) nur aus dem Arbeitsspeicher gestartet werden sollen ist eh klar.

    Benutzer wird von Ihnen ignoriert. Anzeigen

Neues Thema Ansicht wechseln


Entschuldigung, nur registrierte Benutzer dürfen in diesem Forum schreiben. Klicken Sie hier um sich einzuloggen


Anzeige

Haben wir etwas übersehen?

E-Mail an news@golem.de


Workshop: Amazons Fire TV wird zur Multimedia-Zentrale
Workshop
Amazons Fire TV wird zur Multimedia-Zentrale
  1. Netflix Netflix-App für Fire TV "noch diesen Monat"
  2. Amazon Netflix mit Trick auf dem Fire TV nutzen
  3. Streaming-Box Netflix noch im Herbst für Amazons Fire TV

Windows 10 Technical Preview ausprobiert: Die Sonne scheint aufs Startmenü
Windows 10 Technical Preview ausprobiert
Die Sonne scheint aufs Startmenü
  1. Windows 10 Microsoft arbeitet an Desktop-Benachrichtigungszentrum
  2. Microsoft Windows 10 Technical Preview ist da
  3. Microsofts neues Betriebssystem Auf Windows 8 folgt Windows 10 mit Startmenü

Nanotechnologie: Die unbekannten Teilchen
Nanotechnologie
Die unbekannten Teilchen
  1. Anode aus Titandioxid Neuer Akku lädt in wenigen Minuten
  2. Nanotechnologie Mit Nanoröhrchen gegen Produktfälschungen
  3. Bioelektronik Pilze sind die besten Zellschnittstellen

  1. Spektakel im Weltraum: Nasa bringt sich für Kometenvorbeiflug am Mars in Stellung
    Spektakel im Weltraum
    Nasa bringt sich für Kometenvorbeiflug am Mars in Stellung

    Der Komet Siding Spring wird am Sonntagabend in nur 140.000 Kilometern Entfernung am Mars vorbeirasen. Die Weltraumbehörde Nasa hat Dutzende ihrer Raumsonden, Teleskope und Mars-Fahrzeuge in Stellung gebracht.

  2. Geheimmission im All: Militärdrohne X-37B nach Langzeiteinsatz gelandet
    Geheimmission im All
    Militärdrohne X-37B nach Langzeiteinsatz gelandet

    Nach einem fast zweijährigen geheimen Erprobungseinsatz im All ist die US-amerikanische Weltraumdrohne X-37B sicher wieder gelandet. Damit endete der dritte und längste Raumflug einer X-37.

  3. Mobiles Bezahlen: Deutsche Sparkassen wollen bei Apple Pay mitmachen
    Mobiles Bezahlen
    Deutsche Sparkassen wollen bei Apple Pay mitmachen

    Wenn Apple sein mobiles Bezahlsystem Apple Pay in Deutschland startet, wollen die Sparkassen dabei sein. Laut Spiegel-Informationen habe der Dachverband der Bankengruppe bei Apple Interesse bekundet. Morgen startet Apple Pay in den USA.


  1. 13:05

  2. 12:55

  3. 12:43

  4. 15:28

  5. 15:23

  6. 13:40

  7. 13:24

  8. 11:33