1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Security: Neuer Bot nistet sich im…

Ich verstehe das so..

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Ich verstehe das so..

    Autor DylanD09 14.02.13 - 18:10

    Ich verstehe das ganze so, dass man sich diese Score.dll über drive-by mit Firefox in Verbindung mit Flash einfängt. Wahrscheinlich über einen Bufferoverflow weil es ja speziell angepasste Shellcodes für die einzelnen Windowsversionen gibt. Aber wie genau man sich die Score.dll einfängt soll im Moment egal sein, soweit ich weiss haben die Virenentwickler da spezielle Begriffe und trennen das Verteilen der Viren von den eigentlichen schädlichen Funktionen. Dann agiert die Score.dll aus dem Speicher und ist zu dem Zeitpunkt noch nirgends abgelegt. ABER: spätestens wenn die Score.dll die Explorer.exe runterlädt und auch i.d.F. als IAStorIcon.exe unter Autostart ablegt ist sie ja auf der Platte hier muss sie jeder Virenscanner finden können (wenn er sie einmal kennt)?!

    Sie selbst (die IAStorIcon.exe) ist wiederum "nur" eine Art (Management-)Container für nachladbare Plugins/Shellcodes, für den nachladbaren eigentlichen schädlichen Code halt eben. Dieser nachgeladene Schadcode wird verschlüsselt mit AES nachgeladen, ok, nichts besonderes und macht Sinn aus Sicht der Schurken/Virenentwickler. Andererseits ist sie (die IAStorIcon.exe) aber sozusagen genauso eine ausgefeilte Runtime für das Ausführen des nachgeladenen Codes mit integrierter Speicherverwaltung und Funktionsimportierungsfunktion (bspw. aus kernel.dll, gdi und der restl. win32-api, nehme ich an.. welche (die win32-api.dlls) die IAStorIcon.exe wiederum selbst bereits im Speicher geladen hat, so verstehe ich es zumindest..). Sie (die IAStorIcon.exe) verbindet (linkt) somit die externen Funktionsaufrufe (so wie es das OS macht). Ich verstehe dass genau das NEU sein soll (Funktionsimportierung bzw. mapping/linking auf win32-api und im eigenen Prozess ausführen des Schad-Moduls, somit gibt es halt keinen eigenen Prozess für ein Modul - macht Sinn imho aus Sicht der Schurken/Virenentwickler.

    Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner sein die IAStorIcon.exe zu lokalisieren?

    Grüße,
    DylanD09

    Benutzer wird von Ihnen ignoriert. Anzeigen

  2. Re: Ich verstehe das so..

    Autor vergeben 14.02.13 - 21:29

    DylanD09 schrieb:
    --------------------------------------------------------------------------------

    > Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner
    > sein die IAStorIcon.exe zu lokalisieren?

    Ist es nicht. Reine PR das ganze.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  3. Re: Ich verstehe das so..

    Autor EvilSheep 15.02.13 - 13:22

    Ich glaube die IAStorIcon.exe zu finden ist nicht das Problem. Die liegt ja auf der Platte, hat einen eigenen Prozess und ist im Autostart.

    Problematisch dürfte eher sein das der eigentliche Schadcode nie als solcher auf der Platte liegt sondern von der IAStorIcon.exe erst bei jedem Start zusammengebastelt wird und dann nur im Arbeitsspeicher existiert.

    Die IAStorIcon.exe macht ja auch erst mal nichts böses und dürfte daher keinen Alarm auslösen, somit ist alles was der Virenscanner auf der Platte findet harmlos.

    Benutzer wird von Ihnen ignoriert. Anzeigen

  4. Re: Ich verstehe das so..

    Autor DylanD09 15.02.13 - 13:37

    @EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer Signatur gefunden werden können von Virenscannern, ob sie nun bereits Schadcode nachgeladen hat oder nicht. Der Schadcode ist doch zunächst egal, also muss ein Virenscanner diese schnellstens entfernen, noch bevor der Schadcode die IAStorIcon.exe noch selbst verändert und sie damit wieder unauffindbar macht. Und dass der eigentliche Schadcode (die verschlüsselten nachgeladenen Module) nur aus dem Arbeitsspeicher gestartet werden sollen ist eh klar.

    Benutzer wird von Ihnen ignoriert. Anzeigen

Neues Thema Ansicht wechseln


Entschuldigung, nur registrierte Benutzer dürfen in diesem Forum schreiben. Klicken Sie hier um sich einzuloggen


Anzeige

Haben wir etwas übersehen?

E-Mail an news@golem.de


Privacy: Unsichtbares Tracking mit Bildern statt Cookies
Privacy
Unsichtbares Tracking mit Bildern statt Cookies
  1. Passenger Name Record Journalist findet seine Kreditkartendaten beim US-Zoll
  2. Android Zurücksetzen löscht Daten nur unvollständig
  3. Privatsphäre Bundesminister verlangt Datenschutz beim vernetzten Auto

Überwachungssoftware: Ein warmes Mittagessen für den Staatstrojaner
Überwachungssoftware
Ein warmes Mittagessen für den Staatstrojaner
  1. Ex-CIA-Deutschlandchef Wir konnten Schröder leider nicht abhören
  2. Überwachung NSA-Ausschuss erwägt Einsatz mechanischer Schreibmaschinen
  3. Kontrollausschuss Die Angst der Abgeordneten, abgehört zu werden

PC-Spiele mit 4K, 6K, 8K, 15K: "Spielen mit Downsampling schlägt Full-HD immer"
PC-Spiele mit 4K, 6K, 8K, 15K
"Spielen mit Downsampling schlägt Full-HD immer"
  1. Transformers Ära des Untergangs - gefilmt mit Sensoren im Imax-Format
  2. Intel-Partnerschaft mit Samsung 4K-Monitore sollen unter 400 US-Dollar gedrückt werden
  3. Asus ROG Kleine Gaming-PCs im Konsolendesign mit Desktophardware

  1. iFixit: Amazon Fire Phone ist nur schlecht zu reparieren
    iFixit
    Amazon Fire Phone ist nur schlecht zu reparieren

    Die Profibastler von iFixit haben sich Amazons Fire Phone vorgenommen und das mit vier Infrarot-Sensoren und sechs Kameras bestückte Smartphone auseinandergenommen. Leicht zu reparieren ist es nicht, obwohl auf Standardschrauben gesetzt wurde.

  2. Entwicklerstudio: Crytek räumt finanzielle Probleme ein
    Entwicklerstudio
    Crytek räumt finanzielle Probleme ein

    Seit Wochen gibt es Gerüchte über nicht ausbezahlte Löhne, Massenkündigungen und Arbeitsniederlegungen. Jetzt äußert sich Crytek erstmals ausführlich und räumt gewisse Probleme ein - die jetzt aber behoben seien.

  3. M-net: Über 390 Kilometer Glasfaserkabel verlegt
    M-net
    Über 390 Kilometer Glasfaserkabel verlegt

    Ein Großprojekt zum Glasfaserausbau im hessischen Main-Kinzig-Kreis ist zur Hälfte abgeschlossen. Einige Unternehmen wurden von M-net auch mit FTTH-Anschlüssen ausgestattet, die bis zu 1 GBit/s und mehr ermöglichen.


  1. 19:06

  2. 18:54

  3. 18:05

  4. 16:19

  5. 16:08

  6. 16:04

  7. 15:48

  8. 15:21