Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Security: Neuer Bot nistet sich im…

Ich verstehe das so..

  1. Thema

Neues Thema Ansicht wechseln


  1. Ich verstehe das so..

    Autor: DylanD09 14.02.13 - 18:10

    Ich verstehe das ganze so, dass man sich diese Score.dll über drive-by mit Firefox in Verbindung mit Flash einfängt. Wahrscheinlich über einen Bufferoverflow weil es ja speziell angepasste Shellcodes für die einzelnen Windowsversionen gibt. Aber wie genau man sich die Score.dll einfängt soll im Moment egal sein, soweit ich weiss haben die Virenentwickler da spezielle Begriffe und trennen das Verteilen der Viren von den eigentlichen schädlichen Funktionen. Dann agiert die Score.dll aus dem Speicher und ist zu dem Zeitpunkt noch nirgends abgelegt. ABER: spätestens wenn die Score.dll die Explorer.exe runterlädt und auch i.d.F. als IAStorIcon.exe unter Autostart ablegt ist sie ja auf der Platte hier muss sie jeder Virenscanner finden können (wenn er sie einmal kennt)?!

    Sie selbst (die IAStorIcon.exe) ist wiederum "nur" eine Art (Management-)Container für nachladbare Plugins/Shellcodes, für den nachladbaren eigentlichen schädlichen Code halt eben. Dieser nachgeladene Schadcode wird verschlüsselt mit AES nachgeladen, ok, nichts besonderes und macht Sinn aus Sicht der Schurken/Virenentwickler. Andererseits ist sie (die IAStorIcon.exe) aber sozusagen genauso eine ausgefeilte Runtime für das Ausführen des nachgeladenen Codes mit integrierter Speicherverwaltung und Funktionsimportierungsfunktion (bspw. aus kernel.dll, gdi und der restl. win32-api, nehme ich an.. welche (die win32-api.dlls) die IAStorIcon.exe wiederum selbst bereits im Speicher geladen hat, so verstehe ich es zumindest..). Sie (die IAStorIcon.exe) verbindet (linkt) somit die externen Funktionsaufrufe (so wie es das OS macht). Ich verstehe dass genau das NEU sein soll (Funktionsimportierung bzw. mapping/linking auf win32-api und im eigenen Prozess ausführen des Schad-Moduls, somit gibt es halt keinen eigenen Prozess für ein Modul - macht Sinn imho aus Sicht der Schurken/Virenentwickler.

    Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner sein die IAStorIcon.exe zu lokalisieren?

    Grüße,
    DylanD09

  2. Re: Ich verstehe das so..

    Autor: vergeben 14.02.13 - 21:29

    DylanD09 schrieb:
    --------------------------------------------------------------------------------

    > Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner
    > sein die IAStorIcon.exe zu lokalisieren?

    Ist es nicht. Reine PR das ganze.

  3. Re: Ich verstehe das so..

    Autor: EvilSheep 15.02.13 - 13:22

    Ich glaube die IAStorIcon.exe zu finden ist nicht das Problem. Die liegt ja auf der Platte, hat einen eigenen Prozess und ist im Autostart.

    Problematisch dürfte eher sein das der eigentliche Schadcode nie als solcher auf der Platte liegt sondern von der IAStorIcon.exe erst bei jedem Start zusammengebastelt wird und dann nur im Arbeitsspeicher existiert.

    Die IAStorIcon.exe macht ja auch erst mal nichts böses und dürfte daher keinen Alarm auslösen, somit ist alles was der Virenscanner auf der Platte findet harmlos.

  4. Re: Ich verstehe das so..

    Autor: DylanD09 15.02.13 - 13:37

    @EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer Signatur gefunden werden können von Virenscannern, ob sie nun bereits Schadcode nachgeladen hat oder nicht. Der Schadcode ist doch zunächst egal, also muss ein Virenscanner diese schnellstens entfernen, noch bevor der Schadcode die IAStorIcon.exe noch selbst verändert und sie damit wieder unauffindbar macht. Und dass der eigentliche Schadcode (die verschlüsselten nachgeladenen Module) nur aus dem Arbeitsspeicher gestartet werden sollen ist eh klar.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Berliner Verkehrsbetriebe (BVG), Berlin
  2. Stadt Flensburg, Flensburg
  3. Bayerische Versorgungskammer, München
  4. Vodafone GmbH, Düsseldorf

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. 159,00€ (Bestpreis!)
  2. (u. a. Angebote zu Kopfhörern, Bluetooth Boxen, Soundbars)
  3. bis zu 11 PC-Spiele für 11,65€


Haben wir etwas übersehen?

E-Mail an news@golem.de


e.Go Life: Ein Auto, das lächelt
e.Go Life
Ein Auto, das lächelt

Das Auto ist zwar klein, bringt aber sogar gestandene Rennfahrer ins Schwärmen: Das Aachener Unternehmen e.Go Mobile hat seine ersten Elektroautos ausgeliefert. In einer Probefahrt erweist sich der Kleinwagen als sehr dynamisch.
Ein Bericht von Werner Pluta

  1. EZ-Pod Renault-Miniauto soll Stadtverkehr in Kolonne fahren
  2. Elektromobilität EnBW will weitere 2.000 Schnellladepunkte errichten
  3. Elektromobilität Verkehrsminister will Elektroautos länger und mehr fördern

IT-Headhunter: ReactJS- und PHP-Experten verzweifelt gesucht
IT-Headhunter
ReactJS- und PHP-Experten verzweifelt gesucht

Marco Nadol vermittelt für Hays selbstständige Informatiker, Programmierer und Ingenieure in Unternehmen. Aus langjähriger Erfahrung als IT-Headhunter weiß er mittlerweile sehr gut, was ihre Chancen auf dem Markt erhöht und was sie verschlechtert.
Von Maja Hoock

  1. Jobporträt Wenn die Software für den Anwalt kurzen Prozess macht
  2. Struktrurwandel IT soll jetzt die Kohle nach Cottbus bringen
  3. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"

Motorola One Vision im Hands on: Smartphone mit 48-Megapixel-Kamera für 300 Euro
Motorola One Vision im Hands on
Smartphone mit 48-Megapixel-Kamera für 300 Euro

Motorola bringt ein weiteres Android-One-Smartphone auf den Markt. Die Neuvorstellung verwendet viel Samsung-Technik und hat ein sehr schmales Display. Die technischen Daten sind für diese Preisklasse vielversprechend.
Ein Hands on von Ingo Pakalski

  1. Moto G7 Power Lenovos neues Motorola-Smartphone hat einen großen Akku
  2. Smartphones Lenovo leakt neue Moto-G7-Serie

  1. Telefónica Deutschland: Größter LTE-Ausbau der Unternehmensgeschichte
    Telefónica Deutschland
    Größter LTE-Ausbau der Unternehmensgeschichte

    Um die Versorgungsauflagen aus dem Jahr 2015 zu erfüllen, hat die Telefónica ihr bisher größtes Ausbauprogramm gestartet. Im April sei es weiter vorangegangen.

  2. Gamification: Amazon verpackt öde Arbeit als Spiel
    Gamification
    Amazon verpackt öde Arbeit als Spiel

    Wettrennen mit Drachen oder Burgen bauen - statt Turnschuhe, Bücher oder Computerkabel in Kisten einzusortieren: Amazon probiert laut einem Medienbericht in einigen seiner Versandzentren aus, ob die Arbeit mit Spielinhalten weniger langweilig gestaltet werden kann.

  3. Handy-Betriebssystem: KaiOS sichert sich 50 Millionen US-Dollar
    Handy-Betriebssystem
    KaiOS sichert sich 50 Millionen US-Dollar

    Das Betriebssystem für Featurephones KaiOS wächst weiter: Das gleichnamige Unternehmen konnte sich weitere 50 Millionen US-Dollar an Finanzierungsgeldern sichern. Mittlerweile sollen weltweit 100 Millionen Handys mit KaiOS laufen.


  1. 18:46

  2. 18:07

  3. 17:50

  4. 17:35

  5. 17:20

  6. 16:56

  7. 16:43

  8. 16:31