Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Security: Neuer Bot nistet sich im…

Ich verstehe das so..

Anzeige
  1. Thema

Neues Thema Ansicht wechseln


  1. Ich verstehe das so..

    Autor: DylanD09 14.02.13 - 18:10

    Ich verstehe das ganze so, dass man sich diese Score.dll über drive-by mit Firefox in Verbindung mit Flash einfängt. Wahrscheinlich über einen Bufferoverflow weil es ja speziell angepasste Shellcodes für die einzelnen Windowsversionen gibt. Aber wie genau man sich die Score.dll einfängt soll im Moment egal sein, soweit ich weiss haben die Virenentwickler da spezielle Begriffe und trennen das Verteilen der Viren von den eigentlichen schädlichen Funktionen. Dann agiert die Score.dll aus dem Speicher und ist zu dem Zeitpunkt noch nirgends abgelegt. ABER: spätestens wenn die Score.dll die Explorer.exe runterlädt und auch i.d.F. als IAStorIcon.exe unter Autostart ablegt ist sie ja auf der Platte hier muss sie jeder Virenscanner finden können (wenn er sie einmal kennt)?!

    Sie selbst (die IAStorIcon.exe) ist wiederum "nur" eine Art (Management-)Container für nachladbare Plugins/Shellcodes, für den nachladbaren eigentlichen schädlichen Code halt eben. Dieser nachgeladene Schadcode wird verschlüsselt mit AES nachgeladen, ok, nichts besonderes und macht Sinn aus Sicht der Schurken/Virenentwickler. Andererseits ist sie (die IAStorIcon.exe) aber sozusagen genauso eine ausgefeilte Runtime für das Ausführen des nachgeladenen Codes mit integrierter Speicherverwaltung und Funktionsimportierungsfunktion (bspw. aus kernel.dll, gdi und der restl. win32-api, nehme ich an.. welche (die win32-api.dlls) die IAStorIcon.exe wiederum selbst bereits im Speicher geladen hat, so verstehe ich es zumindest..). Sie (die IAStorIcon.exe) verbindet (linkt) somit die externen Funktionsaufrufe (so wie es das OS macht). Ich verstehe dass genau das NEU sein soll (Funktionsimportierung bzw. mapping/linking auf win32-api und im eigenen Prozess ausführen des Schad-Moduls, somit gibt es halt keinen eigenen Prozess für ein Modul - macht Sinn imho aus Sicht der Schurken/Virenentwickler.

    Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner sein die IAStorIcon.exe zu lokalisieren?

    Grüße,
    DylanD09

  2. Re: Ich verstehe das so..

    Autor: vergeben 14.02.13 - 21:29

    DylanD09 schrieb:
    --------------------------------------------------------------------------------

    > Wie gesagt, eine Frage bleibt mir, wieso soll es schwierig für Virenscanner
    > sein die IAStorIcon.exe zu lokalisieren?

    Ist es nicht. Reine PR das ganze.

  3. Re: Ich verstehe das so..

    Autor: EvilSheep 15.02.13 - 13:22

    Ich glaube die IAStorIcon.exe zu finden ist nicht das Problem. Die liegt ja auf der Platte, hat einen eigenen Prozess und ist im Autostart.

    Problematisch dürfte eher sein das der eigentliche Schadcode nie als solcher auf der Platte liegt sondern von der IAStorIcon.exe erst bei jedem Start zusammengebastelt wird und dann nur im Arbeitsspeicher existiert.

    Die IAStorIcon.exe macht ja auch erst mal nichts böses und dürfte daher keinen Alarm auslösen, somit ist alles was der Virenscanner auf der Platte findet harmlos.

  4. Re: Ich verstehe das so..

    Autor: DylanD09 15.02.13 - 13:37

    @EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer Signatur gefunden werden können von Virenscannern, ob sie nun bereits Schadcode nachgeladen hat oder nicht. Der Schadcode ist doch zunächst egal, also muss ein Virenscanner diese schnellstens entfernen, noch bevor der Schadcode die IAStorIcon.exe noch selbst verändert und sie damit wieder unauffindbar macht. Und dass der eigentliche Schadcode (die verschlüsselten nachgeladenen Module) nur aus dem Arbeitsspeicher gestartet werden sollen ist eh klar.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Anzeige
Stellenmarkt
  1. Hessischer Rundfunk, Frankfurt am Main
  2. über Hanseatisches Personalkontor Berlin, Berlin
  3. beeline GmbH, Köln
  4. T-Systems International GmbH, verschiedene Standorte

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Blu-ray-Angebote
  1. (u. a. Der Hobbit 3 für 9,99€ u. Predator für 12,49€)
  2. 24,99€ (Vorbesteller-Preisgarantie)
  3. 18,99€ (ohne Prime bzw. unter 29€-Einkaufswert zzgl. 3€ Versand)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Donald Trump: Ein unsicherer Deal für die IT-Branche
Donald Trump
Ein unsicherer Deal für die IT-Branche
  1. USA Amazon will 100.000 neue Vollzeitstellen schaffen
  2. Trump auf Pressekonferenz "Die USA werden von jedem gehackt"
  3. US-Wahl US-Geheimdienste warnten Trump vor Erpressung durch Russland

Begnadigung: Danke, Chelsea Manning!
Begnadigung
Danke, Chelsea Manning!
  1. Verwirrung Assange will nicht in die USA - oder doch?
  2. Nach Begnadigung Mannings Assange weiter zu Auslieferung in die USA bereit
  3. Whistleblowerin Obama begnadigt Chelsea Manning

Shield TV (2017) im Test: Nvidias sonderbare Neuauflage
Shield TV (2017) im Test
Nvidias sonderbare Neuauflage
  1. Wayland Google erstellt Gamepad-Support für Android in Chrome OS
  2. Android Nougat Nvidia bringt Experience Upgrade 5.0 für Shield TV
  3. Nvidia Das Shield TV wird kleiner und kommt mit mehr Zubehör

  1. Digitale Assistenten: LG hat für das G6 mit Google und Amazon verhandelt
    Digitale Assistenten
    LG hat für das G6 mit Google und Amazon verhandelt

    LGs G6 wird wohl mit einem digitalen Assistenten erscheinen. Welcher es sein wird, ist noch unklar. Im Vorfeld soll LG sowohl mit Google als auch mit Amazon verhandelt haben. Für LG gab es einen klaren Favoriten.

  2. Instant Tethering: Googles automatischer WLAN-Hotspot
    Instant Tethering
    Googles automatischer WLAN-Hotspot

    Google will WLAN-Tethering mit einem Android-Smartphone komfortabler machen. Ein Smartphone kann automatisch einen WLAN-Hotspot für andere Geräte bereitstellen. Dabei soll keine lästige Kennworteingabe erforderlich sein.

  3. 5G-Mobilfunk: Netzbetreiber erhalten Hilfe bei Suche nach Funkmastplätzen
    5G-Mobilfunk
    Netzbetreiber erhalten Hilfe bei Suche nach Funkmastplätzen

    Das Bundesland Baden-Württemberg will den Aufbau neuer Mobilfunkmasten unterstützen. Mobilfunkunternehmen sollen Unterstützung bei der Suche nach Standorten für die Antennen erhalten. Damit sollen zügig Funklöcher geschlossen werden.


  1. 11:29

  2. 10:37

  3. 10:04

  4. 16:49

  5. 14:09

  6. 12:44

  7. 11:21

  8. 09:02