ComputerBase Menü
Aktuelles

VM-Ware Player Breakout?

S

Selter

Ensign
Registriert
Jan. 2009
Beiträge
248
Hallo zusammen,

bei der Verwendung von Firefox in einer Linux-Mint VM (Host: Windows 10pro) hat auf dem Host Bitdefender kritische Warnungen ausgegeben:

Funktion:Online-Gefahrenabwehr
Wir haben diese gefährliche Seite zu Ihrem Schutz blockiert:
Code: 
https://t5lxz7dtq4iz.com/
Aufgerufen durch: vmnat.exe Gefährliche Seiten versuchen, Software zu installieren, die dem Gerät schaden, personenbezogene Daten sammeln oder ohne Ihre Zustimmung aktiv werden kann.

Funktion:Online-Gefahrenabwehr
Wir haben diese Seite zu Ihrem Schutz blockiert:
Code: 
https://t5lxz7dtq4iz.com/
Aufgerufen durch: vmnat.exe Die Seite versuchte eine PUA (potenziell unerwünschte App) auf Ihr Gerät herunterzuladen. Solche Apps zeigen Verhaltensweisen, die ein Risiko für die Sicherheit Ihres Geräts und Ihrer Daten darstellen.

VMware Workstation 17 Player (17.0.0 build-20800274)

Wie kann das aus der VM auf den Host kommen?
Welche Einstellungen sind für die VM zu machen, damit sie vom Host abgeschottet ist?
 
Zuletzt bearbeitet:
Bitdefender wird einfach deinen kompletten Traffic mitlesen. Aus der VM ausgebrochen ist da nichts.
 
  • Gefällt mir
Reaktionen: GTrash81 und Mickey Mouse
mach den Antivirus weg.. Dann passiert so was auch nicht Antiviren brechen gern verschlüsselte Verbindungen auf, parsen den inhalt durch einen haufen unterschiedlich alter und teils verwundbarer Tools und verschlüsseln dann die Verbindung wieder.

In der IT Sicherheit geht es stark darum Angriffsflaeche zu minimieren. Antiviren tun das Gegenteil. Versuch Bitdefender los zu werden und schau, dass möglichst nichts danach kaputt ist. Diese Tools graben sich tief ins System und richten leider relativ oft Schäden an, die sich nur recht schwierig finden lassen

Selter schrieb:
Ok - dann kann ich mir einen Scan vom USB-Stick sparen, oder?
Zum Vergrößern anklicken....
eher nicht. Kann ja immernoch sein, dass Bitdefender dir da was ins System geholt hat.
 
  • Gefällt mir
Reaktionen: PHuV, GTrash81, aragorn92 und eine weitere Person
naja, den Bitdefender kann man schon einsetzen, es scheint sich ja tatsächlich um eine "etwas komische" Webseite zu handeln ;)

der Punkt ist doch der: für den Bisdefender ist der HyperV, VMware Player, VirtualBox oder was du da auch immer genutzt hast, ein ganz "normales" (ok, sehr System nahes) Programm und wird überwacht.
von diesem Programm werden bedenkliche HTTPS Seiten aufgerufen, du lässt ja den Netzwerkverkehr durch und das wird angemeckert.

das eigentlich "bemerkenswerte" daran ist in erster Linie, dass der Virenscanner auf dem Host durch den Netzwerk Trafic auf die Gefahr aufmerksam wird/macht und kein Tool in der VM, z.B. dass der Browser dort nicht blockt.

gefährlich ist die Sache eigentlich nur, wenn du NICHT diese Seite aufgerufen hast! Das würde bedeuten, dass deine VM bereits infiziert ist.
 
HTTPS Traffic aufbrechen, der in einer VM seinen Ursprung hat. Das würde mir am ehesten Sorge bereiten.
 
Zuletzt bearbeitet:
habe ich schonmal bei kaspersky beobachtet. Da wurde beim "Wieder zu machen" jedoch ein Self signed Cert genutzt, welches in der VM nicht vertrauenswürdig war.
 
Diese Seite mit der seltsamen URL habe ich nicht aufgerufen. Kann nur sein, dass eine Seite, wo viele teilweise dubiose Werbung drauf war, von der Seite etwas laden wollte
 
bisschen interessant:
Code: 
➜  ~ curl https://t5lxz7dtq4iz.com/
<html>
<head><title>301 Moved Permanently</title></head>
<body>
<center><h1>301 Moved Permanently</h1></center>
<hr><center>nginx/1.19.5</center>
</body>
</html>

➜  ~ curl -I  https://t5lxz7dtq4iz.com/
HTTP/1.1 301 Moved Permanently
Server: nginx/1.17.6
Date: Sun, 18 Dec 2022 15:48:21 GMT
Content-Type: text/html
Content-Length: 169
Connection: keep-alive
Location: https://google.com
Expires: Thu, 01 Jan 1970 00:00:01 GMT
Cache-Control: no-cache
X-Request-ID: 99b9b180f04ffde40daa8d0fbc702e4d
Strict-Transport-Security: max-age=0; includeSubdomains
➜  ~
hast du irgendwelche plugins in deinen Browsern?
 
Nein, das ist ein ziemlich nacktes Linux Mint mit Firefox in der VM.

Der Vorfall war allerdings schon am Freitag.
 
IntoTheRed schrieb:
HTTPS Traffic aufbrechen, der in einer VM seinen Ursprung hat. Das würde mir am ehesten Sorge bereiten.
Zum Vergrößern anklicken....
das ist doch kein HTTPS aufbrechen!
es wird einfach nur Traffic auf den Port 443 zu einer Adresse auf einer Blacklist gemeldet, mehr "Magie" ist da doch gar nicht hinter...
 
  • Gefällt mir
Reaktionen: OMGWTFBBQ
Hatte das beim lesen so verstanden, dass nicht die Seite an sich schlecht ist, sondern was evtl. runter geladen wird. Einfaches blocken der URL ist beim wahrscheinlich verwendeten Bridged mode dann doch nichts schlimmes.
 
Die Seite "t5lxz7dtq4iz" die da versucht wurde aufzurufen taucht wohl auf DNS/Malwere-Blocklisten auf.
Das wird der Bitdefender wohl auch drin haben.

Die Domain selbst scheint mal bei Google gehostet worden zu sein.

Keine Ahnung was da wirklich mal lief.
-> https://t5lxz7dtq4iz.com.dewebc.com/

Die Waybackmachine hilft leider auch nicht weiter zu der o.g. Domain. Das ist nur der Redirect erfasst.
 
Uebrigends ein Weg um das abzustellen: Stelle den Netzwerkadapter von NAT auf Bridged.
Dann bekommt die VM eine eigene IP von deinem Router, und der Host sollte den Netzwerktraffic eigendlich nicht mehr so ohne weiteres sehen koennen.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.

Ähnliche Themen

H
powershell.exe ruft ständig gefährliche Seite auf
Antworten
10
Aufrufe
6.588
Hayda Ministral
Hayda Ministral
Zurück
Oben

Willkommen auf ComputerBase!

Mit Werbung weiterlesen

Besuche ComputerBase wie gewohnt mit Werbung und Tracking. Die Zustimmung ist jederzeit widerrufbar.

Details im Privacy Center und in der Liste unserer Partner. Ein Widerruf ist möglich in der Datenschutzerklärung.

… oder ComputerBase Pro bestellen

Nutze ComputerBase ohne Werbebanner, Video-Ads und Werbetracking schon für 4 €/Monat oder 36 €/Jahr.

Mehr zu ComputerBase Pro

Bereits Pro-Nutzer? Hier anmelden.

Tracking: Wir und unsere 165 Partner verarbeiten personenbezogene Daten, indem wir mit auf Ihrem Gerät gespeicherten Informationen (z. B. eindeutige Kennungen in Cookies) ein Nutzungsprofil erstellen, um z. B. Anzeigen zu personalisieren. Verarbeitungszwecke: Genaue Standortdaten und Abfrage von Geräteeigenschaften zur Identifikation, Informationen auf einem Gerät speichern und/oder abrufen, Personalisierte Anzeigen und Inhalte, Anzeigen- und Inhaltsmessungen, Erkenntnisse über Zielgruppen und Produktentwicklungen.

Impressum Kontakt Datenschutz