News Erstes 64-Bit-Rootkit in Aktion

Benj

Commander
Registriert
Okt. 2005
Beiträge
2.658
Ein außerordentlich aggressives Rootkit für Windows-Systeme, welches schon früher unter den Namen Alureon, Tidserv oder TLD bekannt war, scheint nun als 64-Bit-Version sein Unwesen zu treiben. Angesichts der steigenden Anzahl an solchen Systemen schien dies nur eine Frage der Zeit zu sein.

Zur News: Erstes 64-Bit-Rootkit in Aktion
 
Es ist mir immer noch ein Rätsel, wer soviel Energie in die Erstellung von Schädlingen investiert.... So ein Schwachsinn...
Manchmal glaube ich sogar schon, die Antiviren-Hersteller schreiben die Mistviecher selbst oO

@über mir
Ja, aber dadurch fühlt sich der Rechner auch nur ein ein drittel so schnell an...

Grüße
jusaca
 
Was passiert wenn der MBR überschrieben wurde? Kann man das ganze durch Formatieren korrigieren oder nicht?
 
Bringt dir leider auch nichts, wenn dein Antivirenprogramm genau DIESES rootkit nicht erkennt...du fühlst dich danach noch genauso sicher wie vorher - hast ja ein gutes Antivirenprogramm - nur ob es dich dann noch schützt ist leider ganz und gar nicht gesichert ;)


//Edit: Nach Virenbefall hilft ausschließlich neuinstallieren...du kannst dir sonst ja nie sicher sein, dass nicht doch noch was drauf ist ;)
 
darkarchon schrieb:
Kenne kein 64bit-Antivirenprogramm.
Probier es mal mit Avast das ist schon ziemlich lange 64 Bit fähig (zudem gibt es das auch als kostenlose Version)! Das einzige was bisher nicht tat war die Boot Zeit Prüfung, was sich hiermit aber womöglich ändern könnte.

Mich wundert es aber, dass es so lange gedauert hat...
Sawubi schrieb:
Was passiert wenn der MBR überschrieben wurde? Kann man das ganze durch Formatieren korrigieren oder nicht?
Ja, wenn der MBR dabei auch überschrieben wird. Aber man muss aufpassen, dass man es danach nicht sofort wieder drauf hat :p.
 
Zuletzt bearbeitet:
Sawubi schrieb:
Was passiert wenn der MBR überschrieben wurde? Kann man das ganze durch Formatieren korrigieren oder nicht?

Einfachste Loesung: dd if=/dev/zero of=/dev/sda bs=512 count=1

MBR wird dann definitiv annuliert. Dann koennte man mit testdisk die Partitionen wiederherstellen.
 
Zuletzt bearbeitet:
also wenn man häufig im Netz ist, sollte man sich auf jeden fall schützen, wer es nicht tut ist selbst schuld!!!
Trotzdem sollten die Strafen für "Cyberkriminelle" massiv angehoben, ebenso mehr Leute gegen sie eingesetzt werden. Und die "normalen" User müssten endlich begreifen, was sie damit anrichten wenn sie keinen Scanner und nichts haben und schnell in nem Bot-Netz landen mit dem dann weiterer Mist verbreitet bzw. getrieben wird.
 
Ok, dann hab ich noch ne andere allgemeine Frage auch wenn die was OT ist :D

Für wie wichtig haltet ihr eine Firewall?
 
darkarchon schrieb:
Einfachste Loesung: dd if=/dev/null of=/dev/sda bs=512 count=1

MBR wird dann definitiv annuliert. Dann koennte man mit testdisk die Partitionen wiederherstellen.
So einfach ist das nicht unbedingt. Denn wenn das Rootkit nicht nur im MBR sondern auch im Bootsektor der jeweiligen Partition oder im Bootloader / Bootmanager oder in einer entscheidenden Systemdatei sitzt bringt dir das gar nicht, da es anschließend wieder im MBR sitzt sofern man das infizierte System startet.

Außerdem bringen einem Windowsuser Linuxbefehle herzlich wenig...
Sawubi schrieb:
Für wie wichtig haltet ihr eine Firewall?
Für private Rechner halte ich das für das unwichtigste in der gesamten Sicherheitskette überhaupt! Denn eine Firewall verhindert keine Infektionen (höchstens irgendwie durch Zufall) und wenn man infiziert ist kann theoretisch alles die Firewall passieren sofern die Firewall nicht wirklich alles (und somit auch das surfen im Web) blockiert. Hinzu kommt, dass Firewalls selber Angriffsfläche bieten können. Alles in allem ist eine Firewall eher nutzlos und behindert nur als dass sie nützt.

Ausnahme sind hier Firmennetzwerke die ggf. DOS Attacken oder unerwünschte Datenverkehr seitens der User blockieren und dann auch nicht unbedingt als Software auf jedem Arbeitsplatzrechner.
 
Zuletzt bearbeitet:
die crux bei dem ding ist der neustart. klar wenn man privatrechner befallen möchte ists nicht so schlimm da die eh immer mal wieder neustarten. aber da brauchts in den meisten fällen auch kein rootkit denn die leute kennen die windows prozesse meistens nichtmal ansatzweise. aber bei servern die immer laufen muss man wohl im "schlimmsten fall" einen monat warten bis gezwungener maßen nach dem patchday neugestartet werden muss.
deswegen denk ich mir das die verbreitung sich in grenzen halten wird.

/edit: firewall...
ich selbst finde software firewalls nicht gut. denn erstens läuft ein weiterer prozess der performance zieht und evtl. weitere angreifbare schwachstellen hat. da vertrau ich auf meinen router der von außen alles dicht macht, das reicht meiner menung nach in normalen umgebungen vollkommen aus.
 
Zuletzt bearbeitet:
BPhoenix schrieb:
So einfach ist das nicht unbedingt. Denn wenn das Rootkit nicht nur im MBR sondern auch im Bootsektor der jeweiligen Partition oder im Bootloader / Bootmanager oder in einer entscheidenden Systemdatei sitzt bringt dir das gar nicht, da es anschließend wieder im MBR sitzt sofern man das infizierte System startet.
In den News steht was von MBR. MBR hat 512Byte. Passt.

Außerdem bringen einem Windowsuser Linuxbefehle herzlich wenig...
Ach wirklich? ;)

@Sawubi

Hardware-Router mit NAT-FW reicht voellig, wenn du einen Rechner nicht umbedingt in die DMZ setzt. Privatfirewalls sind ueberwertet, die von Windows eingebaute reicht ebenfalls.
 
jusaca schrieb:
Es ist mir immer noch ein Rätsel, wer soviel Energie in die Erstellung von Schädlingen investiert.... So ein Schwachsinn...
Manchmal glaube ich sogar schon, die Antiviren-Hersteller schreiben die Mistviecher selbst oO

Was glaubst du, wieviel Geld durch Internetkriminalität umgesetzt wird?
Das "Geschäft" soll wohl angeblich noch lukrativer sein, als das Drogenhandel.
 
darkarchon schrieb:
In den News steht was von MBR. MBR hat 512Byte. Passt.
Da steht aber nicht nur ausschließlich. Es ist auch eher zu bezweifeln, dass das der einzige Ort ist in dem sich der Schädling einnistet oder vorkommt.
darkarchon schrieb:
Dann bleibt aber immer noch, dass es sowas wie /dev/sda oder ähnliches unter Windows nicht gibt :p.
 
Ich sag nur Snow Leopard ist dein Freund! :)
Hatte noch nie Probleme mit Viren oder sonstigem.
Und auch noch nie ne Visensoftware laufen...
Leute, steigt alle auf OS X um, dann werden für Windows keine Viren mehr entwickelt!
PROMISE!!!
:evillol:

Hab hierzu übrigens ne nette Übersicht gefunden:
kasperskyr.png
 
Zuletzt bearbeitet:
Die "Idioten" basteln immer für das System mit den meisten Anwedern die Schadproggis.
Steigen alle auf Apple um, gehts von vorne los.
Und Apple mit deren "Ich bin zu geil für diese Welt" metalität??! ne,danke, dann wieder nen C64.
 
Zurück
Oben