PC Hack erkennen 3 - Rootkits & versteckte Trojaner aufspühren

Transkript

1 PC Hack erkennen 3 - Rootkits & versteckte Trojaner aufspühren Eine weitere Möglichkeit, das ein PC mit einem Trojaner infiziert sein kann, ist z.b., wenn ein Backdoor Listener wie Netcat auf dem infiltriertem Windows Rechner in einem sogenannten "Rootkit" versteckt ist und ausgeführt wird, sodass diese Prozesse wie auch deren Dateien (wie z.b. nc.exe, rootkit.exe, etc.) von einem Windows Rechner aus nicht mehr so leicht zu finden bzw. zu entdecken sind, zumindest nicht mit einfachen und herkömmlichen Methoden, wie wir am folgenden Beispiel gleich sehen werden. Da ein Rootkit die Aufgabe hat einen Trojaner und dessen Prozess zu verstecken, ist die Datei ansich eigentlich nicht gefährlich, das gemeine ist aber eben, das weder das Windows Betriebssystem, noch die herkömmlichen Virenscanner weder den Rootkit, noch den versteckten Trojaner mehr erkennen bzw. finden werden und man somit überhaupt nicht merkt, das der Rechner einem Hackerangriff zum Opfer gefallen ist! Daher sind solche Rootkits sehr mit Vorsicht zu geniessen. In diesem Tutorial wird aufgezeigt, wie so ein Rootkit und eine damit versteckte Trojaner Datei auf einem Windows System anstellt und wie man solche versteckte Rootkits und deren Prozesse Mithilfe von z.b. Backtrack-Anwendungen auf die Schliche kommen kann. Dadurch ist es möglich, einen Virus, einen Trojaner oder eine Spyware aufzuspühren, womit der eigene Rechner eventuell infiziert ist. PC Hack erkennen 3 - Inhaltsverzeichnis 1. Windows Rechner infiltrieren & eine Meterpreter Session öffnen - Seite 2 2. Rootkit konfigurieren - Seite 2 3. Trojaner & Rootkit Dateien auf Windows Rechner kopieren - Seite 3 4. Rootkit starten - Seite 4 5. Die Auswirkungen des Rootkit - Seite 5 6. Remote Verbindung aufbauen - Seite 6 7. Remote Verbindung checken - Seite 7 8. Prozesse & Dateien checken - Seite 8 9. Rootkit stoppen & erkennen - Seite Tips & Tricks - Seite 9 wifi4free Seite 1

2 1. Windows Rechner infiltrieren & eine Meterpreter Session öffnen Zuerst verschaffen wir uns also Zutritt zu einem Windows System (in unserem Beispiel ein XP) und stellen eine Verbindung, bzw. eine Meterpreter Session her um die benötigten Dateien (die Rootkit & Trojaner Datei) auf den Windows Rechner zu kopieren (genaue Anleitung unter Tips & Tricks) 2. Rootkit konfigurieren wie man sieht soll der Prozess des Trojaner (nc.exe), sowie dessen Startbefehl damit die Datei ausgeführt wird, mit dem Rootkit in dem infiltriertem Windows-Betriebssystem versteckt werden. 3. Trojaner & Rootkit Dateien auf den Windows Rechner kopieren 3.1 upload nc.exe, hxdef100.exe & hxdef100.ini

3 3.3 Kontrolle auch auf dem Windows Rechner selber, die Dateien sind also vorhanden! 5. Die Auswirkungen des Rootkit 5.2 auch auf dem Windows Rechner kann man die Dateien nicht mehr entdecken! Wie wir später noch sehen werden, können die Dateien sowie deren laufende Prozesse, auch mit anderen normalen Mitteln nicht mit dem Windows Rechner gefunden, bzw. entdeckt oder auch gelöscht werden. 6. Remote Verbindung aufbauen 6.1 Schliessen wir nun die aktuelle Meterpreter Session und starten eine neue Verbindung mit dem Windows- PC, und gehen erneut mit der Shell Konsole in das Windows Verzeichnis c:\ -> können wir die nun wieder sehen! 6.2 auch mit telnet kann nun ganz einfach eine Verbindung aufgebaut werden -> telnet ip-victim port -> und auch hier können wir die Dateien in der Shell Konsole sehen wifi4free Seite 6

4 7. Remote Verbindung checken 7.1 mit netstat -ano wird die hergestellte Verbindung des Windows PC mit IP von Port 100 auf unserem 2. Rechner angezeigt (Backtrack/IP ) 7.2 im Gegensatz zum Windows Rechner, hier werden wir nun regelrecht unser "blaues Wunder" erleben, denn wenn wir hier in der CMD-Konsole "netstat -ano" eingeben wird keine hergestellte Verbindung angezeigt, auch nichts auf Port 100, da wir diesen Port in der Rootkit Konfiguration ebenso versteckt haben wifi4free Seite 7

5 9.3 nc.exe - der Trojaner bzw. sein laufender Prozess wird im Taskmanager angezeigt auch wenn wir nun den Taskmanager starten, können wir diesmal die aktive nc.exe sehen 10. Tips & Tricks 10.1 Tutorial: Windows PC XP infiltrieren & eine Meterpreter-Session erzeugen 10.2 Tutorial: Rootkitscanner Gmer & Sophos Anti-Rootkit-Scanner anwenden um Trojaner & Malware entdecken und löschen zu können 10.3 Downloadlink zur Backtrack Software Impressum PC Hack erkennen 3 - Rootkits & versteckte Trojaner aufspühren 2012 wifi4free Alle Rechte vorbehalten. Autor: jahfire info@wifi4free.info Dieses E-Book, einschließlich seiner Teile, ist urheberrechtlich geschützt und darf ohne Zustimmung des Autors nicht vervielfältigt, wieder verkauft oder weitergegeben werden wifi4free Seite 9