Von "Just for fun" zum Businesswurm

Transkript

1 Kaspersky Labs 6 th ht Annual Partner Conference Turkey, 2-6 June June KA-IT-SI Von "Just for fun" zum Businesswurm Angel Jodra,, Technical Consultant Kaspersky Labs GmbH

2 Agenda Malware aktuell CyberCrime/ Malware-Arten und Verbreitung Business Malware Technologien Kaspersky Lab 2

3 Malware TrojWare: backdoors, rootkits and all types of Trojan VirWare: viruses and worms MalWare: VirusGenerators und sonstiges 3

4 Malware 2006 VirWare TrojWare MalWare 4

5 CyberCrime Malware-Arten und Verbreitung

6 Die üblichen Verdächtigen Viren & Würmer Hauptziel: Verbreitung von sich selbst Trojaner, Rootkits & Spyware Kontrollieren unbemerkt den Rechner Dialer Wählen kostenpflichte Nummern

7 Viren & Würmer 1987: Verbreitung über Disketten 1997: Verbreitung über Disketten, CD-ROMs und s 2007: Verbreitung über USB-Sticks, USB- Festplatten, CD, DVD, , Firmennetzwerke, Communities (z.b. MySpace-Wurm), Mobiltelefone & PDAs etc. etc.

8 Trojaner,RootKits & Spyware Anweder wird auspioniert, Screenshots und Tastatureingaben werden übertragen. Dateien werden verschlüsselt Entschlüsselung nur gegen Lösegeld (2006: gpcode) Das ganze Betriebssystem wird in eine virtuelle Umgebung verschoben (2006: PoC von Joana Rutkowska)

9 Dialer 1987: Noch kein Thema 1997: Modem wählt unbemerkt kostenpflichtige 0190-Nummer 2007: Einwahl über ISDN-Zugang. Trend: Auch über Java-Handies (Redbrowser) und Smartphones

10 Verbreitung von Malware Infrarot: 3-20 Meter Bluetooth: Meter WLAN: Meter s: Weltweit MMS: Weltweit Internet: Weltweit

11 Verbreitung von Malware Oktober 2006: McDonalds Japan verteilt Vireninfizierte MP3-Player Oktober 2006: 1% der seit September ausgelieferten Video ipods sind infiziert Januar 2007: Mit Trojaner infizierte Navigationsgeräte (TomTom Go 910)

12 Beispiele : Maxtor Festplatten mit Virus ausgeliefert (Virus.Win32.AutoRun.ah) : Aldi Notebook mit Boot-Sector Virus infiziert (Stoned Angelina) : Phisher imitiert Anti-Viren Software Website. Demo-Software mit Trojaner(Trojan- Dropper.Win32.Agent.btc)

13 Beispiele : 28-jähriger verhaftet wegen programmierung von Handy-Viren (Cabir;Comwarrior in über 20 Varianten) der über Handys infizierte : Deutsche Regierung als Ziel vermutlich chinesischer Trojaner. (ebenso wie das Pentagon,britisches Außenministerium und Frankreich)

14 Beispiele Trojan-Downloader.Win32.Banload.bon Ikea-Rechnung (zip mit pdf.exe-datei) Trojan-Downloader.Win32.Agent.bhc Ebay -.pdf.exe Trojan-Downloader.Win32.Nurech.at

15 Business Malware ist bösartige Software, die gezielt zur Schädigung von Unternehmen eingesetzt wird

16 Warum hört man so selten davon? Die meisten Unternehmen wissen nicht, dass sie überhaupt ein Problem haben Diskretion, um Imageschäden zu vermeiden Die Presse interessiert sich nur für die großen Fälle

17 Viele Wege, ein Ziel Vermeintliche Werbe-CDs (2005: Israelische Unternehmen werden auspioniert) USB-Sticks (2006: Kollege von SNT verliert USB-Sticks im Rahmen eines Security Audits) Gezielt zugesandte s (.pdf.exe, Makroviren in Worddokumenten & Co.) Hack von Serversystemen Mitarbeiter installiert mutwillig Spyware auf Servern, Arbeitsrechnern oder PDAs

18 Massenmalware Massenmalware vs. Businessmalware Businessmalware Hauptmotivation: Botnetze (DDOS-Attacken, Spamming, distributed Hacking) Angriff gegen Unbekannt Muss sich gegen alle Antivirenlösungen behaupten Auf maximale Verbreitung ausgelegt Hauptmotivation: Spionage (Keylogger, Screenshots, Datentransfer) Das Opfer ist bekannt Muss nur eine Antivirenlösungen überwinden (auf Arbeitsrechnern) Einmaliges Sample (worst case)

19 Massenmalware Massenmalware vs. Businessmalware Businessmalware Hauptmotivation: Botnetze (DDOS-Attacken, Spamming, distributed Hacking) Angriff gegen Unbekannt Muss sich gegen alle Antivirenlösungen behaupten Auf maximale Verbreitung ausgelegt Hauptmotivation: Spionage (Keylogger, Screenshots, Datentransfer) Das Opfer ist bekannt Muss nur eine Antivirenlösungen überwinden (auf Arbeitsrechnern) Einmaliges Sample (worst case)

20 Technologien Heuristik Intrusion Prevention System Behavior Blocker Signaturen 20

21 Heuristik Zweck Erkennung noch nicht per Signatur bekannter Schädlinge Arbeitsweise Objektüberprüfung auf vermutlich virusartige Instruktionen Wird ein Schwellenwert überschritten schlägt das Programm Alarm Verbreitung In fast jedem Anti-Virus Programm, aber mit unterschiedlicher Empfindlichkeit

22 Heuristik Pro Bis zu 25% Virenerkennung Keine Updates nötig Bewährte Technologie Contra Fehlalarme steigen mit der Empfindlichkeit Desinfektion nicht möglich Benötigt viel CPU Zeit

23 Intrusion Prevention Systeme Zweck blockieren von Netzwerkseitigen Attacken (Beispiel: Würmer) Arbeitsweise Zugriffslimitierungen auf Ports etc. IPS Signaturen für neue Bedrohungen Verbreitung In viele Anti-Virus Produkte mit integriert

24 Intrusion Prevention Systeme Pro Contra Guter Schutz vor Hackerattacken und einigen Wurmarten Nicht geeignet für Mailtraffic Nicht geeignet für die meisten Arten von Schadsoftware Benötigt IPS Signatur Updates

25 Behavior Blocker Zweck Einschränken der Aktivitäten einer Anwendung wie z.b. nur Leserechte für den Explorer in bestimmen Registry Bereichen Arbeitsweise Überwachung der Aktivitäten einer Anwendung mit verschiedenen Methoden Bei Unklarheiten wird der User gefragt Es werden nicht Programme sondern Programmteile restriktiert Verbreitung In relativ vielen Anti-Viren Programmen Wird als Nachfolger der Singnatur Updates gehandelt

26 Behavior Blocker Pro Contra Erkennungsraten von bis zu 70% Keine regelmäßigen Updates nötig Einsetzbar für alle Arten von Schadsoftware Fehlalarme Viele Fragen an den User Roll Back Mechanismus ist ein muss Wird Sandboxing verwendet: hoher Ressourcenverbrauch Oftmals Usergesteuert, ohne Adminüberwachung

27 Signaturen Zweck Erkennung von bereits identifizierten Viren Arbeitsweise Jede Datei wird mit bekannten Schädlingssignaturen verglichen Ist die Signatur mit der Datei identisch handelt es sich um einen Schädling Verbreitung In jedem echten Anti-Viren Programm

28 Signaturen Pro Contra Eindeutige Identifizierung bekannter Schädlinge Einfache Desinfektion, da bekannt ist was vom Schädling verändert wurde Alle Arten von Schadsoftware können so behandelt werden Bewährte Methode Kein Usereingriff nötig Unbekannte Schädlinge müssen erst im Labor identifiziert werden Signaturupdate muss dem Kunden schnell zur Verfügung gestellt und im Kundennetz verteilt werden Zahlreiche Singnaturen erforden performanceoptimierte Anti- Virus Engine

29 Kaspersky Lab, Überblick Schutz vor Schadsoftware, Spyware, Spam Solutions für Home-User, Unternehmen und Provider Privates, unabhängiges Unternehmen Zentrale in Moskau, weltweite Niederlassungen Am schnellsten wachsendes AV-Unternehmen (Gartner) Erfahrung seit Mitarbeiter Über 250 Mio. geschützte Anwender Technologieführer 29

30 Technologie, Überblick Technologieführer Erster Linux-Virenschutz Erfinder des proaktiven Virenschutzes Häufigste Updates = minimales Risiko Schnellste Reaktionszeit = minimales Risiko Umfangreichste Erkennung (Adware, Spyware) Unterstützung der meisten Dateiformate (über 2000) 30

31 Technologie Überblick Das erste AV-Produkt, das komprimierte Dateien scannen kann AV-Lösungen für Linux und BSD (File- und Mailserver) Integrierter AV-Schutz in Microsoft Office Vollständiger Schutz für Mobilgeräte mit Palm OS und Windows CE s t 2004 Das erste Entfernungtools gegen Schädlinge unter Symbian und Windows Mobile Unterstützung von über 1200 Kompressionsformaten

32 Technologie I Reaktionszeit auf neue Bedrohungen im Durchschnitt, bestätigt auch durch AV-Test 32

33 Technologie II Updatehäufigkeit Reaktionszeit, Major Outbreaks 33

34 Kaspersky Produkte Workstation: Windows & Linux File-Server: Windows,Linux/Samba Mail-Server: Exchange,Domino,Linux Mail-Gateway: Linux Web-Gateway: ISA,Squid Administration: AdminKit

35 35

36 Fragen? 36