Neue Gefahr: Kein Schädling tarnt sich so gut wie. Mit manipulierten Windows-Treibern oder versteckt in vermeintlich harmlosen Anwendungen verbergen sie sich vor Virenscannern und spionieren PC-Nutzer aus. sind die Königsklasse der Computer-Schädlinge, weil sie nach einer erfolgreichen Infektion des Anwender-PCs fast nicht mehr aufzuspüren sind. Gängige Virenscanner haben gegen ein Rootkit keine Chance. Nur spezialisierte Tools entdecken die heimlichen Schädlinge, und auch das nicht immer zuverlässig. Noch vor ein bis zwei Jahren hatte kaum ein Antiviren-Hersteller die nötige Technik im Programm, ein aktives Rootkit zu erkennen, geschweige denn verlässlich zu entfernen. Mittlerweile AVG Anti-Rootkit Free: So arbeitet das Tool Das kostenlose Tool AVG Anti-Rootkit Free 1.1.0.42 (www.grisoft.de) findet anhand typischer Merkmale wie verborgener Dateien und löscht diese sicher von Ihrem Computer. bieten fast alle bekannten Unternehmen kostenlose Tools zum Download an, die aufspüren und meist auch entfernen sollen. Einige haben die Produkte jetzt auch in ihre Sicherheits- Suiten integriert. Welche Arten von es heutzutage gibt und wie Sie diese entfernen, lesen Sie auf den folgenden Seiten. Die benötigten Schutz-Tools finden Sie auf Heft-CD und -DVD in der Rubrik Internet,. Windows-Hintertüren 1 2 3 4 Die Grenzen zwischen Viren, Trojanern, Backdoors und verschwimmen zusehends. Viele Trojaner die am stärksten verbreitete Schädlingskategorie integrieren heute Rootkit-Techniken, um sich zu verbergen. 1 2 3 4 5 6 7 Gefundene In dieser Spalte zeigt das Tool auf Ihrem PC entdeckte an Hidden driver file Verborgener Treiber, der zu einem Rootkit gehört Hidden application file Ausführbare Datei, die zu einem Rootkit gehört und im Windows- Explorer nicht angezeigt wird Hidden Directory Komplettes Verzeichnis, das unter Windows unsichtbar ist 5 6 7 Search for rootkits Die Schaltfläche startet eine schnelle Suche nach Stop search Dieser doppelt belegte Button bricht die Suche nach ab und dient zusätzlich zum Start der gründlichen Suche nach Remove selected items Sobald die Suche beendet ist, entfernt dieser Button die markierten Elemente. Dafür ist ein Neustart des Computers notwendig Trojaner Ein Trojaner schleicht sich meist über eine verseuchte Mail oder Webseite auf einem fremden PC ein und wartet auf Befehle von außen. Es gibt zwar auch Spaß-Trojaner, die den Anwender mit dem Öffnen und Schließen des CD- ROM-Laufwerks oder spiegelverkehrter Schrift nerven, aber die meisten Schädlinge dieser Gattung verfolgen einen tiefer gehenden Zweck: Sie wollen vor allem nicht auffallen und verwenden den befallenen PC stattdessen heimlich für kriminelle Zwecke, meist indem sie Spam versenden oder E-Mail- Adressen und Passwörter klauen. Ein mit einem Trojaner infizierter PC wird auch als Zombie bezeichnet und ist meist Teil eines größeren Netzwerks, Botnet genannt. Diese Netze werden über IRC-Server oder in letzter Zeit auch per RSS-Feed (Really Simple Syn- 70 Das Computer-Magazin 5/2008
INTERNET Steckbrief: Neue Gefahr Kompakt installieren eigene Systemtreiber, damit sie unter Windows unsichtbar werden. Ein herkömmlicher Virenscanner hat keine Chance, ein aktives Rootkit zu entdecken. Mit speziellen Sicherheits-Tools und einer Rescue- CD spüren Sie auf. Software-Übersicht Programm AVG Anti-Rootkit Free 1.1.0.42 (Anti-Rootkit-Tool) Avira Antivir Rescue-System-CD (Live-CD) Rootkit Revealer 1.71 (Anti-Rootkit-Tool) Quelle www.grisoft.de www.avira.de http://technet.microsoft.com Seite 74 74 73 Inhalt Alle -Programme finden Sie auf Heft-CD und -DVD in der Rubrik Internet,. Windows-Hintertüren Trojaner S.70 S.71 erkennen Userland- S.72 Kernel- S.72 Application- S.72 Firmware- S.72 Virtuelle S.72 von Unternehmen S.72 bekämpfen aufspüren S.73 entfernen S.74 PC mit Live-CD reinigen S.74 AVG Anti-Rootkit Free: So arbeitet das Tool S.70 : Gefährlicher als Trojaner S.72 Weitere Infos http://de.wikipedia.org/wiki/rootkit Wikipedia-Infos mit weiterführenden Links www.com-magazin.de/tipps/1595 Geheime Datenströme unter XP dication) gesteuert. RSS ist eine Technik, um Nachrichten möglichst schnell und effizient zu verbreiten. Ist ein Computer erst einmal von einem Trojaner befallen, stehen dem Schädling praktisch alle Möglichkeiten auf dem System offen. Er kann auf Dateien zugreifen, Kommandos ausführen, Tastatureingaben belauschen, den Bildschirm beobachten und sogar Bilder einer angeschlossenen Webcam aufzeichnen und versenden. Wie Sie Trojaner bekämpfen, lesen Sie im Artikel Trojaner aufspüren und entfernen in com! 4/2008, den Sie auch als PDF- Datei auf Heft-CD und -DVD in der Rubrik Internet, finden. Bis vor wenigen Jahren gab es praktisch nur unter Linux, wo sie Administratoren das Leben schwer machten. Doch längst hat sich diese besonders verschwiegene Schädlingsart auch unter Windows breitgemacht. Während Viren und Trojaner sich mit relativ leicht zu bekämpfenden Tricks wie zufälligen Namen zu verbergen versuchen, sind erheblich raffinierter. So gibt es, die Systemtreiber zu Windows hinzufügen oder gleich Teile des Betriebssystems austauschen, so dass sie im Windows-Explorer nicht mehr angezeigt werden (Bild A). Andere nisten sich im Master-Boot-Record (MBR) ein oder ersetzen gewohnte Anwendungen mit manipulierten Versionen, die anscheinend ganz normal funktionieren, aber Schadroutinen enthalten. Für die Zukunft rechnen Sicherheitsexperten mit, die sich über die Firmware von PCI-Karten verbreiten oder das gesamte Betriebssystem eines PCs in eine virtuelle Kapsel verpacken. In dieser Kapsel hat dann kein Schutz-Tool mehr eine Chance, das umgebende Rootkit zu entdecken. Aber auch als seriös geltende Unternehmen setzen Rootkit-Techniken ein, um beispielsweise den Kopierschutz von Audio-CDs zu schützen. Der bekannteste Fall ist das Sony-Rootkit, bei dem eine Anti-Kopier-Software ohne Wissen des Käufers mit Rootkit-Tricks tief im Betriebssystem verankert wurde. Wie sich Alternate Data Streams (ADS) missbrauchen lassen, um Daten zu verstecken, lesen Sie unter www. com-magazin.de/tipps/1595. Aktiviertes Rootkit: Im rechten Bild hat das Rootkit Hacker Defender Dateien mit hxdef im Namen ausgeblendet, links sind sie sichtbar (Bild A) Das Computer-Magazin 5/2008 71
Quelle: Kaspersky Lab erkennen Wer bekämpfen will, muss ihre Eigenarten und Tricks kennen. Denn bei dieser Schädlingsart gilt die Devise: Nur ein schlechtes Rootkit wird entdeckt, die guten bleiben unbemerkt. Userland- Ein Userland-Rootkit oder auch User- Mode-Rootkit verbirgt sich mit einem einfachen, aber effektiven Trick: Der Schädling fügt einen Treiber zu Windows hinzu, mit dem Systemzugriffe umgeleitet werden. Ein Beispiel: Ein Anwender ruft den Windows-Explorer auf, um sich den Inhalt eines Verzeichnisses anzeigen zu lassen. Ein Userland-Rootkit biegt diesen Aufruf um und filtert alle Inhalte aus, die unsichtbar bleiben sollen. Das funktioniert nicht nur im Windows-Explorer, selbst Dienste, Prozesse und Registry-Schlüssel lassen sich so verbergen. Auch ein herkömmlicher Virenscanner ist in diesem Fall blind. Wie simpel das geht, zeigt das Userland-Rootkit Hacker Defender. Das Rootkit besteht aus einer kleinen Zahl von Dateien. Eine davon dient zum Konfigurieren der verschiedenen Eigenschaften des (Bild B). Der Angreifer kann beliebige Namen, Begriffe und Abkürzungen eingeben, die dann für Windows unsichtbar werden. Kernel- : Gefährlicher als Trojaner Ein Kernel-Rootkit tauscht einen Teil des Betriebssystems aus und ersetzt ihn durch eine eigene, manipulierte Ver - sion. Damit kann es sich einerseits tarnen und andererseits beliebige Funktionen ausführen. Zu erkennen und zu entfernen sind diese besonders schwer, da sie direkt auf Kernel-Ebene arbeiten und so unbeschränkten Zugriff auf das System haben. Am besten bootet man einen möglicherweise mit einem Kernel-Rootkit verseuchten PC von einer Live-CD, die einen Sicherheits-Check durchführt, ohne dass das eigentliche Betriebssystem des Computers gestartet ist. Dadurch kann sich ein Rootkit nicht aktivieren und ist ungeschützt gegen den Virenscan. Die Zahl neuer pro Monat ist zwar gering, dafür sind sie sehr viel gefährlicher als Trojaner: tarnen und verstecken sich perfekt. 250 200 150 100 50 Hacker Defender: Das Userland-Rootkit wird mit dieser INI-Datei konfiguriert (Bild B) Anzahl neuer pro Monat Jan Feb Mär Apr Mai Jun Jul Aug Sep Okt Nov Dez 07 Im Schnitt tauchen etwa 100 neue pro Monat auf. Zum Vergleich: Bei Trojanern sind es über 50.000. Der Grund: sind wesentlich schwieriger zu programmieren Application- Ein Application-Rootkit verbirgt sich in einem anderen Programm. Dazu wird die ausführbare Datei des Programms gegen eine manipulierte Version ausgetauscht, die den PC dann ausspioniert. Unter Windows sind Application- relativ selten. Mehr Verbreitung haben sie unter Linux gefunden. Spezielle Admin-Tools wie die Kommandozeilenprogramme ps und ls sind häufig Ziel dieser Angriffe. Firmware- Wissenschaftler warnen seit Kurzem auch vor Firmware-, bei denen der Schädling versuchen soll, sich in der Firmware eines Computer-Bauteils zu verbergen. Der Vorteil für den Angreifer sei, dass Firmware von keinem Antiviren-Programm geprüft wird. In der Praxis sind sie allerdings noch nicht entdeckt worden. Virtuelle Ebenfalls noch nicht in der Praxis aufgetaucht sind so genannte virtuelle. Sie sollen einen besonders heimtückischen Trick verwenden, um sich zu verbergen: Statt den Rechner direkt zu infizieren, erstellen sie eine virtuelle Hülle, in die das Betriebssystem heimlich verlagert wird. Das Originalsystem läuft dann unbemerkt innerhalb der von dem Rootkit bereitgestellten Kapsel. Diese Technik wird von Wissenschaftlern Blue Pill genannt. von Unternehmen Mehrere Unternehmen haben versucht, ihre Kopierschutzmaßnahmen mit Rootkit-Techniken abzusichern. Dadurch soll es Raubkopierern schwerer gemacht werden, den DRM-Schutz (Digital Rights Management) zu entfernen. Am bekanntesten wurde vor einigen Jahren der Skandal um das Sony-Rootkit, das sich auf mehreren Audio-CDs beispielsweise von der Band Van Zant befand (Bild C). Der Konzern musste alle CDs zurückrufen und zusichern, die umstrittene Technik nicht mehr einzusetzen. 72 Das Computer-Magazin 5/2008
bekämpfen Für einen herkömmlichen Virenscanner sind unsichtbar. Nur mit Zusatz-Tools oder mit einem Scan von einer Sicherheits-CD lassen sie sich wirklich aufspüren. aufspüren Ein bewährtes Tool zum Suchen nach stammt von der Microsoft- Tochter Sysinternals: Der kostenlose Rootkit Revealer 1.71 (http://technet. microsoft.com/en-us/sysinternals/bb89 7445.aspx, kostenlos) vergleicht die Ergebnisse eines Scans auf Schnittstellen- Ebene sowie die Rohdaten auf der Festplatte und in der Registrierungsdatenbank des Computers miteinander. Sony-Rootkit: Sony wollte die Audio-CD von Van Zant per Rootkit- Technik vor Raubkopierern schützen (Bild C) Wenn das Programm Unterschiede findet, ist der PC möglicherweise mit einem Rootkit infiziert. Entfernen kann Rootkit Revealer den Schädling allerdings nicht. So geht s: Laden Sie den 230 KByte großen Rootkit Revealer unter http:// download.sysinternals.com/files/root kitrevealer.zip herunter und entpacken Sie das Archiv auf Ihre Festplatte. Starten Sie das Tool mit einem Doppelklick auf RootkitRevealer.exe. Ein Klick auf Scan startet die Suche nach. Sobald unten links Scan completed steht, ist der Check abgeschlossen. Wenn keine oder fast keine Diskrepanzen gefunden wurden, ist Das Computer-Magazin 5/2008
Ihr PC nicht mit einem Rootkit verseucht. Unbedenklich sind Einträge, die unter Description die Beschreibung Key name contains embedded nulls haben. Dabei handelt es sich um ungefährliche Meldungen. Hidden from Windows API ist jedoch ein deutlicher Hinweis auf ein Rootkit wie Hacker Defender (Bild D). Geben Sie die gefundenen Begriffe bei einer Internet-Suchmaschine ein, um weitere Informationen dazu zu erhalten. Rootkit Revealer 1.71: Einträge mit dem Hinweis Hidden from Windows API deuten auf ein Rootkit hin (Bild D) entfernen Der im vorherigen Abschnitt beschriebene Rootkit Revealer ist ein gutes Tool, um zu entdecken. Um einen Schädling zu entfernen, benötigt man jedoch ein zusätzliches Programm wie AVG Anti-Rootkit Free 1.1.0.42 (www. grisoft.de, kostenlos). So geht s: Installieren Sie AVG Anti- Rootkit Free, das Sie auf Heft-CD und -DVD in der Rubrik Internet, finden. Booten Sie nach dem Setup Ihren Computer neu und starten Sie danach AVG Anti-Rootkit. Klicken Sie auf Perform in-depth search, um gleich eine gründliche Suche nach zu starten. Markieren Sie anschließend gefundene Einträge, die zu gehören. Wenn Sie sich nicht sicher sind, versuchen Sie, über eine Suchmaschine mehr Informationen zu einem Eintrag zu erhalten. Kli - cken Sie dann auf Remove selected items und setzen Sie ein Häkchen vor I have read and understood the warning information, and want to con - tinue. Klicken Sie auf OK. Nach einem Neustart entfernt das Tool die gefundenen Einträge. PC mit Live-CD reinigen Nachdem Sie das Anti-Rootkit-Tool eingesetzt haben, checken Sie Ihren PC zusätzlich mit der Rescue-System-CD von Avira (http://www.avira.de/de/sup port/support_downloads.html, kostenlos). Da die Rescue-CD sich nicht online aktualisieren lässt, sollten Sie von Zeit zu Zeit die jeweils aktuellste Version von der Avira-Seite herunterladen. Die bootfähige CD prüft Ihren Computer mit Antivir, ohne dass das eigentliche Betriebssystem gestartet ist. So geht s: Sie finden die Avira-Rescue- CD von Anfang März als EXE-Datei auf Heft-CD und -DVD in der Rubrik Internet,. Anders als die meisten anderen Live-CDs bringt die Rescue-CD bereits ein eigenes Brenn-Tool mit. Kopieren Sie die EXE-Datei auf Ihre Festplatte und klicken Sie doppelt darauf. Legen Sie einen CD-Rohling ein und klicken Sie auf Brenne CD. Legen Sie danach die frisch gebrannte CD in Ihr CD-ROM-Laufwerk und starten Sie Ihren Computer neu. Eventuell müssen Sie die Bootreihenfolge im BIOS ändern, wenn Ihr PC nicht von der eingelegten Rescue-CD startet. Nach kurzer Zeit sehen Sie ein Menü. Geben Sie 2 ein und drücken Sie die Eingabetaste. Bestätigen Sie die deutsche Tastaturschablone und warten Sie, bis die Live-CD mehrere Treiber geladen hat. Wählen Sie in dem Menü (Bild E) scan aus und drücken Sie zwei Mal die Eingabetaste, bis Sie zum Fenster Aktion bei Malware-Fund kommen. Drücken Sie einmal die Pfeil-nach-unten- und danach die Leertaste, um den Eintrag Versuchen, infizierte Dateien zu reparieren zu markieren. Bestätigen Sie danach mit OK, YES und OK sowie mit Scanvorgang starten, um nach und anderen Schädlingen auf Ihrem PC zu suchen. Verseuchte Dateien, die Antivir nicht reparieren kann, ergänzt das Programm um die Endung XXX. So lassen sie sich unter Windows leicht über Start, Suchen ausfindig machen. Rescue-CD: Mit der bootfähigen Sicherheits-CD scannen Sie Ihre Festplatte nach Schädlingen. Weil ein Online- Update nicht möglich ist, laden Sie die jeweils aktuelle Version der Rescue-CD von der Avira-Seite (Bild E) Andreas Th. Fischer internet@com-magazin.de 74 Das Computer-Magazin 5/2008