MPack - Jetzt wird's ernst
Geizhals » Forum » Security & Viren » MPack - Jetzt wird's ernst (80 Beiträge, 965 Mal gelesen) Top-100 | Fresh-100
Du bist nicht angemeldet. [ Login/Registrieren ]
MPack - Jetzt wird's ernst
Fly
14.07.2007, 12:31:44
Ok, die Meldung ist nicht neu. Erstaunlicherweise hat bisher niemand etwas dazu geschrieben, also will ich mal ein klein wenig dazu schreiben, was mich seit fast zwei Monaten beschäftigt (damit Ihr auch mal wißt, was ich arbeite :)).

MPack ist eine Art "Infektions-Kit". Gibt's für relativ wenig Geld (700-100 Dollar) zu kaufen. Nein, wo wird nicht verraten. Mir reichen schon die, die's wissen und einsetzen.

Was es dann noch braucht ist ein Webserver, der hinreichend ungesichert ist um dort ein Stück HTML-Code einzufügen. Üblicherweise wird hierbei ein wenig Javascript eingesetzt, damit man's schwerer identifizieren kann, darin ein iframe. Damit wird man auf den Server des Angreifers umgeleitet. Dort liegt ein PHP-Script. Dieses PHP-Script wertet die Meta-Info, die der Browser mitschickt, aus, stellt fest welchen Browser Du verwendest und schickt ein für diesen Browser und das dazugehörige System "passenden" Exploit. Erkannt wird so ziemlich jeder halbwegs verbreitete Browser (IE, FF, Opera, Safari, Konqueror, sogar Lynx), und jedes halbwegs im Einsatz befindliche OS (Windows 9x, Windows 2k/XP/Vista, Linux 2.4, Linux 2.6, Free/Open-BSD, usw).

Dieser Exploit wiederum führt dazu, daß eine vom Angreifer zu bestimmende Datei nachgeladen und ausgeführt wird.

Dagegen gibt's derzeit wenig wirklich Wirkungsvolles. McAfee hat eine halbwegs gute Scriptheuristik (und wir auch :)), beide sind wir allerdings Lichtjahre von 100% Erkennungsraten entfernt. KAV findet NIX (die finden dafür halbwegs zuverlässig die nachgeladenen Dateien, was allerdings bestenfalls aufschiebende Wirkung hat, die ersten Nachlader, die JEDEM einzelnen Infizierten 'ne anders gepackte schicken sind im Anrollen), der Rest findet noch weniger.

Der Spaß perpetuiert sich natürlich auch selbst. Weil auf einem infizierten System findet man die Passwörter, die auf diesem verwendet werden, einer davon hat ggf. 'nen Webserver, damit wird der Webserver dann entsprechend manipuliert, damit wird mehr infiziert... usw.

Laut Google sind 10% der weltweiten Webpages damit bereits verseucht. Ich find die Zahl ein wenig hoch, aber wenn's Google sagt... wer wird's denn wohl am besten wissen? Vor allem hat Google keine Virenscanner am Start, entsprechend glaub ich ihnen mal, daß sie damit nicht einfach nur ihre Verkaufszahlen hochtreiben wollen.

Panda hat dazu auch 'ne recht eindrucksvolle Analyse, zu finden hier. Unten auf der Seite ist auch ein Link zu einem PDF, das eine Detailanalyse des Infektors enthält. Lesenswert, sofern man nicht mehr ruhig schlafen will.

Was kann man dagegen tun? Nun, "unsichere" Seiten vermeiden bringt nix mehr. Kürzlich war eine Homepage eines Hotels ein Infektionsweg. Webserverbetreiber mögen bitte ihre Startseiten nach Code untersuchen der nicht ihnen gehört, vor allem nach Javascript-Teilen die verschlüsselte Information enthalten. Mein persönliches Horrorszenario ist immer noch der infizierte Webshop.

Indirekten Schutz bieten Virenkiller, wenn die Datenbank aktuell gehalten wird (und sie nicht erst nach 'ner Woche oder zwei einen Trojaner finden, und auch nur wenn er schon so grassiert daß ihn jeder hat). Nicht als Admin durch die Gegend surfen bietet auch einen gewissen Schutz, da viele Malware-Programme Adminzugriff benötigen um sich ins System zu hängen. Leider nicht alle.

Womit ich gute Ergebnisse erzielt habe war Privoxy. Eigentlich ein Proxy, der Ads und Popups filtern soll, er filtert aber auch unsichtbare iframes (den "Standard-Angriff") und "kann" einige Sachen nicht, die man im täglichen Gebrauch nicht benötigt, die aber von den Angreifern gerne verwendet werden. Zumindest bis die Angreifer auf den Trichter kommen (und ich meine Browser-Plugins fertig hab) sollt's das tun.

________________________________________________________________________
There's a typo in the Bible.
It should read "The geek shall inherit the earth".
Antworten PM Übersicht Chronologisch
 
Melden nicht möglich
 

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung