1 / 29

Spam: Trojaner als Spam-Roboter

Gliederung. EinleitungAntispam-ManahmenBlackhole-ListenSender Policy Framework (SPF)TrojanerEntstehung und VerbreitungTrojaner aus dem Baukasten / P2P

gabi
Download Presentation

Spam: Trojaner als Spam-Roboter

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

    1. Spam: Trojaner als Spam-Roboter  

    2. Gliederung Einleitung Antispam-Maßnahmen Blackhole-Listen Sender Policy Framework (SPF) Trojaner Entstehung und Verbreitung Trojaner aus dem Baukasten / P2P & Windowsschwachstellen / Proxies & offene SMTP-Server Kontrolle des Bots Der Zweck des Bots Professionelle Spammer / DDoS-Attacken Fazit

    3. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit „In den Virenstatistiken dominieren derzeit schlichte E-Mail-Würmer, die es auf maximale Verbreitung abgesehen haben, darüber hinaus aber keine oder kaum Schadfunktionen aufweisen. Größere Gefahr geht jedoch von trojanischen Pferden aus, die Daten ausspionieren und den Rechner als Spam-Schleuder oder für Angriffe auf Server missbrauchen.“ c‘t 3/2004, Angriffe aus dem Netz, S. 118

    4. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit Virus: Ein Virus ist ein Programm, das andere Programme oder Speichermedien modifizieren kann, um dort eine Kopie von sich selber zu hinterlassen. Bsp: Als Anhang an eine Datei Wurm: Im Gegensatz zu einem Virus hängt sich ein Wurm nicht an, sondern kopiert sich selbständig über das Netzwerk. Ihm geht es um seine Verbreitung. Eine Unterscheidung zwischen diesen Arten ist nicht ganz eindeutig. Im Prinzip könnte man behaupten, ein Virus infiziert ein Objekt und ein Wurm seine Umgebung.

    5. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit Trojaner: Tarnen sich als nützliche Anwendung, enthalten aber eine versteckte Schadroutine. Eine besonders aggressive Form sind Backdoor- und RAT-Trojaner, die ein Hintertürchen im System öffnen, durch das der Hacker eindringen kann. Moderne Viren vereinen teilweise die Eigenschaften aller drei Vertreter und sind dadurch extrem „potent“. Ein Programm, dass sich auf X-verschiedene Weisen replizieren kann (möglicherweise intelligent) und in der Lage ist, das von ihm infizierte System komplett zu steuern.

    6. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 2.1.Blackhole-Listen Eine Möglichkeit Spam zu verhindern ist, die IP-Adresse des Spammers, sobald dieser als solcher erkannt wird, in eine Datenbank einzutragen und ab sofort keine Mails von diesem Mailserver mehr entgegen zu nehmen. www.declude.com/junkmail/support/ip4r.htm Problem: Spammer nutzen Tausende von vorübergehend im Netz aktiven PCs. Die Zahl zu blockender Adressen ist unglaublich groß und verändert sich in Echtzeit.

    7. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 2.1.Blackhole-Listen Blackhole-Listen müssen stets aktuell gehalten werden; auch, wenn ein Rechner unter Umständen nur ein einziges Mal für den Spamversand verwendet wurde. IPs, die in 24h nur einmal als Spamversender aufgetreten sind, müssen von der Liste wieder gestrichen werden. Der Spamfilter des Onlineangebots der Zeitschrift iX setzt täglich ca. 1500 IP-Adressen auf die Blackhole-List aber: „Trotz der Spammer-Tricks erkennt der iX-Spamfilter rund 40 % der Spam-Mails von vornherein, weil die gleiche oder eine eng benachbarte IP-Adresse kurz zuvor Spam verschickt hat.“

    8. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 2.1.Blackhole-Listen Es gibt immer Server, die nicht auf Blackhole-Listen stehen: ? White-List Die White-List ist das genaue Gegenteil zur Blackhole-List. Hier werden genau die Adressen gelistet, von denen ein Mailempfang gestattet ist. Zwar relativ Spamsicher aber natürlich etwas „mühselig“, da keine Emails von unbekannten Adressen empfangen werden können. ? eignet sich also auch nur für bedingte Situationen

    9. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 2.1.Sender Policy Framework (SPF) SMTP hat ein Sicherheitsloch: Jeder kann eine beliebige Absenderadresse bei einem Mailversand angeben. ? Prüfung der Absenderdomain gegen die versendende IP- Adresse Verfahren entwickelt von Meng Weng Wong; von AOL erfolgreich propagiert; hauptsächlich benötigt für neue .tm-Domains. Dazu müssen die DNS-Einträge um ein neues Datenfeld (SPF-Records) erweitert werden. Sowohl der sendende, als auch der empfangende Mailserver müssen SPF unterstützen.

    10. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 2.1.Sender Policy Framework (SPF) Ankommende Email angeblich von gmx.de, IP-Adresse 1.2.3.4 Abfrage: Gehört der Mail-Server mit der IP-Adresse 1.2.3.4 wirklich zu gmx.de?

    11. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung F: Sind Virenschreiber absolute Cracks? A: Mit Sicherheit nicht! Angegriffene Sicherheitslücken sind teilweise schon Monate bekannt Die Trojaner sind in den seltensten Fällen selber programmiert, sondern entstammen einfachen Trojaner-Baukasten-Systemen wie „SD-Bot“ oder sind selbst ein Toolkit wie „Optix Pro“ und „Assassin“

    12. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung SD-Bot: SD-Bot ist eine Art Baukasten. Verschiedene Routinen sind hier bereits vorgegeben (bspw. drei verschiedene Arten, den Trojaner beim Windowsstart zu aktivieren, etc.) Ein Trojaner kann so innerhalb von Minuten aus den benötigten Routinen zusammengestellt werden. Eine gute Dokumentation der einzelnen Routinen macht ein Abändern des Codes auch für „Nichtprofessionelle“ durchaus möglich. Vor allem sind die Routinen beängstigend simpel.

    13. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung Trotz des Alters, dieses Baukastensystems, werden neu zusammengestellte Trojaner selten von AV-Systemen erkannt. Schon eine gute Wahl des Compilers oder EXE-Packer wie „upx“, erschwert AV-Systemen die Arbeit.

    14. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung Optix Pro & Assassin: „Installs remotely – no computer access needed“ Optix Pro ist ein RAT, von dessen Umfang sich kommerzielle Programme eine Scheibe abschneiden könnten Es bietet komfortablen Zugang zu allen möglichen Systemen: Datei-, Prozess- und Registry-Manager, Bildschirmüberwachung, Chat aber auch Mitprotokollierung von Passwörtern, Scannen von fremden Systemen, Stealthen und zahlreiche „Spaßfunktionen“

    15. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung Aktuelle Daten werden an frei definierbare Server weitergeleitet. Egal ob Mail, ICQ, IRC oder cgi- bzw. php-Skripte. Beinhaltet einen Builder, mit dem sich Trojaner aus vorgefertigten Routinen, ähnlich SD-Bot, zusammenstellen lassen.

    16. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung Im Gegensatz zu früher, wo Trojaner meist normalen Programmen „beigelegt“ waren; haben sie dank der ausgebauten Internetanbindung heute ganz andere Möglichkeiten der Verbreitung: P2P-Netze sind den Virenautoren sehr willkommen. Versand per Email über installierte Software; aber auch über eine integrierte SMTP,-Engine.

    17. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung Start eines FTP-Servers auf dem infizierten System, mit dessen Hilfe jede Art des Datenaustausches möglich ist. Randex verfügt, wie viele Trojaner, über eine Liste mit den gebräuchlichsten Passwörten. „admin“ „root“ „1“ „111“ „123“ „1234“ „123456“ „654321“ „!@#$“ „asdf“ „asdfgh“ „!@#$%“ „!@#$%^“ „!@#$%^&“ „!@#$%^&*“ „server“

    18. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.1.Entstehung und Verbreitung 3 von derzeit 14 bekannten Sicherheitslücken in Microsoft-Betriebssystemen:

    19. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.2.Kontrolle des Bots Update des Trojaners und Versand von Daten per FTP, sowie Remote-Funktionen des OS Codezeilen von Randex: Connected to %s. %d, %d : USERID : UNIX : %s NICK %s USER %s „zerobot“ „05“ : %s PASS %s ? Randex ist eine IRC-Drone, ein sog. „Bot“

    20. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.2.Kontrolle des Bots Alle mit Randex infizierten PCs loggen sich auf einem IRC-Server ein. Der Virenautor hat zeitgleich Kontrolle über alle infizierten Systeme (ca. 15.000 PCs). Befehle und Daten können also ohne Mühe an alle (aber auch einzelne) Bots gesendet werden. Rückgabe von Anfragen erfolgt im Chat.

    21. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Die Virenschreiber sind noch relativ jung; die Motivation ist in den meisten Fällen einfach nur Selbstbestätigung. Die Möglichkeiten eines Trojaners sind aber schier unbegrenzt: Ausspionieren eines Users (wenn eine Webcam vorhanden ist, sogar live mit Bild) Datenklau (bspw.: „getcdkey GENERALS“) Einrichten eines Proxys und „surfen“ über den infizierten PC.

    22. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Überlegung: ca. 15.000 infizierte Rechner die aktuell online sind ca. 15.000 Proxies mit dazugehörigen IPs ca. 15.000 offen zugängliche PCs, die garantiert auf keiner Blacklist stehen was tun?

    23. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Nutzen der infizierten Systeme, durch Versenden einer einfachen Email an einen ausgesuchten Server. 22. Mai 2004: „Spam-Welle überrollt die TU Braunschweig“ Prinzip: Die Masse machts Besser: Verkauf der IP-Listen an professionelle Spammer. Lohnt sich nicht?

    24. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Lohnt sich sehr wohl! 500$ für 500 Proxies oder 28.000$ um sämtliche Proxies für einen Monat zu mieten Den Spammern stehen genug Proxies zur Weiterleitung ihrer Spam-Mails zur Verfügung. Ist der Trojaner „gut“, könnte sogar das Emailkonto des unwissenden Users genutzt werden.

    25. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Überall, wo Geld zu machen ist, wird es Leute geben, die dieses Geld haben wollen. Die Virenschreiberszene wird professioneller werden und sich mit Spammern koordinieren. Laut Message Labs, ein auf Email-Security spezialisiertes Unternehmen, werden bis zu zwei Drittel aller Spam-Mails über Trojaner-Proxies versendet. ? kein Ende in Sicht

    26. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Eine solch große Anzahl an Bots bietet aber auch andere Möglichkeiten, unbeliebte Konkurrenten oder Konzerne zu schädigen.

    27. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit 3.3.Der Zweck des Bots Wieder das Prinzip „die Masse machts“: geg: 15.000 Bots Upstream: Schätzungsweise 128 kBit/s pro Bot (üblicher DSL-Upstream) 15.000 x 128 kBit/s = ca. 1,5 GBit/s Bandbreite für DoS-Attacken! Nicht viele Server können dem standhalten. Diese Bandbreite steht auch für den Versand von Spam zur Verfügung!

    28. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit Virenschreiber haben erkannt, dass es viel sinnvoller ist ein System zu übernehmen, statt dieses zu zerstören. Wie man sieht, ist die Szene der Virenschreiber und Spammer gerade in einem Stadium des Wandels; sie wird immer professioneller. Es handelt sich immer seltener „Skript-Kiddies“ sondern um Personen, die sehr wohl wissen, welch lukrative Möglichkeiten diese Art von „Job“ bietet. Betrachtet man die vorgestellten Antispam-Maßnahmen, so wird klar, dass auch das neue SPF den Spam nicht unterbinden kann; es schützt lediglich vor dem Ausnutzen von vertrauener-weckenden Markennamen.

    29. 1.Einleitung 2.Antispam-Maßnahmen 3.Trojaner 4.Fazit Die Statistik zu Spam-Versand zeigt deutlich, dass etwas gegen Trojaner getan werden muss, wenn man dem Massen-Spam Einhalt gebieten will. Solange neue Trojaner so schnell zusammengebaut werden können, gestaltet sich das schwierig. Umso trauriger ist es da, dass AV-Scanner immer noch so große Probleme haben, selbst alte Viren zu erkennen, Updates & Patches meist zu spät kommen, bzw. von den meisten Anwendern nicht installiert werden.

    30. Spam: Trojaner als Spam-Roboter Quellenangabe: Literatur: c't 5/2004: Aufgedeckt: Trojaner als Spam-Roboter, S. 18 Onlinequellen: www.heise.de http://www.heise.de/newsticker/meldung/44869 http://www.heise.de/newsticker/meldung/47575

More Related