Trojaner allgemein

[Adom Tzyk]

Mich würde mal interessieren wie Trojaner auf dem PC kommen. Ich habe den BKA Trojaner drauf gehabt und das obwohl ich alle aktuellen Microsoft Updates hatte, Java Update etc.
Auch war ich an sich nur auf "normalen" Websiten. Mails rufe ich über Windows Live Mail ab. Mir ist es immer nicht so ganz klar wie "Sicherheitslücken" ausgenutzt werden können, wenn ich alle Updates drauf habe.

[Der Martin]

Hallo,

Mich würde mal interessieren wie Trojaner auf dem PC kommen.

ganz unterschiedlich, aber meistens durch Sorglosigkeit und Gutgläubigkeit.
Zum Beispiel durch Öffnen von verseuchten Mailanhängen; durch Zulassen von Browser-Plugins, die weitreichende Zugriffsrechte auf den PC erhalten (z.B. Flash); durch globales Zulassen von ActiveX (bei Verwendung des IE); durch allzu leichtgläubiges Installieren von Software aus unsauberen Quellen.

Ich habe den BKA Trojaner drauf gehabt und das obwohl ich alle aktuellen Microsoft Updates hatte, Java Update etc.

Ich würde eher sagen "weil", nicht "obwohl". ;-)
Microsoft traue ich ehrlich gesagt alles zu. Auch das absichtliche Installieren von Backdoors, die mit irgendeinem Sicherheitsupdate mitgeliefert werden.

Auch war ich an sich nur auf "normalen" Websiten. Mails rufe ich über Windows Live Mail ab. Mir ist es immer nicht so ganz klar wie "Sicherheitslücken" ausgenutzt werden können, wenn ich alle Updates drauf habe.

Ein aktuelles System ist keine Garantie dafür, dass es keine Sicherheitslücken gibt. Software ist so komplex, dass sie eigentlich _immer_ Fehler enthält, das ist so gut wie sicher. Die Frage ist, ob diese Fehler Auswirkungen auf die Systemsicherheit haben können, und wenn ja, ob sie schon von Hackern entdeckt worden sind. Die Installation von aktuellen Sicherheitsupdates repariert zwar im Regelfall bekannte Probleme, aber die noch unbekannten logischerweise nicht. Außerdem reißt die Reparatur einer Lücke manchmal gleich eine neue. Es ist also ein ewiges Katz-und-Maus-Spiel, bei dem man im Interesse der eigenen Sicherheit immer davon ausgehen sollte, dass die "bad guys" einen Schritt voraus sind.

Ach ja, und bevor einer auf die Idee kommt: Nein, Linux oder MacOS sind nicht von Haus aus sicherer als Windows. Vielleicht in dem einen oder anderen Punkt, aber dafür haben sie garantiert andere Schwächen. Die Tatsache, dass diese Betriebssysteme weniger von Attacken betroffen sind, hat einen ganz anderen Grund: Es lohnt sich für die Hacker wegen der geringeren Verbreitung einfach nicht.

So long,
 Martin

[Adom Tzyk]

Ein aktuelles System ist keine Garantie dafür, dass es keine Sicherheitslücken gibt. Software ist so komplex, dass sie eigentlich _immer_ Fehler enthält, das ist so gut wie sicher.

Ja leuchtet mir schon ein, nur wenn ich eine Software habe ich nehme z.B. einen Browser, dann verstehe ich nicht ganz, wie es sein kann das irgend ein javascript irgend was auf der Festplatte anrichten kann. Denn der Browser hat doch von Haus aus jetzt nicht den "direkten" Zugriff auf das Windows Verzeichnis z.B.
Ich meine insbesondere weil javascript doch von Haus aus auch keine Möglichkeit bietet Daten auf der Festplatte zu löschen. Daher ist mir das immer nicht so ganz klar.
Natürlich ist Software komplex, aber wenn es in javascript nicht möglich ist Daten auf c: zu löschen, wie kann dann trotzdem ein javascript Daten auf meiner Festplatte löschen oder einen Trojaner installieren. Denn der Trojaner muß ja auch erst mal in den Autostart. Also wenn javascript von Haus aus nichts in den Autostart legen kann, wie geht es dann trozdem

Wie gesagt mir ist es klar, es gibt Sicherheitslücken nur so richtig verstehen, bzw. logisch ist es mir nicht.

[1UnitedPower]

Ja leuchtet mir schon ein, nur wenn ich eine Software habe ich nehme z.B. einen Browser, dann verstehe ich nicht ganz, wie es sein kann das irgend ein javascript irgend was auf der Festplatte anrichten kann.

Kanns auch nicht, aber wenn du dir irgend ein Programm runterlädst und zufällig nicht von chip.de, sondern von einer Fishing-Seite, kann dein Rechner sich ganz schnell einen Schnupfen einfangen.

Oder wenn deine kleine Schwester ihren mp3-Player an deinen PC anschließt um zu prüfen, ob "Justin-Bieber.exe" bei dir wiedergegeben werden kann.

Wie gesagt mir ist es klar, es gibt Sicherheitslücken nur so richtig verstehen, bzw. logisch ist es mir nicht.

Du hast dich zu sehr auf Javascript verbissen.

[Der Martin]

Hallo,

Ein aktuelles System ist keine Garantie dafür, dass es keine Sicherheitslücken gibt. Software ist so komplex, dass sie eigentlich _immer_ Fehler enthält, das ist so gut wie sicher.
Ja leuchtet mir schon ein, nur wenn ich eine Software habe ich nehme z.B. einen Browser, dann verstehe ich nicht ganz, wie es sein kann das irgend ein javascript irgend was auf der Festplatte anrichten kann.

das ist soweit richtig, Javascript ist per se "relativ" ungefährlich (von Sonderfällen wie dem IE abgesehen, dazu später mehr). Aber die wirklich heimtückischen Angriffspunkte sind ganz andere, nämlich echte Fehler oder Versäumnisse der Programmierer.

Dazu ein Beispiel - fiktiv, aber vom Prinzip her realistisch.
Nehmen wir an, es gäbe in der Spezifikation von JPEG eine Festlegung, dass eine bestimmte Struktur im Header maximal 488 Byte lang sein darf. Nehmen wir weiter an, der Programmierer, der den JPEG-Support für einen Browser schreibt, verlässt sich darauf und reserviert als Pufferspeicher für diese Struktur gerade mal 488 Byte, denn "länger darf sie ja sowieso nicht sein".

Und jetzt kommt der Hacker. Er analysiert den Code des fertigen Browsers, wie er zu Millionen bei den Nutzern auf dem Rechner ist. Er stellt fest: Wenn man eine "kaputte" JPEG-Datei konstruiert, in der dieser Header mehr als 488 Byte lang ist, wird der dahinter liegende Speicherbereich überschrieben, weil der Programmierer auf eine Längenüberprüfung verzichtet hat. Wenn er seine getunte JPEG-Datei nun Byte für Byte so konstruiert, dass durch das Überschreiben der nachfolgenden Speicherinhalte eine definierte Reaktion ausgelöst wird ...

Das geht jetzt alles sehr ins Detail, und solche Malware auszutüfteln, ist sicher kein Job, den die Jungs mal eben so zwischen Kaffee und Abendbrot erledigen. Aber die hartnäckigen unter ihnen, die stundenlang oder gar tagelang forschen und probieren, kriegen es irgendwann auch hin, unseren erfundenen Browser kontrolliert zu Fall zu bringen - und zwar so, dass danach irgendein Stück Code ausgeführt wird, den der Hacker dort ausgeführt haben möchte. Peng!

Denn der Browser hat doch von Haus aus jetzt nicht den "direkten" Zugriff auf das Windows Verzeichnis z.B.

Doch, hat er - nämlich über Plugins, die der Nutzer freiwillig installiert. Flash habe ich als Beispiel schon genannt; ein anderes wären Plugins, die die Wiedergabe von Audio- oder Videodaten über einen im System vorhandenen Player ermöglichen. Das einzige, was dann noch schützt, ist a) ein gesundes Vertrauen zum Plugin-Anbieter und b) die Rechtevergabe des Betriebssystems.

Nochmal zurück zum IE: Wenn man die Sicherheitseinstellungen sehr locker setzt und dem IE das Ausführen von ActiveX-Controls erlaubt (die integrierten reichen schon), dann kann man auch mit JScript, der Microsoft-Implementierung von Javascript, auf das Filesystem und/oder die Registry zugreifen. Und zwar alles, was der Nutzer des Browser mit seinen Zugriffsrechten auch dürfte.

So long,
 Martin