Antivirus.NET

[Assarbad]

Zitat von mkinzler:

http://www.heise.de/newsticker/meldu...t-1180153.html

Die Lücke ist diese hier: https://www.rootkit.com/newsread.php?newsid=726

Hier der PoC. ... in dem Thema sind auch die Hintergründe zu finden.

[QuickAndDirty]

[QUOTE=Matze;1078009]

Zitat von QuickAndDirty:

"XP nicht mit einem Admin-Account verwenden" wäre eine passendere Aussage.

Stimmt! War so eine Erinnerung...tatsächlich habe ich meinem Schwager ein XP verpasst und lasse die nur als User
rummachen...das funktioniert bestens...besser als zu meiner XP zeit im Admin modus...

[QuickAndDirty]

Zitat von Assarbad:

Zitat von QuickAndDirty:

...denn alle Virenscanner müssen um ihren Job gut zu machen sich selbst als rootkit installieren!

... geht's noch?

Du kennst schon den qualitativen Unterschied? Windows bietet Unterstützung für das Filtern von Dateisystemoperationen. Entsprechend braucht man nicht, wie du behauptest, Rootkitmethoden einsetzen. Abgesehen davon haben AV-Hersteller einen gehörigen Nachteil: im Gegensatz zum Angreifer der auf Systemstabilität keinen Wert legen muß, erwarten Benutzer von uns ein stabiles Produkt. Der Angreifer hingegen kann sich auch leisten daß hunderte Systeme nicht mehr funktionieren. Und Rootkitmethoden haben leider das Problem, daß sie Instabilitäten erzeugen - egal wer sie einsetzt. Das habe ich selber auch schon Kaspersky bewiesen. Nur haben die es ignoriert und sich danach künstlich aufgeblasen als ein anderer auf rootkit.com die gleiche Lücke nach vielen Monaten veröffentlichte (gemeldet von mir Okt. 2005, veröffentlicht auf rootkit.com Jun. 2007).

Zu der Zeit als ich mich mit Virenscannern beschäftigt habe hieß es sie installieren sich als Rootkitt. Vor allem Norten Commander soll deswegen besonders gut gewesen sein(damals...heute nervt er nur...kann nicht raten den zu nutzen).

Zitat von Assarbad:

Zitat von QuickAndDirty:

Nichts mit Daemontools oder so vorrübergehend mounten...

Wer Autostart/AutoPlay an hat dem ist ohnehin nicht mehr zu helfen.

es kommt drauf an...^^
Aber ich glaube Daemontools ist der LAN Seuchenträger.

Zitat von Assarbad:

Zitat von QuickAndDirty:

MSN Livemessenger NUR in sandboxie verwenden!
yahoo messenger NUR in sandboxie verwenden!

Wie wäre es komplett ein Alternativprogramm wie Pidgin, Miranda o.ä. zu verwenden?

Oh...ich dachte schon du kommst auch noch mit Kopete.
Pidgin, Miranda, Trillian, Kopete... meine letzten Information sagen das die Unterstützung von Audio und Video chat für das MSNP16 in keinem funktioniert...
Außerdem mag ich amsn...und dort besteht hoffnung das mit der nächsten version audio und video wieder da sind...(außer dem MUSS ich amsn mögen weil ich viele stunden damit verbracht habe alle in SLED11SP1 nicht vorhandene bibliotheken zu suchen, zu installieren, fehlgeschlagene installationen aufzuräumen , neu zu suchen und zu installieren und am ende den scheiß confgurieren und de source builden und das compilat installieren....also falls jemand eine aMSN Version für sled 11sp1 braucht...ich habe nen recht vollständigen Ordner dafür)

Und die schönen features von MSN...animierte avatare , Hintergründe und perverse smiles die mir den text unleserlich machen, animoticons, winks...das muss alles sein und nicht nur im empfangen modus!!
Deswegen sandboxie... und du kannst sandboxie auch benutzen um dich bei jedwelcher anderen activität mit nicht vertrauenswürdigen Programmen oder Dateien abzusichern...

auf Kino(Punkt)"komisches Land in dem alles erlaubt ist" Filme gucken dir komische codecs installieren...alles kein Problem in der sandbox.


Was gefällt dir an Sandboxie nicht?

Zitat von Assarbad:

Zitat von QuickAndDirty:

Und vergiss das mit dem löschen von dem Trojaner...das system ist schon zu lange kompromitiert, es neu auf zu setzen ist das einzig Richtige.

Zu lange kompromittiert? Hast du die Malware geschrieben, oder woher weißt du wie lange sein System kompromittiert ist?


Es gibt sicher andere Methoden um von diesen "Rogue AVs" loszukommen, aber die sicherste Methode ist in der Tat immer ein sauberes Backup zu haben oder sich durch Neuinstallation eins zu verschaffen und dann immer zu pflegen.

Sag ich doch! Würdest du auf die Sauberkeit des Systems noch vertrauen, wenn die Malware weg ist ?

[Assarbad]

Zitat von QuickAndDirty:

Zu der Zeit als ich mich mit Virenscannern beschäftigt habe hieß es sie installieren sich als Rootkitt. Vor allem Norten Commander soll deswegen besonders gut gewesen sein(damals...heute nervt er nur...kann nicht raten den zu nutzen).

Norton Commander war ein DOS-Dateimanager. Und Norton Antivirus wurde vor 2 oder 3 Jahren komplett neu geschrieben, weil die Leute es nur noch als zu klobig empfanden ... inzwischen ist also wohl eher der Ruf schlechter als die Tatsachen. Aber ich will ja keine Werbung für die Konkurrenz machen

Zitat von QuickAndDirty:

es kommt drauf an...^^
Aber ich glaube Daemontools ist der LAN Seuchenträger.

Ach so? Eine Glaubensfrage? ...

Könntest du das vielleicht mit einer IDB oder entsprechenden Ausschnitten des Disassemblats untermauern? Mit Glauben hab ich's nicht so ...

Zitat von QuickAndDirty:

Oh...ich dachte schon du kommst auch noch mit Kopete.
Pidgin, Miranda, Trillian, Kopete... meine letzten Information sagen das die Unterstützung von Audio und Video chat für das MSNP16 in keinem funktioniert...

Ach ja, stimmt. Wenn man unbedingt dieses oder jenes "braucht", kann die Sicherheit mal hintenan stehen ... nicht wahr? Kennen wir als "Social Engineering"-Masche von der verlockenden Wirkung von (kostenlosen) Filmchen mit nackten Tatsachen. Man "braucht" halt diesen Codec oder diesen Player und schwupps hat sich irgendeine Malware eingenistet.

Zitat von QuickAndDirty:

Und die schönen features von MSN...animierte avatare , Hintergründe und perverse smiles die mir den text unleserlich machen, animoticons, winks...das muss alles sein und nicht nur im empfangen modus!!

Das ist sehr schade. Dank alternativem IM kann ich auf alle diese Sachen verzichten, auch wenn du mich kontaktieren würdest und meinst mir solchen Mist aufnötigen zu müssen. Alle Mühe umsonst ...

Zitat von QuickAndDirty:

Deswegen sandboxie... und du kannst sandboxie auch benutzen um dich bei jedwelcher anderen activität mit nicht vertrauenswürdigen Programmen oder Dateien abzusichern...

Der Sinn (oder Unsinn) dieser Ansätze beschäftigt mich schon eine Weile. Wenn in einem Sandkasten deine Daten gestohlen werden, sind sie auch weg ... völlig egal ob du als Bonus noch Malware bekommen hast oder diese verhindert wurde.

Zitat von QuickAndDirty:

auf Kino(Punkt)"komisches Land in dem alles erlaubt ist" Filme gucken dir komische codecs installieren...alles kein Problem in der sandbox.

Is klar ...

Zitat von QuickAndDirty:

Was gefällt dir an Sandboxie nicht?

Dazu bemühe ich mal die Worte des Autors ...

Zitat von http://www.sandboxie.com/index.php?NotesAbout64BitEdition:

Full disclosure: The 64-bit edition of Sandboxie provides a reduced level of protection compared to the 32-bit edition of Sandboxie.

This shortcoming is the result of a new security feature introduced in 64-bit editions of Windows, called Kernel Patch Protection. This feature aims to protect the core of Windows (the kernel) by regularly performing self-checks to detect changes.

The problem is that a stock Windows kernel does not provide all the facilities necessary to implement a security solution such as Sandboxie. On 32-bit Windows, Sandboxie can dynamically enhance the Windows kernel to provide the missing functionality. This is not possible on 64-bit Windows, due to the Kernel Patch Protection feature.

It should be noted, however, that even with this disadvantage, the 64-bit edition of Sandboxie is still an adequate front line of defense against most types of malicious software.

Additionally, in order to compensate for this disadvantage, the 64-bit edition of Sandboxie enables the Drop Rights setting by default. This setting may need to be disabled before software can be installed into a sandbox.

Wie war das noch mit den Rootkitmethoden?

Zitat von QuickAndDirty:

Würdest du auf die Sauberkeit des Systems noch vertrauen, wenn die Malware weg ist ?

Kommt drauf an. Wenn ich sie selber vollständig analysiert und verstanden hätte, bspw. schon.

Aber wozu drauf vertrauen, wenn ich doch saubere Backups bereithalte