Hacking und Hackerabwehr - Karlsruher Institut für Technologie (KIT ...

Ausbreitungsstrategien 31
3. Positives Ergebnis, senden einer Kopie von sich an das Opfer mit der Hälfte der Hit-
Liste.
4. Abarbeiten der Liste fortsetzten.
Mit dieser Technik ist es möglich sämtliche Maschinen auf der Hit-Liste innerhalb einer Minute
zu infiltrieren, selbst wenn nur in etwa 10% dieser Computer zum Einnisten nutzbar sind.
Es existieren mehrere Algrithmen eine Hit-Liste zu generieren, wobei eine solche Liste allerdings
keine Garantie darauf gibt, dass die gefundenen Systeme auch verletzlich sind:
• Mit Hilfe von heimlichen Scans:
Diese Art der Listenerstellung dauert bis zu einigen Monaten. Zwischen den einzelnen
Scans wird pausiert, um keine Aufmerksamkeit zu erregen. Die Wahrscheinlichkeit, dass
ein Sicherheitssystem ein solches Scanverfahren erkennt, sinkt je langsamer gescannt
wird, da es keine Möglichkeit gibt einen Zusammenhang der einzelnen Scans festzustellen.
• Mit Hilfe von öffentlichen Statistiken:
Internetstatistiken machen es den Schöpfern leicht an Listen zu gelangen, ohne zu scannen.
Beispielsweise Netcraft’s Top 50 der am meist aufgerufendsten Webseiten.
4.2.5. Topologisches Scanning
Der Schädling ist sich bei dieser Form des Scanning seiner Umgebung bewußt. Er verwendet
Informationen der Maschine auf der er sich befindet und nutzt diese zum Weiterverbreiten.
Topologisches Scanning wird z.B. von eMail-Viren intensiv genutzt, was wiederum die Grenze
zwischen Wurm und Virus verwischt. Sie verwenden Kontakte aus dem Adressbuch des
Opfers und senden ihnen eine Kopie ihres Wirtes. Diese Variante des Scannings könnte in der
Zukunft von großer Bedeutung werden. Zum Zeitpunkt der Erstellung dieses Dokuments ist
kein Schädling bekannt, der diese Technik nutzt.
Im Vergleich zum Hit-List Scanning hat topologisches Scanning einen entscheidenden Vorteil,
der Wurm würde zu Anfang des Scannprozesses mit einer hohen Wahrscheinlichkeit gültige
und funktionierende Server finden, da er sie lokal von z.B. der Festplatte seines Opfers liest.
4.2.6. Blitz Würmer
Der Begriff ” Blitz Wurm“ (in der Literatur unter ” Flash Worm“ bekannt), benutzt eine variante
des topologischen Scanning-Verfahrens, um Server innerhalb kürzester Zeit zu infiltrieren.
Dazu wird vor dem Aussetzen des Wurms eine Liste von so vielen Maschinen wie möglich
erstellt, die an das Internet angeschlossen sind, was eine Liste von etwa 12,6 Millionen Adressen
ergeben würde. Diese Liste wird nun auf mehrere Würmer verteilt, die nun eine Adresse
nach der anderen abarbeiten.
Sobald eine verletzliche Maschine gefunden wurde, kopiert sich der Wurm auf diese und
sendet, da die gesamte Liste ist zu groß ist, um sie auf einmal zu verschicken, Teile davon an
seine Kopie. Der neue Schädling empfängt sie und scannt gleichzeitig, mit Hilfe von mehreren
Prozessen, nach weiteren verletzlichen Maschinen.
Mit diesem recht auffälligen Scannverfahren ist es in kürzester Zeit möglich den gesamten
Adressraum auf Verletzlickeit zu prüfen und gegebenfalls zu infizieren.