Cybercrime

Dieter Kochheim, Cybercrime - 15 -griffsziele erkunden und attackieren. Trojaner versteckensich in anderen Programmen, die dem Anwendereinen besonderen Nutzwert versprechenund handeln sozusagen im Geheimen.Keylogger und Spyware bezeichnen hingegen dieFunktionsweise der Malware, aber nicht die Art desVorgehens bei der Infiltration.A.1 5.1 MalwareZur Abwehr der Malware werden verschiedeneProgramme wie Virenscanner und Firewalls sowieihre ständigen Aktualisierungen angeboten. Siebieten einen Grundschutz. Während die Virenscannernoch vor ein paar Jahren mehr als 90 %der Malware auf Anhieb erkannten ist die Erkennungsrateinzwischen auf unter 40 % gesunken.Sie sind nach wie vor nötig, müssen aber um weitereSchutzmaßnahmen ergänzt werden.Eine wichtige Aufgabe kommt insoweit den Programmherstellernzu, die die in ihren Anwendungenenthaltenen Sicherheitslücken (Exploits) immerschneller erkennen und mit Updates schließenmüssen.Ebenso wichtig sind die Maßnahmen, die der Anwenderund die IT-Organisation durchführen müssen,in die er eingebunden ist. Dazu gehören vorAllem die Rechteverwaltung (keine Programminstallation,beschränkte Schreibrechte) und die kritischeBeobachtung des laufenden Betriebs sowieder eigenen Handlungen.Aber auch die Techniken, die die Malware-Programmierer verwenden, sind nicht banal. Sienutzen alle Möglichkeiten der Tarnung und Täuschung.Dazu wird die Malware nicht nur in dieLage versetzt, ihren Namen, ihren Standort undihre Form zu verändern, sondern vor allem, sichüber eine Netzverbindung zu erweitern, zu aktualisierenund weiter zu verbreiten (Tarnkappentechnikfür Viren, Stealth-Viren 52 ).Die Infiltration erfolgt immer über bekannte odernoch allgemein unbekannte Sicherheitslücken,also offene Zugänge oder Verbindungen, die mitmassenhaftem "Datendruck" sturmreif geschossen52WP, Stealth-Virenwerden können (Pufferüberlauf).Dem Nachwuchs der Angreifer wird es dadurchleicht gemacht, dass inzwischen regelrechte Baukästen(Toolkits 53 ) im Umlauf sind, mit denen sichper Mausklick die Malware, ihre Zugangsstrategieund ihre Schadfunktion "zusammenklicken" lassen(ursprüngliche Bedeutung von Rootkit 54 ;jetzt: Werkzeugsammlung, mit dem ein kompromittiertesSystem für den künftigen Missbrauchpräpariert wird). Dazu ist kein besonderes Wissenmehr nötig.A.1 5.2 Datenträger, E-MailDer klassische Datenspeicherzum Transport vonMalware ist die Diskette, diekeine Bedeutung mehr hatund von großvolumigen optischen(CD, DVD), elektronischen(USB-Stick) undmagnetischen Datenträgern(Wechselfestplatten) abgelöst wurde. Wichtig dabeiist, dass diese Datenträger entweder zumStarten des Systems verwendet werden, wozudie Malware in den Bootbereich eingefügt wird,der vom Computer beim Start ausgelesen undausgeführt wird, oder Programme enthält, die derAnwender unbedarft und ungeprüft startet.Die zweite wichtige Infiltrationsmethodebedient sichTrägerdateien, die die Programmumgebungausnutzen,in der ihr Wirt gestartetwird. Besonders anfällig dafürsind Office Anwendungenwegen Visual Basic forApplications - VBA, andere Formate wie PDF, dieJava for Applications benötigen, Internetbrowser,53Toolkit: "Baukasten" (Werkzeugkasten) zumeinfachen Zusammenbau von Programmen mitausgewählten Funktionen, besonders auch zurHerstellung von Malware;Phishing-Tool kreiert neue Betrüger-Sites inSekunden, tecchannel 12.07.2007;Trojaner-Basteln für Dummys, Heise online20.07.200754WP, Rootkit