Neue Gefahr für Windows-Betriebssysteme

Und nach dem nächsten Update ist es plötzlich aktiv...

Bei abgeschalteten Remote Desktop Services besteht m.W. kein Risiko.

Nano schrieb:
> Viel schlimmer und gefährlicher finde ich das hier:
>
> 
https://www.heise.de/security/meldung/Windows-Treiber-von-Intel-AMD-Nvidia-und-vielen-Mainboard-Herstellern-unsicher-4494929.html

Die schlimmsten Bugs sind jene wie dieser RDS Bug, die über Netz 
ansprechbar sind, ohne dass irgendeine Aktion auf dem jeweiligen Rechner 
erforderlich ist. Sobald irgend ein Esel im Netz ein geschweintes DOC 
öffnet, ist alles im Netz infiziert, bei dem die RSD aktiv sind.

Im obige Bugs in den Treibern ausnutzen zu können, also um privilege 
escalations auszunutzen, muss man auf den Rechner drauf sein. Weiteren 
Unfug richtet das nur im Rahmen der Zugriffrechte des Rechners bzw des 
Users darauf an.

Schon mal probiert, von außen (d.h. vor dem Router) ohne Portfreigaben 
auf Deinen Rechner draufzukommen?

Tatsache ist, daß bei den meisten Anschlüssen ein Router steht, dahinter 
ein heute idR. WLAN, Laptop, Handy, Tablet (pro Bewohner) und 
vielleicht noch 'ne Gaming-Kiste. Solange nicht irgendwer auf 
unseriösen Webseiten Software herunterlädt, die hinterher Löcher in die 
Firewall des Routers schießt, hat man es von außen verdammt schwer, ein 
Gerät hinter dem Router zu erreichen, bzw. überhaupt zu sehen. Der 
Router antwortet oftmals ja nicht mal auf Pings weil die ja so böse 
sind.

Gegenüber Angriffen von innen ist ein LAN nur sehr sehr schwer zu 
schützen solange man die Rechner nicht voneinander isoliert. Da wird ein 
Angreifer (ob absichtlich oder fahrlässig) immer relativ leichtes Spiel 
haben. Idioten sollte man halt ins Gast-Netz einsperren, dann können sie 
nur ihre eigene Kiste schrotten.

Ben B. schrieb:
> Tatsache ist, daß bei den meisten Anschlüssen ein Router steht, dahinter
> ein heute idR. WLAN, Laptop, Handy, Tablet (pro Bewohner) und
> vielleicht noch 'ne Gaming-Kiste.

Wenn es sich nicht um den Anschluss eines Privathaushalts handelt, sieht 
die Sache ein wenig anders aus. Und das ist dann nicht nur deren 
Problem, sondern auch deines. Du musst tanken, aber viele Tankstellen 
nehmen keine elektronischen Zahlungsmittel mehr an? Du willst deshalb 
Bargeld holen, aber die Geldautomaten sind ebenso betroffen? So 
geschehen in China bei WannaCry vor 2 Jahren. Anderswo waren komplette 
Krankenhäuser offline.

Ben B. schrieb:
> Idioten sollte man halt ins Gast-Netz einsperren, dann können sie
> nur ihre eigene Kiste schrotten.

Um ein LAN von Idioten zu befreien mußt Du alle Mitarbeiter nach Hause 
schicken.

> Wenn es sich nicht um den Anschluss eines Privathaushalts handelt,
> sieht die Sache ein wenig anders aus.
Die werden sich aber hoffentlich keine Hilfe aus einem Internetforum 
suchen, solche Admins sollten wissen wie's geht.

Meiner Meinung nach entstehen solche Probleme in großen Netzwerken nur, 
wenn ein DAU Schreibzugriff auf mehr hat, als er für seine Arbeit haben 
muß und in zweiter Instanz durch fehlende (oder nicht ausreichend 
geschützte) Sicherungskopien.

Wenn ein DAU sich durch eigene Dummheit den eigenen Kram zerschießt, 
dann ist das eben so. Davon kann man einen DAU nicht abhalten, der wird 
in den am besten gesicherten Umgebungen einen Weg finden, um das zu 
schaffen. Setzt man dann halt zurück bzw. letzte Sicherungskopie und 
hofft er lernt draus.

Ben B. schrieb:
> Die werden sich aber hoffentlich keine Hilfe aus einem Internetforum
> suchen, solche Admins sollten wissen wie's geht.

... und schreiben aber manchmal hier mit. ;-)

> Meiner Meinung nach entstehen solche Probleme in großen Netzwerken nur,
> wenn ein DAU Schreibzugriff auf mehr hat, als er für seine Arbeit haben
> muß

Der Reihe nach:

Jemand kriegt eine Mail mit DOC drin und klickt drauf. Dessen Code, oder 
dadurch runtergeladener Code, infiziert dann über den RDS-Bug in aller 
Ruhe alle anderen Rechner in erreichbaren Netzen, deren RDS aktiv sind, 
und diese tun es ihm gleich (Arbeitsweise eines Wurms). Rechte braucht 
es dazu keine, so lange ihn keine Firewall am Zugriff auf die RDS 
anderer Geräte hindert. Nicht selten werden Clients und Server die RDS 
zwecks Fernwartung eingeschaltet haben.

Folgewirkungen durch die Infektion, wie Verschlüsselung bei WannyCry, 
sind dann der zweite Schritt. Durch die Verbreitung des Schadcodes auf 
viele Clients und ggf auch auf Server sind dadurch sehr viele Daten 
betroffen. Besonders wenn Server infiziert wurden.

Gerade weil das ein Wurm ist, und keine privilege escalation, ist der 
Umfang der möglichen Auswirkungen enorm und keineswegs auf denjenigen 
eingeschränkt, der sich den Starter reingezogen hat.

Selbst besonders geschützte weil abgekoppelte Netze können infiziert 
werden, wenn ein Notebook mit Wurm in ein geschütztes Netz gesteckt 
wird, bevor ein lokaler Schaden auffällt (evtl. dank stark 
zeitverzögertem Schadcode).

Ich habe das früher schon öfter geschrieben und in mehreren Foren. 
Leider war es nach Sekunden gelöscht. Denke es wurde nicht einmal von 
den Betreibern gelöscht.
Es gibt eine Hintertür und diese exe- Datei wird wohl zur Laufzeit 
generiert, denn ich konnte sie von außen auch mit einem Knoppix nicht 
finden.
Das ist mir aufgefallen, als ich auf dem Server der Behörde für die 
nationale Sicherheit geguckt hatte, ob die selbst was über den Verräter 
schreiben.

So, ich hoffe das geht zumindest so durch, ohne sofort wieder gelöscht 
zu werden.
Es gibt keine Sicherheit und nachdem das immer sofort gelöscht war, 
glaube ich auch, dass sie viel weiter sind, als wir uns das denken.

In Firmennetze wird natürlich auch direkt von aussen eingebrochen, denn 
die haben oft Server, die absichtlich von aussen erreichbar sind, ob in 
einer DMZ oder wie auch immer. Versuch, Loch noch ungepatcht, die 
Firewall merkt es nicht, schwupps. Nach typischen bekannten Löchern wird 
permanent aus aller Welt gescannt.

Wer mehr vor hat, als dort nur einen Stützpunkt zu errichten, der 
versucht dann, aus dem gekaperten Rechner weiter nach innen 
vorzudringen. Immerhin haben Internet-Server manchmal Durchgriff ins 
interne Netz.

Öffentlich dokumentiert werden solche Fälle mittlerweile, wenn dabei 
möglicherweise datenschutzrelevante Informationen "befreit" wurden.

Ich betreibe hier zuhause einen Webserver und die Angriffe, die ich 
laufend in den Logs sehe, betreffen unsichere Webseiten. Vor allem 
Admin-Tools wie PHPMyAdmin oder Content-Management-Systeme. Dann gibts 
auch viele Schüsse ins Blaue wie die Suche nach einer CMD.PHP oder 
SHELL.PHP ... wer ist so doof und legt sowas offen auf seinen Server?

Irgendwann muß ich mir mal den Spaß machen und sowas als 
(funktionslosen) Fake da hinlegen. Mal sehen was danach probiert wird 
wenn mehr als ein 404 zurückkommt.

Őszi, von außen mit Knoppix.
Mit Computern kenne ich mich (immer noch) ziemlich gut aus.
Kannst (musst du natürlich nicht) mir glauben, die Datei gibt es nicht.
Was auch sehr augenscheinlich war, danach brauchten alle Lieferungen aus 
China mindestens 2 Monate und (!) egal woher es kam, war immer das 
gleiche Klebeband um die Pakete gewickelt (hat ein Kunde für mich 
untersucht). Nur ein einziges Mal stand drauf, dass es zollamtlich 
geöffnet wurde.
Bin bestimmt kein Verschwörungsfanatiker und bin auch nicht paranoid, 
aber das ist alles danach passiert.
Und nur weil ich nach dem Snowden geguckt hatte.
Dabei kann ich Verräter selbst nicht leiden.

Dieter, was die gucken wollen, sollen sie von mir aus sehen.
Ich sehe da eher ein anderes Problem. Sie können dir halt auch 
"Material" unter die Weste jubeln, welches dir dann Probleme mit der 
Justiz bereitet. Ich bin der Meinung, dass sie das auch schon hier und 
da bei einigen "unbequemen" Leuten gemacht haben.
Dann kassieren sie deinen Rechner ein und du bist dran, kannst aber 
nicht beweisen, dass sie dir was auf den Rechner gezaubert haben.

Dieter schrieb:
> Den Inhalt sendete ich damals an
> ein paar Fachzeitschriften und eine zustaendige Bundesbehoerde.

Da hat sich der Typ bei der Bundesbehörde bestimmt gefreut, dass Du ihm 
seinen Trojaner zurückgeschickt hast. Kann er ihn auf einen anderen 
Rechner schicken.

oszi40 schrieb:
> Von der Statistik her gesehen lohnt es sich überhaupt nicht einen
> einzelnen Rechner anzugreifen. Wesentlich mehr Schaden wird angerichtet...

Du lebst noch in der alten Vorstellung, dass Viren vor allem viel 
Schaden machen sollen.

Das ist aber seit Jahren nicht mehr der Fall. Erpressung, Kontodaten 
abgreifen, Informationen sammeln sind viel interessanter als ein 
ILOVEYOU und dementsprechend lohnt sich schon der Angriff auf einzelne 
Rechner. Die interne Firmenstruktur  mit Email-Adressen und Posten vom 
Rechner der Sektretärin abfassen und dann mit der Email vom Cheffe der 
Buchhaltung die Anweisung für eine 100.000 Eur Überweisung schicken ist 
ein Jackpot.