[Kampfrapunzel]

Zitat

Virus mit Firewall-Funktion

Zu verhindern, dass ein einmal infizierter PC Updates und Informationen von AV-Herstellern aus dem Internet lädt, gehört schon fast zum Standardprogramm aktueller Schädlinge. F-Secure hat jetzt jedoch erstmals ein Exemplar entdeckt, das dies über richtige Firewall-Funktionen realisiert.

Normalerweise verhindern Viren die Verbindungen zu Update-Sites über Einträge in der hosts-Datei. Dort sorgt ein Eintrag wie beispielsweise

127.0.0.1 windowsupdate.microsoft.com

dafür, dass Verbindungsversuche mit der Windows-Update-Seite auf den lokalen Rechner umgeleitet werden, der sie nicht beantworten kann.

F-Secure hat bei der Analyse einer neuen Bagle-Variante festgestellt, dass dieser das Paketfilter-API von Windows nutzt, um Pakete an bestimmte Adressen auszufiltern. Auf der Liste der geblockten Sites finden sich wie üblich Adressen von Antiviren-Herstellern und diverse Microsoft-Server. Der von F-Secure als Fantibag.B bezeichnete Schädling realisiert dies über die Bibliothek firewall_anti.dll, die er im Windows-Verzeichnis ablegt und in den Adressraum des Internet Explorer einblendet (DLL-Injection).

http://www.heise.de/

Dieser Beitrag wurde von Kampfrapunzel bearbeitet: 01. Juli 2005 - 10:57

[Witi]

nicht schlecht...die Hacker werden ja wirklich immer geschickter

[Rika]

Eine Bibliothek nach %windir%\system32 zu klatschen, anstatt über LoadLibraryEx() direkt zu laden und damit ebenfalls Probleme mit DLLSafeSearch zu umgehen, ist alles andere als geschickt.
Zumal das alles (HOST-Datei manipulieren, iphlpapi ansprechen, in %windir%\system32 schreiben, DLL-Injection) unter eingeschränkten Rechten mit einem lauten Knall fehlschlägt.

[Witi]

hmm...das haste allerdings recht.

Das geschickt war eher auf das bezogen, wenn das Teil schon drauf ist...

[Megolk]

Zitat (Rika: 01.07.2005, 13:25)

unter eingeschränkten Rechten mit einem lauten Knall fehlschlägt.
<{POST_SNAPBACK}>

nun ja, das stimmt zwar aber die Mehrheit der "normal" User melden sich leider immer noch an ihre Maschinen mit Adminrechten an - grad erlebt...

Dieser Beitrag wurde von Megolk bearbeitet: 01. Juli 2005 - 12:40

[Junktyz]

Zitat (Megolk: 01.07.2005, 13:40)

nun ja, das stimmt zwar aber die Mehrheit der "normal" User melden sich leider immer noch an ihre Maschinen mit Adminrechten an - grad erlebt...
<{POST_SNAPBACK}>

Ich auch, bei meinem LogIn grad.