TDSS - Malware 3.0

In den letzten Monaten Monaten ist sehr viel im Underground geschehen.Soney wurde gehackt,die beiden Gruppen Anonymous und LulzSec haben einen sehr großen Bekanntheitsgrad erreicht durch ihre Attacken. Im Underground wurde der Source-Code des Banking Trojaners ZeUs veröffentlicht. Aber keiner dieser berichte hat meine Aufmerksamkeit so erregt wie die neue Version des Rootkits TDSS.

TDSS in der neuen Version TDL-4 ist ein Rootkit welches von Kaspersky Labs entdeckt wurde und durch seine Funktionen als unverwühstbar gield. Aber was macht TDL-4 so besonders gegenüber anderen Botnetzen. Wie wir wissen ist der Schachpunkt eines Botnetzes immer der C&C Server und im Laufe der zeit haben Professionelle Cyberkriminelle immer wider versucht ihre Server zu verstecken durch Techniken wie Fast-Flux oder Domain-Flux.

TDL-4 ist ein P2P Bot welcher auch ohne ein Command & Control Server befehle der Herder entgegennehmen kann. Dazu ein Auszug aus einer Analyse von Kaspersky.

--------------------------------------------------------------------------------------
by Kaspersky Labs
Zugriff des Botnetzes auf das Kad-Netz

Eine der bedeutendsten Neuheiten der Version TDL-4 besteht in dem Modul kad.dll, das eine Zugriffsmöglichkeit des TDSS-Botnetzes auf das Kad-Netz bietet. Doch wofür brauchen die Cyberkriminellen ein Filesharing-Netzwerk?

Botnetze, die über P2P-Protokolle gesteuert werden, sind schon seit langem bekannt, doch handelte es sich dabei bisher um verborgene Verbindungsprotokolle, die von Cyberkriminellen entwickelt wurden. TDSS nutzt hingegen ein öffentliches P2P-Netz, um die Befehle der Botnetzbetreiber an alle Rechner im Zombie-Netzwerk weiterzuleiten. Die Kommunikation von TDSS mit diesem Netz stellt sich folgendermaßen dar:

1. In dem öffentlichen Netz Kad ermöglichen die Cyberkriminellen den Zugriff auf eine Datei mit der Bezeichnung „ktzerules“. Die Datei ist verschlüsselt und enthält die Befehlsliste für TDSS.

2. Die mit TDSS infizierten Computer empfangen den Befehl zum Download und zur Installation des Moduls kad.dll.

3. Die installierte Datei kad.dll lädt die Datei nodes.dat, die wiederum eine öffentliche Liste von IP-Adressen der Server und Clients des Kad-Netzes enthält.

4. Im öffentlichen Netz Kad sendet das Modul kad.dll eine Suchanfrage nach der Datei ktzerules.

5. Nach Download und Entschlüsselung der Datei ktzerules führt kad.dll die in ktzerules enthaltenen Befehle aus.



Nachfolgend eine Aufstellung der Befehle, die in der verschlüsselten Datei ktzerules enthalten sind.
- SearchCfg – Suche nach einer neuen ktzerules-Datei im Kad-Netz
- LoadExe – Laden und Starten der ausführbaren Datei
- ConfigWrite – Eintragung in cfg.ini
- Search – Datei im Kad-Netz suchen
- Publish – Datei im Kad-Netz veröffentlichen
- Knock – vom Steuerzentrum eine neue Datei nodes.dat herunterladen, die eine Liste der IP-Adressen der Server und Clients des Kad-Netzes enthält, darunter auch die mit TDSS infizierten Computer.

Für Kaspersky ist der Befehl Knock besonders Interessant. Mit Hilfe dieses Befehls sind die die Cyberkriminellen in der Lage ihr eigenes P2P-Kad-Netz aufzubauen, deren einzige Kunden mit TDSS infizierte Computer sind.


Eine Überschneidung des öffentlichen und geschlossenen KAD-Netzes

Bei der Steuerung des TDSS-Botnetzes ist das Modul kad.dll im Grunde identisch mit cmd.dll. Indem sie mit den Dateien nodes.dat und ktzerules operieren, sind die Botnetzbetreiber in der Lage, infizierte Computer an das öffentliche Netz Kad anzuschließen und sie auch wieder davon auszuschließen. Während in der Datei nodes.dat die IP-Adressen aller Teilnehmer des Netzes Kad stehen, enthält ktzerules den Befehl für den Download einer neuen nodes.dat-Datei von den Servern der Cyberkriminellen. Zum öffentlichen Kad-Netz gehören nicht mehr als zehn mit TDSS infizierte Computer. Dadurch wird der Austauschprozess der Datei ktzerules so ineffizient wie nur möglich gemacht und behindert damit die Übernahme des Botnetzes durch andere Cyberkriminelle. Die Zahl der zu dem geschlossenen Netz gehörenden Computer, die mit TDSS infiziert sind, beträgt einige zehntausend.


Teil des Codes von kad.dll, der für die Übermittlung der Befehle
der Cyberkriminellen an TDL-4 verantwortlich ist

Zudem ermöglicht der Zugriff auf das Kad-Netz den Cyberkriminellen, beliebige Dateien auf die zum Botnetz gehörenden Computer zu laden und sie für die Nutzer des P2P-Netzes verfügbar zu machen – egal, ob es sich dabei um pornografische Inhalte oder um gestohlene Datenbanken handelt.

Die Gefährlichkeit eines derartigen Botnetzes besteht darin, dass die Botnetzbetreiber selbst dann die Kontrolle über die infizierten Rechner behalten, wenn die Steuerungszentralen offline genommen werden. Allerdings hat ein solches System auch seine Tücken:

1. Mit der Nutzung des öffentlichen Kad-Netzes riskieren die Cyberkriminellen, mit falschen Befehlen für ihr Botnetz konfrontiert zu werden.

2. Bei der Entwicklung des Moduls kad.dll, das die Zusammenarbeit mit dem Kad-Netz sicherstellt, wird Code verwendet, der unter die freie Software-Lizenz GPL fällt . Das bedeutet, dass die Autoren die Lizenzvereinbarung verletzen.
------------------------------------------------------------------------------------

TDSS nutzt während seiner Arbeit verschiedene Quellen, um an die Domainlisten der Command & Control-Server zu gelangen. Standardmäßig wird die Liste der Datei cmd.dll entnommen. Sollten die Server aber nicht verfügbar sein, wird die Liste aus cfg.ini gezogen. Steht in der Liste von cfg.ini aus einem unersichtlichen Grund kein einziger C&C, wird die Liste aus der verschlüsselten Datei bckfg.tmp zusammengestellt, die der Bot vom Command & Control-Server bei der ersten Verbindung mit diesem erhalten hat. Seit Anfang des Jahres wurden um die 60 C&Cs des Botnetzes ausfindig gemacht.

P2P Botnetze sind nicht neu,schon der bekannte Storm Worm nutze P2P Techniken um mit seinen Dronen zu Kommunizieren,dabei verwendete er aber eine BulletProof Domain mit Fast-Flux Technik um seinen C&C zu verbergen. TDL-4 kann aber auch ohne ein C&C auskommen und Befehle entgegen nehmen. Dieses erschwert es um so mehr das gesammte Botnetz still legen zu können.

Quellen:
http://www.viruslist.com/de/analysis?pubid=200883742

http://www.securelist.com/en/analysis/204792180/TDL4_Top_Bot
http://www.securelist.com/en/analysis/204792157/TDSS_TDL_4
http://www.securelist.com/en/analysis/204792157/TDSS_TDL_4
http://www.securelist.com/en/analysis/204792131/TDSS
http://www.securelist.com/en/blog/208188095/TDSS_loader_now_got_legs
http://www.securelist.com/en/blog/337/TDL4_Starts_Using_0_Day_Vulnerability

A Stark Message to Cybercriminals: You Are Not Invisible, You Are Not Beyond the Law

Originalartikel von Ranieri Romera (Senior Threat Researcher)

An alle Cyber-Kriminellen: Ihr seid nicht unsichtbar. Ihr steht nicht über dem Gesetz.
Sicherheitsforscher beobachten Täglich auf der ganzen Welt die Aktivitäten, das Verhalten und die Forenkommunikation von Cyber-Kriminellen, um herauszufinden, wie digitale Dateien sicher ausgetauscht werden.

Neben dem Verhindern von Angriffen sammeln wir auch Informationen und geben sie an Strafverfolgungsbehörden weiter.Seit einer Weile schon ist trend Micror einem ganz bestimmten Kriminellen auf der Spur, den sie hier Mr L. Er späht nichtsahnende Anwender aus, und zwar überwiegend in Chile und Mexiko.Laut Trend Micro jüngsten Informationen ist er noch immer fleißig dabei, Daten und Geld zu stehlen. Erst letzte Woche haben sie einen aktiven C&C sowie andere kriminelle Tools entdeckt, darunter auch ein Tool, das auf einer personalisierten Version des CrimePack Exploit Pack basiert. Auch bei seinen früheren Bot-Netzen ist Mr L. so vorgegangen.

Das erste Bot-Netz, das Trend Micro gefunden hatte, hieß Tequila. Darauf folgten Mariachi sowie die Twitter-Bot-Netze Alebrije und Mehika. Zusammen sind diese Bot-Netze unter dem Namen „Botnet PHP family“ bekannt.

Die Angriffe begannen im Mai 2010. Damals erhielten Anwender in Mexiko eine E-Mail, dass es angeblich „Nacktfotos“ von der Mutter eines verschwundenen vierjährigen Mädchens gäbe. Mit diesem Köder wurden Anwender dazu gebracht, über einen bösartigen Link eine betrügerische Anwendung herunterzuladen.

Ein interessantes Ergebnis der Analyse von Trend Micro war, dass das Skript, mit dem der Bot-Client installiert wurde, ganz bestimmte Wörter und Begriffe enthielt. Damals konnten Trend Micro zwar noch nichts mit ihnen anfangen.

Bei den Nachforschungen suchte Trend micro nach einem aktiven C&C, den sie schließlich unter http://www.botnet.{GESPERRT}.tk/Admin fanden. Unter dieser URL fanden sie weitere Informationen über den Autor … Auf der Anmeldeseite warb er sogar für seine Dienste – und veröffentlichte seinen Namen, seine E-Mail-Adressen und seine Mobilnummer!

Nun hatten sie also einen Namen, zwei E-Mail-Adressen und eine Telefonnummer, die in der mexikanischen Stadt Guadalajara gemeldet war. So gelang es ihnen, Mr L. zu finden.

Wie bereits erwähnt, ist es eine Richtlinie von Trend Micro, alle relevanten Informationen zu kriminellen Aktivitäten an die Strafverfolgungsbehörden weiterzugeben.

Sollten Sie mit dem Gedanken spielen, auch kriminell tätig zu werden – tun Sie es nicht!

trend Micro ist Folgendes über Mr L. bekannt:

Er scheint 1987 geboren zu sein und bei Netec zu studieren. Er wohnt in Zapopan, Mexiko.
Trend Micro kennt seine Gmail- und Hotmail-Kontodaten.
Sie kennen auch die Angaben, Fotos, Benutzernamen und anderen Informationen, die er in Kontaktnetzwerken veröffentlichte.

Denkt immer daran: Was immer ihr im Internet tun, ob gut oder böse – Ihr hinterlassen immer eine Spur.

22.03.2011 15:33 Uhr

Quellen: http://blog.trendmicro.de & http://blog.trendmicro.com

PDF
http://us.trendmicro.com/imperia/md/content/us/trendwatch/researchandanalysis/discerning_relationships__september_2010_.pdf

Pwn2Own-Wettbewerb

Es ist mal wider so weit,die Jährliche Sicherheitskonferenz CanSecWest findet im Sonnigen Vancouver statt mit ihrem beliebten Wettkampf Pwn2own.Der erste Tag des Pwn2Own-Wettbewerbs war den Browsern Safari, Internet Explorer und Chrome gewidmet.

Durch Losentscheid musste sich Safari unter MacOS X als erster behaupten und V das Team des französischen Sicherheitsdienstleisters VUPEN hatte prompt Erfolg und konnte zum Beweis auf der Mac-Oberfläche einenTaschenrechner startete.Das Team benutzte eine Sicherheitslücke in WebKit aus, an dem sie nach eigenen Angaben zwei Wochen lang gearbeitet hatten.Details zu den Lücken hält der Veranstalter unter Verschluss, bis der Hersteller Patches ausliefert.

Auch der Internet Explorer 8 wurde sehr schnell durch den Iren und Metasploit-Entwickler Stephen Fewer gehackt.Fewer musste allerdings ganze drei unterschiedlichen Sicherheitslücken miteinander verbinden, um den Protected Mode des Browsers und weitere Schutzmechanismen auszuhebeln.Die 64-Bit-Betriebssysteme besaßen alle den aktuellsten Patchstand und Sicherheitsmechanismen wie DEP (Data Execution Prevention) und ALSR (Address Space Layout Randomization) mussten überwunden werden, um den elektronischen Taschenrechner aufzurufen.

Google-Browser bleibt zum dritten Mal in Folge ungehackt und das obwohl es zwei Anmeldungen gab. Einer der Teilnehmer tauchte beim Wettbewerb nicht auf und der andere gab gegenüber den Organisatoren an, dass er keinen funktionierenden Exploit hätte. Google hatte eine zusätzliche Prämie von 20.000 US-Dollar ausgelobt.

Am zweiten Tag kommen Firefox und ein Teil der Telefone iPhone 4, Blackberry Torch, Google Nexus S und Dell Venue an die Reihe.Mit von der Partie ist George 'Geohot' Hotz der überraschenderweise nicht das iPhone greift sondern sich am Dell Venue versuchet.

Update: 11.03.2011
iPhone und Blackbarry wurden geknackt,FIrefox kamm nochmal davon.


Quelle: http://www.heise.de

Größe ist nicht alles

Eine Aktuelle Studie über Botnetze von der European Network and Information Security Agency kurz ENISA zeigt das die größe der Netze keinen einfluss auf ihre Bedrohung hat.Der Bericht "Botnets: Measurement, Detection, Disinfection and Defence" (PDF-Datei) zeigt verschiedene Methoden in den einzelnen Disziplinen auf wie Fast-Flux,Peer-to-Peer und Locomotive Botnetze.

Laut ENISA müssten vielmehr die einzelnen Risiken für unterschiedliche Interessengruppen bewertet werden und wie groß etwa drohende Schäden für einzelne Gruppen seien, heißt es.Die Erfassung von Botnetzen sei so schon schwierig, weil etwa hinter einem Gateway liegende Bots in einem Firmennetz nur unter einer IP-Adresse erscheinen.

Die ENISA macht in ihrem Bericht auch Vorschläge, was sich über die technisch größtenteils bereits gelösten Probleme hinaus noch auf organisatorischer und politischer Ebene tun muss, um Botnetze künftig besser bekämpfen zu können. ISPs müssten einen finanziellen Anreiz bekommen damit sie ihre Kunden bei der Malware-Bekämpfung unterstützen. Zudem müsse die Wertschöpfungskette der Botnetz-Betreiber angegriffen werden, um den Betrieb unprofitabel zu machen.

Bei der Bekämpfung und Verfolgung von Botnetzen sei auch die unterschiedliche Gesetzgebung in Europa. So sei etwa nicht einheitlich geregelt, ob eine IP-Adresse bereits zu personenbezogenen Daten gehört oder nicht. Darüber hinaus müsse der Informationsaustausch in den EU-Ländern verbessert werden.

Quelle: http://www.heise.de

The Light It Up Contest -- geohot

Der Hacker George 'Geohot' Hotz liefert sich derzeit noch immer einen Rechtsstreit mit Sony und die Klappe hält er trotzdem nicht: In einem Video auf Youtube greift er Rapend den Hersteller der Playstation 3 frontal an.

Geohot gibt nicht klein bei: "Ihr legt euch mit dem Typ an, der die Schlüssel zu eurem Tresor hat", heißt es in dem Video, das im Rahmen eines Wettbewerbs entstanden ist. Sich selbst sieht Geohot als "eine Personifikation der Freiheit für alle".



14.02.2011 13:32 Uhr

PandaTV #57 - Männer wollen nur das eine, Malware-Trends2011, Roadshow

15.01.2011 07:16 Uhr

You Should Work for Symantec

09.01.2011 07:57 Uhr