[HaBo]

BlackMarvel

Anzeige

Hallo,

ich habe gerade bei den Sternnews gelesen, dass es ein Programm mit Namen "Zecke" gibt, was sich an der Firewall vorbei unbemerkt ins system schleicht. Hat dazu jemand nähere Infos?

Voodoo

http://www.defense.at/archive/1870/thread.html

Btw: Google ist dein Freund

Sven

Schadprogramm Zecke stellt Firewalls in Frage
*hust*

mfg
Sven

__________________
Mein Portfolio
Meine Fotogalerie
best view with open eyes

Voodoo

Lol, ich hab doch gewusst dass ich den Artikel noch woanders gesehen habe

BlackMarvel

upps. Trotzdem besten Dank ;-) Das Tool hat nicht zufallig jemand irgendwie bekommen?

sieben

Nein, Du bekommst es nicht.

__________________
Diese Zeile ist reserviert für Clark Kent.

Eckbert

Jo,jeder hats aber du bekommst es nicht!
Muhararar! :]

silenced

Hmm, also bei mir macht der "Kill World" Befehl nocht Probleme :]

Drager

naja gut dazu muss man aber erstmal programme laufen haben, die anfällig sind, und die auch im netz kommunizieren...

gut es ist trickreich, das keine logs entstehen... aber das ist ja nicht der fehler der firewall.. sondern vielmehr, des programms, dass sich da ausnutzen lässt...(und für den angreifer, die drecksarbeit macht, und somit keine log einträge macht, die als gefährlich einzustufen sind...)

also nichts wirklich neues oder gar erschreckentes...

Crux

@sieben

Bitte, bitte schick mir das tool, will auch herumhax0rn *joke*

Weis einer wie man sich dagegen schütz? Oder bei welchen Firewall das genau auftriett?

lg Crux

Drager

schützen.. hm sicherheitupdates, von deinen programmen machen ,die etwas im netz tun (browser etc.)

das hat doch nichts mit einer bestimmten firewall zu tun... so gesehn bei allen, weil wenn ich z.b. deinen internet browser befehle, mir all deine daten zu schicken, dann steht in deiner firewall log , nur das dein browser was gemacht hat... aber da es ja dem browser vertraut, wird das nicht als möglicher angriff gewertet...

also somit , ist das wie ich finde kein fehler der firewall...

tbofh

Hi Forum,

nun die Gelegenheit endlich auch mal was zu schreiben ;o) ...

Ich war ebenfalls auf der IT-Defense und habe Tobi mit seinem Tool live gesehen. Wie Drager schon richtig zusammengefasst hat ist das mehr ein prinzipielles Problem von Firewalls. Mit seinem Exploit auf einen verwundbaren Dienst hat Tobi den Thread, der für die Anfrage des Browsers zuständig war übernommen und weiter im Kontext des Servers ausgeführt. Das weitere Vorgehen, um im speziellen IPS Systeme zu überlisten war es, den Payload und sein Protokoll in das zum Thread gehörende Protokoll einzubetten.

Das eigentlich besondere an der Attacke war, dass sämtliche zum weiteren vorgehen notwendigen Binaries (z.b. cmd.exe, shellserver ....) vom Client injiziert wurden. Deswegen ist auf dem kompromitierten Host kein Festplattenzugriff notwendig geworden, was für die Forensik natürlich fatale Folgen hat ;o).


Grüßle
Andi


ps: Das Tool behält er für sich (was nicht bedeutet, dass es nicht auch andere ähnliche Programme gibt...) und das ist auch gut so. Gottseidank bin ich kein Risk Assessor :p

Gulliver

1. Der Congress wurde u.a. von $verlag gesponsort
2. $Verlag verlegt Werke von Tobias Klein
3. Sind verdammt wenig Informationen über Zecker zu erhalten.

Die Technik Firewalls zu durchtunneln ist keineswegs neu. Selbst LOKI hatte schon eben diese rudimentären Techniken und ist _sehr_ alt.
Desweiteren spielen sich ja wohl BO Angriffe meistens im Speicher ab, nech? Und das einzige was meist bleibt sind ggf. logs über diverse crashs. Zudem ist das eigentliche Konzept der klassischen BufferOverflow Angriffe auch hinlänglich bekannt.

Zweifelsohne ist das Programm ein feines Stück Handwerksarbeit aber man sollte beachten das der Weg keinesfallfs neu ist.
In jedem Fall wird Zecke einer Menge Leute dienlich sein die Ihr Geld mit dem Verkauf von "hardware Firewalls" verdienen

mfg

tbofh

Werbung für Firewalls ist das bestimmt nicht .... und im Falle von Tobias meinst
Du sicherlich $Sicherheitsfirma mit einschlägigen Produkten und weniger $Verlag.

Grüße

Gulliver

Die conference wurde (u.A.) vonm Dpunkt Verlag gesponsort.
Und Tobias Klein hat 2 Bücher vom DPunkt Verlag verlegen lassen.

1) Buffer Overflows und Format-String-Schwachstellen: Funktionsweise, Exploits und Gegenmaßnahmen.
2) Linux-Sicherheit. Security mit Open-Source-Software - Grundlagen und Praxis .

Und in diesem Artikel:
http://www.tomsnetworking.de/index.p...ficeimport_pi1[page]=2&cHash=14e88f1b25
wird eben auch auf eine mächtigere FW aus dem Hause Zyxel verwiesen.
Wobei die Aussage stark zu wünschen übrig lässt.

Und zudem erscheint auch noch Herr Stefan Strobel als Veranstaltungsleiter und zufällig auch Geschäftsführer der Firma cirosec. Was nicht weiter verwunderlich ist, denn sie ist der 2. Sponsor des congress.

Whatever...it-security sells.

Aber was mich interessieren würde ist: Wurden die genauen Funktionsweisen anhand von Code oder flowcharts (auch für Programmierer befriedigend) detailliert erklärt?

Deine Aussage, da Du ja da warst, wäre willkommen

mfg