Staatstrojaner: mfc42ul.dll › Forum › Diverse Foren › Von User zu User

Und wer sieht sich vor dem Booten vorgängig erst nochmmals den Quellcode des OS an?

Elias wrote:

Und wer sieht sich vor dem Booten vorgängig erst nochmals den Quellcode des OS an?

Irgendeiner wird es tun. Und wenn er was Böses findet, wird das blitzschnell um die Welt gehen.

20.09.2011

Sicherheitslücke in Mac OS X

Jeder kann Passworte ändern

Schweizer Behörde bestätigt Verwendung von Trojanern

«Wenige Sekunden genügen»

Der Computer-Experte Marc Ruef bezeichnet die umstrittene deutsche Schnüffel-Software als idiotisch. Im Interview lässt sich der ehemalige Hacker tief in die Karten blicken.

Warum werden die Trojaner eigentlich nicht von gängiger Antivirus-Software erkannt?

Klassische Antiviren-Lösungen erkennen bösartigen Programmcode anhand konkreter Muster. Damit ein Muster erkannt werden kann, muss es dem Antiviren-Hersteller bekannt sein. Solange ein trojanisches Pferd also nicht einem Antiviren-Hersteller zur Analyse bereitgestellt wurde, kann er es auch nicht erkennen.

Heisst das, dass alle anderen Trojaner einem Antiviren-Hersteller zur Analyse bereitgestellt werden????

Gruss

fritz

Deshalb ist es wichtig, dass wir als User unsere Antiviren-Definitionen täglich, besser so gar stündlich updaten!

Wer jetzt glaubt, das wäre bestimmt eine Neuerung der letzten Mac OS X-Versionen, der irrt: Ich habe es auf verschiedenen System-Versionen getestet. 10.7, 10.5 und die älteste war ein 10.3. Es funktionierte auf keiner. Alle ignorieren den Eintrag. Das bedeutet, wenn F-Secure oder der Malware-Autor das jemals auf irgendeinem Mac mal durchprobiert hätten, dann wüßten sie, das es nicht geht. Jedenfalls nicht mehr seit dem "Security-Update 2007-04" im April 2007 für Mac OS X 10.3 und 10.4, das unter anderem dafür sorgte, daß der Library-Path nicht mehr in der environment.plist geändert werden können soll.

Offenbar schreibt F-Secure Security-Hinweise über Malware, deren Funktion sie überhaupt nicht ausprobiert haben. Wenn F-Secure schon keine Ahnung von solchen Mac-Features hat, dann wäre es doch das Mindeste, daß sie ihre Aussagen mal testen und die Malware auf einem Labor-Gerät laufen lassen.

F-Secure berichtet ein paar Tage später, daß es eine Variante OSX.FlashBack.B der Schad-Software gibt.

Variante A wollte noch allen Programmen eine Library unterjubeln, bei Variante B wird versucht, gezielt Safari und Firefox zu manipulieren, so daß sie die angegebene Library benutzen.

Nach meinen Tests, in denen ich Info.plist in Safari entsprechend änderte und eine eigene Library zum Laden angab, wurde diese Library jedoch auf diese Weise nicht geladen. Wenn ich sie per Kommandozeile wie oben bei Variante A übergab, dann schon. Offenbar funktioniert auch diese Malware nicht richtig und F-Secure ist das wieder nicht aufgefallen oder sie ignorieren dies.

@Elias und andere OSX interesierte

Nur schon daran ist zu erkennen, das Hersteller von Antivierenprogrammen versuchen "Panik" zu verbreiten:

Tja. Wenn ich mal was auf meinem OSX habe, dann befasse ich mich mit dem Thema. Solange gibts es für mich einfach keine Gefahr

Auf Stuxnet folgt Duqu

Mächtiger Trojaner bedroht Grosskonzerne

Er ist gefährlicher als Stuxnet und sein Angriffsziel ist bislang unbekannt. Sicherheitsexperten haben eine neue Variante des bislang mächtigsten Computerschädlings entdeckt.

Die Sicherheitssoftware-Firma Symantec erklärte in der Nacht zu Mittwoch, sie sei über ein Virus mit dem Namen Duqu informiert worden, das Stuxnet gleiche.

Trojaner Gozi 2

Phishing-Mafia - ein Fall für den Bund

von Balz Bruppacher - Für die Bundesanwaltschaft wird es trickreich: Sie muss gegen Hacker-Banden ermitteln, die über das Online-Banking Schweizer Bankkonten zu plündern versuchen.

Sicherheitsprobleme im Internet

Stand Okt. 2011

Die derzeit aktuellste Bedrohung sind wohl die vielen Versuche, Windows- und Apple-Benutzern falsche Sicherheitssoftware zu verkaufen, bzw. unterzujubeln. Diese Software ist oft zuerst kostenlos, aber dann findet die Software (Scareware genannt) angeblich Schadsoftware und verlangt dann dass der Benutzer Geld für eine angebliche Vollversion ausgibt. Oft verdreht die Software sogar die Suchergebnisse in Google so, dass der Benutzer nicht mal mehr auf die Websites der legitimen Anbieter von Sicherheitssoftware kommt und die ersten 10 Suchergebnisse berichten, dass man das angebliche Problem durch den Kauf von kommerzieller Software oder durch den Download von Removal-Tools beheben kann. Oft findet die Initial-Infektion ohne Zutun des Benutzers statt, z.B. durch über eine nicht-aktuelle Version des Adobe Readers oder von Flash, Quicktime oder auch über eine Nachricht auf Skype.