Viren, Spyware, Datenschutz 11.259 Themen, 94.808 Beiträge

Selbstversuch mit Blaster Wurm

horrlemanuel / 12 Antworten / Baumansicht Nickles

Hi Leute, hört sich vielleicht seltsam an, aber ich habe meinen alten Rechner zum Versuchsrechner ausrangiert.

Ich versuche nun seit 2 Wochen, alle möglichen Viren und Würmer zu fangen, um einen Test für ein Schulprojekt durchzuführen und dabei verschiedene Auswirkungen zu testen.

Ich muss das Projekt in 5 Wochen zu Ende führen, wollte frühzeitig anfangen, habe nicht damit gerechnet dass es so ewig dauert, sich Würmer und Viren einzufangen.

Wer kann mir Tips geben, wie ich schneller mein Projekt beginnen kann?


Ich habe folgendes 2 Systeme im Selbstversuch:

System1:
Windows 2000 (ohne Service Packs und ohne Dienstekonfiguration, ohne Patches)
Darauf installiert ist nur eine kleine Firewall (Tiny Personal Firewall)
Aber nichts gepatched.

Der Rechner hängt direkt am Netz ohne Router oder sonstige "schützende" Elemente.

Die Dienste sind so, wie sie Win2000 beim Installieren eingestellt hat.

Virenscanner ist nur Bitdefender on-demand Freeversion drauf, dieser ist also nicht on access tätig, soll nur helfen, den wurm später zu identifizieren/klassifizieren.


System 2:

WIndows XP - kein Service Pack, kein Patch
Nur die XP Firewall ist an, standardmässig.
Dienste nicht konfiguriert.

Wie obiges System ständig im Netz.


Ich sehe zwar, dass ich angepingt werde, dass also mein Rechner auch gefunden wird.


Ich brauche KEINE zugesendeten Dateiviren per E-Mail, ich brauche Würmer, die über das System eindringen.

Hört sich jetzt pervers an, aber wie kann ich mir selbst helfen, um endlich meinen Selbstversuch starten zu können?

Wenn das nicht klappt, muss ich meinem Lehrer Bescheid sagen, dass ich mich auf Dateiviren und Trojaner konzentrieren muss, denn da weiss ich, wo ich sie herbekomme :-)

bei Antwort benachrichtigen
Mario32 horrlemanuel „Selbstversuch mit Blaster Wurm“
Optionen

wenn da eine tiny sitzt können keine netzwerkwürmer reinkommen!
Du hast entweder null ahnung oder das ist ein trollposting!

bei Antwort benachrichtigen
ostseekrabbe Mario32 „wenn da eine tiny sitzt können keine netzwerkwürmer reinkommen! Du hast...“
Optionen

irgendwie merkwürdig die anfrage. ich stelle mehrere rechner ins netz, schotte sie ab und tu nichts drauf. und wundere mich das nichts durch die firewall durchgeht. kein virus, kein klitzekleiner trojaner, nein rein gar nichts interessiert sich für meinen rechner. schon 2 wochen lang nicht. und das wird auch so bleiben.

damit ist doch der feldversuch ein voller erfolg. erkentnis? das netz ist sicher und man muss sich gar keine gedanken machen. aber erzähl das bloss niemand!!

bevor du weitermachst stell absolut sicher das deine testrechner isoliert sind und keinen schaden anrichten können. schilder bitte wie du das bewerkstelligt hast und dann gibt es sicherlich tipps. erst andere schützen!!! überleg dir das du für schäden die du wissentlich verursacht hast aufkommen musst.

bei Antwort benachrichtigen
xafford horrlemanuel „Selbstversuch mit Blaster Wurm“
Optionen

Eine eingehende Filterung mit einer Firewall macht wenig Sinn für einen Honeypot, das wär als würdest Du mit Schutzanzug und Gasmaske in ein Grippegebiet gehen um dich absichtlich anzustecken. Du solltest aber ausgehend filtern, damit Du nicht selbst zur Wurmschleuder wirst, allerdings habe ich den Verdacht, daß deine Kenntnisse eher etwas laienhaft sind um das Sicher zu stellen.
Meine Empfehlung für einen sinnvollen Honeypot:

Windows2000 mit SP2, dazu den IIS5 und einen MS-SQL Server. Das ganze hinter einen NAT-Router mit Firewall, den Rechner als DMZ-Host im Router eintragen. Eingehend alles zulassen, ausgehend bis auf ICMP alles blocken was nicht "related" ist.
Täglich eine Überprüfung des Systemverzeichnisses, des Webroot und der Datenbank (Abbild, Diff, Hash). Ein zusätzlicher Rechner mit IDS zur Dokumentation.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
globalmensch xafford „Eine eingehende Filterung mit einer Firewall macht wenig Sinn für einen...“
Optionen

also ich zumindest versteh nur bahnhof aber das ist wohl gut so :-) soll ja auch nicht sein, dass ein "normalo" SO sein netzwerk einrichtet :-)

bei Antwort benachrichtigen
xafford globalmensch „also ich zumindest versteh nur bahnhof aber das ist wohl gut so :- soll ja auch...“
Optionen

Was hast Du denn nicht verstanden? Sollte eigentlich gar nicht kryptisch werden (war zumnindest nicht beabsichtigt). Mal schauen was "fachchinesisch" war...
Honeypot: Ist ein System, daß Angriffe auf sich ziehen soll, ein Lockvogel also. Dient entweder zu "wissenschaftlichen" Zwecken, oder um von dem eigentlich lohnenden Ziel abzulenken. Gelegentlich auch als Falle gedacht um einen Angreifer zu überführen.

IIS5: Der Internet Information Server, Version 5. Der Webserver von Microsoft. War / ist im ungepatchten Zustand anfällig für Würmer wie Code Red und Nimda. War oftmals auf Anwendersystemen autoamtisch installiert, ohne daß die Anwender dies wußten.

MS-SQL Server: Der große Datenbankserver von Microsoft. Er war / ist in älteren Versionen anfällig für den SQL-Slammer und noch ein paar andere Würmer. Zudem legt er in der Standardinstallation Benutzerkonten mit Standardpasswörtern an und ermöglicht den Zugriff auf systemkritischen Programmcode.

NAT-Router: Ein Router, der Netzwerkadressübersetzung betreibt. Er schreibt also Netzwerkpakete um, bevor er sie weiter leitet. Klassischer Fall hierfür ist der Betrieb eines Netzwerkes mit privaten IP-Adressen an einer Internetleitung. Da sich alle Rechner die einzig verfügbare öffentliche IP-Adresse teilen müssen (die des Routers) müssen Netzwerkpakete auf diese Adresse umgeschrieben werden, um sie zustellen zu können. Um sich die Originaladressen zu merken führen NAT-Router die sogenannte NAT-Tabelle in der die Originalverbindungen aufgeführt sind. Spezialfall hierfür sind SNAT und DNAT (SourceNAT und DestinationNAT).

DMZ-Host: DMZ ist die Demilitarized Zone. Eine Zone in der Rechner zwar hinter einer Firewall stehen, aber zugreifbar sind. Hinter der DMZ kommt im professionellen Fall noch einmal eine Firewall um das eigentliche Netzwerk zu schützen. Klassische Anwendungsfälle für eine DMZ sind Mailserver, Webserver und FTP-Server einer Firma.

ICMP: Ein Netzwerkprotokoll, welches hauptsächlich für Verwaltung und Diagnose in Netzwerken dient. Bekannteste Programme die dieses Protokoll nutzen sind PING und TRACEROUTE.

related: Das wird etwas komplizierter. Gängige Firewalls arbeiten nach dem Statefull Packet Prinzip. Kurz gesagt bedeutet dies, daß alle Netzwerkpakete, welche zu einer erlaubten Verbindung gehören automatisch auch erlaubt werden.

Webroot: Das Basis-Dokumentenverzeichnis eines Webserver, also der Ort, an dem die eigentlichen Webseiten liegen.

Diff: Eine Möglichkeit um Unterschiede von Daten kenntlich zu machen oder zu speichern, ohne die kompletten Daten speichern zu müssen. Es werden also nur die Unterschiede der Daten betrachtet.

Hash: Ein berechneter Wert, der eine bestimmte Menge von Daten möglichst eindeutig identifiziert und nach Möglichkeit keinen Aufschluß über die eigentlichen Daten bietet. Ein Vertrater hiervon ist MD5.

Hoffe das bringt etwas Licht in die Sache.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
globalmensch xafford „Was hast Du denn nicht verstanden? Sollte eigentlich gar nicht kryptisch werden...“
Optionen

Danke für die super Ausführung.

Da ich gerade (anderes Thema, aber passt hier vielleicht) am DSL Umrüsten bin - als Profi - welchen Router könntest du einem denn empfehlen, den man wirklich professionell einstellen kann (sofern mans kann ;-) )?

Sprich - einen Router, der es zulässt, dass der User all sowas einstellen darf. Ob ers kann steht auf einem andern Blatt, aber es gibt ja ganz billige Router, die nur Standard Firewalls beinhalten, die fast keinen manuellen Zugriff zulassen

bei Antwort benachrichtigen
xafford globalmensch „Danke für die super Ausführung. Da ich gerade anderes Thema, aber passt hier...“
Optionen

Naja, für DSL-Router bin ich alles andere als ein umfassend informierter Ansprechpartner. Ich setze weitgehend nur Cisco (teuer und recht kompliziert) oder den WRT54G von LinkSys ein. Letzterer ist günstig und hat mit einer Fremdfirmware sehr viele Funktionen (OpenWRT oder DD-WRT). Die Firewall ist jedoch beim LinkSys und den mir bekannten Firmwares auch eher rudimentär gehalten.

Pauschalurteile sind immer falsch!!!
bei Antwort benachrichtigen
UselessUser xafford „Naja, für DSL-Router bin ich alles andere als ein umfassend informierter...“
Optionen

Ich hatte einmal den Fall, dass ich ein wurmbefallenes Windows 2000 neu aufgesetzt habe. Kaum im Internet, hatte ich innerhalb von Minuten wieder einen Wurm im System! Ich habe nochmals neu installiert, bin dieses Mal jedoch auf die glorreiche Idee gekommen, VORHER alle Sicherheitsupdates inklusive dem wichtigen Blaster-Patch KB824146 zu installieren. Dann war Ruhe.
Ich weiß nicht, ob ich richtig schlussfolgere, denke mir nämlich, dass die Schadprogramme auf befallenen Rechnern nach anderen "offenen" Rechnern Ausschau halten, indem bestimmte IP-Bereiche gescannt werden. Dieser Rechner, von dem die Rede war, bekommt vom Provider vielleicht immer wieder eine Adresse zugewiesen, die in einem Bereich lag, die im "Visier" dieser Schadprogramme war. So erkläre ich mir den Unterschied, dass manche Rechner schutzlos tagelang ohne Infekt im Internet hängen können, während andere innerhalb von Sekunden infiziert werden.

MfG

UselessUser

Rückmeldungen über Hilfestellungen sind sehr erwünscht:1. investiere ich Zeit, um dir zu antworten und2. möchte ich auch etwas dazulernen.
bei Antwort benachrichtigen
i.mer globalmensch „Danke für die super Ausführung. Da ich gerade anderes Thema, aber passt hier...“
Optionen

Ich habe seit einiger Zeit ein Gerät von Thomson, nach der Quahl mit Siemens, Gericon und ZyXEL ein Wunder der Technik.

Eignetlich kannst du damit alles Konfigutieren, was ein "Privatmensch" braucht, aber auch für kleine Firmennetzwerke ist die Kiste mehr als ausreichend, ein Switch dahinter vorausgesetzt, da nur 4LAN-ports...

Das Teil ist die Modellspitze der SpeedTouch-Serie mit der Nummer 585i, hat ne ordentliche (für diese Klasse) Firewall, Enduser-freundliche Dienst/Portfreigabe, kann z.B. feste IPs via DHCP vergeben, nur angemeldete Rechner ins Netz reinlassen (fast wie teure Ciscos an der Uni ;), ist über Telnet und FTP konfigurierbar.

Dank der ausgeklügelter Oberfläche kann sovoll der DAU als auch ein Erfahrener Benutzer damit sinnvoll umgehen, gemessen am eigenen Niveau.
Und ja, das Teil ist speziell Gamer- und Leecherfreundlich, kein Aufhängen wegen verstopfter NAT etc...

Ach ja, ADSL 2+ kann es auch. und der Stromverbrauch ist moderat (ca 8 Watt, wenn online und WLAN aus). Gab es fast für Lau bei Tele2, ist aber der beste Beigabe-Router, den ich je gesehen habe, gericon, netgear, Siemens und CO. kannst du damit gleich in die Tonne treten. Den hätte ich mit jetzt auch selber gekauft, wenn es darauf ankäme.



bei Antwort benachrichtigen
ostseekrabbe xafford „Was hast Du denn nicht verstanden? Sollte eigentlich gar nicht kryptisch werden...“
Optionen

den honeypot kann man ganz einfach machen. hat sogar einen sinn. kennung administrator (nicht der builtin) mit 14 stelligem kryptischem (uns unbekanntem) passwort versehen und in die gruppe gäste stellen. so machen wir das bei jedem server :-)) dieser weg wurde noch nie geknackt.

bei Antwort benachrichtigen
**Hausdrache** horrlemanuel „Selbstversuch mit Blaster Wurm“
Optionen

Oh ich frage mich warum er nicht mehr antwortet. Wurde wohl als Troll entlarvt ;-)

Bitte besucht meinen Hardware Diskussionschannel im QuakeNet: #Hardware.de
bei Antwort benachrichtigen
Aragorn75 horrlemanuel „Selbstversuch mit Blaster Wurm“
Optionen

Schau doch mal hier vorbei...

Da hat einer schon das selber versucht wie du...

Vielleicht hilft es...

bei Antwort benachrichtigen