Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWünsch Dir wasWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

gelöst Rootkit-Scanner - gleiche Ergebnisse bei x86 und x64 ?

Mitglied: nor

nor (Level 1) - Jetzt verbinden

29.08.2007, aktualisiert 31.08.2007, 7461 Aufrufe, 5 Kommentare

Findet ein Scan unter x86 ein durch einen Rootkit infiziertes x64-Sytem?

Da fast alle Rootkit-Scanner ausschließlich auf 32-Bit-Rechnern laufen und ich noch keinen funktionierenden für x64 gefunden habe, wollte ich einen Scan im 32-Bit ausführen.

Würden dieser Scan auch bemerken, dass das x64-System kompromittiert wurden ist?
Sind zB die ADS' einer Datei für x86 und x64 gleich? Oder greifen sie auf Unterschiedliche zu? (Laufwerkszuweisungen auf den Systemen sind verschieden.)

Danke & MfG
nor
Mitglied: gnarff
29.08.2007 um 20:07 Uhr
Hallo nor!

1. Zunächst einmal, ein Rootkit der auf ein 64bit OS aufsetzt, wird sich nicht durch einen Scanner fesstellen lassen, der eine 32bit Umgebung voraussetzt.

2. Rootkitscanner machen nicht sehr viel Sinn, da ein solches Produkt ja den Rechner in vollem Betrieb untersucht, d.h. der Rootkit ist aktiv und tut das, was er u.A. zu tun hat - er verbirgt sich.

3. Um Rootkits festzustellen, wenn man es dann schon unbedingt mit einem Scanner machen will anstatt von Hand, sollte man von einem Live-On system booten und von dort den Scanner ausfuehren.

4. Rootkitscanner derzeit sind imho ein lustiges Spielzeug fuer die, die glauben Ihr OS wuerde dadurch sicherer werden. Unausgereifter Mist, der das Geld nicht wert ist.

5. Rootkitscanner gibt es auch fuer 64bit Betriebssysteme (stabile Versionen):
a. UnHackMe 4.0
b. hookanalyzer
c. F-Secure Blacklight

saludos
gnarff
Bitte warten ..
Mitglied: nor
29.08.2007 um 20:45 Uhr
1. Zunächst einmal, ein Rootkit der auf ein 64bit OS aufsetzt, wird sich nicht durch einen Scanner fesstellen lassen, der eine 32bit Umgebung voraussetzt.
Sowas in der Art hab ich mir gedacht.
2. Rootkitscanner machen nicht sehr viel Sinn, da ein solches Produkt ja den Rechner in vollem Betrieb untersucht, d.h. der Rootkit ist aktiv und tut das, was er u.A. zu tun hat - er verbirgt sich.
Hm, soweit ja klar. Da aber das x64 das Arbeitssystem ist und das x86 nur zu Reparaturzwecken verwendet wird, müsste es doch ähnlich funktionieren. However, die Daten könnten trotzdem befallen sein.
3. Um Rootkits festzustellen, wenn man es dann schon unbedingt mit einem Scanner machen will anstatt von Hand, sollte man von einem Live-On system booten und von dort den Scanner ausfuehren.
Per Hand ? Kannst du das erläutern? Tutorial?
Reicht Knoppix oder muss es Backtrack2 sein ?! ;)
4. Rootkitscanner derzeit sind imho ein lustiges Spielzeug fuer die, die glauben Ihr OS wuerde dadurch sicherer werden. Unausgereifter Mist, der das Geld nicht wert ist.
Hm, hab nur Freeware-Tools verwendet, aber die meisten funktionierten ja sowieso nicht.
Auch wenn diese Tools sinnfrei scheinen, werde ich sie trotzdem mal laufen lassen, bis ich schlauer bin.
saludos gnarff
Danke ! MfG
nor
Bitte warten ..
Mitglied: gnarff
29.08.2007 um 23:31 Uhr
Hallo nor!
Per Hand ? Kannst du das erläutern?
Tutorial?
Reicht Knoppix oder muss es Backtrack2 sein
?! ;)
Erlaeutern, oder gar ein Tutorial dazu schreiben, dass ist mir ehrlich gesagt zuviel Arbeit. Ich kann Dir allerdings ein paar Hinweise zu Dokumenten geben, die Dir das Basiswissen hierzu vermitteln und - solltest Du wirklich Interesse daran haben- Dir den Einstieg in die Materie vereinfachen.
Da ware zunaechst:
Detecting and Understading rootkits von Arturo Alberto Busleiman

Linux Kernel Rootkits v.1.0 von Rainer Wichmann, Kapitel 4.

Analysis of Rootkits: Attack Approaches and Detection Mechanisms von Alkesh Shah, Georgia Institute of Technology

Detecting Kernel-Level Rootkits Through Binary Analysis
von C. Kruegel, TU Wien und William Robertson, Giovanni Vigna UCSB.

Ich wuerde Helix benutzen.

saludos
gnarff
Bitte warten ..
Mitglied: nor
30.08.2007 um 16:58 Uhr
Danke für die Links! Hab sie schonmal quer gelesen, ausführlich kommt später. Sind alle für Unix/Linux, aber die Methoden müssten ja gleich sein. Leider beschränken sich meine Linux-Kenntnisse noch auf das Nötigste, aber ich arbeite daran

MD5-Checks:
Wenn eine Systemdatei (zB winsock.dll) kompromittiert ist, müsste ich es anhand einer Überprüfung der MD5 herrausbekommen. Da windowsupdate die Angewohnheit hat, alle möglichen Dateien zu ändern, könnte also die MD5 meiner Datei anders sein als die eines frisch augesetzten Systems.
Gibt es eine Liste von MS mit aktuellen MD5-Summen aller kritischen Systemdateien?

LKMs:
Wenn also ein SysCall auf X erfolgt, und er auf Y landet, wäre mein System infiziert? Oder wird er von X auf Y und dann auf X geleitet ?

mfg nor
Bitte warten ..
Mitglied: gnarff
31.08.2007 um 05:11 Uhr
Hallo nor!

Gibt es eine Liste von MS mit aktuellen
MD5-Summen aller kritischen Systemdateien?

Du wirst doch wohl nicht glauben, das MS eine solche Liste veroeffentlicht, noch dazu gratis, das koennte man ja schon fast Service nennen..
Folgende Moeglichkeiten hast Du:
MD5 Reverselookups
1. http://md5.crysm.net/
2. http://md5.benramsey.com/
3. http://www.xmd5.cn/index_en.htm
Ich benutze oft und gerne dei MD5 Database von shalla.de
4. http://md5.shalla.de/cgi-bin/index.cgi

Dem Rest Deiner Frage koennen wir uns morgen widmen, gute Nacht!

saludos
gnarff
Bitte warten ..
Ähnliche Inhalte
Ubuntu

Ubuntu: x86-Druckertreiber auf x64-System?

gelöst Frage von honeybeeUbuntu3 Kommentare

Hallo, kann man einen x86-Druckertreiber auf einem x64-System installieren? Mein Problem ist, dass es für den Drucker Brother MFC-8950DW ...

Humor (lol)

Javascript Evaluation (a gleich 1 und a gleich 2 und a gleich 3)

gelöst Frage von LochkartenstanzerHumor (lol)6 Kommentare

Viel Spaß beim Knobeln: Can (a 1 && a 2 && a3) ever evaluate to true? lks Du hast ...

Batch & Shell

EQU - GLEICH - BATCH

gelöst Frage von freshman2017Batch & Shell9 Kommentare

Hallo, im nachfolgendem Batch: GTR mit EQU ersetzen, also EQU Mustermann OR Musterfrau OR Fraumuster. Also wenn in %%r ...

Batch & Shell

PowerShell - Registry x64

Frage von emeriksBatch & Shell5 Kommentare

Hi, ich will sicherstellen, dass ein PowerShell Script immer im x64-Zweig der Registry liest, egal ob die PowerShell in ...

Windows Server

FQDN gleich wie Webpage

gelöst Frage von ganesh67Windows Server12 Kommentare

Grüezi aus der Schweiz Die älteren Hasen kennen sicher das Szenario. Firma Meier bekommt eine Domain und der Techi ...

Netzwerkgrundlagen

POE+ ist gleich Gigabit?

gelöst Frage von Cubic83Netzwerkgrundlagen12 Kommentare

Einen schönen guten Abend, Wenn ein Switch POE+ Fähig ist, bedeutet das dann dass er auch Gigabit an Endgeräte ...

Heiß diskutierte Inhalte
Netzwerke
Sophos Software Appliance UTM - VLAN - CISCO SG Series Switches
gelöst Frage von Xaero1982Netzwerke21 Kommentare

Moin Zusammen, zu Testzwecken und rumprobieren hab ich mir einen ESX installiert mit 3 LAN Ports. Auf dem ESX ...

Windows Netzwerk
Orientierung zur Weiterbildung
Frage von Thomas33Windows Netzwerk8 Kommentare

Hi, ich möchte und muss mich im Bereich der IT weiter Bilden. Ich selber komme aus der Elektrotechnik, daher ...

SAN, NAS, DAS
Probleme mit der GIGABIT Leitung - Finden der Krücke - Wer ist schuld ?
Frage von daswinimramSAN, NAS, DAS8 Kommentare

Hallo Community , folgender Aufbau : "erfolgreich" umgestellt auf Gigabit Tarif am 26.09.20 Speedtests wurden von allen PCs hinter ...

Switche und Hubs
Netzwerk: Trennung der Subnetze
Frage von MarkusJSwitche und Hubs7 Kommentare

Guten Tag, ich benötige eine Lösung für folgendes Problem. Wir (eine kleine Firma) installieren eine Steuerung beim Kunde. Die ...

Multimedia & Zubehör
Präsentation TV für Teambesprechungen
Frage von itsk-robertMultimedia & Zubehör7 Kommentare

Hallo, wir würden bei uns im Büro einen TV benötigen ca. 60" - 70" mit dem wir uns via ...

Windows Netzwerk
Firmennetzwerk mit 3 PC
Frage von greenhorn1Windows Netzwerk7 Kommentare

Hallo, ich bin neu in diesem Forum und hoffe, dass die Experten in diesem Forum auch mir mit meinen ...

Administrator Magazin
10 | 2020 Nicht erst durch die Corona-Krise sahen sich viele Firmen damit konfrontiert, dass sich Mitarbeiter von unterschiedlichen Geräten und verschiedensten Lokationen aus anmelden. Daher sind hier neue Konzepte für das Berechtigungs- und Identitätsmanagement gefragt, die einerseits die Sicherheit erhöhen und andererseits Nutzern die nötige Flexibilität ...
Best VPN