Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Frage zur "Virentechnik"
5 views
Skip to first unread message
dl
May 6, 2012, 2:38:16 AM5/6/12
to
Hallo
ich hoffe, ich bin mit meiner Frage richtig hier. Ich höre/lese, das
Viren in der Regel Internetadressen als url codiert enthalten.
Damit laufen sie z.b. bei Nutzung von opendns oft ins Leere. Gibt es
einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
umgehen würden?
Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
--
Gruss
ich hoffe, ich bin mit meiner Frage richtig hier. Ich höre/lese, das
Viren in der Regel Internetadressen als url codiert enthalten.
Damit laufen sie z.b. bei Nutzung von opendns oft ins Leere. Gibt es
einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
umgehen würden?
Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
--
Gruss
Roland Ertelt
May 6, 2012, 4:23:45 AM5/6/12
to
Und so sprach dl:
> .... Gibt es
Roland
> .... Gibt es
> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
> umgehen würden?
>
> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
>
Denk nochmal ganz genau drüber nach. Dann kommst du auch von selber drauf.
> umgehen würden?
>
> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
>
Roland
dl
May 6, 2012, 4:52:29 AM5/6/12
to
Ich vergass vorhin noch diesen Gedanken: Wenn eine neue IP fällig wird,
kann, sofern das vorbereitet wird, der Virus sich diese IP holen und
entweder in ein File schreiben, an dem er sich dann orientiert, oder er
baut es in seinen Wirt ein: Er überschreibt die eingebaute IP einfach
mit der neuen.
Was also spricht dagegen (aus Virenprogrammierer-Sicht) ?
--
Gruss
kann, sofern das vorbereitet wird, der Virus sich diese IP holen und
entweder in ein File schreiben, an dem er sich dann orientiert, oder er
baut es in seinen Wirt ein: Er überschreibt die eingebaute IP einfach
mit der neuen.
Was also spricht dagegen (aus Virenprogrammierer-Sicht) ?
--
Gruss
dl
May 6, 2012, 4:47:53 AM5/6/12
to
Roland Ertelt <rer...@yahoo.de> schrieb:
Mit deiner Antwort kann ich nicht viel anfangen. Und wer dem Kriminellen
über die IP auf die Spur kommen will, kann das auch über dns erledigen.
Vielleicht ein Denkfehler, aber ich meine, der Virenprogrammierer ist
mit dns keineswegs sicherer vor Entdeckung bzw. der Entdeckung "seines"
Servers. Das allgemeine Problem der Lebenszeit einer IP (inklusive
Katz- und Mausspiel von einem Server zum anderen, bei bleibender
Erreichbarkeit wegen dns) habe ich oben schon erwähnt.
Mir fällt sonst kein Grund mehr ein..
--
Gruss
über die IP auf die Spur kommen will, kann das auch über dns erledigen.
Vielleicht ein Denkfehler, aber ich meine, der Virenprogrammierer ist
mit dns keineswegs sicherer vor Entdeckung bzw. der Entdeckung "seines"
Servers. Das allgemeine Problem der Lebenszeit einer IP (inklusive
Katz- und Mausspiel von einem Server zum anderen, bei bleibender
Erreichbarkeit wegen dns) habe ich oben schon erwähnt.
Mir fällt sonst kein Grund mehr ein..
--
Gruss
Roland Ertelt
May 6, 2012, 9:16:43 AM5/6/12
to
Und so sprach dl:
> Roland Ertelt <rer...@yahoo.de> schrieb:
>
>
>> Und so sprach dl:
>>
>>> .... Gibt es
>>> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
>>> umgehen würden?
>>>
>>> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
>>> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
>>> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
>>>
>>
>> Denk nochmal ganz genau drüber nach. Dann kommst du auch von selber drauf.
>
> Mit deiner Antwort kann ich nicht viel anfangen. Und wer dem Kriminellen
> über die IP auf die Spur kommen will, kann das auch über dns erledigen.
> Vielleicht ein Denkfehler, aber ich meine, der Virenprogrammierer ist
> mit dns keineswegs sicherer vor Entdeckung bzw. der Entdeckung "seines"
> Servers.
Fast richtig. Aber nicht bis zu Ende gedacht. ;-)
In einer "freien Welt"[tm] werden die Vergaben einer IP zu einem
dynamischen Anschluss nur wenige Stunden gespeichert. Genau genommen nur
so lange, wie der DHCP die Lease-Time eingestellt hat.
D.h. wenn diese Zeit abgelaufen ist, ist die Zuordung IP <-> Anschluss
nicht mehr möglich.
Bei einer statischen IP hingegen ...
Ich weiss auch, dass wir inzwischen in einem Polizeistaat leben, in
welchem die IP-Zuordungen wochen- bis monatelang gespeichert werden
müssen. Der Idiot^W Hacker aus fernen Ländern kennt diese Bedingung hier
in DE aber nicht...
Roland
> Roland Ertelt <rer...@yahoo.de> schrieb:
>
>
>> Und so sprach dl:
>>
>>> .... Gibt es
>>> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
>>> umgehen würden?
>>>
>>> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
>>> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
>>> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
>>>
>>
>> Denk nochmal ganz genau drüber nach. Dann kommst du auch von selber drauf.
>
> Mit deiner Antwort kann ich nicht viel anfangen. Und wer dem Kriminellen
> über die IP auf die Spur kommen will, kann das auch über dns erledigen.
> Vielleicht ein Denkfehler, aber ich meine, der Virenprogrammierer ist
> mit dns keineswegs sicherer vor Entdeckung bzw. der Entdeckung "seines"
> Servers.
In einer "freien Welt"[tm] werden die Vergaben einer IP zu einem
dynamischen Anschluss nur wenige Stunden gespeichert. Genau genommen nur
so lange, wie der DHCP die Lease-Time eingestellt hat.
D.h. wenn diese Zeit abgelaufen ist, ist die Zuordung IP <-> Anschluss
nicht mehr möglich.
Bei einer statischen IP hingegen ...
Ich weiss auch, dass wir inzwischen in einem Polizeistaat leben, in
welchem die IP-Zuordungen wochen- bis monatelang gespeichert werden
müssen. Der Idiot^W Hacker aus fernen Ländern kennt diese Bedingung hier
in DE aber nicht...
Roland
Karl-Josef Ziegler
May 6, 2012, 4:45:26 PM5/6/12
to
Am 06.05.2012 08:38, schrieb dl:
> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
Nun ja, auch Viren werden auf Botnetzen 'gehostet'. Da wird die Lease
> Die einzige Idee die ich habe ist, das beim Weg über dns vermieden
> werden kann, das eine ungültig gewordene Adresse (wegen Verfall der ip)
> nicht mehr erreichbar ist. Oder gibt es weitere Gründe?
Time dann ggf. nur sehr kurz (einige Minuten) gesetzt und es werden
mehrere IPs benutzt (Stichwort: Round robin DNS). So oft die IP zu
wechseln, wäre mittels Nachladen doch etwas aufwendig. So braucht der
Kriminelle nur den (eigenen) DNS-Server entsprechend zu manipulieren.
- Karl-Josef
dl
May 7, 2012, 1:05:35 AM5/7/12
to
Danke für die Antworten. Die Sache ist mir jetzt klarer geworden.
--
Gruss
--
Gruss
MrSpider
May 9, 2012, 9:13:28 AM5/9/12
to
> Gibt es
> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
> umgehen würden?
Besonders bei großen Botnetzen ist es wichtig, dass nicht auf einmal die
> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
> umgehen würden?
IP-Addresse des Control-Servers ungültig wird und somit alle Bots weg
sind (Kein Controll-Server zu erreichen -> keine Updates für die Bots,
welche wiederum neue Addressen für die Server enthalten könnten) Die
richtig komplizierten / großen Botnets verwenden nicht nur einen
DNS-Name anstatt einer IP-Addresse, sondern einen Algorithmus der anhand
vom Datum einen DNS-Namen berechnet. So ist der Botnetzbetreiber davor
geschützt, dass die Behörden ihm die Domain wegnehmen und er dadurch
seine Bots verliert.
siehe auch diesen Google TechTalk:
http://www.youtube.com/watch?v=2GdqoQJa6r4
Gruß Philipp
Jens Hektor
May 10, 2012, 4:10:55 PM5/10/12
to
On 09.05.2012 15:13, MrSpider wrote:
>> Gibt es
>> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
>> umgehen würden?
>
> Besonders bei großen Botnetzen ist es wichtig, dass nicht auf einmal die IP-Addresse des Control-Servers ungültig wird und somit alle Bots weg sind (Kein Controll-Server zu erreichen -> keine Updates für die Bots, welche wiederum neue
> Addressen für die Server enthalten könnten) Die richtig komplizierten / großen Botnets verwenden nicht nur einen DNS-Name anstatt einer IP-Addresse, sondern einen Algorithmus der anhand vom Datum einen DNS-Namen berechnet. So ist der
> Botnetzbetreiber davor geschützt, dass die Behörden ihm die Domain wegnehmen und er dadurch seine Bots verliert.
Bei professioneller Malware wird man sicher keine
>> Gibt es
>> einen Grund, warum sie keine festcodierten IPs enthalten, und somit DNS
>> umgehen würden?
>
> Besonders bei großen Botnetzen ist es wichtig, dass nicht auf einmal die IP-Addresse des Control-Servers ungültig wird und somit alle Bots weg sind (Kein Controll-Server zu erreichen -> keine Updates für die Bots, welche wiederum neue
> Addressen für die Server enthalten könnten) Die richtig komplizierten / großen Botnets verwenden nicht nur einen DNS-Name anstatt einer IP-Addresse, sondern einen Algorithmus der anhand vom Datum einen DNS-Namen berechnet. So ist der
> Botnetzbetreiber davor geschützt, dass die Behörden ihm die Domain wegnehmen und er dadurch seine Bots verliert.
hardcodierten IPs finden, ich persönlich "vergnüge"
mich derzeit mit einem Stück Software, zu dem diese
Google Abfrage passt:
https://www.google.de/search?q=getnewsqlserver.php
und beim dem die IPs durchaus hardcodiert sind.
Wer "Spaß" mit seinen Kunden habe will setzt den String
mit "ngrep" an geeigneter Stelle ein oder monitort
einschlägige (s.o.) IPs ;-)
0 new messages