Malware Analyse: TDL Rootkit 64-Bit Infektion

Ich konnte mir eine neuere Version des TDL Rootkits besorgen und diese hat schon Unterstützung für 64-Bit Windows Betriebssysteme. Von dieser besonderen Version konnte man auch einiges bei News Seiten lesen (z.B. bei Computerbase), denn es ist in der Tat das erste massenhaft in Umlauf gebrachte Rootkit, das in der Lage ist die Rootkit Funktionen in einem 64-Bit Windows zu nutzen. Trotzdem sollte man sich nicht beirren lassen: 64-Bit Windows ist immer noch viel sicherer als das 32-Bit Pendant. Wer also die Wahl hat (ab 2 GB RAM und halbwegs aktuelle Hardware) sollte sich unbedingt für die 64-Bit Variante entscheiden! Malware Analyse: TDL Rootkit 64-Bit Infektion weiterlesen

Malware Analyse: Gefährliches Rootkit TDL – Teil 2

Der Trick mit der DLL

Nun wird es erst richtig spannend. Um noch mal zusammenzufassen: Die EXE kopiert sich ins Temp Verzeichnis und veranlasst spoolsv.exe diese EXE als DLL zu laden. Spoolsv.exe verwendet eine LoadLibrary Funktion um die DLL zu laden. Damit wir wissen was unsere Malware nun macht, müssen wir das emulieren bzw. vorgaukeln. Malware Analyse: Gefährliches Rootkit TDL – Teil 2 weiterlesen

Malware Analyse: Gefährliches Rootkit TDL – Teil 1

Ein Raid-Rush Board User hat mich darum gebeten eine Datei zu analysieren, die bei RR angeboten wurde. Er schilderte mir, dass sich auf seinem PC ständig Webseiten im Webbrowser öffnen seit er diese Datei ausgeführt hatte. Nach einem ersten Blick dachte ich zunächst, dass es sich um 0815 Malware handelte, aber nach genauerer Analyse stellte sich heraus, dass es sich um die zurzeit beste und gefährlichste Malware handelt mit dem offiziellen Namen TDL, auch bekannt als TDSS, Alureon oder Olmarik. Malware Analyse: Gefährliches Rootkit TDL – Teil 1 weiterlesen

RR CoD4MW v1.7 Hack – Neue Features

Seit mittlerweile 38 Tagen ist der Hack Punkbuster unerkannt. Zum einen ist das natürlich toll, aber zum anderen finde ich das etwas langweilig, da ich dadurch kaum motiviert bin den Hack weiterzuentwickeln. Trotzdem gibt es heute 3 neue Features und ich habe die Anschaltkeys auf das NumPad verlegt. RR CoD4MW v1.7 Hack – Neue Features weiterlesen

RR CoD4MW v1.7 Hack – Neuer Injector

In der RR Board Source Codes Sektion ist es nicht mehr gestattet kompilierte Dateien anzubieten, deshalb wurde der Download für den CoD4MW v1.7 Hack entfernt. Ich wollte den Hack schon länger wieder auf dem Blog zur Verfügung stellen, aber ich wartete noch bis ich dafür etwas neues programmiert habe. Heute ist es endlich soweit. RR CoD4MW v1.7 Hack – Neuer Injector weiterlesen

Was taugt HijackThis?

HijackThis ist ein gern eingesetztes Programm zur Bekämpfung von Malware aller Art, aber was macht dieses Programm so besonders? Selbst im RR Board wird dieses Tool von „Experten“ empfohlen zum Scannen des Computers auf schädliche Programme. Die Frage ist nur was kann dieses Tool wirklich. Hier ein kleiner Test. Was taugt HijackThis? weiterlesen

Groovy


Java ist eine beliebte und einfache Programmiersprache, die stets an strenge Regeln festhält. Regeln wie „alles muss in Klassen gekapselt sein“, „Objekte immer und überall“, usw. können einem bei einem kleinen Programm ziemlich auf die Nerven gehen. Abhilfe soll hier eine noch recht neue Programmiersprache mit dem Namen Groovy schaffen. Groovy weiterlesen

PE Crypter

Der PE (Kürzel: Portable Executable) Crypter ist im Grunde nichts anderes als ein Verschleierungsprogramm.
Ich werde euch erläutern wie so ein Crypter funktioniert und was er macht.

Der Sinn eines PE Crypters ist es Programme vor Einblicken anderer (durch Disassemblierer z.B.) zu schützen und somit den Quellcode geheim zu halten. Sowas wird häufig bei größeren Firmen benutzt. PE Crypter weiterlesen

Anti-Bootkit

Für viele Truecrypt Benutzer (und natürlich auch andere Nutzer) ist wohl nach wie vor das sog. Bootkit ein Dorn im Auge. Wer es nicht mitbekommen hat: Auf der Black Hat 2009 wurde von Peter Kleissner (TV Total Auftritt) ein neues Bootkit vorgestellt (Stoned Bootkit). Das Besondere daran ist, dass es selbst noch funktioniert wenn die Systemfestplatte mit Truecrypt verschlüsselt wurde. Alter RR Thread Anti-Bootkit weiterlesen