Windows System absichern, aber wie?

M

maralo

Member
Themenstarter
Registriert
20 März 2014
Beiträge
113
Hallo,

folgende Situation: ein Kollege hat mir mal testweise einen "RAT" geschickt, da ich nicht glaubte das dieser nicht erkannt wird, aber leider musste ich eines besseren belehrt werden, anscheinend hat er das Ding so start verändert/verschlüsselt das da gar nichts mehr erkannt wird, kein einziger Anbieter erkannte diesen (http://razorscanner.com/result.php?id=377978).

Nun folgende Frage, wie schützt man sich vor sowas bzw. schützen geht wahrscheinlich gar nicht aber wie könnte man das "Datensenden" verhindern? Wie handhaben große Unternehmen sowas, kennt sich hier jemand aus?

PS: möglichst ohne eine VM-Ware zu nutzen und jedes mal auf einen "sauberen" Zustand zurückzusetzen und bitte keine Kommentare über Brain.exe
 
Zuletzt bearbeitet:
Hi maralo,

was verstehst du unter "Datensenden" von wo nach wo?
Große Firmen haben vernuftige Firewall-Appliance, und schränken die Nutzerrechte so ein das nichts Installiert oder Administriert werden kann ohne Admin Freigabe.

IT-Sicherheit ist kein Produkt, sondern ein Prozess.

Zum Thema Virenscanner wenn man nur ein Byte in Source ändert, ändert sich auch Hashwert damit ist das für Virescanner eine neue Datei die noch nicht in seinem pattern enthalten ist. Und damit unbekannt(Clean)
Es gibt Verhaltenserkennung da unterscheiden sich aber die meinungen über nutzen.
 
Zuletzt bearbeitet:
wie hat ers dir denn geschickt? per mail, auf nem speichermedium (usbstick etc)? bei speichermedien sollte das automatische ausführen des in der autorun.inf genannten befehls deaktiviert werden. bei mail gilt weiterhin, dass anhänge gefährlich sein können. das ausblenden bekannter datei-endungen sollte deaktiviert werden, da man einer exe-datei z.b. das icon einer pdf-datei verpassen kann, wodurch dann beim öffnen der vermeintlichen pdf-datei das programm ausgeführt wird.
software-updates sollten immer zeitnah eingespielt werden, gerade bei software, die direkten kontakt mit dem internet hat, wie z.b. browser und mail-programme, da man sich über die ohne einen klick schadsoftware einfangen kann ("drive by download"). wenn ein mail-programm eine html-mail automatisch rendert und dabei womöglich auch noch inhalte aus dem netz lädt, kann das zum ausführen von schadcode kommen, sofern das programm fehlerhaft ist, was grundsätzlich der fall ist, da kein nicht-triviales programm fehlerfrei ist.
 
naja Datensenden in dem Sinne, dass das Programm Tastenanschläge/ Screenshots/ Dateien, etc. zu seinem Ersteller überträgt.

Hat sich keine Mühe gegeben, die .exe zu verschleiern, diese habe ich auch selbst bzw. bewusst ausgeführt (war ja zwischen uns abgesprochen, musste meinen Rechner eh neu aufspielen). Wie gesagt, dachte eigtl. das mein Anti Viren Programm das Teil erkennt (in meinem Fall, Sophos) tat es aber leider nicht.

@yatpu, dass ist schon klar, dass dort Gefahren lauern. Aber es gibt ja zig Möglichkeiten sich etwas einzufangen, auch wenn das alles beachtet wird. (Lustig wenn mal Facebook "gehacked" wird und ein DrivebyDownload in die Website eingebaut wird^^, würde auch kein NoScript helfen, da man JS zulassen muss)

Edit: Es gibt ja mittlerweile Produkte, welche gar nicht mehr Viren Scanner in dem Sinne sind, sondern den übertragenen Traffic (Deep Packet Inspection?) überwachen und falls etwas auffällig ist diesen als Virus /Malware erkennen, kennt das jemand?

Edit2: Wenn man in Windows einen 2. Benutzer ohne Admin Rechte anlegen würde, würde das etwas nutzen? Eigentlich nicht, da man ja als Admin auch jedes mal den UAC bestätigen muss, nur als normaler Nutzer eben noch mit Passwort. (bzw. in MSF funktioniert dieser Exploit für UAC- Rechte immer noch, zumindest für Win7)
 
Zuletzt bearbeitet:
Naja die Rede war von Firmen, und da bist du in eine AD Gruppe mit ganz anderen Rechten, als Local.
 
kann ich das als Privater realsieren mit Win 7 Pro? Sprich normal arbeiten als eingeschränkter User und wenn man etwas neu installieren muss, wechselt man zu seinem Admin Account...

Was bedeutet AD?
 
sprich über Gruppenrichtlinien sämtliche administrativen Sachen sperren (kann man dort auch einstellen, dass man keine Programme installieren kann)?
 
Grundsätzlich kannst du über Gruppenrichtlinien ein Windows ziemlich dicht machen. Das ist nicht das Problem. Das Problem ist, wenn dir jemand etwas schickt und dich überzeugen konnte, dass du es ausführen willst, dann wirst du selber alle Sperren, Hindernisse und ähnliches umgehen und wirst es auch ausführen, wenn du es irgendwie kannst. Solche Lösungen gehen also wirklich nur im Firmenumfeld, wo jemand anderes administriert und der Benutzer keinerlei Chancen hat.

Bist du selber Administrator bzw. ist dein Administrator-Konto nur wenige Mausklicks entfernt, ist das Arbeiten mit einem normalen Konto mit UAC nicht wirklich unsicherer als das Arbeiten mit einem reinen Benutzerkonto.
 
das stimmt natürlich, die Schwachstelle bin immer ich selbst. Aber kann man die Richtlinien so anpassen, dass sich ein Programm nicht selbst installiert? Szenario: Programm bspw. über Driveby eingefangen, dass RAT startet, erstellt eine Skript-Datei-> kopiert diese in den Skript-Ordner von Win, welcher immer beim Systemstart abgerufen wird (bei jeden Reboot wird also das RAT gestartet). Wie verhindere ich sowas?
 
Es installiert sich kein Programm selbst. Eine irgendwie heruntergeladene Programmdatei musst du ausführen. Das wirst du nicht verbieten können, sonst kannst du kein Programm ausführen.

Welcher Script-Ordner genau soll das sein? Wie soll sich das Programm da ohne Adminrechte reinkopieren?

Vielleicht beschäftigst du dich mal ein wenig mit den SAFER Funktionen, d.h. Software Restriction Policies. Damit kann man genau einschränken, was wo ausgeführt werden darf. Damit kannst du z.B. festlegen, dass aus dem Cache-Ordner des Browsers nie Programme gestartet werden dürfen. Nur mal so als Beispiel.
 
Für Privat kannst dir mal das Programm Sandbox ankucken. Ansonsten kannst du das Szenario kaum aufbauen, wie in einer vernünftigen Firma...
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
  • ok1.de
  • thinkstore24.de
  • ok2.de - Notebook Computer Server
  • Preiswerte-IT - Gebrauchte Lenovo Notebooks kaufen

Werbung

Zurück
Oben