X
Kommentare zu:

Eine Welle rollt durch DE: Trojaner legt weiter ganze Unternehmen lahm

oder

Zugangsdaten vergessen?

Jetzt kostenlos Registrieren!
[o1] Sonnenschein11 am 05.12. 14:11
Gehe ich richtig der Annahme, das es sich um ausschließlich Windows Schadsoftware handelt?

Sorry, aber welches OS genau betroffen ist, ist die Kernfrage bei solchen Veröffentlichungen. Und ja, es gibt MacOS, iOS, Android, Linux, Unix (je in den verschiedenen Versionen und Kernel) und ach ja, Windows gibt es auch noch.
[re:1] Firefly am 05.12. 15:12
@Sonnenschein11: nein, der infiziert nur C64-Systeme, deshalb heisst die Webseite ja auch C64Future.de
[re:1] Sonnenschein11 am 05.12. 15:16
+5 -9
@Firefly:
Oh, so werde ich demnächst auch argumentieren.
[re:2] pcfan am 05.12. 15:40
+4 -
@Sonnenschein11: Deine Frage ist berechtig.
Man kann aber wenn nicht extra was anders angegeben ist grundsätzlich davon ausgehen, dass es Windows ist.
Für die meisten Anwender ist das auch das einzige System, welches man kennt und nutzt.

und für Angriffe auf die breite Masse würde auch ein Angreifer immer Windows als Basis wählen.

Selbst im BSI Eintrag scheint es nicht extra erwähnt zu werden:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Service/Aktuell/Informationen/Artikel/emotet.html
[re:1] Sonnenschein11 am 05.12. 15:44
+4 -2
@pcfan:
Nach dem ich bei heise.de nachgelesen habe, hat es nur mit MS-Office zutun. Und auch nur dann, wenn man die Makros zulässt.
Sorry, zum ablestern ist winfuture.de super, aber allzu oft werden Fragen woanders beantwortet....
[re:1] dudelsack am 05.12. 21:32
+ -
@Sonnenschein11: jo infogehalt von winfuture ist echt immer lustig.
Ich habe auch schon 3 solcher Mails bekommen von einem Kollegen. Eine Rechnung als doxc.
Also,ob es das gleiche ist weiß ich nicht, aber sonst bekomme ich sowas nie
[re:3] scar1 am 05.12. 15:46
+3 -
@Sonnenschein11: lt. der Info des BSI werden z.B. Credential theft und SMB Schwachstellen genutzt. Das sollte auch auf nicht Windows Systemen möglich sein. Von daher würde ich da jetzt nicht wirklich von ausgehen, dass es ausschließlich Windows Systeme betrifft (auch wenn diese Dank ihrer dominanten Verbreitung sicherlich primäre Ziele sind).
[re:1] Sonnenschein11 am 05.12. 15:55
+2 -
@scar1: MS-Office läuft ja auch auf MacOS, Android, iOS. Daher finde ich den Hinweis mit Word Dokumenten sehr hilfreich...
[re:1] scar1 am 05.12. 16:12
+1 -
@Sonnenschein11: lt. heise Artikel werden Makros ausgeführt (sofern man das zulässt) die dann mit Powershell arbeiten. Da stellt sich dann allerdings die Frage inwiefern die auf macos etc. funktionieren, die commandlets (evtl. bereits Nutzung von Powershell Core, sofern das jmd nutzt).
[re:1] Sonnenschein11 am 05.12. 16:57
+3 -
@scar1:

Ich bin kein Computer Freak, aber diese Schadsoftware hat z.b. einen MacBook Pro lahmgelegt. Zwar "nur", in dem man den Rechner nicht mehr nutzen konnte, weil permanent Admin Rechte verlangt wurden,..
Wenn man arbeiten muss, ist das auch ehr schlecht.
[o2] neuernickzumflamen am 05.12. 14:15
+ -27
warum läuft der Email Verkehr denn auf einem richtigen System, gibt es da keine VM oder sonstiges für?
[re:1] ManuelM2 am 05.12. 20:56
+2 -
@neuernickzumflamen: Eine VM ist genau so angreifbar wie ein physisches System. Da besteht absolut kein Unterschied. Außer das bei einer VM noch die Gefahr besteht, dass der Hypervisor infiziert wird und damit auch alle anderen VM´s auf dem Host. Eine VM ist also grundsätzlich noch unsicherer als ein physisch getrenntes System.

Letztendlich ist es aber egal, denn der E-Mail Server wird selber nicht infiziert, denn dieser fungiert nur als Gateway bzw. Mailbox. Der Client selber wird durch einer Aktion des Nutzers infiziert und dann gehts halt im Netzwerk rum.
[o3] erso am 05.12. 14:20
Ein gezielter Angriff auf die IT-Infratruktur eines Klinikums.. es billigend in Kauf nehmen, dass medizinische Hilfe potentiell zu spät bei Bedürftigen ankommt ("[...] die Klinik wurde aber nach Infektion und Ausfall der IT-Systeme von der integrierten Rettungsleitstelle abgemeldet [...]").
Ich wünsche den Hintermännern von Herzen, dass im Fall, dass sie dringend medizinische Hilfe brauchen auch gerade das nächstliegende Klinikum von der Rettungsleitstelle abgemeldet ist.
[o4] wertzuiop123 am 05.12. 15:07
+1 -1
wird hier einfach eine datei ausgeführt und somit admin rechte vom benutzer vergeben oder wird eine schwachstelle ausgenutzt?
[re:1] serra.avatar am 05.12. 15:23
+2 -3
@wertzuiop123: du musst den Anhang öffnen und dann werden Sicherheitslücken ausgenutzt.

Wie 99.9% der Malware Angriffe ... ohne den DAU der klickt läuft es nicht!
[re:1] scar1 am 05.12. 15:50
+4 -
@serra.avatar: Problem ist hier ja, dass die Angriffe immer besser werden und die gefälschten Mails wohl kaum bis gar nicht mehr von korrekten Nachrichten unterscheidbar sind.
[re:1] tapo am 05.12. 17:23
+4 -
@scar1: korrekt, hier bei uns sind auch schon diverse solche Nachrichten eingegangen und NUR (!) der Blick in den E-Mail-Header zeigte, dass die Nachricht nicht vom vermeintlichen Versender kam.
Immerhin haben wir es (bisher) hinbekommen die Nutzer zu "drillen" bei jeder Nachricht...
... mehrmals hinzusehen, und
... logisch nachzudenken, ob das erhaltene logisch ist (Rechnung ohne Auftrag?).
... im Zweifel bei einen der Admins nachzufragen (Header check)
... Rechnungen die als .doc eingehen zu ignorieren/zu löschen
... keine Makros auszuführen, falls doch mal geöffnet wurde, und
... den Rechner dennoch gleich vom Netzwerk zu trennen.
... wenn man sich nach allem immernoch nicht sicher ist beim >>Originalen<<-Kontakt nachzufragen

Allerdings muss ich sagen, das mir schon unter die Augen gekommen ist an echten (!) E-Mail, wahnsinn. Echte Rechnungen als Word-Dokument versendet. Echte und wichtige Dokumente in einer E-Mail mit Sinnlosem Kommentar ala "Zur Information" oder "Zu Ihrer Kenntnis" und und und.

Eigendlich müsste man hingehen und sämtlichen E-Mail-Verkehr nur Adresse für Adresse freigeschaltet zulassen, was aber für diverse Unternehmen weder praktikabel noch tragbar wäre, vom Administrativen- Und Verwaltungsaufwand ganz zu schweigen ;)
[re:1] scar1 am 05.12. 17:30
+1 -1
@tapo: deswegen auch: keine adminberechtigungen für benutzer auf ihre PCs.
keine administratorkonten die sich an normalen PCs anmelden (sondern nur von dedizierten Workstations arbeiten (die wiederum keine Emailsoftware (Outlook,..) und Officeprodukte draufhaben und keine Verbindung ins Internet bekommen..
[re:2] departure am 05.12. 18:07
+3 -
@scar1: Die Trojaner arbeiten mit den Rechten des angemeldeten Users, der den Trojaner ausgeführt hat (meist, ohne es gleich zu merken, wenn überhaupt). Und auch dann, wenn das kein Admin ist, wälzt der Trojaner sich durch das ganze Netzwerk, bis er mit den verfügbaren Credentials nirgendwo mehr weiterkommt.

Userhomes, zentrale, gemeinsame Dateifreigaben, auf die mehrere User Schreibrechte besitzen, zentrale Programmverzeichnisse auf dem Server, in denen die User Schreibrechte brauchen, damit das jeweilige Fachprogramm funktioniert, flache, einzeldateibasierte Datenbanken in Programmverzeichnissen, für die Schreibrechte benötigt werden - da geht auch mit einfachen Benutzerrechten in einem Netzwerk recht viel.

Die Teile sind mittlerweile recht ausgeklügelt. Überall, wo sie durchkommen, wandern sie weiter. Und wenn dann der MFP beim Scan2Network über ein zentrales Konto mit Adminrechten erreichbar ist, über das die Scans weitergeleitet werden, weil der Admin das irgendwann auf die Schnelle - aus Eile - mal so hingezimmert und nie mehr geändert hat, Hallelujah!
[re:3] serra.avatar am 05.12. 19:27
+1 -2
@tapo: eigentlich muss kein Sachbearbeiter die Mail direkt aufrufen können ...eingehende Mails in die Sandbox!

@scar1 Adminrechte braucht Malware schon lange nicht mehr!
[re:4] scar1 am 06.12. 12:54
+ -
@departure: ja, genau ja deswegen die Anforderung privilegierte und "normale" Benutzer voneinander zu trennen, auch auf PC ebene.
Wenn sich eben kein "adminuser" an einem normalen Arbeitsplatz anmelden kann (sondern nur an seiner PAW) dann kann der Trojaner, den sich Lieschen Müller gefangen hat, die admin-credentials halt auch nicht mit mimikatz etc aus dem Speicher lesen.
Wenn dann nat. aus Bequemlichkeit Lieschen Müller halt auch auf die komplette HR Datenbank Schreibzugriff hat oder wie du schreibst ein Admin eben mal auf die Schnelle sich doch irgendwo anmeldet, wo er nicht sollte, weil das halt noch möglich ist... dann gute Nacht Marie. Oder ein anderer Klassiker dann mit dem lokalen Admin/root --> auf allen Maschinen das gleiche Kennwort :-)
[re:5] departure am 06.12. 13:27
+ -
@scar1: Nützt aber nichts. Oder nicht genug. Wie gesagt, überall dort, wo auch der einfache, eingeschränkte Normaluser Schreibrecht hat, hat es dadurch auch der Trojaner, auch ohne das ein Admin mit seinen privilegierten Credentials jemals an dem betroffenen Quellrechner angemeldet war.

Der Trojaner nimmt, was er (an Schreibrechten) kriegen kann. und das ist auch bei normalen Usern, die kein Admin sind, im Netzwerk meist nicht wenig, denn dort, wo die User Netzwerkprogramme nutzen, Netzwerkfreigaben nutzen, ihr Userhome nutzen, BRAUCHEN sie Schreibrechte. Und diese Rechte hat dann blöderweise auch der Trojaner.

Bei uns werden Mails mit Microsoft-Office-Dateianhängen mit einem NDR abgewiesen. Und der Absender kriegt in dem NDR mitgeteilt, daß er doch bitte stattdessen *.PDF senden möchte. Der Rest ist Usersensibilisierung und -Schulung (denn der Mist kann auch woanders mit drinstecken, nicht nur in Office-Makros) beim Umgang mit E-Mails sowie eine Schutzsoftware mit guter Ransomwareerkennung.

Und wenn das alles nichts hilft, ist es Schicksal...
[o5] Sonnenschein11 am 05.12. 15:23
+1 -
Wen jemand mehr Infos zum Thema interessieren:
https://www.heise.de/security/meldung/Achtung-Dynamit-Phishing-Gefaehrliche-Trojaner-Welle-legt-ganze-Firmen-lahm-4241424.html
[re:1] Link am 05.12. 15:44
+3 -1
@Sonnenschein11: "Dazu nutzt es auf dem Rechner abgeerntete Zugangsdaten und auch einen Exploit, der aus den Geheimlabors der NSA stammt. Mit EternalBlue kaperten die US-Hacker mit Regierungsauftrag über Jahre hinweg ganze Firmennetze."
Das beweist mal wieder, dass von "staatlich geförderten Hacker-Gruppen" gefundene Schwachstellen sofort dem Softwarehersteller gemeldet werden sollten, ganz egal ob das irgendwelchen Geheimdiensten in den Kram passt oder nicht.

"Jetzt nutzen die Emotet-Gauner den Exploit und finden offenbar immer noch Opfer, die den von Microsoft bereitgestellten Patch nicht eingestellt haben."
Nach diesem Satz ist mein Mitleid auf Null gesunken.
[o6] der_ingo am 05.12. 16:20
+4 -
Ein wenig übertrieben wird dabei jetzt allerdings schon.

Es wird die Mithilfe des Nutzers benötigt. Die danach (!) ausgenutzten Schwachstellen sind seit einem Jahr gepatcht. So besonders ausgeklügelt ist die ganze Sache also nicht. Weder nutzt man aktuelle Lücken noch irgendeine neue Methode.

Schlimm genug, dass es immer noch aktiv wird und sich dann tatsächlich in Netzen verbreiten kann. Am Ende heißt das ja, dass den Betroffenen Firmen Sicherheitsupdates von vor einem Jahr fehlen, welche es damals sogar noch für XP gegeben hat.
[re:1] Link am 05.12. 18:00
+1 -2
@der_ingo: "Am Ende heißt das ja, dass den Betroffenen Firmen Sicherheitsupdates von vor einem Jahr fehlen, welche es damals sogar noch für XP gegeben hat."
Jedes Mal das gleiche, vollkommen lernresistent die Leute. Scheinbar sind die bisherigen Schäden noch nicht hoch genug gewesen.
[re:2] serra.avatar am 05.12. 19:30
+3 -1
@der_ingo: das ist doch nix besonderes, selbst ein titten.jpg.exe hat in über 50% der Fälle noch Erfolg und das sollte nun wirklich jeder Hillibilly mit dem IQ von Brot begriffen haben.
[o7] lalalala am 05.12. 18:02
+ -7
Auf der sicheren Seite ist man mit Windows 10 ..natürlich sollte man brav alle Updates installieren die angeboten werden :-)
[re:1] Mandharb am 05.12. 19:42
+ -
@lalalala: Siehe [o6]. Gruß
[re:1] lalalala am 05.12. 20:24
+1 -
@Mandharb: ja schon versteh aber nit warum Sicherheitssoftware das nicht merkt..????
Hab erst kürzlich einen Game-Trainer runtergeladen und da ist der Defender sofort angesprungen und hat Alarm gemeldet, im Verzeichniss \Local\Temp versucht ein Programm ....weiß den Wortlaut nicht mehr ...aber Schadsoftware wurde erkannt und gestopt bzw. sofort in Qarantäne verschoben........
[re:1] Ludacris am 05.12. 21:32
+ -
@lalalala: weil eben nicht immer verdächtige Aktivitäten passieren. Wenn ich mich einfach nur via Netzwerks Hare auf einen anderen PC kopiere löst das noch keinen Alarm aus.
[re:1] lalalala am 06.12. 10:40
+ -
@Ludacris: Wird jo nicht zu viel verlangt sein dass eine Sicherheitssoftware automatisierte Scriptweiterleitung, uploads von ausfürbaren Files auf einen anderen PC erkennt.
Firmen sind auch selber schuld, Büro-(InDoor) Netzwerke mit sensiblen Daten haben im öffentlichen Netzwerk nichts zu suchen. In der Firma wo ich beschäftigt war, war die interna nicht mit dem Internet verbunden.
Email-Postfach abrufen das haben 2 Damen mit 2 PC's erledigt die nicht mit dem Firmen-Netzwerk verbunden waren. In den 20 Jahren gab es keine einzige Schadsoftware-Infektion im internen Netzwerk. Der Admin mußte sich nur mit den 2 eMail PC's rum ärgern, wenn diese versaut waren...
[o8] mulatte am 05.12. 18:20
+ -2
Ähm das ist doch das Win10-Dezemberupdate von dem die hier schreiben.
[o9] Nibelungen am 05.12. 23:49
+1 -
Einfach wie immer auf alles klicken, was bei drei nicht auf dem Baum ist. Muss sein. Ach Leute, halb so wild. Das gute Windows 10 und sein mächtiger Defender beschützt euch alle.

Nicht.
[re:1] crmsnrzl am 06.12. 10:08
+ -
@Nibelungen: Aber Kaspersky, richtig?
☀ Tag- / 🌙 Nacht-Modus
Desktop-Version anzeigen
Impressum
Datenschutz
Cookies
© 2024 WinFuture