Captain's blog

Amir Alsbih did it again: der Autor des Override-Rootkits, das den "Schutz" des 2.6er Kernels durch nicht bekannte Systemcall-Tabellen umgeht, hat sich diesmal anscheinend mit Honeypots auseinandergesetzt. In diesem speziellen Fall hat er dabei wohl eine Methode gefunden, wie ein solches System bereits im Vorfeld als solches erkannt werden kann.

assives Netzwerksniffing ist nicht nur für Netzwerkadmins und Betreiber von IDS-Systemen, Honeynets (bzw. Honeypots), sondern auch für Angreifer interessant.
Statt einer eigens hierfür konfigurierten Bridge geht es allerdings noch erheblich komfortabler; das Stichwort hierfür ist "Tapping":

- Blanke Theorie gibt's auf snort.org für 100- als auch für 1000 MBit-Netze.

- Relativ neu hingegen ist ein praktisches Beipiel für einen angenehm portablen Tap auf den Seiten von IronGeek. Da kommt man doch gleich in Bastellaune.

Aus den letzten für heute geplanten Dingen privater IT-technischer Natur wurde leider (wieder mal) durchkreuzt: Ich und mein Boss wurden heute etwas "unsanft" für ein paar Stunden aus unserem wohlverdienten Urlaub gerissen.
Ein vermeintliches Mailproblem entpuppte sich dann zu guter Letzt aber dann doch (wieder) als ein Problem mit einem der CheckPoint-Cluster. Trotz allem war's das mit der schönen Uptime von fast 300 Tagen für "meine" Loadbalancer.

Somit fiel ein näheres Auseinandersetzen mit Nematocyst, einem "aktiven Gegenmittel gegen den spamforo-Trojaner" und MultiAdmin (was sogar für die Arbeit gewesen wäre ) leider flach.
Aufgeschoben heißt aber nicht aufgebhoben, immerhin habe ich wenigstens noch dieses kleine Posting zustande gebracht. Irgendwie habe ich ja doch schon ein etwas schlechtes Gewissen, das Blog so zu vernachlässigen.

Da heute mein letzter Arbeitstag für dieses Jahr ist, habe ich mir für die nächsten drei Wochen einiges vorgenommen:

Nicht erst seit meinem nmap-Artikel bin ich der festen Überzeugung, dass Portscans in den allermeisten Fällen keinen Zusammenhang mit Angriffen auf Hosts haben. Eine aktuelle (und sehr lesenswerte) Untersuchung der Uni Maryland bestätigt nun diese These:

Um es einmal mit Johannes Formanns Worten zu sagen: die Woche der Virtualisierung ist angebrochen.

Nicht nur das lang erwartete Xen 3.0, sondern auch OpenVirtuozzo (die "Open Source-Version" des kommerziellen Produkts Virtuozzo) sind diese Woche freigegeben worden.

Die Schläfrigkeit / Faulheit diverser Admins hat uns augenscheinlich den nächsten, Linux/Elxbot genannten "Linux-Wurm" beschert. Grund hierfür ist ein am 16.11.2005 gemeldete Sicherheitslücke in der register_globals-Emulation des CMS Mambo, die die Entwickler immerhin am 30.11. mit der aktuellen Version 4.5.3 gefixt haben.

Botnets erfreuen sich heutzutage einer stetig wachsenden Beliebtheit. Die "Betreiber" sind allerdings bei weitem nicht mehr "nur" ein paar Scriptiddies, die sich so gegenseitig ihre "Macht" zeigen wollen. Aufgrund der schieren Macht, die tausende Zombies im Netz entfachen können, werden sie mittlerweile schon häufig "kommerziell" betrieben. Über Erpressungen von Online-Wettbüros war bis dato schon öfters in der einschlägigen Fachpresse zu lesen.

Nicht zuletzt aus diesem Grund hat sich (besonders) das Honeynet-Projekt (u.a.) die Analyse und Erkennung von Botnetzen auf die Fahnen geschrieben. In diesem Fall wird ein besonderes Augenmerk auf dafür spezialisierte Tools gelegt, die in der Lage sind, verdächtige Aktivitäten oder Angriffe auf potentielle Zombies zu erkennen und protokollieren zu können.
Ein solches ist das gestern in Version 3 freigegebene mwcollect (kurz für Malware collect).

Nach längerer Zeit hat es mich mal wieder in den Fingern gejuckt, mich mal wieder ein bisschen mehr in die Honeypot-Thematik einzulesen. Da meine Möglichkeiten zu testen allerdings zum Teil deutlich durch Abbau oder Ausfall meiner alten Hardware beschränkt sind, war das Thema "virtuelle" Honeypots hier besonders interessant.

In schöner Regelmäßigkeit lese ich im Rootforum über gecrackte Rechner, auf denen die "lieben kleinen" erst einmal ein nettes Rootkit hinterlassen haben. Alleine aus diesem Grund ist es nach einem erfolgreichen Angriff fast unumgänglich, die Maschine von Grund auf neu aufzusetzen, wie Daniel es in seinem FAQ-Beitrag noch einmal recht anschaulich erläutert. Eine vorher durchgeführte (Beweis-) Sicherung, sowie eine gründliche Überarbeitung des (in den meisten Fällen ohnehin nicht vorhandenen) Sicherheitskonzepts versteht sich hierbei natürlich von selbst.

Im Zuge meines kommenden nmap-Artikels habe ich mich gestern Abend zum ersten Mal ernsthaft mit dem honeyd befasst. Sinn und Zweck der Aktion war, bzw. ist es, mit einfachen Mitteln verschiedene Hosts mit verschiedenen Betriebssystemen auf einer Maschine "emulieren" zu können. Natürlich hätten es auch Xen, vServer, VMWare usw. getan, diese sind allerdings nicht in der Lage, den Netzwerkstack auch anderer Betriebsysteme täuschend echt nachzubilden.

Passend zu meinem Posting vor ein paar Tagen zum Thema "Google-Hacking", stieß ich heute morgen zufällig auf ein (bereits seit Februar 2005 existierendes) Tool, den Google Hack Honeypot, kurz GHH.

Die Software "emuliert" verwundbare Webapplikationen, die ihrerseits durch Google indiziert werden, dabei aber von normalen Betrachtern der Webseite nicht (ohne aktives Zutun) gesehen werden, um so wenig false positives wie möglich hervorzurufen. Bei diesen Applikationen handelt es sich allerdings nur um "Dummies", die also ganz Honeypot-like potentielle Angreifer auf die falsche Fährte führen sollen, dem geneigten Admin solche Aktivitäten aber direkt über die erzeugten Logfiles kenntlich machen. Anhand dieser Datenbasis kann dieser nun geeignete Schritte einleiten, oder wenigstens einen Lerneffekt daraus ziehen.

Zur Zeit sind zwar nicht allzu viele Signaturen enthalten (wie man sich in der Live-Demo anschauen kann), ich persönlich halte den GHH aber für einen recht interessanten Ansatz. Über kurz oder lang werde ich ihn wohl einmal aufsetzen, allein um einmal ein etwas besseres Gefühl dafür zu bekommen, wie verbreitet "Google-Hacking" wirklich ist, und wer in solchen Fällen dahinter steckt.