CCC knackt Staatstrojaner

[Namenloser]

Zitat:

Zitat von implementation (Beitrag 1129470)

Steht das in der ganz normalen Kiosk-Ausgabe der FAZ am Sonntag?

Zitat:

Zitat von Luckie (Beitrag 1129472)

Also wenn das keine Sonderausgabe ist, denke ich mal schon. Sollte man sich mal kaufen.

Kriegt man die morgen auch noch, oder müsste ich meinen Hintern heute Abend noch zum nächsten Kiosk bequemen, um die zu bekommen?

[Daniel]

Mit den Ausgaben an sich habe ich kein Problem. Dass die Ermittler mit dem Stand der Technik gehen müssen, befürworte ich im Allgemeinen. Dumm nur, wenn sich die Dinge verselbstständigen, so wie der Verdacht hier im Raum steht.

[Luckie]

Zitat:

Zitat von Daniel (Beitrag 1129478)

Möglicherweise ist das Ding gerade in der Beta-Phase.

Also Bananensoftware? Reift beim Kunden? Wo kann man die Bugreports hin schicken? :mrgreen:

[himitsu]

Gibt es schon eine "Ist mein Rechner offen wie ein Scheunentro (bin ich Bundestrojanerverseucht)"-Prüfsoftware?
Oder muß man auf die Virensoftwarefirmen warten? Oder haben die das schon drin? (hab bis jetzt noch keine Meldung bekommen)

[Namenloser]

Zitat:

Zitat von himitsu (Beitrag 1129488)

Oder muß man auf die Virensoftwarefirmen warten? Oder haben die das schon drin?

Wenn du Anti virensoftwarefirmen meinst: Zumindest F-Secure hat gestern schon den Trojaner zu ihren Signaturen hinzugefügt. Denke, die anderen werden bald nachziehen, wenn sie es nicht schon getan haben; zumal das BMI ja dementiert hat, dass das analyisierte Programm ihr Trojaner ist, und somit für die Firmen erst recht kein Grund besteht, den Trojaner nicht zu erkennen.

[implementation]

War grad' noch unterwegs, mir ne FASZ holen. Die erste Tankstelle, bei der ich war, hatte schon keine mehr, und bei der zweiten war's das letzte Exemplar.
Hölle, wird heute dadurch Umsatz gemacht :mrgreen:

[BUG]

Netzpolitik.org: Bayern in Verdacht
Gulli: Stellungnahme Innenministerium, weiterer Artikel ...
Und von Assarbad: Delphi/C++Builder?

Ok, wer war es :lol:

//EDIT: Link verbessert.

[Namenloser]

Zitat:

Zitat von BUG (Beitrag 1129515)

Und von Assarbad: Delphi/C++Builder?.

Du meintest wohl diesen Link? Versteh aber irgendwie nicht, was Assarbad daran so urkomisch findet... naja, hauptsache er versteht es :lol:

Den verlinkten Auszug habe ich übrigens vorher schon gesehn, und mir ist nicht mal aufgefallen, dass da Delphi-Komponenten-Namen drin vorkommen :wall: Ich frage mich allerdings, wofür so ein Trojaner überhaupt GUI-Komponenten enthält :shock:

[himitsu]

TNT = die "Regierung" kann sich kein neues Delphi leisten.
Womöglich arbeiten die auch mit einem alten Delphi 3 oder mit TDE?
Da wird ja hoffentlich keiner auf die blöde Idee gekommen sein, TNT auf D2009+ portiert und genutzt zu haben. :lol:

Bzw. dort sind "Profis" am Werk, welche Delphi / C++-Builder nutzen, wo alle Andern auf C++ von anderen (günstigeren) Anbietern setzen.

[mkinzler]

Hoffen wir mal, dass nicht ab morgen sämtliche Delphi/C-Builderprogramme bei diverser Antivirensoftwareherstellern wieder einmal unter Generalverdacht stehen.

[Luckie]

Hadmund Danisch begründete recht schlüssig, warum man erst mal das ganze mit Vorsicht genießen sollte: http://www.danisch.de/blog/2011/10/0...trojaner-echt/
Allerdings auch ich denke, dass das Ding echt ist und sich der CCC sich dessen sicher ist. Wäre das nicht der Fall, hätte der CCC seine gesamte Reputation verloren und könnte sich auflösen.

[Delphi-Laie]

Bis dato wußte ich gar nicht, daß es solche "Trojaner" überhaupt schon gibt, ich hielt das immer für ein leeres "Versprechen" (Bluff mit Muskeln, die man gar nicht hat).

Weiß jemand, ob ein solcher "Trojaner" sich vor dem scharfen Auge von Taskmanager & Co. verstecken kann? Windows ist ja so konstruiert, daß es (nahezu?) umöglich ist. Dann hätte ein solches Dummprogramm bei jedem halbwegs versierten Computerbenutzer ohnehin keine Chance.

Ach so, das Nachladen weiterer (Schad-!)Software, allein die Eröffnung dieser Möglichkeit, dürfte Strafgesetze tangieren bis tief kratzen. Aber wer sollte sich schon um die Kriminalität staatlicher Institutionen kümmern? Etwa die beim Staat angestellten Staatsanwälte (sollen die ihren eigenen Mandanten vor den Kadi zerren?!) oder die - letztlich auch nur beim Staate angestellten - Strafrichter?

[Luckie]

Rootkit?

[BUG]

OT:

Zitat:

Zitat von Delphi-Laie (Beitrag 1129528)

Etwa die beim Staat angestellten Staatsanwälte (sollen die ihren eigenen Mandanten vor den Kadi zerren?!) oder die - letztlich auch nur beim Staate angestellten - Strafrichter?

Genau deshalb gibt es die Gewaltenteilung (die in imho Deutschland auch relativ gut funktioniert), richtig erkannt :roll:

[Meflin]

Zitat:

Zitat von Delphi-Laie (Beitrag 1129528)

Weiß jemand, ob ein solcher "Trojaner" sich vor dem scharfen Auge von Taskmanager & Co. verstecken kann? Windows ist ja so konstruiert, daß es (nahezu?) umöglich ist.

Lol. Wie man das anstellt, das lernt man hier (zumindest Ansatzweise) sogar in der Betriebssystem-Vorlesung...

[himitsu]

Zitat:

Zitat von Delphi-Laie (Beitrag 1129528)

Weiß jemand, ob ein solcher "Trojaner" sich vor dem scharfen Auge von Taskmanager & Co. verstecken kann? Windows ist ja so konstruiert, daß es (nahezu?) umöglich ist.

Stichwort Rootkit

Auch der Explorer nutzt nur die "normalen" APIs, welche man hooken könnte. (sonst könnte der schlecht nur mit Benutzerrechten laufen)

Man braucht sich also nur tief genug im System zu verstecken und die entsprechenden Schnittstellen hooken, dabei löscht man sich selber aus den Auflistungsergebnissen und schon ist man nicht zu sehn.


[blöde]
Redbox sonst meldest du dich nie und jetzt nervst du mehrfach :cry: egal, ich sende es dennoch mal ab :evil:

[Delphi-Laie]

Zitat:

Zitat von NamenLozer (Beitrag 1129483)

Zitat:

Zitat von implementation (Beitrag 1129470)

Steht das in der ganz normalen Kiosk-Ausgabe der FAZ am Sonntag?

Zitat:

Zitat von Luckie (Beitrag 1129472)

Also wenn das keine Sonderausgabe ist, denke ich mal schon. Sollte man sich mal kaufen.

Kriegt man die morgen auch noch, oder müsste ich meinen Hintern heute Abend noch zum nächsten Kiosk bequemen, um die zu bekommen?

Die Ausgaben der letzten Tage liegen "in jeder gut sortierten" (Groß-)Bibliothek bereit (Großbibliothek wegen überregionaler Tageszeitung), während Händler es ziemlich eilig haben, Ihre Remittenden wieder loszuwerden (zurückzuschicken).

[mkinzler]

Zitat:

Weiß jemand, ob ein solcher "Trojaner" sich vor dem scharfen Auge von Taskmanager & Co. verstecken kann?

Ja der Trojaner klingt sich in laufende Programme ein.

Zitat:

Beim regulären Laden einer Windows-DLL wird zumindest die DLL-Main-Routine verarbeitet, hierin werden die ersten, initialen Schadroutinen ausgeführt, die dafür sorgen, daß aktuell laufende Prozesse infiziert werden. Unter anderem dockt sich die Schadsoftware an den Prozeß explorer.exe an und baut von hier aus die Verbindung zum Kontrollserver auf.

[Delphi-Laie]

Ja, danke!

Und wie gelangt der auf einen Computer?

Firewall direkt auf dem Computer ist das eine, was ihn vielleicht bremsen könnte. Viele Router - so angeblich auch meiner - lehnen dank ihrer internen Firewall externe Zugriffe ohnehin ab, wenn nicht zuvor ein Zugriff "von innen" erfolgte. Wenn das stimmt: Wie sollte ein Bundestrojaner / Rootkit von allein auf einen Computer gelangen, wenn nicht durch ein unvorsichtig(erweise) heruntergeladenes und gestartetes Programm?

[himitsu]

Zitat:

Zitat von mkinzler (Beitrag 1129535)

Zitat:

Weiß jemand, ob ein solcher "Trojaner" sich vor dem scharfen Auge von Taskmanager & Co. verstecken kann?

Ja der Trojaner klingt sich in laufende Programme ein.

Da e ja nur eine DLL ist, muß er sich irgendworin "verstecken", sei es der DLLHost oder ein anderer Prozess und im Tastmanager siehst du ja nur die Prozesse und nicht deren zusätzlich geladene DLLs/Codes.

Zum Glück überwachen einige Virenscanner sowas.

Zitat:

Und wie gelangt der auf einen Computer?

Wie jeder andere Trojaner auch, über Sicherheitslöscher, unvorsichtigkeiten, einer bricht bei dir ein und installiert den oder man schmuggelt ihn in andere vertrauenswürdige Setups.

z.B. könnte man sich an deinen Provider wenden, wartet bis dein Firefox sich aktualisieren will und schummelt dir dann ein anderes Setup unter.

[BUG]

Zitat:

Zitat von Delphi-Laie (Beitrag 1129536)

Wenn das stimmt: Wie sollte ein Bundestrojaner / Rootkit von allein auf einen Computer gelangen, wenn nicht durch ein unvorsichtig gestartete heruntergeladenes Programm?

Mit direktem Zugang zur Hardware.
Oder eben wie jede andere Malware auch (Exploits, unsichere Autoupdates anderer Programme, eMail).

[Delphi-Laie]

Also, ohne konkreten (!) Anfangsverdacht sind das nach meinem laienhaften Rechtsverständnis eindeutig Computerstraftaten oder wenigstens der Versuch dazu.

Wie will man aber ohne Trojaner überhaupt an einen konkreten Verdacht gelangen? Vielleicht über irgendwelche suspekte Surf- und/oder Tauschbörsenaktivit? Ansonsten wird der Verdacht über die Straftat verifiziert und die Straftat damit nachträglich legalisiert (welch merkürdige Auslegung der Rechtsstaatlichkeit) - oder eben nicht, und da es viele ohnehin nicht mitbekommen werden, wird es dann keinen Hahn, der krähen könnte, geben.

[Delphi-Laie]

Mir liegt noch ein "Rootkitrevealer" der Sysinternals vor. Der wird schon seit Jahren nicht mehr zum Download angefangen. Werde ihn erstmals einsetzen, vielleicht entdeckt der ja etwas....

[Luckie]

Am Flughafen, wenn der Laptop mal kurz untersucht wird. Aber die betroffenen Rechner waren anscheinend Gegenstand von polizeilichen Untersuchungen....

Ansonsten über die üblichen Wege, als Mail Anhang oder Download.... Lass deiner Fantasie freien Lauf.

[mkinzler]

Vermutlich wird der händisch installiert (wurde ja auch als Bedingung genannt und war ja auch Teil des Angebots von DigiTask)

[himitsu]

Zitat:

Zitat von Delphi-Laie (Beitrag 1129540)

Der wird schon seit Jahren nicht mehr zum Download angefangen.

Den Satz versteh ich nicht ganz. ( meinst du vielleicht "angeboten"? )

http://www.delphipraxis.net/1129184-post16.html , GMER und IceSword
sind schonmal eine gute Grundlage, um sowas zu suchen

aber 100%ig kann man eben nichts finden

[BUG]

Mit einem passenden Live-System von CD kann man einen PC auch relativ bequem untersuchen (z.B. desinfec't, Avira, F-Secure).

EDIT:
Download RootkitRevealer
Erster Suchtreffer.

[cookie22]

Zitat:

Zitat von mkinzler (Beitrag 1129542)

Vermutlich wird der händisch installiert (wurde ja auch als Bedingung genannt und war ja auch Teil des Angebots von DigiTask)

Das denke ich auch alles andere wäre zu unsicher, irgendwie verschafftman sich Zugang zu deiner Hardware.

[hitzi]

Zitat:

Zitat von Delphi-Laie (Beitrag 1129540)

Mir liegt noch ein "Rootkitrevealer" der Sysinternals vor. Der wird schon seit Jahren nicht mehr zum Download angefangen. Werde ihn erstmals einsetzen, vielleicht entdeckt der ja etwas....

Meinst du "nicht mehr angeboten"? Du findest den RootkitRevealer in der Sysinternals Suite.

[himitsu]

Und falls er dir zu alt vorkommt...

Dieser durchsucht über einige undokumierte intere Schnittstellen und die öffentlichen allgemeine APIs alles
und wenn sich dort was unterscheidet, dann ist dort vermutlich ein Rootkit dazwischen.
Diese APIs haben sich seit WinNT kaum verändert, weswegen man da nicht ständig neue Versionen benötigt.

[JamesTKirk]

Unter der Annahme, dass es sich wirklich um den Bundestrojaner handelt (ich perönlich glaube dem CCC einfach mal), was machen die Behörden denn, wenn es sich um einen Win64, Win8-ARM oder gar nicht-Windows-Rechner handelt? :gruebel: (es wäre vielleicht auch mal interessant das Ding unter ReactOS auszutesten :mrgreen: )

Gruß,
Sven

[sirius]

Zitat:

Zitat von JamesTKirk (Beitrag 1129576)

was machen die Behörden denn, wenn es sich um einen Win64, Win8-ARM oder gar nicht-Windows-Rechner handelt? :gruebel: (es wäre vielleicht auch mal interessant das Ding unter ReactOS auszutesten :mrgreen: )

Am besten, wir entwickeln das Ding mal weiter. Ist ja eh schon Delphi, wenn man Olli glauben darf. Zudem ist er in Bayern entwickelt wurden:

Zitat:

0zapftis_

Das schränkt den Kreis der möglichen Entwickler schon gut ein. Es wäre jetzt endlich Zeit den uncompilierten Quellcode zu zeigen. So kann ich hier nicht arbeiten.

[Lemmy]

Hi,

eben bei SWR1 im Interview der interne SWR-ITler:

Der Trojaner sei angeblich im Einsatz gewesen und in Bayern läuft angeblich aktuell ein Gerichtsverfahren in dem Beweise die über den Trojaner gewonnen wurden eine Rolle spielen, u.a. Screenshots die über Monate hinweig alle 30 sec an die Polizei weitergeleitet wurden.

Hier ein Link auf einen Artikel der Frankfurter Rundschau

[implementation]

Zitat:

Zitat von JamesTKirk (Beitrag 1129576)

Unter der Annahme, dass es sich wirklich um den Bundestrojaner handelt (ich perönlich glaube dem CCC einfach mal), was machen die Behörden denn, wenn es sich um einen Win64, Win8-ARM oder gar nicht-Windows-Rechner handelt? :gruebel: (es wäre vielleicht auch mal interessant das Ding unter ReactOS auszutesten :mrgreen: )

Gruß,
Sven

Ich gehe mal davon aus, dass es auch Versionen für andere Plattformen gibt.
Aber wenn die Platten, die der CCC bekommen hat, von Windows-Rechnern stammen, woher sollte der CCC dann die andern Versionen auch kennen?

[Luckie]

Scheint echt zu sein: http://blog.fefe.de/?ts=b06c19a1

[Daniel]

Alle Achtung - die Vorwürfe scheinen sich zu bewahrheiten. Demnach sieht es derzeit danach aus, dass das LKA Bayern diese Software im aktiven Einsatz hatte:
http://www.zeit.de/digital/datenschu...rojaner-bayern

[CCRDude]

Um mal dem Delphi-Gerücht zu widersprechen: die Samples, die der CCC da zeigt, widersprechen dem. Ein Gerätetreiber lässt sich in Delphi nicht schreiben, und die DLL etwa zeigt einen aktuellen Timestamp - alte Delphi-Versionen (die noch Tnt für Unicode gebraucht hätten), hätten hier einen fixen Timestamp. Weiterhin haben Delphi-Kompilate nie nur eine RT_VERSION-Resource - eine echte Satellite-DLL zu bauen, wäre mit Delphi vermutlich umständlicher, als es gleich in anderer Sprache zu schreiben. Abschließend ist auch die Sektionstabelle nicht typisch Delphi.

[cookie22]

Die Binaries stehen doch zu Download bereit, also einfach selbst rein gucken.

[CCRDude]

Hab ich doch getan, deswegen ja der Kommentar :)

Wobei man tatsächlich TTntRadioButton.UnicodeClass, TPanel, TTntPageControl.UnicodeClass und TTntPanel.UnicodeClass findet. Allerdings in einem Zug mit TskACLForm.UnicodeClass. Mein Tipp wäre, daß diese Strings vorkommen, weil damit Fenster von Delphi/C++Builder-Anwendungen gesucht werden (nach TskACLForm.UnicodeClass sucht man etwa, um ein Fenster des überwachten Skypes zu finden).

[cookie22]

Jo, klingt durchaus plausibel.