Dipl.-Inform. Carsten Eilers

Fernwartungstools erlauben es, aus der Ferne auf einen Rechner zuzugreifen,
diesen zu steuern und die Bildschirmausgabe auf den entfernten Rechner zu
leiten. Das ist durchaus praktisch, z.B. um Probleme zu untersuchen
und/oder zu beheben, ohne sich selbst zum betroffenen Rechner begeben zu
müssen. Überspitzt könnte so z.B. ein Administratorenteam
im preisgünstigen Indien Support für alle Rechner eines
weltweiten Konzerns leisten.

So eine Fernsteuerung ist natürlich auch für Cyberkriminelle
interessant: Wenn sie entsprechende Software auf einen Rechner installieren
können, haben sie danach die vollständige Kontrolle über
diesen Rechner. Verwenden sie dazu ein eigentlich für harmlose Zwecke
entworfenes Programm, wird es im für den Benutzer schlechtesten Fall
von seinem Virenscanner als legitimes Programm angesehen und völlig
ignoriert. Die Cyberkriminellen sind also vor Entdeckung sicher – und das
ganz ohne das sonst dafür eingesetzte
Rootkit.
Die meisten Virenscanner erkennen aber alle bekannten Fernwartungstools
und warnen vor ihnen, teilweise dann eben nicht als Schadsoftware sondern
als “möglicherweise unerwünschtes Programm” oder ähnliches.

Fernwartungstools bestehen immer aus zwei Komponenten: Dem Client- und dem
Host-Programm (manchmal auch als Server bezeichnet). Auf den zu steuernden
Rechnern wird das Host-Programm installiert, dass dann vom Client-Programm
gesteuert wird.

Ein Werkzeugkasten voller Tools

Remote Administration Toolkits können sehr umfangreich sein.
Während einfache Varianten lediglich Shellbefehle ausführen und
den Bildschirminhalt an den Client schicken können, können
ausgefeiltere Varianten alle Aktionen durchführen und deren Ausgaben
an den Client senden, die auch der lokale Benutzer ausführen kann, vom
Zugriff auf Webcam und Mikrofon über beliebiger Dateioperationen zum
Ausschalten des Rechners (sofern der das über Software zulässt).
Und auch noch weitergehende Aktionen sind möglich.

Der Klassiker: Back Orifice

Back Orifice
oder kurz BO ist wohl das bekannteste RAT. Es unterstützt
Windows 95 und 98, ein Client ist auch für Unix verfügbar. Nach
der Installation erscheint BO nicht in der Task- oder Programmliste,
außerdem wird es bei jedem Neustart automatisch mit gestartet. Seine
Funktionsliste ist beeindruckend und stellt dem entfernten Benutzer mehr
Funktionen bereit, als das System dem Benutzer auf den Host zur
Verfügung stellt:

• System-Kontrolle
  • Anzeigen von Dialogboxen mit beliebigen Text
  • Keylogger
  • Sperren oder Rebooten des Host-Rechners
  • Abfrage detaillierter Systeminformationen
• Dateisystem-Kontrolle
  • Kopieren, Umbenennen, Löschen, Betrachten und Suchen von/nach
    Dateien und Verzeichnissen

  • Komprimieren und Dekomprimieren von Dateien
• Prozess-Kontrolle
  • Auflisten, Beenden und Abspalten von Prozessen
• Registry-Kontrolle
  • Auflisten, Anlegen, Löschen und Setzen von Keys und
    Werten in der
    Registry
• Netzwerk-Kontrolle
  • Zugriff auf alle verfügbaren Netzwerk-Ressourcen
  • Zugriff auf alle ein- und ausgehenden Netzwerkverbindungen
  • Auflisten, Erzeugen und Löschen von Netzwerkverbindungen
  • Auflisten aller bereitgestellten Ressourcen samt deren
    Passwörtern sowie Erzeugen und Löschen von Bereitstellungen
• Multimedia-Kontrolle
  • Abspielen von wav-Dateien
  • Erzeugen von Bildschirmfotos
  • Aufnehmen von Videos oder Standbildern mit jeder angeschlossenen
    Kamera
• Packet Redirection
  • Umleiten jedes eingehenden TCP- oder UDP-Ports zu einer anderen
    Adresse und Port
• Anwendungen umleiten
  • Verbinden der meisten Konsolenanwendungen wie command.com
    mit einem beliebigen TCP-Port
• Bereitstellen eines HTTP-Servers
  • Up- und Download beliebiger Dateien über einen Webbrowser
• Integrierter Paket-Sniffer
  • Überwachen aller Netzwerkpakete und Protokollieren aller in
    Klartext übertragenen Passwörter
• Plugin-Interface
  • Über eine Plugin-Schnittstelle kann eigener Code im versteckten
    BO-Prozess ausgeführt werden

BO wurde von Mitgliedern der Hackergruppe
Cult of the Dead Cow
entwickelt und auf der vom 31. Juli bis 2. August 1998 abgehaltenen
Sicherheitskonferenz
Defcon 6
vorgestellt
(Pressemitteilung)
Das Programm sollte sowohl Administratoren die Arbeit erleichtern als auch
auf die laxen Sicherheitsmaßnahmen von Windows 98 hinweisen. Die
Reaktionen
auf BO waren gespalten, und das zu recht. Für einige der Funktionen gibt
es kaum eine Berechtigung, wenn man das Programm als reguläres
Fernwartungstool einsetzen will. Entsprechend wird BO von den
Virenscannern i.A. auch als Schadsoftware erkannt, z.B. von F-Secure als
Trojan.Win32.BO.

Einige RATs im Schnelldurchlauf

Es gibt sehr viele RATs, von denen hier nur einige wenige vorgestellt
werden sollen. Ebenso bekannt wie BO dürfte Sub7 (auch
SubSeven oder Sub7Server genannt) sein. Dessen
offizielle Website
ist zur Zeit
in Folge eines Defacements
im März 2010 mehr oder weniger leer, es gibt aber die je nach Standpunkt
Ankündigung oder Drohung “We will return.”

Sub7 unterstützt Windows XP bis 2000 und wurde z.B. im Juli 2003 als
Trojaner über eine gefälschte Symantec-Mail
verbreitet,
die zum Download eines angeblichen Updates aufforderte. Die meisten
Virenscanner erkennen Sub7 als Schadsoftware, z.B. F-Secure als
Backdoor:W32/SubSeven.

NetBus
wurde vom schwedischen Programmierer Carl-Fredrik Neikter entwickelt und im
März 1998 veröffentlicht. Unterstützt wurden anfangs Windows NT 4.0, ME,
95 und 98, ab Version 1.70 auch Windows 2000 und XP. Das Tool wird von den
meisten Virenscannern erkannt, z.B. von F-Secure als
NetBus
(ohne zusätzliche Einstufung wie Backdoor oder Trojan). NetBus 2.0 Pro
wurde als kommerzielle Software vertrieben, die zugehörige Website
www.netbus.org steht inzwischen aber in keinem Zusammenhang mehr mit dem
NetBus-Entwickler oder NetBus.

Poison Ivy
läuft unter Windows 2000, XP, 2003 und Vista (über neuere Systeme liegen
keine Informationen vor), die Entwicklung ruht anscheinend seit 2008. Das
besondere an Poison Ivy ist seine weitgehende Konfigurierbarkeit sowie die
leichte Erweiterbarkeit durch Plugins. Von den Virenscannern wird Poison
Ivy i.A. als Schadsoftware erkannt, z.B. von F-Secure als
Backdoor:W32/PoisonIvy.


Eine Variante von Poison Ivy kam z.B. im Rahmen des
Angriffs auf RSA
zum Einsatz, bei dem die Daten der SecurID-Token
ausgespäht wurden.

Auch für Mac OS X gibt es RATs, z.B. das Anfang 2011 aufgetauchte
BlackHole,
das anfangs nur ein besserer Proof-of-Concept
war,
inzwischen aber
mehrmals
verbessert
wurde.

Ein weiteres RAT für Mac OS X ist HellRTS, von dem im April 2010 eine neue
Variante,
HellRTS.D,
entdeckt wurde. Diese wurde auch von
Symantec
und
McAfee
unter dem Namen HellRTS in ihre Virendatenbanken aufgenommen, während
Sophos
die Bezeichnung
OSX/Pinhead-B
wählte.

Es gibt auch systemübergreifende RATs. Entweder in Form getrennter
Binaries für die verschiedenen unterstützten Systeme – oder z.B.
in Form eines
Java-RAT,
von McAfee JV/IncognitoRAT genannt. Als Host können Windows und Mac OS X
dienen, als Client zusätzlich iPhone und iPad.

Die gute Seite…

Außer den i.A. bösartig eingesetzten RATs gibt es auch viele
für legitime Zwecke eingesetzte Fernwartungstools (die natürlich
auch missbraucht werden können), z.B.
pcAnywhere
von Symantec (ja, auch die Hersteller von Virenscannern entwickeln
Fernwartungstools),
Apple Remote Desktop
(ARD),
Timbuktu,
die
Remote Desktop Services
in Windows Server und eine Vielzahl vom Implementierungen auf Basis des
Virtual Network Computing
(VNC) .

Schadsoftware ohne Verbreitungsfunktion

Alle RATs teilen eine Gemeinsamkeit: Sie enthalten keine
Verbreitungsfunktion und müssen z.B. als Trojaner auf dem Zielrechner
eingeschleust oder von bereits zuvor eingeschleuster Schadsoftware
nachgeladen und installiert werden. Ist aber ein RAT erst einmal
installiert, hat der Angreifer i.A. die vollständige Kontrolle
über den Rechner.

Und damit nähert sich unsere Reise durch die Welt der Schadsoftware
ihrem Ende. In der
nächsten Folge
gibt es einen Überblick
über Botnets, die aus mit entsprechender Schadsoftware infizierten
Rechnern gebildet werden.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware – Der Spion in Ihrem Computer

Viren – Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer – Schadsoftware, die sich selbst verbreitet

Trojaner – Der Feind im harmlosen Programm

Zeus – Trojaner, Botnet, Schädlingsbaukasten, …

Exploit-Kits – Die Grundlage für Drive-by-Infektionen

Rootkits – Schadsoftware im System

Remote Administration Toolkits – Fernwartung in der Grauzone

Botnets – Zombie-Plagen im Internet

Schadsoftware – Infektionen verhindern

Schadsoftware im Überblick