Sasser-Programmierer festgenommen

[sascha]

http://www.n-tv.de/5242551.html

 

[Devilfrank]

Na der kann sich schonmal warm anziehen...

 

[Heiko]

Ich frag mich nur, warum.
Wenn die Admins zu doof zum patchen sind ist das IMHO nicht zwangsläufig die Schuld des Programmierers.

 

[Anonymous]

Wenn die Admins zu doof zum patchen

PC-Anwender bestehen nicht nur aus Admins

 

[Counselor]

Ich frag mich nur, warum.
Wenn die Admins zu doof zum patchen sind ist das IMHO nicht zwangsläufig die Schuld des Programmierers.

Diese Admins haben den Schaden wohl mitverursacht. Wir werden sehen, wie die Gerichte den Fall handhaben.

 

[Heiko]

PC-Anwender bestehen nicht nur aus Admins

Richtig.
Aber die haben ist den meisten Fällen keinen - nachweisbaren - Schaden.
Wenn man mal die strafrechtliche Seite außer Acht lässt und rein die zivilrechtliche betrachtet, dann kann nur ein nachgewiesener Schaden ersetzt werden. Und da genau ist das Problem für den Privatmann.
Und selbst wenn er einen nachweisbaren Schaden hat (wenn er z.B. einen Fachmann zum Wiederherstellen des Systems genutzt hat), dann heißt das noch lange nicht, dass er sein Geld auch bekommt.

 

[technofreak]

http://www.spiegel.de/spiegel/0,1518,299028,00.html

Wurm von der Wümme
....


Wie zum Hohn begann in der Nacht zum vergangenen Dienstag auch noch der Wurm "Netsky.ac",
die Sasser-Opfer und die Microsoft-Experten zu verspotten. Im Code dieses Schädlings steckte eine
Botschaft: "Do you know that we have programmed the sasser virus?!? Yeah, that's true."

Das forderte die US-Spezialisten offenbar heraus, sie sollen bei der Enttarnung des
jungen Mannes aus Waffensen geholfen haben. Dessen Motiv war bis Freitagabend
noch unklar. Vielleicht wollte er auch seiner Mutter Aufträge beschaffen: Denn die
betreibt eine Firma, die Computerbesitzern in Not hilft

 

[stieglitz]

Ich frag mich nur, warum.
Wenn die Admins zu doof zum patchen sind ist das IMHO nicht zwangsläufig die Schuld des Programmierers.

Lieber Heiko, es mag der Fall sein, dass es doofe Admins gibt.
In der Regel sind sie aber inzwischen so sensibiliert, dass sie das Möglichste tun, um vor Malware geschützt zu sein. Es gibt diverse Gründe,
warum nicht immer die neuesten Patches eingespielt werden. Zudem kommen im Bereicht der Wurmer täglich gleich mehrere Varianten in den Umlauf.
Selbst bei stündlichem update der AV-Software kann es nicht ausbleiben,
dass ein Wurm die AV unterläuft. Und ein depperter Anwender klickt darauf. In komplexen Umgebungen ist es nicht immer möglich das neueste Update einzuspielen, weil dann in der Regel ein Restart erforderlich ist. Und das geht eben nicht immer!

Und der letzte Satz von Dir, wenn ich ihn richtig verstanden hab,
kann ich schon garnicht akzeptieren. Der verharmlosend genannte "Programmierer" programmiert explizit Malware um anderen zu schaden.
Soll doch der Kunde am Bankautomat einen Stahlhelm aufsetzen, dann
stört ihn auch der Basketballschläger nicht, wenn man mit ihm auf seinen Kopf haut.
Im übrigen wurde diese Diskusion schon tausendfach bei Heise diskutiert, ich wollte es aber hier nicht so stehen lassen.

Gruß
Stieglitz

 

[Counselor]

Es gibt diverse Gründe, warum nicht immer die neuesten Patches eingespielt werden.

Der Hauptgrund sind Inkompatibilitäten mit angeblich windowsfähiger Software aus irgendwelchen Programmierklitschen (zB Meßgerätesoftware). Das Design dieser 'windowsfähigen' Software ist oft ärmlich und mißachtet nicht selten die Windows Logo Program Guideline. Daher sollte man die Anschaffung von Software von eigenen Validierungstests abhängig machen.

Selbst bei stündlichem update der AV-Software kann es nicht ausbleiben, dass ein Wurm die AV unterläuft. Und ein depperter Anwender klickt darauf. In komplexen Umgebungen ist es nicht immer möglich das neueste Update einzuspielen, weil dann in der Regel ein Restart erforderlich ist. Und das geht eben nicht immer!

Naja, von der Veröffentlichung des MS-Patches bis zum Auftreten der ersten Exploits vergehen schon ein paar Tage. Über SUS kann ein Patch innerhalb so kurzer Zeit aufgespielt werden und der Anwender kann den Rechner dann abends durchstarten. Bei akuter Virenbedrohung kann man Ausnahmen (wegen inkompatibler Software oder laufender Meßreihen) aufheben und ein Zwangsrollout mit Zwangsreboot durchführen. Bei Bedrohungen wie durch Sasser gebietet das die Netzwerksicherheit.

 

[Heiko]

In der Regel sind sie aber inzwischen so sensibiliert, dass sie das Möglichste tun, um vor Malware geschützt zu sein. Es gibt diverse Gründe, warum nicht immer die neuesten Patches eingespielt werden. Zudem kommen im Bereicht der Wurmer täglich gleich mehrere Varianten in den Umlauf.

Meine Erfahrung zeigt mir, dass das Sicherheitsbewußtsein bei vielen Administratoren nicht allzu ausgeprägt ist. Ich könnte Dir aus dem Stegreif dutzende reale Fälle nennen, in denen genau das offenkundig wird.

Selbst bei stündlichem update der AV-Software kann es nicht ausbleiben, dass ein Wurm die AV unterläuft.

Es geht hier nicht um AV-Software.
Das ist ein anderes - wenn auch nicht minder trauriges - Kapitel.
Es geht hier um Sicherheitslücken, Exploits und Patches.
Schau Dir mal die Sache mit dem SQL-Slammer an. Zu dem Zeitpunkt war der Patch ein knappes Dreivierteljahr herausgegeben. Wenn die Admins "in der Regel" so "sensibilisiert" gewesen wären, wäre nicht ein Wochenende lang das Inet faktisch zusammengebrochen.
Hier gilt das gleiche. Firmen lassen sich von einem Exploit hinters Licht führen, für den ein Patch existiert. Mit Sicherheitsbewußtsein hat das nicht viel zu tun.

Umgebungen ist es nicht immer möglich das neueste Update einzuspielen, weil dann in der Regel ein Restart erforderlich ist. Und das geht eben nicht immer!

Das hat sich mit W2K/W2003 stark geändert. Zudem muß ein Neustart im Laufe einiger Tage immer mal drin sein. Es hat ja nicht nur Firmen erwischt, die 24/7 arbeiten. Da muß dann der Admin halt mal Überstunden machen...

Und der letzte Satz von Dir, wenn ich ihn richtig verstanden hab, kann ich schon garnicht akzeptieren. Der verharmlosend genannte "Programmierer" programmiert explizit Malware um anderen zu schaden.

Nicht ganz richtig.
Ich will den Programmierer nicht verharmlosen oder gutheißen. Malware programmieren ist sicher nicht fein.
Aber viele Firmen/Privatanwender machen es dem Finsterling auch zu einfach.
Wenn ich Nachts alle Türe offen lasse, dann brauche ich mich nicht wundern, wenn bis zum Morgen mein Haus ausgeräumt ist. Das macht die Tat des Einbreches zwar nicht besser, so arg laut heulen muß der Bestohlene aber IMHO auch nicht. Sieh das analog. Ich finde Virenprogrammieren scheiße, wenn ich aber einen monatealten Patch in Firmen nicht einspiele, dann sollte ich mir aber auch mal an die eigene Nase fassen und prüfen ob die IT'ler ihren Job auch verstehen.

 

[Heiko]

Das Design dieser 'windowsfähigen' Software ist oft ärmlich und mißachtet nicht selten die Windows Logo Program Guideline.

Wenn die Hersteller das Logo nicht erwerben wollen, können sie zusammenprogrammieren was sie wollen.

 

[Counselor]

Das Design dieser 'windowsfähigen' Software ist oft ärmlich und mißachtet nicht selten die Windows Logo Program Guideline.

Wenn die Hersteller das Logo nicht erwerben wollen, können sie zusammenprogrammieren was sie wollen.

Schon. Aber gerade das bereitet häufig Probleme (und macht oft lokale Adminrechte für SuperDAUs notwendig, die dann wieder Dialer und ähnliches Gewürm auf dem Rechner haben).

 

[Eisenbahnfan]

Typisch für Gurkensoftware das die sich mit nix Verträgt, schon gar nicht mit Fixpaks. Und dann nach Möglichkeit nur auf FAT32 laufend, inkompatibel zu allen Virenscanner da eine Speziellen Doggeltreiber, aber unheimlich beliebt bei den Mitarbeitern, weil Bunt und man brauch eine Fritzkarte mit NDIS-WAN-treibern zum Datenabgleich.

Und war Billig, deswegen trotz Admineinspruch gekauft, weil...man ist ja Chef, hat mal W95 installiert und alle andern haben keine EDV Ahnung. :thumb:

Da kanst du nur noch die Einschläge Abwarten...

 

[Captain Picard]

http://www.heise.de/newsticker/meldung/47212

Vermutlicher Sasser-Autor auch Netsky-Urheber

....Der erste Hinweis auf den Urheber kam aus dem direkten Umfeld des Verhafteten.
In einem Telefonanruf bei Microsoft behauptete eine Person, die Identität des Sasser-Autors zu kennen.
Auf Nachfragen lieferte sie dann auch Teile des Quellcodes, die Microsoft in forensischen
Analysen als authentisch einstufte. Daraufhin schaltete Microsoft die Ermittlungsbehörden
ein, die dann innerhalb kürzester Zeit reagierten und auch die Verhaftung vornahmen.

Da bleibt ein schaler Geschmack, wenn der Knabe etwas cleverer gewesen wäre
und sein Tun nicht in der Umgebung rumgetratscht hätte, wäre nix mit Fahndungserfolg
gewesen. Da hat schlicht und ergreifend jemand gepetzt und diverse Leute schmücken sich
mit fremden Federn , M$ , FBI und wer weiß was für Superermittler hätten das wahrscheinlich
nie rausgekriegt.

Der Microsoft-Sprecher sah dies als Erfolg des Anti-Virus-Reward-Programms,
das eine Prämie auf Hinweise auslobt, die zur Ergreifung und Verurteilung von Viren-Autoren führen.
Bei der Frage, ob und in welcher Höhe der Hinweisgeber in diesem Fall ein solches Kopfgeld
erhalte, wollte er sich jedoch nicht festlegen.

Das funktioniert, wenn überhaupt, nur bei unbedarften Skriptkiddies. Bei dem Gedanken ,
wenn da Profis am Werk gewesen wären, läuft es mir kalt den Rücken runter,
aber das kann ja noch kommen...

cp

 

[stieglitz]

Das funktioniert, wenn überhaupt, nur bei unbedarften Skriptkiddies. Bei dem Gedanken ,
wenn da Profis am Werk gewesen wären, läuft es mir kalt den Rücken runter,
aber das kann ja noch kommen...

cp

Da gib ich dir vollkommen recht. Was passieren kann wird passieren!
Mir wird auch schon ganz schlecht.

Gruß
Stieglitz

 

[Captain Picard]

Was passieren kann wird passieren!

Das ist erst der Vorgeschmack:
http://www.zdnet.de/news/security/0,39023046,39122186,00.htm

Experten erwarten in Zukunft komplexere Angriffe
Der Computerwurm Sasser gilt unter Experten als erster Ansatz zu dem, was in der Szene
als "War Searching" bezeichnet wird. In verschiedenen Dokumenten wurde bereits im
vergangenen Jahr diese mögliche Angriffstrategie beschrieben. Sasser ist jetzt die gewissermaßen
erste Realisierung dieses Prinzips. Dabei geht es um die Technik, die Sasser und seine
Varianten B, C und mittlerweile schon D nutzen, um Suchmaschinen als Multiplikatoren von infizierten Webseiten und Rechnern einzusetzen.

na denn , dann wird nicht nur Delta Airlines ein Wochenende nicht fliegen....

cp

 

[stieglitz]

wenigstens beim Virusschreiben sind wir nicht "PISA".
:lol:
http://www.spiegel.de/netzwelt/politik/0,1518,299249,00.html

und der Artikel bei Telepolis ist auch sehr gut. Er zeigt mal auf
warum die Jungs sowas machen:
Gute Viren schlechte Viren.
Bei den beginnen jetz wohl die schlechten Zeiten!



http://www.heise.de/tp/deutsch/inhalt/te/17383/1.html

Ein schönen Abend noch
Gruß
Stieglitz

 

[Captain Picard]

Sachdienliche Hinweise kamen von Microsoft

Das LKA Niedersachsen ist dem tatverdächtigen Schüler aus der verschlafenen
Lüneburger Heide offenbar durch Hinweise von US-Behörden auf die Spur gekommen.
Frank Federau vom LKA Niedersachsen bestätigte ausdrücklich auch eine Zusammenarbeit
mit Microsoft. Danach habe der US-amerikanische Softwarekonzern anonyme
Hinweise aus dem näheren Umfeld des Schülers erhalten, die an das FBI sowie an
die deutsche Polizei weitergeleitet worden seien.

So wird die Blamage von M$ , FBI und diversen anderen "Behörden" schöngeredet
hätten sie nicht "anonyme Hinweise aus dem näheren Umfeld des Schülers erhalten"
würden sie noch in Jahren im Dustern tappen....

cp

 

[technofreak]

http://www.heise.de/newsticker/meldung/47243

Sicherheitsloch im Sasser-Wurm

Auf dem Sicherheitsportal k-otik wurde ein Exploit veröffentlicht, mit dem sich auf Rechnern,
die vom Wurm Sasser befallen sind, beliebiger Code ausführen lässt. Die Autoren des Exploits
haben einen Buffer Overflow im Sasser-Wurm gefunden; durch Überschreiben des
SEH-Pointers (Structured Exception Handler) erhält der Angreifer eine Administrator-Shell
auf Sasser-infizierten Windows-PCs. Zwar verfügt der Sasser-Wurm über eine Hintertür,
doch diese lässt sich nur für begrenzten Lese-Zugriff verwenden. Durch Ausnutzen
des Buffer Overflows kann quasi jeder die komplette Kontrolle über die Rechner
übernehmen.

na super, Sasser hält die Türe auf ...

So gut ist der Programmierer denn doch wohl nicht, zumindest hat er den gleichen
Programmfehler fabriziert wie M$ selber (Buffer-Overflow) .....

tf

 

[dotshead]

Die Sicherheitsoffensive von Microsoft wird wahrscheinlich im nächsten Jahr Früchte tragen.
Grüsse aus ME
Stephan aka Dots aka Rabauke
PS. GNU/Hurd erscheint auch nächstes Jahr. :holy: