Dialer tauscht Windows-Einwahlroutinen aus

H

Hase007

Frisch registriert
Einen besonders dreisten Fall von betrügerischen 0190-Dialern wurde dem Antivirus-Team von Network Associates gemeldet. Der Dialer tauscht die Datei rasapi32.dll aus, mit der sich ein Windows-PC per ISDN oder analoger Verbindung ins Internet einwählt. Egal, welche Nummer das DFÜ-Netz oder eine Anwendung vermeintlich wählt -- hinter den Fassaden wird eine 0190-Verbindung aufgebaut.

Bis auf einen erzwungenen Neustart nach der Installation und eine kurze Meldung vor einer Einwahl hat der Benutzer keine Chance, den Dialer zu bemerken. Auch gängige Dialer-Warner dürfte der rasapi32-Dialer aushebeln. Laut Network Associates speichert der Dialer im Verzeichnis System32 von Windows die ursprüngliche Version der rasapi32.dll als rasapi32.ocx. Außerdem legt er die Dateien rasapi32.ddl, winvm32.exe und rasapi.log sowie einen Registry-Schlüssel an, der winvm32 beim Windows-Start aufruft.

Wer die betreffenden Dateien auf seinem System vorfindet, muss zur manuellen Deinstallation die Datei rasapi32.dll umbenennen (zum Beispiel in rasapi32.tmp). Gleichzeitig sollte er die Datei winvm32.exe aus dem System32-Verzeichnis entfernen, aber nicht löschen: Bei rechtlichen Streitigkeiten um die vom Dialer entstandenen Kosten würde man sich so um die Möglichkeit bringen, zu beweisen, dass man hereingelegt worden ist. Daher sollte man die Datei in Quarantäne nehmen, zum Beispiel, indem man sie in eine ZIP-Datei verpackt. Anschließend kann man die rasapi32.ocx wieder in rasapi32.dll umbenennen.

In der Registry ist anschließend noch unter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run der mit WinVM32 bezeichnete Binärwert zu entfernen. Nach einem weiteren Neustart benutzt Windows dann wieder die richtige dll und man kann rasapi32.tmp in Quarantäne nehmen. (jo/c't)



Quelle:
http://www.heise.de/newsticker/data/jo-20.06.03-000/
 
Diese Information ist mit Vorbehalt zu geniessen, der Link im Heise Beitrag enthält keinerlei Info
über den gemeldeten Vorgang.
Darüber hinaus gibt es auch im Heise-Artikel keine brauchbaren Infos über die Verbreitung (Spam, HP´s , Trojaner )
Damit ist die Info praktisch wertlos , auch solche Sätze machen das Ganze nicht informativer:
Heise schrieb:
Auch gängige Dialer-Warner dürfte der rasapi32-Dialer aushebeln.
Zum Vergrößern anklicken....
Was denn nun, ja oder nein? Wenn sie den identifizert haben , müßten die Supercracks das doch
verifizieren können,
und vor allem die Hersteller der Dialer-Warnprogramme informieren.
So hinterläßt diese Info einen faden Nachgeschmack.
 
Es gibt bei weitem mehr Möglichkeiten sich vor unerwünschter Dialereinwahl zu schützen.
Die sicheren Alternativen sind bekannt in Form von sicheren Hardwarezugängen
DSL-pur, TK-Anlagen mit White-List, Dialerblocker , Router usw. ohne das man sich selbst
"kastrieren" muß. Das kostet zwar etwas (die Sperre kostet auch ) aber man hat es immer
selber in der Hand , was man zuläßt oder nicht.
tf
 
technofreak schrieb:
Hardwarezugängen, DSL-pur, TK-Anlagen mit White-List, Dialerblocker, Router usw. ohne das man sich selbst "kastrieren" muß.tf
Zum Vergrößern anklicken....

Hardware kann ihre Macken haben, DSL (für Leute, die nur manchmal eine E-Mail holen?) TK-Anlagen und Dialerblocker werden manchmal manipuliert und oft scheiteret es an der Einstellung, Router - naja!
Sicher es gibt noch einige Möglichkeiten mehr, doch da muss jeder selbst seinen Favorite finden. Was heißt hier eigentlich kastrieren? Jemand, dessen Nummern gesperrt sind, könnte immernoch mit dem Handy seinen Service abrufen und da der Trend dahin gehend ist, nehme ich mal an, dass nahezu jeder mobil telefoniert.
Übrigens: Philipp hat mir heute zwei URL gesendet, die auf ein supermieses Produkt eines libanesischen Anbieters abzielen - selektiere gerade eine der Ursprungsseiten und siehe da, Dialer-Control setzte aus und die Capi-Einstellungen werden überschrieben. Bei Coolspot wird es sicher demnächst ein Update des DC geben.
 
Ich kenne keinen Softwareblocker, der wirklich zuverlässig arbeiten würde.
Im Gegensatz dazu haben wir mit Hardware eigentlich recht gute Erfahrungen gemacht.
Zumindest gibt es keine dokumentierte unerwünschte Einwahl bei Verwendung eines Hardwareblockers.
 
Das mit den TK-Anlagen stimmt schon.
Da hatten wir auch schon mal ne Schlagzeile dazu.
Dummerweise lassen viele Leute das Standardpasswort stehen und der Remotezugang ist auch frei.
Auch wurden schon TK-Anlagen so manipuliert, dass von außen 0190-Nummern gewählt werden konnten.

Das mit den Dialerblockern kann ich aber auch nicht nachvollziehen.
 
Heiko schrieb:
Das mit den TK-Anlagen stimmt schon.
Da hatten wir auch schon mal ne Schlagzeile dazu.
Dummerweise lassen viele Leute das Standardpasswort stehen und der Remotezugang ist auch frei.
Zum Vergrößern anklicken....
Erstens waren das extreme Einzelfälle, und zweitens , wenn ich den Schlüssel unter der Fußmatte lege
heißt das auch nicht , daß die Schließanlage unsicher ist .
tf
 
Re: 0190er Sperre

anna schrieb:
http://telekom.de/dtag/faq2/frage/0,10303,556-2804-1,00.html

Einziger "echter" Schutz mit der Auflage einen Provider mit 0191er-Einwahl zu haben und ansonsten alle Möglichkeiten zu 0190, 0900, 0192 und 0193 zu verhindern.
Zum Vergrößern anklicken....

In München und Umgebung wuerde ich dringend zu einem Anschluss bei M"Net raten ........ Automatische Sperrung von 0190..0193, 0900, aber 0191011 kann man immer noch benutzen. Billiger, besser und schneller als die Telebumm ist das obendrein.

Die 0190-Sperre wird nur auf schriftlichen Antrag aufgehoben. So sollten das alle Netzbetreiber handhaben.

Werbung, Links
Werbung für kommerzielle Webseiten wird in Artikeln grundsätzlich nicht geduldet. Als Werbung in diesem Sinn sind auch Links zu kommerziellen Webseiten zu verstehen.
 
technofreak schrieb:
Erstens waren das extreme Einzelfälle, und zweitens , wenn ich den Schlüssel unter der Fußmatte lege heißt das auch nicht , daß die Schließanlage unsicher ist .
Zum Vergrößern anklicken....
Stimmt ja.
Ich wollte das einfach nicht so unkommentiert stehen lassen. Ihr wart mir beide ne Spur zu pauschal... ;)
 
anna schrieb:
Hardware kann ihre Macken haben, DSL (für Leute, die nur manchmal eine E-Mail holen?) TK-Anlagen und Dialerblocker werden manchmal manipuliert und oft scheiteret es an der Einstellung, Router - naja!
Zum Vergrößern anklicken....
Hmmm....
Zugegeben, Hardware kann tatsächlich Macken haben. Aber ich habe noch von keiner Macke gehört, die plötzlich einen Dialer einwählen ließ. Das war bislang immer "Aufgabe" eines Fehler im Betreibssystem oder schlicht Dummheit/Unerfahrenheit eines Users.
Die Aussage "es scheitert an der Einstellung" ist auch wenig hilfreich. Wenn man sich ein Gerät kauft und keine Ahnung davon hat und dann noch nicht mal in die Bedienungsanleitung sieht, dann braucht man sich ja nicht wundern. (In diesem Zusammenhang sehe ich für die Polizei in Zukunft noch erhebliche Arbeit auf sie zukommen, wenn die Telekom weiter so "agressiv" für WLAN-Zugänge Werbung macht; als Technoid würde ich sofort meinen Internet-Zugang kündigen und mir eine WLAN-Karte kaufen - einer meiner Nachbarn hat garantiert "T-DSL ohne Kabel".)

Was die Router betrifft: führe doch bitte mal dein "naja" etwas näher aus?! Ich habe selbst einen ISDN-Router und mein Rechner weiß gar nicht, was eine "Windows Einwahlroutine" ist, denn alles was meinen Rechner verläßt sind Netzwerk-Pakete. Der Router hat eine definierte Einwahlnummer, er darf einen B-Kanal verwenden und zeige mir den Dialer, der sich durch ein TCP/IP-Paket zum Router tunnelt, dessen Firmware oder Konfiguration umschreibt und sich dann im Router selbst einnistet um dort seine 0190-Einwahlen zu machen...


Matthias
 
@SprMa
"naja" in Kombination mit Deiner durchaus brillanten Erklärung zu Routern bedeutet für mich nachsitzen!
 
SprMa schrieb:
anna schrieb:
Hardware kann ihre Macken haben, DSL (für Leute, die nur manchmal eine E-Mail holen?) TK-Anlagen und Dialerblocker werden manchmal manipuliert und oft scheiteret es an der Einstellung, Router - naja!
Zum Vergrößern anklicken....
Hmmm....
Zugegeben, Hardware kann tatsächlich Macken haben. Aber ich habe noch von keiner Macke gehört, die plötzlich einen Dialer einwählen ließ. Das war bislang immer "Aufgabe" eines Fehler im Betreibssystem oder schlicht Dummheit/Unerfahrenheit eines Users.
Die Aussage "es scheitert an der Einstellung" ist auch wenig hilfreich. Wenn man sich ein Gerät kauft und keine Ahnung davon hat und dann noch nicht mal in die Bedienungsanleitung sieht, dann braucht man sich ja nicht wundern. (In diesem Zusammenhang sehe ich für die Polizei in Zukunft noch erhebliche Arbeit auf sie zukommen, wenn die Telekom weiter so "agressiv" für WLAN-Zugänge Werbung macht; als Technoid würde ich sofort meinen Internet-Zugang kündigen und mir eine WLAN-Karte kaufen - einer meiner Nachbarn hat garantiert "T-DSL ohne Kabel".)

Was die Router betrifft: führe doch bitte mal dein "naja" etwas näher aus?! Ich habe selbst einen ISDN-Router und mein Rechner weiß gar nicht, was eine "Windows Einwahlroutine" ist, denn alles was meinen Rechner verläßt sind Netzwerk-Pakete. Der Router hat eine definierte Einwahlnummer, er darf einen B-Kanal verwenden und zeige mir den Dialer, der sich durch ein TCP/IP-Paket zum Router tunnelt, dessen Firmware oder Konfiguration umschreibt und sich dann im Router selbst einnistet um dort seine 0190-Einwahlen zu machen...


Matthias
Zum Vergrößern anklicken....


Danke für diese sachlich fundierte Information. Das ist wieder die Sprache, die ich hier im Forum so liebe. Als Nicht-Techniker brauche ich solche eindeutigen Informationen. Mit Geraune und Gemunklle samt zweideutigen Mutmassungen kann ich nichts anfangen.
Denn nur knallhate Fakten lassen sich, dann in ein Vorbringen vor dem Gericht umsetzen und dann auch belegen. Das ist dann mein Job aus dem technischen Grundwissen den Transfer in die Juristerei zu schaffen.
 
Zum Thema Router kann ich nur folgendes aus Erfahrung berichten.

Da man ja alles installiert was zun Router gehört kann darunter auch eine LAN-CAPI sein. Damit ist der Faxversand oder das aufbauen von DFÜ-Verbindungen über den Router möglich. Das bedeutet aber auch das sich ein DIaler einwählen kann. Also ist nicht jeder der einen Router einsetzt automatisch sicher. Also drauf achten was man installiert.

Einer unserer Kunden hatte wegen der LAN-CAPI eine Dialereinwahl über den Router :bigcry:
 
Klar. Das ist genau das Problem.
Allerdings ist es nicht zwingend Aufgabe eines Routers, eine CAPI zur Verfügung zu stellen. Das geht eigentlich wieder über das normale Maß hinaus.
Zumindest sollte man das deaktivieren können. Bei meinem D-LINK war das auch in Originalzustand nicht aktiv.
 
Zurück
Oben