Polizia della polizia tedesca "Staatstrojaner" domanda generale

4

Nel caso del ritrovamento recente da parte di CCC, in che modo esattamente il malware utilizzato dalla polizia tedesca per le intercettazioni Internet funziona? In modalità predefinita, prende screenshot di Windows attive, registra i dati e inoltra i dati per il ritiro remoto. È anche in grado di spiare Skype e conversazioni di messenger e di eseguire codice sulla macchina infetta. Questo sarebbe un esempio di un rootkit? Come sarebbe installato? In che modo rileveresti questo tipo di malware se AntiVirus non lo raccogli?

    
posta m4ck 15.10.2011 - 11:08
fonte

1 risposta

6

Dall'articolo, ecco la mia comprensione:

Il nucleo di questo malware è una DLL che si registra all'avvio all'avvio e un modulo del kernel che consente alla dll di accedere a funzioni a livello di kernel a cui altrimenti non avrebbe accesso. Una volta avviato, il programma ascolta i comandi in arrivo; a seconda del comando, può fare un certo numero di cose: prendere uno screenshot, registrare uno screencast, ecc .; la maggior parte di questi non richiede i permessi di root.

Spiare skype ed e-mail avviene tramite chiamate API di livello utente: è semplice come catturare screenshot e registrare l'audio dal mix bus della scheda audio. I dati risultanti vengono rinviati, con la crittografia AES applicata (ma in un modo che rende inutile l'intero processo di crittografia - utilizzano una chiave simmetrica, che è codificata nel file eseguibile ed è stata pubblicata dal CCC; la chiave può ora facilmente falsificare le risposte, senza alcun modo di verificare se sono autentiche.) Un altro dettaglio delicato è che, poiché il malware spia principalmente le cose locali, può fare uno screenshot di una e-mail che stai attualmente scrivendo, e postalo a casa, indipendentemente dal fatto che tu invii effettivamente l'e-mail o lo elimini.

C'è anche un comando per scaricare ed eseguire codice arbitrario, con permessi di amministratore completi, e questa parte richiede l'accesso a livello di root (altrimenti l'utente verrebbe presentato con il solito prompt UAC, esponendo il malware).

Quindi sì, il malware contiene una sorta di root kit, ma la maggior parte delle sue funzionalità può essere raggiunta senza di essa.

EDIT: Nota il secondo aggiornamento di CCC , ora di 2 anni, per menzionare la scoperta di un nuova versione del software. È stato pubblicato tre settimane dopo il primo aggiornamento già collegato a un commento qui sotto.

    
risposta data 15.10.2011 - 12:51
fonte

Leggi altre domande sui tag