• Hallo liebe Userinnen und User,

    nach bereits längeren Planungen und Vorbereitungen sind wir nun von vBulletin auf Xenforo umgestiegen. Die Umstellung musste leider aufgrund der Serverprobleme der letzten Tage notgedrungen vorverlegt werden. Das neue Forum ist soweit voll funktionsfähig, allerdings sind noch nicht alle der gewohnten Funktionen vorhanden. Nach Möglichkeit werden wir sie in den nächsten Wochen nachrüsten. Dafür sollte es nun einige der Probleme lösen, die wir in den letzten Tagen, Wochen und Monaten hatten. Auch der Server ist nun potenter als bei unserem alten Hoster, wodurch wir nun langfristig den Tank mit Bytes vollgetankt haben.

    Anfangs mag die neue Boardsoftware etwas ungewohnt sein, aber man findet sich recht schnell ein. Wir wissen, dass ihr alle Gewohnheitstiere seid, aber gebt dem neuen Board eine Chance.
    Sollte etwas der neuen oder auch gewohnten Funktionen unklar sein, könnt ihr den "Wo issn da der Button zu"-Thread im Feedback nutzen. Bugs meldet ihr bitte im Bugtracker, es wird sicher welche geben die uns noch nicht aufgefallen sind. Ich werde das dann versuchen, halbwegs im Startbeitrag übersichtlich zu halten, was an Arbeit noch aussteht.

    Neu ist, dass die Boardsoftware deutlich besser für Mobiltelefone und diverse Endgeräte geeignet ist und nun auch im mobilen Style alle Funktionen verfügbar sind. Am Desktop findet ihr oben rechts sowohl den Umschalter zwischen hellem und dunklem Style. Am Handy ist der Hell-/Dunkelschalter am Ende der Seite. Damit sollte zukünftig jeder sein Board so konfigurieren können, wie es ihm am liebsten ist.


    Die restlichen Funktionen sollten eigentlich soweit wie gewohnt funktionieren. Einfach mal ein wenig damit spielen oder bei Unklarheiten im Thread nachfragen. Viel Spaß im ngb 2.0.

Feststellbar, welche Daten abgegriffen worden sind?

127.0.0.1

Neu angemeldet

Registriert
7 März 2015
Beiträge
39
Ort
Stuttgart
So, da ich ja auch etwas lernen möchte, habe ich mal ne Frage.

Also zur Zeit hör tman ja oft, dass alle möglichen Firmen angegriffen werden (Sony usw.), und Kriminelle Daten "abgesaugt" haben. Nun ist meine Frage: kann man überhaupt feststellen ob, und wenn ja, WELCHE Daten "abgesaugt" worden sind? Also das muss doch geloggt werden, oder?

Wenn man auf seinem Privat PC einen Trojaner hat, also nur als Beispiel, dann kann man doch nachträglich nicht sagen, ob und welche Daten kopiert worden sind, oder? Wenn man nicht z.B. dem "TCP Stream" in Wireshark folgt, oder?
 

gelöschter Benutzer

Guest

G
Große Firmen haben Logs auf Servern, Firewalls etc.

Außerdem werden sogenannte IT-Forensiker eingesetzt, um nach dem Einbruch Spuren zu sichern. Dazu werden dann die Systeme heruntergefahren und analysiert. Die Trojaner sind ja i.d.R. noch drauf und können dann bis zum "Drop", also dem FTP-Server auf dem die Daten abgelegt werden, nachverfolgt werden.

Alle gängigen Betriebssysteme protokollieren auch ohne explizites Eingreifen des Nutzers sämtliche Systemaktionen. Unter Windows sei hier die Ereignisanzeige genannt, Mac OS hat Logs im Library-Ordner der Benutzer, /var/log und in der Mac-OS-Protokollanzeige ("Konsole" != "Terminal") und unter Linux landet alles im Systemd-Journal oder /var/log.

Im Falle Sony war es ja auch ein öffentlicher Einbruch, die Daten sind ja dann auf dem Schwarzmarkt gelandet und die PCs wurden kompromittiert. Da wird dann wohl auch jemand zum Schwarzmarkthändler gegangen sein und hat sich eine Übersicht geben lassen. Die Hacker waren ja auch nicht gerade subtil mit ihrer Prahlerei...

Wenn es dich interessiert, kannst du ja mal auf Reddit in /r/pwned, /r/computerforensics, /r/netsec und /r/antiforensics mitlesen. Dort finden sich auch in der Sidebar (rechts!) jeweils weiterführende Links.

Wenn es dich wirklich wirklich interessiert, empfehle ich folgendes Buch: Handbook of Digital Forensics and Investigation (Eoghan Casey)
 

127.0.0.1

Neu angemeldet

Registriert
7 März 2015
Beiträge
39
Ort
Stuttgart
  • Thread Starter Thread Starter
  • #3
Große Firmen haben Logs auf Servern, Firewalls etc.

Aha, und damit kann man es dann feststellen. Ja, weil wenn nix läuft bzw. nix geloggt wird, woher will man es dann wissen? Stichwort "Monitoring".

ie Trojaner sind ja i.d.R. noch drauf und können dann bis zum "Drop", also dem FTP-Server auf dem die Daten abgelegt werden, nachverfolgt werden.

Dies wird dann mit Reverse Engineering gemacht, oder?

Unter Windows sei hier die Ereignisanzeige

Ja, vielen Dank! Das wusste ich bereits.

Wenn es dich interessiert, kannst du ja mal auf Reddit in /r/pwned, /r/computerforensics, /r/netsec und /r/antiforensics mitlesen.

VIELEN DANK!!! Sehr interessant, schaue ich mir auf jeden Fall an!

Wenn es dich wirklich wirklich interessiert, empfehle ich folgendes Buch

Ja, tut es, danke!
 

accC

gesperrt

Registriert
14 Juli 2013
Beiträge
5.250
-- Ich habe keine Meinung mehr --
 
Zuletzt bearbeitet:

127.0.0.1

Neu angemeldet

Registriert
7 März 2015
Beiträge
39
Ort
Stuttgart
  • Thread Starter Thread Starter
  • #6
@phre4k

Ja, das stimmt natürlich. Also du meinst, die Verbindungen, die u.U. aufgebaut werden, damit zu sniffen? Ja, da würde auch mit DumpIt und Volatility gehen. Könnte sogar übersichtlicher sein. Denn im Nachhinein kann man mit Wireshakt ja auch nicht mehr sehen, was abgsaugt wurde, sondenr maximail, wohin, oder?

@accC

Leider bist du gesperrt, trotzdem antworte ich.
[
QUOTE]Wird schlicht auf die Ressource zugegriffen[/QUOTE]

Meinst du damit also z.B. ein Pc bzw. HDD oder Server?


Wird schlicht auf die Ressource zugegriffen


Ja, das ist logisch --> True Crypt:)


Das Wort SKANDAL wirt dieser Schweinerei NICHT gerecht...

Danke für die Antworten. Ich meinte aber auch, wenn man z.B. feststellt, dassa auf dem heimischen Pc ein Trojaner war - dann ist es unmöglich, festzustellen, welche Daten kopiert worden sind. Dies wird der Trojaner sicher nicht "loggen".
 

accC

gesperrt

Registriert
14 Juli 2013
Beiträge
5.250
Mit Zugriff auf eine Ressource meinte ich beispielsweise:

[src=text]ftp://ftp.microsoft.com/Products/Windows/Windows95/CDRomExtras/FunStuff/clouds.exe[/src]
(Ich habe keine Ahnung, was das ist und würde auch präventiv davon abraten, es zu laden, auch wenn es von microsoft.com stammt!)

Greifst du nun per FTP-Client (Webbrowser tuts auch) darauf zu, dann sieht Microsoft das auf seinen Servern.
Außerdem werden zumindest die Router, die deine Anfrage weiterleiten, sehen, was du tust.

Dazu musst du den Aufbau des WWW etwas genauer betrachten:

Wenn du eine Ressource anfragst (bspw. per Browser), dann leitet der das Paket erst mal an den nächsten Verbindungspunkt weiter. Dieser anschließend an den nächsten und so weiter bis deine Anfrage beim Server von Microsoft ankommt und dieser wieder antwortet. Da geht dann das gleiche Spiel wieder los, der schickt die Antwort an den nächsten Verbindungspunkt, dieser wieder an den nächsten und so weiter, bis zu dir nach Hause.

Jeder, der das Paket weiterleitet, kann auch rein schauen und sieht "was" übertragen wird. (Abgesehen von verschlüsselten Paketen/ Protokollen.)
Dass man in die Pakete rein schaut, kann mehrere Gründe haben. Zunächst wollen Carrier, also diejenigen, die die Pakete von deinem Hausanschluss bis zum Rechenzentrum von Microsoft tragen, eine möglichst gute Route wählen. Je nachdem, welche Pakete übertragen werden, ist eine Route besser oder schlechter geeignet. Bei VOIP oder allgemein Echtzeit-Übertragungen (Live Streams) willst du möglichst schnelle Routen, wenn auf dem Weg 1-2 Frames verloren gehen, interessiert das niemanden, das merkst du u.U. überhaupt nicht. Wenn du ein Programm von Microsoft.com herunter lädst, dann ist es dir egal, ob ein Paket in Echtzeit oder mit 7-10ms "Verzögerung" ankommt. Wesentlich ist, dass alles und möglichst viel auf einmal ankommt. Dann ist eine Route besser, die möglichst viele mb/s Durchsatz erlaubt und möglichst geringen Loss aufweist. Wobei die Carrier meist ein wenig den Fokus auf andere Faktoren legen, etwa wie ausgelastet eine Route derzeit ist. Vergleichbar etwa mit Autobahnen. Wenn schon viele Autos drauf sind, dann willst du, dass weitere Autos andere Straßen nehmen, um Stau zu vermeiden.

Wie auch immer, wesentlich ist, dass jeder Knoten zwischen dir und dem Empfänger, in die übertragenen Pakete hinein schauen kann und sieht, was da übertragen wird. Je nachdem, kann man darüber auch Buch führen - nichts anderes macht die NSA.


Achso: Ich will nicht gut reden, was die NSA macht, aber..
1. es ist nichts, wovor nicht seit Jahren gewarnt wurde, aber jeder hat es abgetan und man wurde als Aluhut-Fraktion abgestempelt.
2. mit geringem Aufwand könnte man die übertragenen Inhalte (nicht den Fakt der Übertragung) vor der NSA verstecken.
3. mit mittlerem Aufwand kann man Ziel und Quelle einer Übertragung (nicht den Fakt der Übertragung!) vor der NSA verstecken.
4. es ist nicht nur die NSA, die das macht, aber bei der ist es nun mal heraus gekommen, weil einer geplaudert hat. Andere Staaten und andere Organisationen machen genau das Gleiche.
 
Oben