juhuuuh! 1. malware für os x

[pique]

Und deine "So wie bei Verschwörungstheorien, Aliens, Ufos oder Geistern?" klang als wolltest du meine aussage, dass es auch böse leute gibt die bugs net veröffentlichen sondern zu ihrem vorteil ausnutzen gibt, ins unwahrscheinliche ziehen..

hätte ich wohl besser den smiley nicht vergessen...

hier nochmals nachträglich:

 

[crashx]

hehe ok

 

[maceis]

...
Die sonstigen Admin Rechte unterscheiden sich von denen eines 'normalen' Benutzers darin, dass der Admin die Kontrollfelder Netzerk, Datum, Energie sparen und Sartvolume aendern kann (Dafuer wird kein Passwort abgefragt)
..

Der wesentliche Unterschied in diesem Zusammenhang ist doch imho eher der, dass ein admin-user sich jederzeit eine root-shell öffnen kann (ob root nun freigeschaltet ist oder nicht).
Damit hat er faktisch root Rechte.

Trotzdem ist die Deaktivierung des root-Accounts m. E. eine wichtige Sicherheitsmaßnahme (natürlich vor allem bei vernetzten Rechnern).

 

[lundehundt]

schon mal was von soigenannte 0day oder private exploits gehört? Nein? Dacht ich mir...
http://www.hbx.us/tal0n/papers/unknown-exp.txt kannste dir ja mal durchlesen.
btw: ein exploit ist ein programm was eine sicherheitslücke ausnutzt

Der Artikel ist treffend ueberschrieben: Thoughts on Unknown Exploitation

Auch fuer einen exploid brauche ich entweder offene Netzwerk Ports oder ein Programm, das vorher installieren werden muss. Ich habe weiter oben schon geschrieben, dass das groesste Risiko natuerlich vor dem Rechner sitzt. Und auch, dass es um den schlichten Vergleich einer Windows versus Mac out-of-the-box Installation mit Stand von heute geht. Weiterhin geht es um die grundsaetzliche Konzeption, auch dem Admin das passwort abzufragen und user und system klar und strikt zu trennen.

Natuerlich finde ich zu jedem System unter bestimmten Voraussetzungen irgend einen Zugang (und wenn ich bei dem 100% sicheren System dem Admin die Fuesse kitzeln muss bis er mir sein passwort verraet). Und natuerlich gibt es ein heute noch unbekanntes oder unveroeffentlichtes Gefaehrdungspotential, gegen dass ich mich aber auch heute noch nicht schuetzen kann (ausser mit den mir bekannten Mitteln)

Cheers,
Lunde

 

[lundehundt]

Der wesentliche Unterschied in diesem Zusammenhang ist doch imho eher der, dass ein admin-user sich jederzeit eine root-shell öffnen kann (ob root nun freigeschaltet ist oder nicht).
Damit hat er faktisch root Rechte.

Trotzdem ist die Deaktivierung des root-Accounts m. E. eine wichtige Sicherheitsmaßnahme (natürlich vor allem bei vernetzten Rechnern).

Hallo Maceis,

das ist voellig richtig. Nur braucht auch sudo das Admin passwort. Wenn ich das bereits unberechtigt habe, kann ich auch ohne root den Schaden anrichten, vor dem ich mich als privat Benutzter am meisten fuerchte - meine Daten zu loeschen, zu veraendern oder zu missbrauchen. Mein System habe ich in 30 Minuten wieder auf dem Rechner

Cheers,
Lunde

 

[ps895]

So Jungens und was mache ich als Mac Neuling jetzt? Dumm kucken oder irgendwas produktives oder doch Virenscanner kaufen?

 

[bebo]

Bloß keinen Virenscanner kaufen, das ist rausgeschmissenes Geld! Einfach den Mac genießen.

 

[maceis]

So Jungens und was mache ich als Mac Neuling jetzt? Dumm kucken oder irgendwas produktives oder doch Virenscanner kaufen?

Da fallen mir spontan fünf Dinge ein.
1 Keine Programme installieren aus nicht vertrauenswürdigen Quellen.
2. Nachdenken, bevor man ein Admin-Kennwort eingibt
3. Firewall einschalten (Systemeinstellungen > Sharing)
4. Möglichst nicht gewöhnheitsmäßig als Admin-User arbeiten (je nach Sicherheitsbedürfnis)
5. Think before you type (bezieht sich primär auf die Benutzung der Shell)

Nee; jetzt mal im Ernst; hier wird das Süppchen wieder mal auf hoher Flamme gekocht. Blindes Vertrauen ist sicher nie angeraten, aber bis wir die Sorgen haben müssen wie die Dosen-Benutzer vergeht wohl noch viel Zeit.
Ein Virenscanner ist derzeit definitiv überflüsssig.

 

[lundehundt]

Ich lasse Virex ueber meinen Mail Folder laufen. Das hat aber netz-hygienische Gruende. In meinem trash findet sich ab und an ein Windows Virus in irgend einem attachment. Da Virex auch die Windos spezifischen definition files hat kann ich die entfernen.

Virex ist fuer .mac account Besitzer kostenlos. Wenn du also wirklich mit einem Virescanner liebaeugelst, dann kannst du bei .mac wenigstens das Angenehme mit dem Nuetzlichen verbinden. Ansonsten laueft ein scanner unter OS X derzeit in's leere.

Cheers,
Lunde

 

[BEASTIEPENDENT]

Sorry, aber der Sinn erschließt sich mir nicht ganz
Wenn ich bereits root-Rechte habe, benötige ich keine Malware mehr;
dann bin ich die Malware und kann auf dem Rechner machen was ich will (incl. Einrichtung einer Backdoor)

yep, sehe ich auch so.

Ich dachte immer ein Wurm sei ein böses Programm, daß sich selbst verbreiten kann - und das kann dieses Rootkit ja nicht.

jein. er kan sich nicht selbst installieren. wenn er einmal installiert ist, kann er sich verbreiten. damit es streng genommen in der tat kein wurm - denn der ist definiert als _selbsttätig_ verbreitend.

also leute glaubt mal nich, dass mac os x das absolut über hacker sichere system ist.

behauptet ja auch (fast) keiner - jedenfalls niemand, der ein bisschen ahnung über rechner hat. sicherer als dosen, ja. sicher, nein.

Windows - ca. 30.000 bekannte Schaedlinge
Mac OS X - bisher kein bekannter Schaedling

falsch. dosen: ca. 80.000 bekannte schädlinge!

 

[crashx]

schon mal was von soigenannte 0day oder private exploits gehört? Nein? Dacht ich mir...
http://www.hbx.us/tal0n/papers/unknown-exp.txt kannste dir ja mal durchlesen.
btw: ein exploit ist ein programm was eine sicherheitslücke ausnutzt

Der Artikel ist treffend ueberschrieben: Thoughts on Unknown Exploitation

Auch fuer einen exploid brauche ich entweder offene Netzwerk Ports oder ein Programm, das vorher installieren werden muss. Ich habe weiter oben schon geschrieben, dass das groesste Risiko natuerlich vor dem Rechner sitzt. Und auch, dass es um den schlichten Vergleich einer Windows versus Mac out-of-the-box Installation mit Stand von heute geht. Weiterhin geht es um die grundsaetzliche Konzeption, auch dem Admin das passwort abzufragen und user und system klar und strikt zu trennen.

Natuerlich finde ich zu jedem System unter bestimmten Voraussetzungen irgend einen Zugang (und wenn ich bei dem 100% sicheren System dem Admin die Fuesse kitzeln muss bis er mir sein passwort verraet). Und natuerlich gibt es ein heute noch unbekanntes oder unveroeffentlichtes Gefaehrdungspotential, gegen dass ich mich aber auch heute noch nicht schuetzen kann (ausser mit den mir bekannten Mitteln)

Cheers,
Lunde

Das ist nicht komplett richtig, denn z.b. war letztens erst im linux packet filter modul ein bug mit dem man das system zum absturz bringen konnte, wenn ich mich nich irre sogar ohne offene ports. beim openbsd packetfilter gabs sowas auch mal da allerdings musste ein port offen sein.

Ausserdem war dieser satz wie gesagt nur auf den satz "ja klar und geister usw..." bezogen.
Und ich habe auch geschrieben, dass es so einen wurm wie blaster z.b. net für os x geben kann, jedoch sehr wohl viren und trojaner.
Das User und system grtrennt werden ist natürlich ein sehr grosser vorteil im gegensatz zu windows. jedoch auch nicht 100% sicher, wie man an den vielen local root bugs in unix/linux systemen sieht.

 

[Lynhirr]

@Thomac: Aller Anfang ist schwer. Wir müssen Geduld haben mit den Skript-Kiddies dieser Welt

Volle Punktzahl, mein Guter! rotfl

 

[VicDorn]

Die sonstigen Admin Rechte unterscheiden sich von denen eines 'normalen' Benutzers darin, dass der Admin die Kontrollfelder Netzerk, Datum, Energie sparen und Sartvolume aendern kann (Dafuer wird kein Passwort abgefragt). Den Netinfo Manager und bestimmte Funktionen des Festplattendienstprogramms. Er kann Ordner ausserhalb des eigenen home Verzeichnisses anlegen, verschieben oder loschen. Er kann accounts anlegen und die Daten anderer Benutzer oeffnen, aendern oder loeschen (muss natuerlich vorher die Rechte entsprechend einrichten) und File Vault per Hauptkennwort umgehen.

Hmm, für all das muss ich immer noch mal auf das Schloss klicken und mein Kennwort eingeben ("sudo"), obwohl ich laut Benutzerliste "Admin" bin. Ich habe das aber auch irgendwo explizit aktiviert, dass ich da überall nochmal eine Abfrage haben will. Insofern glaube ich, dass ich ganz ohne Passworteingabe nicht mehr Rechte habe, als ein Standardnutzer - der würde sich nur vermutlich das Schloss gar nicht erst einblenden lassen können. (MAW: Adminnutzer stehen in der "/etc/sudoers", normale Nutzer nicht).

Gruß,

Stefan

 

[Shetty]

Ausserdem kann man auch auf mac os x systeme kommen, z.b. wenn apache, was ja serienmässig installiert is, nen bug hat.

Wer betreibt bitte auf seinem Arbeitsrechner nen Apache?

 

[glotis]

Hi
@travelstar, crashx
Hauptangriffspunkt bei OS sind Programmierfehler an kritischen Stellen im OS wie zB dem Speichermanagement. Hat ein Programm keine Fehler ist es sicher. Dies schafft man aber nur mit formaler Programmierung und Code-Beweisen. Da der Aufwand sehr hoch und teuer ist wird diese Art der Programmierung nur für sehr wichtige und kritische Projekte eingesetzt. Unix, Linux und Windows sind in C/C++ programmiert, bei grossen Listings ist fast auszuschliessen das damit fehlerfreier Code programmiert werden kann, daher ist die Behauptung OSX oder xxxBSD ist das "sicherste" OS nicht haltbar.

@lundehundt
der Herr Scriptkiddie braucht zum löschen der Daten ein einfaches langweiliges rekurives rm verpackt in einem ausführbaren Applescript dann wird das Home-Verzeichnis geplättet

sudo&root
hier wurde schon oft darüber diskutiert das dieser deaktivierter root Augenwischerei ist. Hat man das PW für den Standard-User, der Mitglied der Admin-Gruppe ist, dann kann man auf dem System alles machen und root freischalten. Hat man also ein Programm als User installiert ,das PWs mitloggt, ist es nur eine Frage der Zeit bis ein Rootkit auf dem Rechner landet.

apache&andere Server
die meisten dürften wohl nicht wirklich realisieren das sie unter Sharing Server-Dienste freischalten und diese sind dann auch, wie bei allen anderen Unix/Linux-Systemen angreifbar, falls bei diesen Diensten Fehler entdeckt werden, daher gibt Apple auch Sicherheits-Updates raus. Aber trotzdem kann ein wachsames Mitlesen der Security-News nie Schaden.

alles in allem nichts neues und im Forum an verschiedenen Stellen schon oft diskutiert und über die Forensuche auffindbar.

 

[?=?]

Ich glaube, es ist nur eine Frage der Zeit, bis der erste Bastler 1+1 (local root exploit + rootkit) zusammenzählen kann und schon habt ihr ein rootkit installiert, indem ihr eine "unverfängliche" Webseite angeschaut habt (siehe Probleme mit libpng, etc.).
Voraussetzung ist natürlich, dass der root-Account aktiviert ist.
Alternativ findet sich vielleicht ein Weg, einen neuen Acount mit uid=0 und gid=0 anzulegen . . .
Dann noch 'ne Prise smtp-engine hinzu, die Mails mit "Werbung" für die Web-Seite (oder gleich das bild selber) verschickt und schon habt ihr einen funktionierenden Virus.

Und sage niemand "das libpng-Loch ist ja gestopft!": Das nächste Loch kommt bestimmt und Viren-Bastler sind lernfähig . . .


Gruß,

?=?

 

[peterli]

Halli Hallo
Hab das eben schonmal, unwissenderweise in einen anderen Thread gepostet...

Hab da mal eine Frage: Ich ziehe in Erwägung in naher Zukunft auf ein kleines und putziges 12" PB umzusteigen. Nun ist es so, das ich auf meinem Oldtimer IBM TP600E mit XPSP2 die AV-Software AVG benutze und super zufrieden bin. Leider gibts die nicht für Mac, hab da schon nachgefragt. "Entwickeln nur Software für Windows und Linux" . Welches AV-Progi könnt Ihr mir denn empfehlen. Habe vor mir ein PB 12" Combo mit min. 512MB RAM zuzulegen. Ich weiss nicht wie es mit Norton auf einem Mac ausschaut, aber auf ner Windows-Kiste will ich dieses Speichermonster nicht mehr haben.
Zudem sitze ich bzw. mein PC hinter einem D-Link 624+ Router.

Besten Dank für Eure Antworten.

P.S. Ich wage den Sprung ins Mac-Wasser, Freundin hat auch ein 12er und ich hab schon einige Male dran gesessen. ES HAT MICH ÜBERZEUGT

 

[vinaverita]

ich habe noch nie irgendeine AV software benutzt.
falls es wirklich mal irgendeinen richtig gefährlichen virus geben wird,
werde ich 100% eher informiert sein, als der virus mich erreicht und kann
mich dann immernoch schützen

 

[BEASTIEPENDENT]

hi peterle,

nein norton willst du auf keinen fall! is besser so...

av-progs gibt es keine brauchbaren für mac, die scannen ja ohnehin nur nach dosen-viren in mail-nahängen, und die erknnt man auch mit "bloßem auge". spar dir einfach den gedanken, dass irgendwelche software dich vor malware schützt und denke lieber nach am rechner, das ist ohnehin wesentlich wichtiger als jeder virenscanner.

 

[wegus]

Die Frage ist ja auch nicht, ob es geht Viren zu programmieren, sondern ob es Einer wirklich macht. Auch für Linux ist sowas möglich. Für die meisten Script-Kiddies reicht es aber nur für Windows und wenn deren Taschengeld für nen Mac reicht, haben die meist auch was besseres zu tun! Mit nem Mac ist man sicherer, absolute Sicherheit ist jedoch eine Illusion. Für die Firma haben wir mail-Virenscanns bereits beim Provider abonniert. Der hat Zugriff auf Symantecs Online-DB. Noch viel schneller geht es kaum und auch das ist teilweise zu spät!

Vina, Deine Ansicht in allen Ehren. Bei Windows-Benutzern sind das jedoch häufig die berühmten letzten Worte! Sollten Viren für den Mac entstehen, so wird das hier ähnlich sein. Vielleicht schützen die hohen Preise für Mac's uns ein bißchen länger...