Zum Inhalt der Seite gehen


Ein Hilferuf: Ein journalistisches Projekt hat sich ein Rootkit eingefangen. 😭😭😭
Unser Developer @quadrifolia kämpft seit zwei Tagen, aber er findet es nicht. Es ist zum Verzweifeln. Kennt sich jemand von euch aus und wäre bereit ihm zu helfen oder zumindest mal drauf zu schauen und eventuell weitere Tipps zu geben? Das wäre großartig
Dieser Beitrag wurde bearbeitet. (3 Wochen her)
Als Antwort auf Eva Wolfangel

Der hausinterne SysAdmin sagt: Platt machen, Backup einspielen. Was anderes hat quasi keine Chance.
Als Antwort auf Magic Cauldron

@Magic_Cauldron
Analyse ist wichtig. Rootkit könnte auch im backup enthalten sein, oder sich in BIOS, Grafikkarte, ... eingenistet haben.

Wenn es eine neue Hardware gibt, in die nur unverdächtige teile des backups eingespielt werden, ist es sicherer.

Als Antwort auf Eva Wolfangel

evtl. Eckhard Bogner vom Kirchenvorstand der evang. Christuskirche Landshut fragen (ist aber die Woche beim Skifahren). Er war von Beruf Hacker. Oder CCC Hamburg? Oder Heise Verlag (ist auch im Fediverse)?
Als Antwort auf Eva Wolfangel

Nicht einfach platt machen...

Translation of the original message:

A cry for help: A journalistic project has caught a rootkit. 😭😭😭
Our developer @quadrifolia has been fighting for two days, but he doesn't find it. It's despairing. Do any of you know your way around and would be willing to help them or at least take a look and maybe give them more tips? That would be great

#CyberSecurity
#InfoSec
#Malware
#OpenThreatExchange
#Rootkit
#ReverseEngineering
#frida
#radare2
#r2frida
#reversing
#idapro
#malwareanalysis

Als Antwort auf Eva Wolfangel

Ggf. das Digital Security Lab von Amnesty anschreiben bzw. Reporter ohne Grenzen? Ggf kann @besendorf hier weiterhelfen.

Wichtig ist, erst Mal klar machen was das Ziel ist: Beweise rechtlich wasserdicht zu sichern oder "Clean" werden? "Entfernen" geht immer mit dem Risiko einher, dass man nicht weiß woher das Zeug kommt, ein wenig Forensik ist also immer angebracht... und dazu braucht man Profis.

Als Antwort auf Eva Wolfangel

1/
zuerst Netzwerk trennen,

von der Platte ein forensisches Binärimage mit DD, ewfacquire o.ä. machen und sicher weglegen.

Für eine Schnellanalyse eine Forensic Collection mit Magnet oder Velociraptor machen und an Forensiker geben.

Dann Nutzdaten runterkopieren,
System komplett plattmachen inkl UEFI Reset+Update, neu sauber installieren.
Dabei Softwareauswahl auf Eignung und Sicherheit prüfen und ggfs austauschen.

1/

Als Antwort auf Eva Wolfangel

Ein System, das kompromittiert ist, kann man per se nicht mehr retten. Niemand kann Dir sicherstellen, dass Du alles gefunden hast.

Was man eventuell retten kann, sind die Daten. System nicht booten, sondern Platte ausbauen und an anderem System (möglichst unterschiedliches OS) read only mounten. Dann Daten auf einen Stick oder USB-Platte kopieren. Dann diese Dateien scannen, bevor man die verwendet. Die alte Platte zur Beweissicherung aufbewahren.

Falls Backups existieren, diese bevorzugt verwenden.

Als Antwort auf Eva Wolfangel

Du kannst ein rootkit nicht beweisbar entfernen.

Platte ausbauen, read only nur Daten sichern, Daten scannen, Platte archivieren als Beweis, Anzeige.

Board und BIOS sind Schrott, nicht verwenden

Dieser Beitrag wurde bearbeitet. (3 Wochen her)

teilten dies erneut

Als Antwort auf Kris

@isotopp Ergänzend: Die Sicherung sollte eine von Gericht als Sachverständige anerkannte Forensikerin vornehmen, damit die Beweiskraft schwerer angezweifelt werden kann.
@Kris
Als Antwort auf Cryptoparty Köln-Bonn

@cryptoparty @isotopp Und dabei nicht vergessen, daß SSDs irgendwann ihre Daten verlieren, wenn sie keinen Strom abbekommen. Wenn die also potentiell bei einem Gerichtsverfahren als Beweis herhalten sollen, sollte die durchschnittliche Verfahrensdauer bei der Forensik beachtet werden...
Als Antwort auf Rob

@rantanlan Es ging auf einmal nichts mehr. Also war recht offensichtlich. Dass es ein Rootkit ist, wurde dann so nach und nach klar, als @quadrifolia versucht hat, die Ursache zu finden und auffällige Kommunikationsversuche entdeckt hat.
Als Antwort auf Eva Wolfangel

Professionellen Dienstleister involvieren, z. B. Fachabteilung/-Team eines Antivirenherstellers, z. B. ESET. Alles andere ist zum Scheitern verurteilt, wenn man selbst nicht Experte auf dem Gebiet ist.
Dieser Beitrag wurde bearbeitet. (3 Wochen her)
Als Antwort auf Clemens

@clemensprill
Hmm, hatte mal trouble mit ESET und wir haben uns in dem Zuge das Kernelmodul von denen (und die generierung) mal angeguckt… long story short - die würde ich nicht fragen.

@evawolfangel @quadrifolia

Als Antwort auf Jan Mayen

@jan_mayen Zu welcher Zeit/Produkt rum war das? Mich stört auch manches dort. In dem Bereich sind sie anscheinend jedoch ganz gut aufgestellt. Zumindest aktiv und häufiger beauftragt.
Als Antwort auf Eva Wolfangel

Je nach Situation würde ich die Hilfe des Citizen Lab ersuchen.
Als Antwort auf Eva Wolfangel

Hej ihr seid so wunderbar! ❤️
Vielen Dank für die vielen Tipps, Hinweise und Hilfsangebote. Es hat sich richtig viel getan, und inzwischen arbeiten zwei von euch mit unserem Kollegen am Problem. Von daher sage ich vorsichtig: Es gibt Hoffnung. Daumen drücken, dass sie gut vorankommen!
Als Antwort auf Eva Wolfangel

mastodon.social/@quadrifolia/1…


Vielen Dank Euch allen! 😀
Für die vielen Hinweise und Tipps. Wie Eva schon geschrieben hat, schauen sich zwei von Euch, die sehr viel mehr Ahnung haben als ich, das an und helfen mir weiter!

Der Hoster hat sich bisher natürlich immer noch nicht gemeldet.

Server ist pausiert, sind VMs, komplettes image zur weiteren Analyse ist gezogen.

Alle möglichen Viren- und Rootköit-Scanner sind drüber gelaufen, gefunden wurde nichts.

1/3


Als Antwort auf Eva Wolfangel

Vielen Dank Euch allen! 😀
Für die vielen Hinweise und Tipps. Wie Eva schon geschrieben hat, schauen sich zwei von Euch, die sehr viel mehr Ahnung haben als ich, das an und helfen mir weiter!

Der Hoster hat sich bisher natürlich immer noch nicht gemeldet.

Server ist pausiert, sind VMs, komplettes image zur weiteren Analyse ist gezogen.

Alle möglichen Viren- und Rootköit-Scanner sind drüber gelaufen, gefunden wurde nichts.

1/3

Eva Wolfangel hat dies geteilt.

Als Antwort auf quadrifolia

Der komplette Code im Git ist gecheckt, inkl. packages. Habe nichts gefunden. Hab dann den Code vom Server geholt und mit der lokalen Version abgeglichen, nichts.

Datenbank dump gezogen, nach XSS etc. gescannt – nichts.

Um die Produktivität wieder herzustellen, neuen Server – erst einmal aus Backup – aufgesetzt. Soweit möglich isoliert, logging extrem erweitert, das was er vorher gemacht hat (wodurch es überhaupt erst aufgefallen ist) unterbunden.

2/3

Als Antwort auf quadrifolia

Jetzt würde ich es im Detail mitbekommen, was genau passiert – aber es passiert nichts mehr 🧐

Der Server verhält sich wieder normal.

Aber, ich setzte jetzt parallel das System von Null, ohne Backups, neu auf. Mit ein ganz kleinem bisschen mehr Zeit und Ruhe. Hab zumindest viel gelernt dadurch…

Danke :)

3/3