Ein Hilferuf: Ein journalistisches Projekt hat sich ein Rootkit eingefangen. 😭😭😭
Unser Developer @quadrifolia kämpft seit zwei Tagen, aber er findet es nicht. Es ist zum Verzweifeln. Kennt sich jemand von euch aus und wäre bereit ihm zu helfen oder zumindest mal drauf zu schauen und eventuell weitere Tipps zu geben? Das wäre großartig
Unser Developer @quadrifolia kämpft seit zwei Tagen, aber er findet es nicht. Es ist zum Verzweifeln. Kennt sich jemand von euch aus und wäre bereit ihm zu helfen oder zumindest mal drauf zu schauen und eventuell weitere Tipps zu geben? Das wäre großartig
Dieser Beitrag wurde bearbeitet. (3 Wochen her)
teilten dies erneut
Magic Cauldron
Als Antwort auf Eva Wolfangel • • •Andreas Kilgus mag das.
C.Suthorn
Als Antwort auf Magic Cauldron • • •@Magic_Cauldron
Analyse ist wichtig. Rootkit könnte auch im backup enthalten sein, oder sich in BIOS, Grafikkarte, ... eingenistet haben.
Wenn es eine neue Hardware gibt, in die nur unverdächtige teile des backups eingespielt werden, ist es sicherer.
dzwoelfer
Als Antwort auf Eva Wolfangel • • •schrotthaufen
Als Antwort auf Eva Wolfangel • • •Der Zentrum
Als Antwort auf Eva Wolfangel • • •Nicht einfach platt machen...
Translation of the original message:
A cry for help: A journalistic project has caught a rootkit. 😭😭😭
Our developer @quadrifolia has been fighting for two days, but he doesn't find it. It's despairing. Do any of you know your way around and would be willing to help them or at least take a look and maybe give them more tips? That would be great
#CyberSecurity
#InfoSec
#Malware
#OpenThreatExchange
#Rootkit
#ReverseEngineering
#frida
#radare2
#r2frida
#reversing
#idapro
#malwareanalysis
lj·rk
Als Antwort auf Eva Wolfangel • • •Ggf. das Digital Security Lab von Amnesty anschreiben bzw. Reporter ohne Grenzen? Ggf kann @besendorf hier weiterhelfen.
Wichtig ist, erst Mal klar machen was das Ziel ist: Beweise rechtlich wasserdicht zu sichern oder "Clean" werden? "Entfernen" geht immer mit dem Risiko einher, dass man nicht weiß woher das Zeug kommt, ein wenig Forensik ist also immer angebracht... und dazu braucht man Profis.
Janik Besendorf
Als Antwort auf lj·rk • • •Digital Security Lab | Reporter ohne Grenzen für Informationsfreiheit
Reporter ohne Grenzen für InformationsfreiheitChristian Schwägerl
Als Antwort auf Janik Besendorf • • •vampirdaddy
Als Antwort auf Eva Wolfangel • • •1/
zuerst Netzwerk trennen,
von der Platte ein forensisches Binärimage mit DD, ewfacquire o.ä. machen und sicher weglegen.
Für eine Schnellanalyse eine Forensic Collection mit Magnet oder Velociraptor machen und an Forensiker geben.
Dann Nutzdaten runterkopieren,
System komplett plattmachen inkl UEFI Reset+Update, neu sauber installieren.
Dabei Softwareauswahl auf Eignung und Sicherheit prüfen und ggfs austauschen.
1/
Martin Seeger
Als Antwort auf Eva Wolfangel • • •Ein System, das kompromittiert ist, kann man per se nicht mehr retten. Niemand kann Dir sicherstellen, dass Du alles gefunden hast.
Was man eventuell retten kann, sind die Daten. System nicht booten, sondern Platte ausbauen und an anderem System (möglichst unterschiedliches OS) read only mounten. Dann Daten auf einen Stick oder USB-Platte kopieren. Dann diese Dateien scannen, bevor man die verwendet. Die alte Platte zur Beweissicherung aufbewahren.
Falls Backups existieren, diese bevorzugt verwenden.
Kris
Als Antwort auf Eva Wolfangel • • •Du kannst ein rootkit nicht beweisbar entfernen.
Platte ausbauen, read only nur Daten sichern, Daten scannen, Platte archivieren als Beweis, Anzeige.
Board und BIOS sind Schrott, nicht verwenden
teilten dies erneut
Cryptoparty Köln-Bonn und Frank Zimper 🕯️🐘 haben dies geteilt.
Cryptoparty Köln-Bonn
Als Antwort auf Kris • • •jesterchen42
Als Antwort auf Cryptoparty Köln-Bonn • • •Rob
Als Antwort auf Eva Wolfangel • • •Eva Wolfangel
Als Antwort auf Rob • • •Clemens
Als Antwort auf Eva Wolfangel • • •Jan Mayen
Als Antwort auf Clemens • • •@clemensprill
Hmm, hatte mal trouble mit ESET und wir haben uns in dem Zuge das Kernelmodul von denen (und die generierung) mal angeguckt… long story short - die würde ich nicht fragen.
@evawolfangel @quadrifolia
Clemens
Als Antwort auf Jan Mayen • • •Newk
Als Antwort auf Eva Wolfangel • • •Eva Wolfangel
Als Antwort auf Eva Wolfangel • • •Vielen Dank für die vielen Tipps, Hinweise und Hilfsangebote. Es hat sich richtig viel getan, und inzwischen arbeiten zwei von euch mit unserem Kollegen am Problem. Von daher sage ich vorsichtig: Es gibt Hoffnung. Daumen drücken, dass sie gut vorankommen!
mögen das
wolf, 0mega 🧟♂️ [SK] und krutor aka Simon mögen das.
Lasse Gismo - 🇮🇱🇺🇦🇸🇩
Als Antwort auf Eva Wolfangel • • •☺️
quadrifolia
Als Antwort auf Eva Wolfangel • • •mastodon.social/@quadrifolia/1…
quadrifolia
2025-02-03 10:29:06
quadrifolia
Als Antwort auf Eva Wolfangel • • •Vielen Dank Euch allen! 😀
Für die vielen Hinweise und Tipps. Wie Eva schon geschrieben hat, schauen sich zwei von Euch, die sehr viel mehr Ahnung haben als ich, das an und helfen mir weiter!
Der Hoster hat sich bisher natürlich immer noch nicht gemeldet.
Server ist pausiert, sind VMs, komplettes image zur weiteren Analyse ist gezogen.
Alle möglichen Viren- und Rootköit-Scanner sind drüber gelaufen, gefunden wurde nichts.
1/3
Eva Wolfangel hat dies geteilt.
quadrifolia
Als Antwort auf quadrifolia • • •Der komplette Code im Git ist gecheckt, inkl. packages. Habe nichts gefunden. Hab dann den Code vom Server geholt und mit der lokalen Version abgeglichen, nichts.
Datenbank dump gezogen, nach XSS etc. gescannt – nichts.
Um die Produktivität wieder herzustellen, neuen Server – erst einmal aus Backup – aufgesetzt. Soweit möglich isoliert, logging extrem erweitert, das was er vorher gemacht hat (wodurch es überhaupt erst aufgefallen ist) unterbunden.
2/3
quadrifolia
Als Antwort auf quadrifolia • • •Jetzt würde ich es im Detail mitbekommen, was genau passiert – aber es passiert nichts mehr 🧐
Der Server verhält sich wieder normal.
Aber, ich setzte jetzt parallel das System von Null, ohne Backups, neu auf. Mit ein ganz kleinem bisschen mehr Zeit und Ruhe. Hab zumindest viel gelernt dadurch…
Danke :)
3/3