(Foto: Computerworld)

Afslør og stop crackere

Sådan kommer man sig efter et crackerangreb. Identificer crackernes opmærksomhed. Fjern den. Og kom på fode igen.

14. april 2010 kl. 16.23

Af Redaktionen, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Cracking har mange ansigter. Fra en nabo, der stjæler dit Wi-Fi-båndbredde, til en professionel cracker, der bruger dit hardware til at angribe et kostbart mål. Vi skal se på almindelige crackingscenarier og lære, hvordan du identificerer uautoriseret aktivitet og reagerer på den.

Den første reaktion, mange mennesker udviser over for tanken om, at deres computer bliver cracket, er vantro. Hvem ville dog ulejlige sig med at cracke en hjemmeserver, der ikke kan interessere resten af verden synderligt? Det er faktisk denne ubemærkethed, der er så tiltrækkende for seriøst professionelle crackere. De er måske overhovedet ikke interesseret i en som mål. I stedet bliver dit system brugt som trædesten i et forsøg på at ramme et langt mere værdifuldt mål.

En stor del af de mennesker, der betragter sig selv om crackere, er imidlertid ikke andet end vandaler. Det er en trist kendsgerning ved onlinelivet, at nogle mennesker faktisk tror, at de leverer en lærestreg inden for internetsikkerhed ved at vansire dit website, smide dig ud fra dine egne konti og på anden vis lave unødig ravage.

Aktiviteter, der kan betegnes som cracking, findes i mange former. Dine nye naboer har måske besluttet sig for at bryde ind på dit usikre Wi-Fi-net i stedet for at betale for selv at få en bredbåndsforbindelse. Hvis du deler hus med folk, som du ikke kender ret godt, kan en anden beboer have installeret snooping-software for at stjæle din identitet. I denne guide viser vi, hvordan du identificerer disse og andre almindelige cracking-hændelser, og hvordan du kommer dig over dem. Lad os først se på et meget nyttigt systemværktøj.

Undersøg din pc

Der findes ikke noget værre end at have mistanke om, at der foregår noget upassende på din computer – men du kan ikke gøre noget ordentligt ved det. Hvis du ikke allerede bruger Process Explorer som erstatning for standard-Joblisten, skal du hente og installere den. Dette program er vældig nyttigt, når du hurtigt vil vide nøjagtig, hvad der kører på dit system.

Når du har downloadet programmet, skal du udpakke Process Explorer (procexp.exe) fra zipfilen og lægge den i en passende mappe. Kør programmet, så får du masser af oplysninger om alle de processer, der kører på din maskine. Du kan også få Process Explorer til at starte i stedet for Joblisten, når du trykker [Ctrl]+[Alt]+[Delete]. Det gør du ved simpelthen at vælge »Replace Task Manager« i Options-menuen.

Hvis du klikker på cpu-søjlen i Process Explorer, sorterer den listen over processer efter den mængde cpu-tid, de bruger. Det er meget nyttigt, hvis du har mistanke om, at der er en ulovlig proces, som bruger for megen cpu-tid og gør systemet langsommere. Hvis du klikker på søjlen Process et par gange, får du en indrykket liste, der viser alle processernes herkomst. Applikationer og andre desktopprogrammer er alle under Stifinderprocessen, mens alle systemprocesserne er børn af Systemprocessen – der igen er et barn af System Idle-processen.

Process Explorer gør det nemt at bore ned i en enkelt proces og se, hvad der foregår. Vælg en applikation og dobbeltklik på den. Et nyt vindue bliver åbnet. På Image-knappen klikker du nu »Verify«. Hver proces har en signatur, som Process Explorer identificerer ved at kontakte udbyderens site. Knappen »Verify« er en hurtig måde, hvis du vi sikre dig, at en applikation ikke er inficeret af malware.

Hvis der er en proces, du ikke kender, dobbeltklikker du på den og vælger »Search Online...«. Det åbner en browser og søger på nettet efter oplysninger om denne proces. Hvis den er ondsindet, får du det hurtigt at vide.

Sådan sikrer du dit Wi-Fi

Lad os nu se på et socialt problem, der stadig rammer ejere af ældre Wi-Fi-udstyr. Hvis din computer er slukket, men datalampen på din Wi-Fi-router blinker som en gal, bør du blive mistænksom. Hvis du i den forbindelse opdager, at din internetforbindelse er langsommere, end den plejer at være, bør du frygte det værste: Nogle i nabolaget bruger din Wi-Fi-forbindelse.

Nogle synes, at det er helt i orden at stjæle trådløs båndbredde i stedet for selv at købe den. Nogle mener, at det er acceptabelt at gøre det i er par dage, mens du venter på, at en udbyder får en op at køre.

Den enkleste måde at smide snylterne ud på er at åbne Wi-Fi-routerens web-grænseflade og vælge »CPA security«. Du er nødt til at læse i routerens brugsanvisning for at finde ud af, hvordan du gør det på din hardware. Hvis din router og dit Wi-Fi-net understøtter WPA2-security, er det bedst at bruge den, for den er stærkere.

Find keyloggers

Nogle sikkerhedskonsulenter anbefaler nu også, at du afskrækker Wi-Fi-snyltere ved at give dit netværk et frastødende navn. Noget i retning af »Ustabilt net« er godt, men »Inficeret net« kan være bedre. Hvis der er nogle, der tiltvinger sig fysisk adgang til din computer, kan de installere en keylogger, der samler kodeord og brugernavne. Det kan være et problem, hvis du bor i hus med fremmede, og studerende er især udsatte. Heldigvis kan du nemt opdage, at nogle har sneget sig ind i din maskine, ved hjælp af en keylogger-detektor.

Sådan et program er det prisvindende OnlineArmor fra Tall Emu Software. Det findes i både en gratis og en kommerciel version. Den sidstnævnte indeholder også antivirusbeskyttelse, men da du allerede bør have sådan en pakke installeret og i gang med at beskytte dig, må den gratis version række.

Installation består simpelthen i at klikke »Next«. Når du når til registrering af din e-mail-adresse, kan du fraklikke boksen og gå videre.

Når installationen er færdig, skal du køre OnlineArmor og vælge at køre wizard’en og klikke »Next«. Det indleder en scanning, der omfatter kørende processer, Startmenu-emner, Start-objekter og forskellige vigtige filer. Når processen er færdig, fortæller OnlineArmor måske, at visse scanningkategorier kræver din opmærksomhed. Klik »Next« for at se de programmer på pc’en, som OnlineArmor ikke kender.

Det drejer sig som regel blot om applikationer, som OnlineArmor ikke har i sin database. Men klik alligevel for at se, om der er nogen, du ikke har installeret. Fremhæv dem og klik knappen »Block« for at sikre, at de aldrig kommer til at køre. Det er muligt, at der blot er tale om bloatware, som blev installeret af computerens leverandør. Du kan frigøre noget plads ved senere at afinstallere dem.

Når du klikker »Next«, får du en liste over de programmer, der starter, når du booter computeren (Autorun). Lad musen svæve over de enkelte punkter for at se flere detaljer. Hvis der er nogle, du ikke kender, skal du køre Process Explorer og dobbeltklikke på den kørende proces. Med Image-knappen kan du se flere detaljer om deres udgiver.

Brug Process Explorers »Search Online...«-funktion til at få ekstra detaljer om disse processer. Det er ikke ukendt, at keyloggers og rootkits bruger de samme navne som lovlige programmer.

Hvis du ser noget, du ikke kan lide, og der er ikke er oplysninger om udgiveren, skal du gå til www.processlibrary.com og skrive navnet. Så får du detaljerede oplysninger om hver enkelt proces. Hvis du tror, at der er noget lyssky ved det, du finder, skal du blokere det, mens du søger flere oplysninger. Når du er færdig, klikker du »Next«. OnlineArmor viser nu listen over de IE-extensions, der har fundet, men som den ikke genkender. Ved hjælp af Process Explorer kan du vurdere deres legitimitet. Når du er færdig, klikker du »Next«.

Med den næste side kan du afgøre, hvordan OnlineArmor skal lede efter opdateringer, og om den skal i gang automatisk ved start. Til sidst klikker du endnu engang »Next« og vælger, om du vil genstarte maskinen, så ændringerne træder i kraft.

Når du næste gang genstarter, går OnlineArmor i Learn-tilstand i cirka to minutter, mens programmet finder ud af, hvilke tjenester og start-programmer der skal køre. Når det er overstået, reagerer OnlineArmor, hvor gang noget prøver at køre på computeren. OnlineArmor skrider ind og spørger dig, om du er enig. Hvis nogle har installeret en keylogger eller anden malware, finder OnlineArmor det, også hvis dit antivirusprogram har overset det.

Gør dit website sikkert

Hvis du kører din egen webserver, skal du passe på ondsindede crackere. Disse folk saboterer websider, angiveligt for at gøre ejerne opmærksomme på, at de er usikre.

Nogle crackere erstatter omhyggeligt udarbejdede websider eller blogoplysninger med en enkelt, nøgen side, der fortæller den ganske verden, at siden er blevet cracket. Somme tider er der også en meddelelse om, at de har ændret dit kodeord for at »sikre« sitet.

Hvordan kunne det ske? Det var sikkert dit kodeord, der lukkede crackeren ind. Mange betragter crackere som ondsindede genier, men dette er faktisk den nemmeste måde, hvis du vil have uautoriseret adgang til en onlineressource, og på nettet kan du finde kodeordsknusere, der pløjer sig gennem enorme lister over muligheder.

Hvis dit website ligger på en hostet placering, og crackeren har ændret dit kodeord som straf for, at du har brugt et svagt et, skal du kontakte dit hostingforetagende og få det ændret, så du igen kan komme ind. Hvis virksomheden kan gendanne sitet ud fra dets backup, er tiden inde til at bruge denne tjeneste. Ellers skal du genindlæse det hele manuelt.

Hvis du kører din egen webserver, og den er blevet cracket, har crackeren sandsynligvis efterladt et syndigt rod. Du bør ikke stole på serveren, for crackeren har måske installeret et rootkit for igen at kunne komme ind.

Det første, du skal gøre, er at koble maskinen fra internettet. Dernæst skal du formatere den og geninstallere operativsystemet fra bunden. Derefter skal du geninstallere din webserversoftware og eventuelle extensionpakker, applikationer og scripts. Det er sagt talløse gange, men det er meget nemmere at tage backup om natten.

Led efter rootkits

Rootkits er værktøjer, der i stigende grad bliver brugt af crackere. Navnet »rootkit« stammer fra Unixverdenen. »Root« er systemadministratorens standardkonto, og den er gået med ind i Linux.

RootkitRevealer er et gratis XP-program fra Microsoft, der afslører rootkits. Når man har downloadet det, skal man åbne zip-filen og køre den eksekverbare fil.

Mange Windows-rootkits manipulerer pc’ens operativsystem for at skjule deres tilstedeværelse. Derfor sammenligner RootkitRevealer det, der kommer retur fra Windows, når der er anmodninger om at gøre ting såsom at se i Registreringsdatabasen eller opregne en mappes indhold, med det, der faktisk bliver gemt på disken.

Man klikker simpelthen på knappen »Scan« og venter på, at RootkitRevealer gør sit arbejde. Lad være med at bruge computeren, indtil det er overstået, ellers genererer man falske positiver. Tilstedeværelsen af et rootkit, der gemmer sig for Windows, fremgår af en linje i RootkitRevealers output, der siger »Hidden from Windows API«.

Hvis du finder sådan en linje, er meningen, at du nu søger efter den på Microsoft Sysinternals RootkitRevealer Logs-forum på www.bit.ly/5VmTgi. Hvis du ikke kan finde det, så spørg, om andre kan finde ud af, hvad der foregår. Det samme er sandsynligvis iagttaget før, og du kan finde ud af, om det er harmløst eller et problem, der skal fjernes. Hvis det værste skulle ske, skal hele systemet genindlæses.

Gennemgå dine forsvarsværker

Hvis din computer begynder at opføre sig sært, uden at din antiviruspakke reagerer, er det en god ide at få en second opinion ved at scanne maskinen med et andet antimalware-produkt.

Det er ingen god ide at prøve at installere en større internetsikkerhedssuite ved siden af den eksisterende (der kan opstå konflikt), men der findes programmer, som kan scanne pc’en uden at lave problemer. Et sådant program, der bliver varmt anbefalet af visse netsikkerhedskonsulenter, er den gratis udgave af Malwarebytes’ applikation Anti-Malware. Det kan lave en scanning, der enten bekræfter eller afkræfter ens mistanker.

Når man skal installere Malwarebytes Anti-Malware, skal man blot køre den eksekverbare fil, vælge sprog, klikke »Next« og acceptere licensbetingelserne. Derefter accepterer man resten af standardindstillingerne ved at blive ved med at klikke »Next«. Efter installationen bør man acceptere programmets tilbud om at opdatere databasen og køre applikationen.

Når man vil scanne systemet, klikker man simpelthen på »Scan«-knappen og vælger de drev, man ønsker scannet. Ligesom enhver anden antivirus-applikation markerer Malwarebytes Anti-Malware inficerede filer, sætter dem i karantæne og reparerer dem. Eftersom den fungerer anderledes end ens eksisterende antirusprogram, kan den give fred i sindet.

Den nemmeste måde at komme ind i en computer på er at skaffe sig kodeordet fra en eksisterende konto, men der er mange andre metoder, der kan gøre det samme.

For eksempel udløser dårlig inputkontrol kodeinjektioner. Et godt eksempel er en inputboks, hvor indholdet bliver sendt direkte til en SQL-forespørgsel uden kontrol af ugyldige tegn. En cracker kan simpelthen skrive et terminatorsymbol efterfulgt af en SQL-kommando og få databasen til at levere kundeoplysninger, oprette en konto eller sågar slette data.

Race-conditions er omstændigheder, hvor systemet i en kort periode kan udnyttes. Hvis to programmer deler de samme data, og den første proces skriver data, som den anden bruger umiddelbart efter, er der et kort øjeblik, hvor crackerens program kan ændre disse data.

Buffer-overflow udnytter omstændigheder, hvori utilstrækkelig kontrol gør det muligt for crackeren at lave data, som programmer afvikler som maskinkode. Det kan typisk dreje sig om at åbne en kommandoskal eller uploade et rootkit. Snigende programfejl kan man finde i alle former for software.

Sikkerhedsfolk melder dem til udviklerne, der har ansvaret for at ordne dem. Når det er sket, bliver disse fixes slået op på www.securityfocus.com. Vær opmærksom på, at crackerne også læser disse lister. De kan frit udnytte de programfejl, de finder der. Derfor er det vigtigt, at man installerer alle softwareopdateringer, når de kommer.

[themepacific_accordion]
[themepacific_accordion_section title="Fakta"]