Rootkits (Erkennung und Bekämpfung)

Spaceman99

Naja das mit dem Platmachen ist immer so ne Sache.
Mit dem Einspielen und Konfiguriern meines "nicht standard" System, dauert dies ca. (bei 10h/pro Tag und 7Tagen/Woche) 2-3Wochen. und da sind Spiele nicht mit eingerechnet.

Und mein Rechner bietet nach außen keine Serverdienste(zumindes von meiner Seite), und das XAMPP läuft auch nur Zeitweise (und ist außerdem aufs Minimum geschrumpft)

Aber trotzem werden immer mehr Privatsystem für Angriffe erobert, und genau da liegt die Chance (ja die Gefahr halt auch). *1)

DA Schätzungsweise 50% aller Windoof Nutzer weder einen Virenscanner installiert hat, noch ca. 90% irgendwas von einem Rootkit jemals gehört hat.
(davon abgesehen das viele völlig veraltete Scanner haben und Patches nicht einspielen)
Und zudem die Entwicklung eines Rootkit entferners aufwendig ist, läßt sich halt MS Zeit.
Es ist doch halt so: Solange das BS tut was es soll, kein Geld vom Konto verschwindet, oder ähnliches, ist dem User doch scheißegal ob sein System infiziert ist oder nicht.

Deswegen ist ja so wichtig das mal jemand einen vernüftigen Scanner entwickelt.
1*) Der auch potentielle Malware zurückmeldet, damit man diese auch Auswerten kann.

Wir sind uns sicher einig das dies nur von einem sauberen System geht.
Also Boot vom read only Medium.
Es muß sichergestellt werden das der Scanner auf dem neusten Stand ist.
Also muß ne Internet anbindung her.
Das System, welches scannt sollte möglichst nicht während des Vorgangs infiziert werden.
Darum ist es unerlässlich alle unbenötigen Routinen aus dem System zu enfernen. (was nicht da ist kann keine Lücke haben) *2)
Es muß insbesondere bei Windoof auch verschlüsselte und restriktierte Dateien zugreifen können.

Jetzt kommt der Clue! Anstelle bisheriger Methoden, die da gehen: "Ok, es ist nicht als böse bekannt, also muß es gut sein."
Sollte es (zumindest für die Kernel interna) so laufen:
"Es ist micht als gut erkannt, also ist es böse!" Und wird gegen eine gute Version ersetzt.
Deswegen (s.O.) muß das Sys den letzten Patchstand kennen und erkennen, damit es ein System nicht "zurückpacht" (also Dateien mit bereits geschlossenen Sicherheitslücken wieder einbaut).

----------------------------------
2*) Sprich: mit einem aufgebockten Auto kann man schlecht vor eine Mauer fahren