Metasploit als Remote-Control-Tool und Backdoor einsetzen

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Aagon GmbH

FTAPI Software GmbH

Spuren verwischen und forensische Analysen erschweren

Obwohl das Metasploit-Framework eine Fülle an Funktionen bietet, hinterlässt es auf einem System kaum Spuren. Das ist der Tatsache zu verdanken, dass es sich vorerst nur im Speicher befindet. Verdächtige Spuren entstehen jedoch durch den Angriff und jede weitere Interaktion mit dem Dateisystem. Vor allem betrifft dies Log-Einträge und Zugriffszeiten bei Dateien.

Zum Leeren der Windows-Event-Logs stellt Metasploit eine Funktion zur Verfügung, die sich in ein eigenes Skript einbauen lässt. Alternativ kann man sie auch direkt über eine Interactive-Ruby-Sitzung (IRB Session) ausführen. Zum Verwischen von Spuren beim Anlegen neuer oder Verändern alter Dateien wurde das TimeStomp-Modul entwickelt.

Die Gefahr besteht jedoch darin, zu viel anzupassen und gerade deshalb Verdacht zu erregen. Leert man wie bei Logs schlicht alle Zeitinformationen rekursiv, setzt das System diese teils auf zufällige Daten aus der Zukunft. Die Kunst besteht darin die Spuren nicht komplett zu zerstören, sondern diese glaubwürdig erscheinen zu lassen.

Heimlich Informationen im Netzwerk sammeln

Viele Unternehmen setzen im LAN auf Intrusion Detection und Prevention Systeme, weshalb das dauernde Ausführen von Exploits riskant ist. Daher wird ein professioneller Hacker vor allem passiv versuchen Informationen zu sammeln. Das von H. D. Moore entwickelte Modul „Sniffer“ lässt sich direkt im Speicher starten und kann bis zu 200.000 Pakete mitschneiden.

Diese Daten werden im weit verbreiteten PCAP Format gespeichert und anschließend über einen SSL/TLSTunnel sicher zum Anwender übertragen. So sind sie mit einer Reihe von Programmen, beispielsweise Wireshark, leicht zu analysieren.

Um die Passwörter eines Rechners zu erhalten gibt es primär zwei Techniken. Mittels „hashdump“ lassen sich deren Hashes direkt von einem Windows Rechner lesen. Das Knacken dieser Werte kann jedoch sehr zeitaufwendig sein. Alternativ und meist schneller ist der Weg über einen Keylogger, welcher alle Tastatureingaben aufzeichnet. Wird dieser in die winlogon.exe injiziert, so werden Name und Passwort des Nutzers beim nächsten Anmelden direkt im Klartext mitgeschnitten.

Seite 3: Metasploit als Backdoor im System verstecken

(ID:2042782)