Untersuchung von Kontrollservern

Zusammenfassung

Ein Kontrollserver stellt für einen Täter eins seiner wichtigsten Werkzeuge dar. Über diesen verteilt er Exploits , steuert seine Backdoors und sammelt die gestohlenen Daten ein. Dadurch hinterlässt er aber zwangsläufig Spuren, die von Analysten ausgewertet werden können, wenn sie Zugriff auf einen Kontrollserver erhalten. In diesem Kapitel wird aus Täterperspektive zunächst dargestellt, welche Skripte und Programme auf einem Kontrollserver nützlich sind, um Angriffsoperationen durchzuführen und zu verwalten. Zudem wird erläutert, wie die Angreifer ihre Herkunft verschleiern, wenn sie auf die Server zugreifen, und welche Fehler dabei passieren. Der Hauptteil des Kapitels widmet sich den Möglichkeiten, die Analysten haben, wenn sie Zugriff auf einen Kontrollserver erlangen. Welche Chancen bietet das Mitschneiden von Netzwerkverkehr? Welche Hinweise findet man beim Auswerten der Festplatten von Kontrollservern? Und wie unterschieden sich diese Funden von denen, die man auf infizierten Endgeräten sammelt?