Xinux Wiki - Letzte Änderungen [de]

Cybersec1 Struktur

2026-10-21T14:51:46Z

Animation in Block 1 verlinkt

← Nächstältere Version		Version vom 21. Oktober 2026, 16:51 Uhr
Zeile 15:		Zeile 15:
	;Praxis		;Praxis
	*Lab aufsetzen: [[OPNsense Installation]], [[OPNsense Grundkonfiguration]], [[OPNsense Import der Maschinen]]		*Lab aufsetzen: [[OPNsense Installation]], [[OPNsense Grundkonfiguration]], [[OPNsense Import der Maschinen]]
			*Animation als Einstieg/Recap: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS]

	= 2 Firewall-Grundlagen =		= 2 Firewall-Grundlagen =

Schadsoftware/Malware

2026-10-21T14:51:46Z

Animation verlinkt

← Nächstältere Version		Version vom 21. Oktober 2026, 16:51 Uhr
Zeile 31:		Zeile 31:
	\| Auffälligkeiten zusammenführen (ausgehender Verkehr, Beaconing) \|\| [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]]		\| Auffälligkeiten zusammenführen (ausgehender Verkehr, Beaconing) \|\| [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]]
	\|}		\|}

			== Animation ==
			*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – der Ablauf einer Infektion mit C&C-Kanal über 443, bis zum DDoS.

	== Schutz ==		== Schutz ==

Botnetze

2026-10-21T14:51:45Z

Animation verlinkt

← Nächstältere Version		Version vom 21. Oktober 2026, 16:51 Uhr
Zeile 38:		Zeile 38:
	*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]].		*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]].
	*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]].		*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]].

			== Animation ==
			*[https://xinux.org/botnet-ddos.html Animation: Vom Bot zum DDoS] – wie aus einem infizierten Rechner ein Botnetz und daraus ein DDoS wird.

	== Merksatz ==		== Merksatz ==

DDoS-Angriffe

2026-10-21T14:51:44Z

Animation Vom Bot zum DDoS verlinkt

@@ Zeile 1: / Zeile 1: @@
-=Erklärung=
+= DDoS-Angriffe =
-=Beispiele=
+== DoS und DDoS ==
-*[[DOS mit hping3]]
+*'''DoS''' (''Denial of Service''): Ein Dienst, der verfügbar sein sollte, ist es nicht mehr, meist durch Überlastung.
-*[[MHDDoS]]
+*'''DDoS''' (''Distributed Denial of Service''): derselbe Angriff, aber von '''vielen Quellen''' gleichzeitig, oft aus einem [[Botnetze|Botnetz]].

Malware Schutz

2026-10-21T14:22:21Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[~~Malware]]. Was gegen~~ Schadsoftware ~~hilft, technisch und organisatorisch.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	~~;Technisch~~
	*Systeme und Anwendungen zeitnah patchen, besonders alles, was aus dem Internet erreichbar ist.
	*Virenschutz mit Verhaltenserkennung (EDR), nicht nur Signaturen.
	*Benutzer ohne Administratorrechte (''Least Privilege'').
	*MFA für alle Fernzugänge und Administratoren.
	*Makros aus dem Internet blockiert lassen, Skriptausführung einschränken (z. B. PowerShell nur signiert, AppLocker).
	*Ausgehenden Verkehr filtern: Proxy, DNS-Filter, nur nötige Ports.
	*Netz segmentieren, damit sich Malware ~~nicht ungehindert ausbreitet.~~
	~~;Organisatorisch~~
	*Datensicherung nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine davon '''offline''' oder unveränderbar. Ransomware sucht gezielt nach erreichbaren Backups.
	*Wiederherstellung regelmäßig testen.
	*Mitarbeitende schulen: Phishing erkennen und Verdacht sofort melden.
	*Notfallplan: Wer trennt den Rechner vom Netz, wer entscheidet, wer wird informiert? Siehe [[Team zur Reaktion auf Computersicherheitsvorfälle]].

	~~[[Kategorie:Cybersecurity~~]]

Malware Erkennung

2026-10-21T14:22:21Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[~~Malware]]. Wie~~ Schadsoftware ~~erkannt wird, und wo das im Kurs vorkommt.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	~~{\| class="wikitable"~~
	~~! Verfahren !! Wie es funktioniert !! Stärke !! Schwäche~~
	\|-
	~~\| Signatur \|\| bekannte Bytefolgen oder Hashwerte \|\| schnell, kaum Fehlalarme \|\| erkennt nur Bekanntes, scheitert an Polymorphie~~
	\|-
	~~\| Heuristik \|\| verdächtige Merkmale im Code (z. B. Packer, ungewöhnliche Funktionsaufrufe) \|\| erkennt auch Varianten \|\| Fehlalarme~~
	\|-
	~~\| Verhalten (EDR) \|\| beobachtet, was ein Prozess tut: Word startet PowerShell, Massenumbenennung von Dateien \|\| erkennt auch dateilose Angriffe \|\| braucht Agenten und Auswertung~~
	\|-
	~~\| Sandbox \|\| Datei wird isoliert ausgeführt und beobachtet \|\| sieht das tatsächliche Verhalten \|\|~~ Malware ~~erkennt Sandboxen und hält still~~
	\|-
	~~\| YARA-Regeln \|\| frei definierbare Muster für Dateien und Speicher \|\| flexibel, im Austausch zwischen Analysten üblich \|\| Regeln müssen gepflegt werden~~
	\|-
	~~\| Netzwerk (IDS) \|\| erkennt C2-Verkehr, bekannte Muster, verdächtige Ziele \|\| sieht auch unbekannte Rechner im Netz \|\| bei TLS nur Metadaten~~
	\|}

	~~;Im Kurs~~
	*Virenscanner im Proxy: [[OPNsense Squid ClamAV]]. Zum Testen dient die ''EICAR''-Testdatei, die jeder Virenscanner erkennt, ohne dass sie schädlich ist.
	*IDS im Netz: [[OPNsense Suricata]].
	*Auswertung und Korrelation im SIEM: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)]].

	~~[[Kategorie:Cybersecurity~~]]

Malware Ablauf einer Infektion

2026-10-21T14:22:21Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[~~Malware]]. Moderne Angriffe laufen in Stufen, vom ersten Zugang bis zum Ziel.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	~~Moderne Angriffe laufen in Stufen. Jede Stufe ist eine Chance, den Angriff zu erkennen.~~
	~~<pre>~~
	~~Erstzugang Phishing-Mail, Schwachstelle, gestohlenes Passwort~~
	↓
	~~Lader kleines Programm oder Skript, lädt den Rest nach~~
	↓
	~~Nutzlast die eigentliche~~ Schadsoftware ~~(RAT, Stealer, Ransomware)~~
	↓
	~~C2-Kanal Verbindung zum Server des Angreifers (Command and Control)~~
	↓
	~~Persistenz überlebt den Neustart: Autostart, Dienst, geplante Aufgabe~~
	↓
	~~Ausbreitung weitere Rechner, Domänencontroller, Backups~~
	↓
	~~Ziel Daten abziehen, verschlüsseln, zerstören~~
	</~~pre>~~

	~~;Der C2-Kanal heute~~
	*Früher öffneten Trojaner einen festen Port, auf den der Angreifer zugriff (siehe [[Trojaner-Ports]]).
	*Heute baut die Schadsoftware die Verbindung '''von innen nach außen''' auf, meist über '''HTTPS auf Port 443''' oder über DNS. Für die Firewall sieht das aus wie normales Surfen.
	*Typisch ist ein regelmäßiges „Nachhausetelefonieren“ (''Beaconing''), etwa alle 60 Sekunden, oft mit zufälliger Abweichung.
	*Deshalb reicht es nicht, eingehende Verbindungen zu sperren. Auch ausgehender Verkehr muss gefiltert und überwacht werden: Proxy, DNS-Filter, IDS.

	~~;Einordnung~~
	*Die Stufen entsprechen den Taktiken im Modell MITRE ATT&CK (https://attack.mitre.org). Dort ist für jede Stufe beschrieben, welche Techniken Angreifer nutzen und wie man sie erkennt.

	~~[[Kategorie:Cybersecurity~~]]

Malware Infektionswege

2026-10-21T14:22:20Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[Malware~~]]. Wie Schadsoftware heute auf die Rechner kommt.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	*'''Phishing''': Mail mit Anhang oder Link. Weiterhin der häufigste Weg.
	*'''Schwachstellen in erreichbaren Diensten''': VPN-Gateways, Firewalls, Webanwendungen, Mailserver. Wird ein Update nicht eingespielt, reicht oft ein einziges Paket.
	*'''Gestohlene Zugangsdaten''': aus Infostealern oder Datenlecks, besonders bei Zugängen ohne MFA.
	*'''Lieferkette''': Schadcode in Updates, Bibliotheken oder Paketquellen eines vertrauenswürdigen Herstellers.
	*'''Malvertising und gefälschte Downloads''': Werbeanzeige in der Suchmaschine führt zur gefälschten Download-Seite.
	*'''USB-Datenträger''': selten, aber in abgeschotteten Netzen (Industrie, OT) weiterhin ein Thema.

	~~;Makros – was sich geändert hat~~
	*Office-Makros waren lange der Standardweg (siehe [[Makroviren]]).
	*Seit 2022 blockiert Microsoft Office Makros in Dateien aus dem Internet standardmäßig (''Mark of the Web'').
	*Angreifer sind deshalb auf andere Container ausgewichen: ISO- und ZIP-Dateien, Verknüpfungen (LNK), OneNote-Dateien, HTML-Dateien, die die Schadsoftware erst im Browser zusammensetzen (''HTML Smuggling'').

	~~[[Kategorie:Cybersecurity~~]]

Malware Einordnung

2026-10-21T14:22:20Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[~~Malware]]. Was für eine~~ Schadsoftware ~~ist das? Drei Fragen helfen beim Einordnen.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.

	~~== Wie verbreitet sie sich? ==~~
	~~;Virus~~
	*Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
	*Braucht eine Aktion des Benutzers.
	~~;Wurm~~
	*Verbreitet sich '''selbstständig''' über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
	*Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
	*Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
	~~;Trojaner~~
	*Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
	*Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
	*Siehe [[Arten von Trojaner & bekannte Trojaner]].

	~~== Was tut sie? ==~~
	~~{\| class="wikitable"~~
	~~! Art !! Was sie tut !! Ziel des Angreifers~~
	\|-
	~~\| '''Ransomware''' \|\| verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) \|\| Lösegeld~~
	\|-
	~~\| '''Infostealer''' \|\| stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets \|\| Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA~~
	\|-
	~~\| '''Spyware, Keylogger''' \|\| zeichnet Eingaben, Bildschirm, Mikrofon auf \|\| Spionage~~
	\|-
	~~\| '''RAT / Backdoor''' \|\| Fernsteuerung des Rechners (''Remote Access Trojan'') \|\| dauerhafter Zugang, siehe [[Backdoor]]~~
	\|-
	~~\| '''Bot''' \|\| macht den Rechner zum Teil eines Botnetzes \|\| DDoS, Spam, Weiterverkauf, siehe [[Botnetze]]~~
	\|-
	~~\| '''Loader~~ / ~~Dropper''' \|\| lädt die eigentliche Schadsoftware erst nach \|\| unauffälliger Erstzugang, Weiterverkauf des Zugangs~~
	\|-
	~~\| '''Wiper''' \|\| löscht oder zerstört Daten, oft als Ransomware getarnt \|\| Sabotage~~
	\|-
	~~\| '''Cryptominer''' \|\| nutzt Rechenleistung zum Schürfen von Kryptowährung \|\| Geld, auf Kosten von Strom und Leistung~~
	\|-
	~~\| '''Adware''' \|\| blendet Werbung ein, leitet Suchanfragen um \|\| Werbeeinnahmen~~
	\|}

	~~== Wie versteckt sie sich? ==~~
	~~;Rootkit~~
	*Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
	~~;Bootkit~~
	*Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe [[Bootsektorviren]]), heute in der UEFI-Startkette.
	*Gegenmittel: '''Secure Boot''' und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
	~~;Polymorph und metamorph~~
	*Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
	*Polymorphe Malware ~~verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.~~
	~~;Packer und Crypter~~
	*Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
	~~;Dateilos (''fileless'') und Living off the Land~~
	*Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
	*Diese Programme heißen ''LOLBins'' (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.

	~~[[Kategorie:Cybersecurity~~]]

Malware

2026-10-21T14:22:20Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	~~== Begriff ==~~		#WEITERLEITUNG [[Schadsoftware/Malware]]
	*Malware ist ein Kofferwort aus ''malicious'' (bösartig) und ''software''. Deutsch: Schadsoftware oder Schadprogramm.
	*Gemeint sind Programme, die aus Sicht des Opfers unerwünschte und schädliche Funktionen ausführen.
	*Umgangssprachlich wird alles „Virus“ genannt, auch der „Virenschutz“. Fachlich ist ein Virus nur eine von vielen Arten.

	~~== Die Themen ==~~
	*[[Malware Einordnung]]: Wie verbreitet sie sich, was tut sie, wie versteckt sie sich? Virus, Wurm, Trojaner, Ransomware, Infostealer, Rootkit und Co.
	*[[Malware Infektionswege]]: Phishing, Schwachstellen, gestohlene Zugangsdaten, Lieferkette, und was sich bei Makros geändert hat
	*[[Malware Ablauf einer Infektion]]: vom Erstzugang bis zum Ziel, der C2-Kanal über Port 443
	*[[Malware Erkennung]]: Signatur, Heuristik, Verhalten, Sandbox, YARA, IDS, und wo das im Kurs vorkommt
	*[[Malware Schutz]]: technisch und organisatorisch, 3-2-1-Regel

	~~== Geschichte ==~~
	~~Klassische Virenarten aus der Zeit von DOS, Disketten und frühem Windows. Sie zeigen die Grundprinzipien, spielen heute aber kaum noch eine Rolle.~~
	*[[Bootsektorviren]]: Schadcode im MBR. Heute als Bootkits in der UEFI-Startkette.
	*[[Datei-Viren]]: überschreibende und anhängende Viren in ausführbaren Dateien.
	*[[Companion-viren]]: .com-Datei mit gleichem Namen wird vor der .exe gestartet.
	*[[Hybrid-Viren]]: Bootsektor und Dateien zugleich.
	*[[Plymorphe Viren]]: Grundidee der wechselnden Gestalt, heute siehe [[Malware Einordnung]].
	*[[Scriptviren]]
	*[[Makroviren]]: Grundprinzip weiterhin gültig, heute siehe [[Malware Infektionswege]].
	*[[Virenbaukäste]]: heute abgelöst durch ''Malware-as-a-Service'': Schadsoftware wird gemietet, bei Ransomware samt Infrastruktur und Verhandlungsführung (''Ransomware-as-a-Service'').
	*[[Verbreitungsmöglichkeiten & Schutz vor Viren und würmer]]
	*[[Spyware- die oft ,,verkannte“ Gefahr]]
	*[[Arten von Trojaner & bekannte Trojaner]] mit den Trojaner-Ports von Back Orifice und NetBus. Schöner Kontrast zu heute: Damals wartete der Trojaner auf einem festen Port, heute meldet er sich selbst über Port 443.

	~~== Siehe auch ==~~
	*[[Exploit-Kategorien]]: wie Schwachstellen ausgenutzt werden
	*[[Botnetze]]
	*[[Backdoor]]
	*[[Advanced Persistent Threats (APTs)]]
	*[[Cyber-Risiken (Phishing, Ransomeware)]]
	*[[Schadsoftware/Malware~~]]: die ältere Übersicht~~

	~~== Merksatz ==~~
	Virus braucht einen Wirt, Wurm braucht keinen, Trojaner braucht dich \| moderne Malware kommt in Stufen und telefoniert über 443 nach Hause \| Signaturen erkennen Bekanntes, Verhalten erkennt Neues \| ohne Offline-Backup hilft gegen Ransomware am Ende nichts

	~~[[Kategorie:Cybersecurity~~]]

Schadsoftware/Malware

2026-10-21T14:22:19Z

Kompakte Fassung: drei Fragen, heutige Wege, Theorie->Praxis (ClamAV/Suricata/SIEM); alte Virenarten als Vertiefung verlinkt

← Nächstältere Version		Version vom 21. Oktober 2026, 16:22 Uhr
Zeile 1:		Zeile 1:
	=~~Malicious Software~~=		= Schadsoftware/Malware =
	*Als Schadprogramm, Schadsoftware oder zunehmend als Malware ~~– englisch badware, evilware, junkware oder malware~~ (~~Kofferwort~~ aus malicious ~~‚bösartig‘~~ und software)		Malware (aus ''malicious'' und ''software'') sind Programme mit unerwünschter, schädlicher Funktion. Umgangssprachlich heißt alles „Virus“, fachlich ist der Virus nur eine von vielen Arten.
	*Bezeichnet man Computerprogramme, ~~die entwickelt wurden~~, ~~um, aus Sicht des Opfers, unerwünschte und gegebenenfalls schädliche Funktionen auszuführen.~~
	*Der Begriff des Virus ~~ist häufig nicht klar abgegrenzt. So ist die Rede~~ von ~~Virenschutz, womit viel allgemeiner der Schutz vor Schadsoftware jeglicher Art gemeint ist~~.

	=~~Virendefinitionen~~ und ~~Kategorien~~=		== Einordnen mit drei Fragen ==
	*[[~~Bootsektorviren~~]]		;1. Wie verbreitet sie sich?
	*[[Datei-Viren]]		*'''Virus''': hängt an einem Wirt, wird erst aktiv, wenn man ihn ausführt.
	*[[Companion-viren]]		*'''Wurm''': verbreitet sich selbstständig über Schwachstellen im Netz, ohne Zutun (z. B. WannaCry).
	*[[Hybrid-Viren]]		*'''Trojaner''': tarnt sich als nützlich, der Benutzer startet ihn selbst (siehe [[Backdoor]]).
	*[[Scriptviren]]		;2. Was tut sie?
	*[[Makroviren]]		*'''Ransomware''': verschlüsselt Daten, oft vorher kopiert (Erpressung: zahlen, sonst Veröffentlichung).
	*[[Plymorphe Viren]]		*'''Infostealer''': stiehlt Passwörter und Sitzungs-Cookies (umgeht damit sogar MFA).
	~~=Viren und Würmer=~~		*'''RAT / Backdoor''': Fernsteuerung. '''Bot''': Teil eines [[Botnetze\|Botnetzes]]. '''Wiper''': zerstört. '''Miner''': schürft auf fremde Kosten.
	*[[Virenbaukäste]]		;3. Wie versteckt sie sich?
	*[[~~verbreitungsmöglichkeiten~~ & Schutz vor Viren und würmer]]		*'''Rootkit''': versteckt sich vor dem System. '''Polymorph''': ändert bei jeder Kopie ihre Signatur.
	*[[Spyware- die oft ,,verkannte“ Gefahr]]		*'''Dateilos''': missbraucht Bordmittel wie PowerShell, es liegt keine verdächtige Datei auf der Platte.
	=~~Trojaner-Arten und -toolkits~~=
	*[[~~Arten von Trojaner & bekannte Trojaner~~]]		== Wie sie heute reinkommt ==
	~~=Exploits=~~		*Phishing-Mail, Schwachstelle in einem erreichbaren Dienst, gestohlene Zugangsdaten, Lieferkette.
	*[[Exploit-Kategorien]]		*Office-Makros sind seit 2022 standardmäßig blockiert, Angreifer weichen auf ISO-, LNK- und OneNote-Dateien aus.
			*Moderne Malware kommt in Stufen und baut einen '''C2-Kanal von innen nach außen''' auf, meist über HTTPS (Port 443). Für die Firewall sieht das aus wie Surfen. Deshalb zählt auch der ausgehende Verkehr.

			== Theorie → Praxis ==
			Wie Malware in diesem Kurs praktisch '''erkannt und geblockt''' wird:
			{\| class="wikitable"
			! Prinzip !! Praxis im Lab
			\|-
			\| Virenscan im Datenstrom \|\| [[OPNsense Squid ClamAV]] – Test mit der harmlosen ''EICAR''-Datei
			\|-
			\| C2- und Angriffsmuster im Netz erkennen \|\| [[OPNsense Suricata]]
			\|-
			\| Auffälligkeiten zusammenführen (ausgehender Verkehr, Beaconing) \|\| [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]]
			\|}

			== Schutz ==
			*Patchen, Virenschutz mit Verhaltenserkennung (EDR), keine Admin-Rechte im Alltag, MFA.
			*Ausgehenden Verkehr filtern (Proxy, DNS), Netz segmentieren.
			*Datensicherung nach 3-2-1 mit einer '''Offline-Kopie''' – gegen Ransomware am Ende das Entscheidende.

			== Merksatz ==
			Virus braucht einen Wirt, Wurm braucht keinen, Trojaner braucht dich \| moderne Malware kommt in Stufen und telefoniert über 443 nach Hause \| Signaturen erkennen Bekanntes, Verhalten erkennt Neues

			== Vertiefung ==
			Klassische Virenarten (DOS- und Windows-Zeit), zum Nachschlagen:
			*[[Bootsektorviren]], [[Datei-Viren]], [[Companion-viren]], [[Hybrid-Viren]], [[Scriptviren]], [[Makroviren]], [[Plymorphe Viren]], [[Virenbaukäste]]
			*[[Arten von Trojaner & bekannte Trojaner]], [[Verbreitungsmöglichkeiten & Schutz vor Viren und würmer]], [[Spyware- die oft ,,verkannte“ Gefahr]]

			== Siehe auch ==
			*[[Botnetze]], [[Backdoor]], [[Advanced Persistent Threats (APTs)]], [[Exploit-Kategorien]]

			[[Kategorie:Cybersecurity]]

Btrfs

2026-10-21T13:43:50Z

Dateisystem prüfen

← Nächstältere Version		Version vom 21. Oktober 2026, 15:43 Uhr
(21 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 110:		Zeile 110:

	Ein Snapshot ist eine Momentaufnahme eines Subvolumes zu einem Zeitpunkt. Er wird selbst als Subvolume angelegt und taucht in der Subvolume-Liste auf.		Ein Snapshot ist eine Momentaufnahme eines Subvolumes zu einem Zeitpunkt. Er wird selbst als Subvolume angelegt und taucht in der Subvolume-Liste auf.
			== Subvolume mit Daten füllen==
			*cp -vr /usr/bin/ /usr/sbin/ /usr/lib /mnt/sub1
	==Einen Snapshot erstellen==		==Einen Snapshot erstellen==
	*btrfs subvolume snapshot /mnt/work/sub1 /mnt/work/sub1-snap1		*btrfs subvolume snapshot /mnt/work/sub1 /mnt/work/sub1-snap1
Zeile 138:		Zeile 139:
	==Eine einzelne Datei aus einem Snapshot holen==		==Eine einzelne Datei aus einem Snapshot holen==
	In den Snapshot wechseln und die Datei zurückkopieren.		In den Snapshot wechseln und die Datei zurückkopieren.
	*cp /mnt/work/sub1-snap1/datei.txt /mnt/work/sub1/		*cp -a /mnt/work/sub1-snap1/datei.txt /mnt/work/sub1/

	==Was ein Snapshot nicht ist==		==Was ein Snapshot nicht ist==
Zeile 172:		Zeile 173:

	==RAID 0 (Striping, keine Redundanz)==		==RAID 0 (Striping, keine Redundanz)==
	*mkfs.btrfs -m raid0 -d raid0 /dev/~~sdb1~~ /dev/~~sdc1~~		*mkfs.btrfs -m raid0 -d raid0 /dev/sdc1 /dev/sdd1

	==RAID 1 (Spiegelung)==		==RAID 1 (Spiegelung)==
	*mkfs.btrfs -m raid1 -d raid1 /dev/~~sdb1~~ /dev/~~sdc1~~		*mkfs.btrfs -m raid1 -d raid1 /dev/sdc2 /dev/sdd2

	==RAID 10==		==RAID 10==
	*mkfs.btrfs -m raid10 -d raid10 /dev/~~sdb1~~ /dev/~~sdc1~~ /dev/~~sdd1~~ /dev/~~sde1~~		*mkfs.btrfs -m raid10 -d raid10 /dev/sdc3 /dev/sdd3 /dev/sdc4 /dev/sdd4

	==Einen RAID-Verbund mounten==		==Einen RAID-Verbund mounten==
	Es genügt, ein beliebiges Mitglied anzugeben – btrfs findet die übrigen selbst.		Es genügt, ein beliebiges Mitglied anzugeben – btrfs findet die übrigen selbst.
	*mount /dev/~~sdb1~~ /mnt/~~work~~		*mount /dev/sdc1 /mnt/fun

	==Den Verbund prüfen==		==Den Verbund prüfen==
	Zeigt alle Geräte des Verbunds und ihre Belegung.		Zeigt alle Geräte des Verbunds und ihre Belegung.
	*btrfs filesystem show /mnt/~~work~~		*btrfs filesystem show /mnt/fun

	==Eine Platte hinzufügen==		==Eine Platte hinzufügen==
	Wenn der Platz knapp wird, lässt sich im laufenden Betrieb eine weitere Platte aufnehmen. Danach neu ausbalancieren, damit die Daten verteilt werden. Ein Balance ohne Filter dauert auf großen Dateisystemen lange; neuere btrfs-progs warten deshalb zehn Sekunden, bevor sie anfangen, außer man gibt <code>--full-balance</code> an.		Wenn der Platz knapp wird, lässt sich im laufenden Betrieb eine weitere Platte aufnehmen. Danach neu ausbalancieren, damit die Daten verteilt werden. Ein Balance ohne Filter dauert auf großen Dateisystemen lange; neuere btrfs-progs warten deshalb zehn Sekunden, bevor sie anfangen, außer man gibt <code>--full-balance</code> an.
	*btrfs device add /dev/~~sdf1~~ /mnt/~~work~~		*btrfs device add /dev/sde1 /mnt/fun

	*btrfs balance start --full-balance /mnt/~~work~~		*btrfs balance start --full-balance /mnt/fun

	==Eine Platte ist ausgefallen==		==Eine Platte ist ausgefallen==
	Fehlt eine Platte eines RAID 1, mountet btrfs das Dateisystem nicht automatisch. Man hängt es bewusst im Notbetrieb ein und ersetzt die Platte (hier die ausgefallene devid 2 durch <code>/dev/sde1</code>):		Fehlt eine Platte eines RAID 1, mountet btrfs das Dateisystem nicht automatisch. Man hängt es bewusst im Notbetrieb ein und ersetzt die Platte (hier die ausgefallene devid 2 durch <code>/dev/sde1</code>):
	*mount -o degraded /dev/~~sdb1~~ /mnt/~~work~~		*mount -o degraded /dev/sde2 /mnt/fun

	*btrfs replace start 2 /dev/~~sde1~~ /mnt/~~work~~		*btrfs replace start 2 /dev/sde2 /mnt/fun

	Die devid der fehlenden Platte zeigt <code>btrfs filesystem show</code>.		Die devid der fehlenden Platte zeigt <code>btrfs filesystem show</code>.
Zeile 206:		Zeile 207:

	Daten-Layout auf single:		Daten-Layout auf single:
	*btrfs balance start -dconvert=single /mnt/~~work~~		*btrfs balance start -dconvert=single /mnt/fun

	Metadaten-Layout umwandeln. Weil dabei die Redundanz der Metadaten sinkt, verlangt btrfs <code>-f</code>. Bleibt nur eine Platte übrig, ist <code>dup</code> (zwei Kopien auf derselben Platte) besser als <code>single</code>:		Metadaten-Layout umwandeln. Weil dabei die Redundanz der Metadaten sinkt, verlangt btrfs <code>-f</code>. Bleibt nur eine Platte übrig, ist <code>dup</code> (zwei Kopien auf derselben Platte) besser als <code>single</code>:
	*btrfs balance start -f -mconvert=dup /mnt/~~work~~		*btrfs balance start -f -mconvert=dup /mnt/fun

	Dann die Geräte entfernen. Die Reihenfolge spielt keine Rolle; btrfs verschiebt die Daten vorher auf die verbleibenden Platten:		Dann die Geräte entfernen. Die Reihenfolge spielt keine Rolle; btrfs verschiebt die Daten vorher auf die verbleibenden Platten:
	*btrfs device remove /dev/~~sdc1~~ /mnt/~~work~~		*btrfs device remove /dev/sde2 /mnt/fun
			*btrfs device remove /dev/sde3 /mnt/fun

	=Wartung und Fehlersuche=		=Wartung und Fehlersuche=
Zeile 218:		Zeile 220:
	==Scrub: Prüfsummen verifizieren==		==Scrub: Prüfsummen verifizieren==
	<code>scrub</code> liest alle Blöcke, vergleicht sie mit den Prüfsummen und repariert Fehler aus einer intakten Kopie, sofern Redundanz vorhanden ist. Ohne Redundanz meldet es die Fehler nur. Das ist die btrfs-eigene Vorsorge gegen stille Datenfehler und sollte regelmäßig laufen, etwa monatlich.		<code>scrub</code> liest alle Blöcke, vergleicht sie mit den Prüfsummen und repariert Fehler aus einer intakten Kopie, sofern Redundanz vorhanden ist. Ohne Redundanz meldet es die Fehler nur. Das ist die btrfs-eigene Vorsorge gegen stille Datenfehler und sollte regelmäßig laufen, etwa monatlich.
	*btrfs scrub start /mnt/~~work~~		*btrfs scrub start /mnt/fun

	Status abfragen:		Status abfragen:
	*btrfs scrub status /mnt/~~work~~		*btrfs scrub status /mnt/fun

	==Balance: Daten neu verteilen==		==Balance: Daten neu verteilen==
	Verteilt belegte Chunks neu – nötig nach dem Hinzufügen einer Platte oder einem Profilwechsel.		Verteilt belegte Chunks neu – nötig nach dem Hinzufügen einer Platte oder einem Profilwechsel.
	*btrfs balance start --full-balance /mnt/~~work~~		*btrfs balance start --full-balance /mnt/fun

	==Defragmentieren==		==Defragmentieren==
	Ordnet fragmentierte Dateien neu. Achtung: auf Dateien mit vielen Snapshots kann das den Speicherverbrauch erhöhen, weil geteilte Blöcke dabei aufgetrennt werden.		Ordnet fragmentierte Dateien neu. Achtung: auf Dateien mit vielen Snapshots kann das den Speicherverbrauch erhöhen, weil geteilte Blöcke dabei aufgetrennt werden.
	*btrfs filesystem defragment -r /mnt/~~work~~		*btrfs filesystem defragment -r /mnt/fun

	==Gerätefehler-Zähler anzeigen==		==Gerätefehler-Zähler anzeigen==
Zeile 237:		Zeile 239:
	==Dateisystem prüfen==		==Dateisystem prüfen==
	<code>btrfs check</code> prüft das Dateisystem offline. '''Nur im ausgehängten Zustand''' und mit Vorsicht: Ohne Optionen liest es nur. Eine Reparatur (<code>--repair</code>) kann Daten beschädigen und ist das letzte Mittel, nicht der erste Griff.		<code>btrfs check</code> prüft das Dateisystem offline. '''Nur im ausgehängten Zustand''' und mit Vorsicht: Ohne Optionen liest es nur. Eine Reparatur (<code>--repair</code>) kann Daten beschädigen und ist das letzte Mittel, nicht der erste Griff.
	*umount /mnt/~~work~~		*umount /mnt/fun

	*btrfs check /dev/~~sdb1~~		*btrfs check /dev/sdc2

	Im Ernstfall zuerst die Daten retten, indem man schreibgeschützt mit Rettungsoptionen mountet und kopiert:		Im Ernstfall zuerst die Daten retten, indem man schreibgeschützt mit Rettungsoptionen mountet und kopiert:

Botnetze

2026-10-21T11:29:18Z

Neu: Prinzip (Bot, C&C, Nutzung, Steuerung, Erkennung am ausgehenden Verkehr); veraltete Zahlen 2010-2015 entfernt

← Nächstältere Version		Version vom 21. Oktober 2026, 13:29 Uhr
Zeile 1:		Zeile 1:
	=~~Sicherheitsrisiken durch~~ Botnetze=		= Botnetze =
	~~;Definition von Botnetzen:~~
	* Ein Botnetz ist eine Gruppe automatisierter Computerprogramme, sogenannter Bots oder Roboter, die auf vernetzten Rechnern agieren.
	* Diese Rechner haben Zugang zu Netzwerken, lokalen Ressourcen und Daten.
	* In Deutschland gab es im Jahr 2010 über 470.000 solcher Bots, wovon durchschnittlich etwa 2.000 pro Tag aktiv waren.

	~~;Verbreitung in Deutschland:~~		== Was ist ein Botnetz? ==
	* ~~Die Initiative botfrei~~.~~de stellte 2014 bei 220~~.~~000 stichprobenartig untersuchten Computern 92~~.~~000 verseuchte Systeme mit rund 725~~.~~000 infizierten Dateien fest~~.		*Ein '''Bot''' ist ein infizierter, fernsteuerbarer Rechner. Der Besitzer merkt davon meist nichts.
	* ~~Dies ergibt eine Infektionsrate von ca. 40 Prozent aller Computer in Deutschland~~.		*Ein '''Botnetz''' ist die Summe vieler solcher Bots, die ein Angreifer (''Botmaster'') zentral steuert.
			*Gesteuert wird über einen '''Command-and-Control-Server''' (C&C oder C2). Von dort kommen die Befehle, dorthin melden die Bots Ergebnisse.
			*Die schiere Zahl ist die Waffe: Ein einzelner Rechner richtet wenig an, Hunderttausende zusammen überlasten Dienste oder versenden Spam im großen Stil.

	~~;Neuinfektionen und Ausbreitung~~:		== Wie ein Rechner zum Bot wird ==
	* Im ersten Halbjahr 2015 wurden in ~~Deutschland täglich bis zu 60~~.~~000 Systeme neu infiziert~~, wie ~~vom Bundesamt für Sicherheit in der Informationstechnik~~ (~~BSI~~) ~~berichtet~~.		#'''Infektion''': über eine Phishing-Mail, eine Schwachstelle in einem erreichbaren Dienst oder nachgeladen durch andere Schadsoftware (siehe [[Schadsoftware/Malware]]).
			#'''Anmelden''': Der Bot baut von innen eine Verbindung zum C&C-Server auf, meist über HTTPS auf Port 443, damit es wie normaler Web-Verkehr aussieht.
			#'''Warten und Gehorchen''': Der Bot fragt regelmäßig nach Befehlen (''Beaconing'') und führt sie aus.

	~~;Betrieb illegaler~~ Botnetze:		== Wofür Botnetze genutzt werden ==
	* ~~Betreiber installieren die Bots ohne Wissen der Inhaber~~ auf ~~Computern und nutzen sie für ihre Zwecke~~.		*'''DDoS''': alle Bots greifen gleichzeitig ein Ziel an (siehe [[DDoS-Angriffe]]).
	* ~~Die meisten Bots können von einem Botnetz-Operator über einen Kommunikationskanal überwacht~~ werden~~, der~~ als ~~Command~~-~~and~~-~~Control-Server (C&C~~-~~Server~~) ~~bezeichnet wird~~.		*'''Spam und Phishing''' in Massen versenden.
			*'''Zugangsdaten und Daten stehlen'''.
			*'''Kryptomining''' auf fremde Kosten.
			*'''Weitervermieten''': Rechenleistung und Zugänge werden als Dienst verkauft (''Malware-as-a-Service'').

	~~;Sicherheitsprobleme für betroffene Systeme~~:		== Steuerung: zentral oder verteilt ==
	* Infizierte Systeme können für ~~verschiedene Zwecke genutzt werden~~, ~~darunter Distributed Denial of Service~~ (~~DDoS~~) ~~Angriffe~~, ~~Spam~~-~~Versand und Datendiebstahl.~~		{\| class="wikitable"
			! Aufbau !! Prinzip !! Schwäche für den Angreifer
			\|-
			\| Zentral (ein C&C-Server) \|\| einfach, alle Bots melden sich bei einer Adresse \|\| fällt der Server weg, ist das Netz tot
			\|-
			\| Mehrere C&C / Domain-Wechsel \|\| wechselnde Adressen (''Fast Flux'', ''Domain Generation'') \|\| schwerer abzuschalten, aber aufwendiger
			\|-
			\| Peer-to-Peer \|\| Bots geben Befehle untereinander weiter, kein fester Server \|\| kaum durch Abschalten eines Servers zu stoppen
			\|}

	;~~Schutzmaßnahmen~~:		== Erkennen und schützen ==
	* ~~Regelmäßige Aktualisierung von Sicherheitssoftware~~ und ~~Betriebssystemen, um Zero~~-~~Day~~-~~Exploits zu minimieren~~.		;Am einzelnen Rechner
	* ~~Sensibilisierung der Nutzer für Social Engineering~~-~~Angriffe~~ und ~~Maßnahmen zur Vermeidung von Malware~~-~~Infektionen.~~		*Patchen, Virenschutz mit Verhaltenserkennung, keine Admin-Rechte im Alltag.
	* ~~Einrichtung von Firewalls und Intrusion Detection~~/~~Prevention Systemen zur Erkennung und Blockierung verdächtiger Aktivitäten.~~		;Im Netz (unser Kurs)
	* ~~Zusammenarbeit mit Sicherheitsbehörden und~~ -~~organisationen, um gegen illegale Botnetze vorzugehen~~.		*'''Ausgehenden Verkehr beobachten''': Ein Bot verrät sich durch regelmäßiges „Nachhausetelefonieren“ zu ungewöhnlichen Zielen.
			*Verdächtige Ziele am Proxy und per DNS-Filter sperren.
			*Das IDS schlägt bei bekannten C&C-Mustern an: [[OPNsense Suricata]].
			*Auffälligkeiten zentral zusammenführen: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)\|SIEM]].

			== Merksatz ==
			Bot = ein ferngesteuerter Rechner \| Botnetz = viele davon an einem C&C \| die Masse ist die Waffe \| erkennbar vor allem am ausgehenden Verkehr

			== Siehe auch ==
			*[[DDoS-Angriffe]]
			*[[Schadsoftware/Malware]]
			*[[Backdoor]]

			[[Kategorie:Cybersecurity]]
			<!-- Idee Animation: Rechner wird infiziert -> meldet sich beim C&C (443) -> viele Bots -> gemeinsamer DDoS/Spam. Doppelnutzung: Recap Cybersec2 + Einstieg + Selbststudium. -->

Cybersec1 Struktur

2026-10-21T10:20:43Z

Schlanke Struktur: 6 Blöcke mit Ziel, Theorie, Praxis

Änderungen zeigen

Cybersec2 Struktur

2026-10-21T10:09:42Z

Verweis auf alte Kursseite entfernt

← Nächstältere Version		Version vom 21. Oktober 2026, 12:09 Uhr
Zeile 1:		Zeile 1:
	= Cybersec2: Struktur =		= Cybersec2: Struktur =
	Eine Woche, für sich abgeschlossen. Leitfrage: '''Wer greift an, wie finde ich ihn, wie reagiere ich, und wie organisiere ich das Ganze?'''		Eine Woche, für sich abgeschlossen. Leitfrage: '''Wer greift an, wie finde ich ihn, wie reagiere ich, und wie organisiere ich das Ganze?'''
	*Kursseite: [[Cyber Security II.]]
	*Rote Fäden sind der MQTT-Workshop, Wazuh als SIEM und das ISMS.		*Rote Fäden sind der MQTT-Workshop, Wazuh als SIEM und das ISMS.
	*Block 0 frischt die Grundlagen auf, damit auch Neueinsteiger ohne Vorkurs mitkommen. Wer den Vorkurs hatte, überspringt ihn: [[Cybersec1 Struktur]]		*Block 0 frischt die Grundlagen auf, damit auch Neueinsteiger ohne Vorkurs mitkommen. Wer den Vorkurs hatte, überspringt ihn: [[Cybersec1 Struktur]]

Disk Quotas

2026-10-21T09:33:04Z

Eintrag in die fstab

← Nächstältere Version		Version vom 21. Oktober 2026, 11:33 Uhr
(2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 52:		Zeile 52:
	Das Dateisystem führt die Buchhaltung selbst, in versteckten Inodes und mit dem Journal.		Das Dateisystem führt die Buchhaltung selbst, in versteckten Inodes und mit dem Journal.
	*tune2fs -O quota /dev/sdd		*tune2fs -O quota /dev/sdd
			==Checken on die Quotas aktiv sind==
			*tune2fs -l /dev/sdd \| grep -i quo
			<pre>
			Filesystem features: has_journal ext_attr resize_inode dir_index orphan_file filetype extent 64bit flex_bg metadata_csum_seed sparse_super large_file huge_file dir_nlink extra_isize quota metadata_csum
			User quota inode: 3
			Group quota inode: 4
			</pre>

	==Eintrag in die fstab==		==Eintrag in die fstab==
	*echo "LABEL=heimat /heimat ext4 defaults 0 2" >> /etc/fstab		*echo "LABEL=heimat /heimat ext4 defaults,usrquota,grpquota 0 2" >> /etc/fstab

	==Bei systemd System eventuell notwendig==		==Bei systemd System eventuell notwendig==
	*systemctl daemon-reload		*systemctl daemon-reload
Zeile 89:		Zeile 98:
	Als Benutzer anmelden und über die Grenze schreiben:		Als Benutzer anmelden und über die Grenze schreiben:
	*su - kit		*su - kit
	*dd if=/dev/zero of=/heimat/gross.img bs=1M count=200		*dd if=/dev/zero of=/heimat/media/gross.img bs=1M count=200

	Der Schreibvorgang bricht mit <code>Disk quota exceeded</code> ab, die Datei bleibt genau an der Hardgrenze stehen. Danach als root nachsehen:		Der Schreibvorgang bricht mit <code>Disk quota exceeded</code> ab, die Datei bleibt genau an der Hardgrenze stehen. Danach als root nachsehen:
Zeile 96:		Zeile 105:

	In der Spalte <code>grace</code> steht die Restlaufzeit, wenn nur die Soft-, nicht aber die Hardgrenze überschritten wurde.		In der Spalte <code>grace</code> steht die Restlaufzeit, wenn nur die Soft-, nicht aber die Hardgrenze überschritten wurde.

	==Deaktivieren==		==Deaktivieren==
	*quotaoff /heimat		*quotaoff /heimat

Projekt RAID, LVM, Dateisystem

2026-10-21T08:46:03Z

← Nächstältere Version		Version vom 21. Oktober 2026, 10:46 Uhr
Zeile 1:		Zeile 1:


	In diesem Kapitel entsteht der Aufbau, den man auf einem echten Server vorfindet: mehrere Platten werden zu einem '''RAID''' zusammengefasst, darüber liegt '''LVM''' für die flexible Aufteilung, und ganz oben sitzt das '''Dateisystem'''. Die einzelnen Werkzeuge sind in [[Raid]], [[LVM]], [[Ext4 Dateisystem]] und [[XFS]] beschrieben – hier werden sie zusammengesetzt.		In diesem Kapitel entsteht der Aufbau, den man auf einem echten Server vorfindet: mehrere Platten werden zu einem '''RAID''' zusammengefasst, darüber liegt '''LVM''' für die flexible Aufteilung, und ganz oben sitzt das '''Dateisystem'''. Die einzelnen Werkzeuge sind in [[Raid]], [[LVM]], [[Ext4 Dateisystem]] und [[XFS]] beschrieben – hier werden sie zusammengesetzt.

Cybersec2 Struktur

2026-10-21T08:30:34Z

Link auf neue Malware-Seiten

← Nächstältere Version		Version vom 21. Oktober 2026, 10:30 Uhr
Zeile 8:		Zeile 8:
	Für alle, die neu dazukommen: das Nötigste aus der Perimeter-Sicherheit in kurzer Form, damit die Woche ohne Vorkurs funktioniert.		Für alle, die neu dazukommen: das Nötigste aus der Perimeter-Sicherheit in kurzer Form, damit die Woche ohne Vorkurs funktioniert.
	;Angriffsvektoren		;Angriffsvektoren
	*[[~~Schadsoftware/~~Malware]], [[Botnetze]], [[DDoS-Angriffe]], [[Backdoor]], [[Advanced Persistent Threats (APTs)]]		*[[Malware]], [[Botnetze]], [[DDoS-Angriffe]], [[Backdoor]], [[Advanced Persistent Threats (APTs)]]
	;Firewall, Zonen, DMZ		;Firewall, Zonen, DMZ
	*[[Dynamische Paketfilter und stateful Firewalls]]		*[[Dynamische Paketfilter und stateful Firewalls]]

Cybersec1 Struktur

2026-10-21T08:30:33Z

Link auf neue Malware-Seiten

← Nächstältere Version		Version vom 21. Oktober 2026, 10:30 Uhr
Zeile 8:		Zeile 8:
	== 1 Angriffsvektoren ==		== 1 Angriffsvektoren ==
	Womit wir es zu tun haben. Grundlage für alles Weitere.		Womit wir es zu tun haben. Grundlage für alles Weitere.
	*[[~~Schadsoftware/~~Malware]]		*[[Malware]] (aktuell, mit Unterseiten)
	*[[Botnetze]]		*[[Botnetze]]
	*[[DDoS-Angriffe]]		*[[DDoS-Angriffe]]

Malware

2026-10-21T08:30:33Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

== Begriff ==
*Malware ist ein Kofferwort aus ''malicious'' (bösartig) und ''software''. Deutsch: Schadsoftware oder Schadprogramm.
*Gemeint sind Programme, die aus Sicht des Opfers unerwünschte und schädliche Funktionen ausführen.
*Umgangssprachlich wird alles „Virus“ genannt, auch der „Virenschutz“. Fachlich ist ein Virus nur eine von vielen Arten.

== Die Themen ==
*[[Malware Einordnung]]: Wie verbreitet sie sich, was tut sie, wie versteckt sie sich? Virus, Wurm, Trojaner, Ransomware, Infostealer, Rootkit und Co.
*[[Malware Infektionswege]]: Phishing, Schwachstellen, gestohlene Zugangsdaten, Lieferkette, und was sich bei Makros geändert hat
*[[Malware Ablauf einer Infektion]]: vom Erstzugang bis zum Ziel, der C2-Kanal über Port 443
*[[Malware Erkennung]]: Signatur, Heuristik, Verhalten, Sandbox, YARA, IDS, und wo das im Kurs vorkommt
*[[Malware Schutz]]: technisch und organisatorisch, 3-2-1-Regel

== Geschichte ==
Klassische Virenarten aus der Zeit von DOS, Disketten und frühem Windows. Sie zeigen die Grundprinzipien, spielen heute aber kaum noch eine Rolle.
*[[Bootsektorviren]]: Schadcode im MBR. Heute als Bootkits in der UEFI-Startkette.
*[[Datei-Viren]]: überschreibende und anhängende Viren in ausführbaren Dateien.
*[[Companion-viren]]: .com-Datei mit gleichem Namen wird vor der .exe gestartet.
*[[Hybrid-Viren]]: Bootsektor und Dateien zugleich.
*[[Plymorphe Viren]]: Grundidee der wechselnden Gestalt, heute siehe [[Malware Einordnung]].
*[[Scriptviren]]
*[[Makroviren]]: Grundprinzip weiterhin gültig, heute siehe [[Malware Infektionswege]].
*[[Virenbaukäste]]: heute abgelöst durch ''Malware-as-a-Service'': Schadsoftware wird gemietet, bei Ransomware samt Infrastruktur und Verhandlungsführung (''Ransomware-as-a-Service'').
*[[Verbreitungsmöglichkeiten & Schutz vor Viren und würmer]]
*[[Spyware- die oft ,,verkannte“ Gefahr]]
*[[Arten von Trojaner & bekannte Trojaner]] mit den Trojaner-Ports von Back Orifice und NetBus. Schöner Kontrast zu heute: Damals wartete der Trojaner auf einem festen Port, heute meldet er sich selbst über Port 443.

== Siehe auch ==
*[[Exploit-Kategorien]]: wie Schwachstellen ausgenutzt werden
*[[Botnetze]]
*[[Backdoor]]
*[[Advanced Persistent Threats (APTs)]]
*[[Cyber-Risiken (Phishing, Ransomeware)]]
*[[Schadsoftware/Malware]]: die ältere Übersicht

== Merksatz ==
Virus braucht einen Wirt, Wurm braucht keinen, Trojaner braucht dich | moderne Malware kommt in Stufen und telefoniert über 443 nach Hause | Signaturen erkennen Bekanntes, Verhalten erkennt Neues | ohne Offline-Backup hilft gegen Ransomware am Ende nichts

[[Kategorie:Cybersecurity]]

Malware Schutz

2026-10-21T08:30:33Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Was gegen Schadsoftware hilft, technisch und organisatorisch.

;Technisch
*Systeme und Anwendungen zeitnah patchen, besonders alles, was aus dem Internet erreichbar ist.
*Virenschutz mit Verhaltenserkennung (EDR), nicht nur Signaturen.
*Benutzer ohne Administratorrechte (''Least Privilege'').
*MFA für alle Fernzugänge und Administratoren.
*Makros aus dem Internet blockiert lassen, Skriptausführung einschränken (z. B. PowerShell nur signiert, AppLocker).
*Ausgehenden Verkehr filtern: Proxy, DNS-Filter, nur nötige Ports.
*Netz segmentieren, damit sich Malware nicht ungehindert ausbreitet.
;Organisatorisch
*Datensicherung nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine davon '''offline''' oder unveränderbar. Ransomware sucht gezielt nach erreichbaren Backups.
*Wiederherstellung regelmäßig testen.
*Mitarbeitende schulen: Phishing erkennen und Verdacht sofort melden.
*Notfallplan: Wer trennt den Rechner vom Netz, wer entscheidet, wer wird informiert? Siehe [[Team zur Reaktion auf Computersicherheitsvorfälle]].

[[Kategorie:Cybersecurity]]

Malware Erkennung

2026-10-21T08:30:32Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Wie Schadsoftware erkannt wird, und wo das im Kurs vorkommt.

{| class="wikitable"
! Verfahren !! Wie es funktioniert !! Stärke !! Schwäche
|-
| Signatur || bekannte Bytefolgen oder Hashwerte || schnell, kaum Fehlalarme || erkennt nur Bekanntes, scheitert an Polymorphie
|-
| Heuristik || verdächtige Merkmale im Code (z. B. Packer, ungewöhnliche Funktionsaufrufe) || erkennt auch Varianten || Fehlalarme
|-
| Verhalten (EDR) || beobachtet, was ein Prozess tut: Word startet PowerShell, Massenumbenennung von Dateien || erkennt auch dateilose Angriffe || braucht Agenten und Auswertung
|-
| Sandbox || Datei wird isoliert ausgeführt und beobachtet || sieht das tatsächliche Verhalten || Malware erkennt Sandboxen und hält still
|-
| YARA-Regeln || frei definierbare Muster für Dateien und Speicher || flexibel, im Austausch zwischen Analysten üblich || Regeln müssen gepflegt werden
|-
| Netzwerk (IDS) || erkennt C2-Verkehr, bekannte Muster, verdächtige Ziele || sieht auch unbekannte Rechner im Netz || bei TLS nur Metadaten
|}

;Im Kurs
*Virenscanner im Proxy: [[OPNsense Squid ClamAV]]. Zum Testen dient die ''EICAR''-Testdatei, die jeder Virenscanner erkennt, ohne dass sie schädlich ist.
*IDS im Netz: [[OPNsense Suricata]].
*Auswertung und Korrelation im SIEM: [[Sicherheitsinformations- und Ereignisverwaltung (SIEM)]].

[[Kategorie:Cybersecurity]]

Malware Ablauf einer Infektion

2026-10-21T08:30:32Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Moderne Angriffe laufen in Stufen, vom ersten Zugang bis zum Ziel.

Moderne Angriffe laufen in Stufen. Jede Stufe ist eine Chance, den Angriff zu erkennen.
<pre>
Erstzugang Phishing-Mail, Schwachstelle, gestohlenes Passwort
↓
Lader kleines Programm oder Skript, lädt den Rest nach
↓
Nutzlast die eigentliche Schadsoftware (RAT, Stealer, Ransomware)
↓
C2-Kanal Verbindung zum Server des Angreifers (Command and Control)
↓
Persistenz überlebt den Neustart: Autostart, Dienst, geplante Aufgabe
↓
Ausbreitung weitere Rechner, Domänencontroller, Backups
↓
Ziel Daten abziehen, verschlüsseln, zerstören
</pre>

;Der C2-Kanal heute
*Früher öffneten Trojaner einen festen Port, auf den der Angreifer zugriff (siehe [[Trojaner-Ports]]).
*Heute baut die Schadsoftware die Verbindung '''von innen nach außen''' auf, meist über '''HTTPS auf Port 443''' oder über DNS. Für die Firewall sieht das aus wie normales Surfen.
*Typisch ist ein regelmäßiges „Nachhausetelefonieren“ (''Beaconing''), etwa alle 60 Sekunden, oft mit zufälliger Abweichung.
*Deshalb reicht es nicht, eingehende Verbindungen zu sperren. Auch ausgehender Verkehr muss gefiltert und überwacht werden: Proxy, DNS-Filter, IDS.

;Einordnung
*Die Stufen entsprechen den Taktiken im Modell MITRE ATT&CK (https://attack.mitre.org). Dort ist für jede Stufe beschrieben, welche Techniken Angreifer nutzen und wie man sie erkennt.

[[Kategorie:Cybersecurity]]

Malware Infektionswege

2026-10-21T08:30:32Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Wie Schadsoftware heute auf die Rechner kommt.

*'''Phishing''': Mail mit Anhang oder Link. Weiterhin der häufigste Weg.
*'''Schwachstellen in erreichbaren Diensten''': VPN-Gateways, Firewalls, Webanwendungen, Mailserver. Wird ein Update nicht eingespielt, reicht oft ein einziges Paket.
*'''Gestohlene Zugangsdaten''': aus Infostealern oder Datenlecks, besonders bei Zugängen ohne MFA.
*'''Lieferkette''': Schadcode in Updates, Bibliotheken oder Paketquellen eines vertrauenswürdigen Herstellers.
*'''Malvertising und gefälschte Downloads''': Werbeanzeige in der Suchmaschine führt zur gefälschten Download-Seite.
*'''USB-Datenträger''': selten, aber in abgeschotteten Netzen (Industrie, OT) weiterhin ein Thema.

;Makros – was sich geändert hat
*Office-Makros waren lange der Standardweg (siehe [[Makroviren]]).
*Seit 2022 blockiert Microsoft Office Makros in Dateien aus dem Internet standardmäßig (''Mark of the Web'').
*Angreifer sind deshalb auf andere Container ausgewichen: ISO- und ZIP-Dateien, Verknüpfungen (LNK), OneNote-Dateien, HTML-Dateien, die die Schadsoftware erst im Browser zusammensetzen (''HTML Smuggling'').

[[Kategorie:Cybersecurity]]

Malware Einordnung

2026-10-21T08:30:31Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Was für eine Schadsoftware ist das? Drei Fragen helfen beim Einordnen.

Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.

== Wie verbreitet sie sich? ==
;Virus
*Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
*Braucht eine Aktion des Benutzers.
;Wurm
*Verbreitet sich '''selbstständig''' über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
*Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
*Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
;Trojaner
*Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
*Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
*Siehe [[Arten von Trojaner & bekannte Trojaner]].

== Was tut sie? ==
{| class="wikitable"
! Art !! Was sie tut !! Ziel des Angreifers
|-
| '''Ransomware''' || verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) || Lösegeld
|-
| '''Infostealer''' || stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets || Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA
|-
| '''Spyware, Keylogger''' || zeichnet Eingaben, Bildschirm, Mikrofon auf || Spionage
|-
| '''RAT / Backdoor''' || Fernsteuerung des Rechners (''Remote Access Trojan'') || dauerhafter Zugang, siehe [[Backdoor]]
|-
| '''Bot''' || macht den Rechner zum Teil eines Botnetzes || DDoS, Spam, Weiterverkauf, siehe [[Botnetze]]
|-
| '''Loader / Dropper''' || lädt die eigentliche Schadsoftware erst nach || unauffälliger Erstzugang, Weiterverkauf des Zugangs
|-
| '''Wiper''' || löscht oder zerstört Daten, oft als Ransomware getarnt || Sabotage
|-
| '''Cryptominer''' || nutzt Rechenleistung zum Schürfen von Kryptowährung || Geld, auf Kosten von Strom und Leistung
|-
| '''Adware''' || blendet Werbung ein, leitet Suchanfragen um || Werbeeinnahmen
|}

== Wie versteckt sie sich? ==
;Rootkit
*Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
;Bootkit
*Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe [[Bootsektorviren]]), heute in der UEFI-Startkette.
*Gegenmittel: '''Secure Boot''' und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
;Polymorph und metamorph
*Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
*Polymorphe Malware verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.
;Packer und Crypter
*Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
;Dateilos (''fileless'') und Living off the Land
*Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
*Diese Programme heißen ''LOLBins'' (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.

[[Kategorie:Cybersecurity]]

Cyber Security II.

2026-10-21T08:16:13Z

Link auf Cybersec2 Struktur

← Nächstältere Version		Version vom 21. Oktober 2026, 10:16 Uhr
Zeile 5:		Zeile 5:
	[[Datei:Cyber-security-2-1.png\|500px]]		[[Datei:Cyber-security-2-1.png\|500px]]
	*[[Thomas Will]]		*[[Thomas Will]]
	*[[~~Cyber Security Gesamtstruktur~~]]		*[[Cybersec2 Struktur]]
	= Aktueller Kurs: Etherpad =		= Aktueller Kurs: Etherpad =
	;Austausch		;Austausch