Der kürzliche Hackerangriff auf die Universität Gießen hat vielen Menschen bewusst gemacht, dass die Bedrohung durch Angreifer aus dem Internet stetig wächst. Um aus solchen Sicherheitsvorfällen zu lernen, sind IT-Forensiker erforderlich, die die 7 W-Fragen der Kriminologie klären: Wer (Täter), Was (Tat), Wann (Tatzeit), Wo (Tatort), Wie (Tathergang) sowie Womit (Werkzeuge) und Warum (Motiv). Sie nutzen die vom Angreifer hinterlassenen digitalen Spuren, um den Sicherheitsvorfall zu rekonstruieren und - im Idealfall - den Täter zu überführen.
Über Universitätskontakte hatte ich im Wintersemester 19/20 die Möglichkeit, das Modul „Digital Forensics“ im Masterstudiengang Wirtschaftsinformatik an der Technischen Hochschule Mittelhessen (THM) anzubieten. Als Pentester aus der Angreiferperspektive geht es mir auch darum, Spuren zu vermeiden, die während eines Angriffs zurückbleiben, und darum, wie sie sich vertuschen lassen. Damit standen für mich folgende Themen auf der Agenda:
- Hacking
- Anti-Forensik
- Reports
- Live-Forensik
- Festplattenanalyse
- Anwendungsforensik
- Erstellung von Malware
- Malware-Analyse
- Reverse Engineering
In Anlehnung an Sunzis Zitat - "Man muss den Feind kennen, um ihn besiegen zu können" - wechselte ich je nach Unterrichtseinheit die Perspektive zwischen den beiden Kontrahenten und ließ die Inhalte im folgenden Szenario durch die Studierenden anwenden:
Die Dubius Payment Ltd. ist ein kürzlich gegründeter Zahlungsdienstleister, der Kreditkartendaten speichert, verarbeitet und weiterleitet. Seit dem 14. November 2019, 16:45 Uhr (Donnerstag) weist das Produktivsystem Ausfälle auf, und sein Intrusion-Detection-System meldet regelmäßig ungewöhnlich hohen Netzwerkverkehr über das Zahlungs-Gateway. Aus Sorge vor einem Hackerangriff baten sie die Studierenden als IT-forensische Experten, den Fall zu analysieren.
In ihrer praktischen Arbeit, dem Sammeln und Analysieren digitaler Spuren auf dem Live-System, fanden die Studierenden heraus, dass ein Mitarbeiter des Unternehmens in regelmäßigen Abständen Kreditkartendaten aus der Datenbank gezapft hatte. Wie im echten Leben mussten die Studierenden diese Schlussfolgerung verifizieren und die Frage beantworten, ob der Nutzer selbst Opfer eines Hackerangriffs geworden war oder tatsächlich für den Diebstahl der Daten verantwortlich war - mittels anschließender Datenträgeranalyse des Arbeitsrechners des Verdächtigen. Ihre Ergebnisse stellten sie in Form eines Gutachtens zusammen.
Natürlich lief am Anfang nicht alles glatt. So hatte ich etwa mit dem Aufbau meines geplanten Labors zu kämpfen: Mein Ziel war, dass die Studierenden lernen, ein eigenes Toolkit auf einem kompromittierten System zu nutzen. Also ersetzte ich auf dem Live-System das Linux-Programm "/usr/bin/ls" durch den folgenden „Schadcode“:
#include <iostream>
#include <cstdlib>
using namespace std;
int main() {
cout << "I've got ya! ;)" << endl;
system("sleep 1");
system("sudo reboot");
return 0;
}
Da „ls“ jedoch auch von Init-Skripten verwendet wird, führte die Malware beim Neustart in eine Endlosschleife. Die Verwendung eines Alias unter Linux war hier die bessere Lösung. Die Rückmeldung der Studierenden zum Kurs war großartig:
„Es ist das spannendste Modul im gesamten Master-Studiengang. Es fesselt und macht jede Menge Spaß"
Student
Der vorstehende Kommentar hat zu meinem Ziel beigetragen, einen neuen Online-Kurs für die binsec academy zu gestalten: das „Digital Forensics Training“, in dem sich Teilnehmer künftig als Binsec Academy Certified Digital Forensic Professional (BACDFP) zertifizieren können.