Trojan Klassifikationen

Share

|

Trojan Pferde werden normalerweise als das Darstellen entweder eines Angriffs auf Privatleben (verstohlenes zum Beispiel Führen des Kennwortes zu nicht autorisierten Zugang und vielleicht Änderung) oder auf Vollständigkeit angesehen (zerstörendes Trojans). Dieses ist wenig allzu vereinfacht. Schließlich ist nicht autorisierte Änderung ein Angriff auf Vollständigkeit. Ein Privatlebenangriffsprogramm zerstört häufig Akten, damit seine Schienen und einen Angreifer zu bedecken zu den spezifisch zerstörenden Zwecken Zutritt erhalten wünschen konnte. Ausserdem setzt diese Annäherung böswillige Absicht voraus, die, wie wir gesehen haben, nicht allgemeinhin als definierende Eigenschaft angenommen wird. Infolgedessen sind etwas Arten hier eingeschlossen, die häufig nicht in diesem Kontext betrachtet werden.

Die Art der Nutzlast, die Sie erwarten, ein Trojan Horse (technisch, nehme ich an, daß es ein griechisches Pferd war), zum zu tragen Ihre rechnende Lagebestimmung reflektieren konnte. Für viele Jahre, neigten Mainframe- und Minicomputerbenutzer, in Programmen ausgedrückt zu denken daß Stolakennwörter oder anders durchgebrochenes Privatleben, während Mikrocomputerbenutzer neigten, in zerstörendem Trojans ausgedrückt zu denken, das Scheiben formatierte oder Dateisysteme trashed. In realem Leben, zerstörendem und Privatlebenangriffstrojans bekannt an beiden Enden des grossen Iron/PC Spektrums für viele Jahre. Jedoch haben neue Jahre mehr Kreuz-Düngung gesehen.

Zerstörendes Trojans

Trojans dessen Hauptzweck zerstörend ist, haben lang Mikrocomputerinhaber gequält. Die schmutzige Dutzend Liste, zuerst veröffentlicht über FidoNet in der Mitte der 80iger Jahre, ursprünglich gerichtet auf solche Programme und auf einmal die Liste definierten ein Trojan in zweckmäßiger Beschädigung ausgedrückt. Selbstverständlich wuchs die Liste schnell aus das ursprüngliche Dutzend Trojans heraus und lief eine Anzahl von Änderungen durch die achtziger Jahre und die neunziger Jahre durch. Es konnte möglich noch sein, sie auf einigen Simtel Spiegelbedienern in der DOS/virus Verzeichnishierarchie zu finden, aber sie ist wirklich nur vom historischen Interesse. Altes Trojans der Art verzeichnete im Allgemeinen in DIRTYD*.ZIP sind fast unveränderlich kurzlebig.

Böswillig, Programme nicht-wiederholend sind auch berichtete weit über Macintosh comput ers gewesen, einschließlich zerstörendes Trojans. Virus-Info, das behauptet wurde, um Virusinformationen zu enthalten aber trashed wirklich, Scheiben. (es sollte nicht mit dem informierenden [ aber obsolescent ] HyperCard Stapel Virus-Hinweis verwirrt werden.) Eine Postskriptumkerbe, die bestimmte Apple Drucker unbrauchbar effektiv machen könnte, indem es auch Mikroprogrammaufstellung in Angriff nahm, regte viel Interesse auf einmal auf. NVP änderte die System tem Akte, damit keine Vokal geschrieben werden konnten, und wurde ursprünglich gefunden, als neuer Blick masquerading, der die Anzeige neu entwarf. Vor kurzem, zerstörenderes und Privatlebenangriffs-, kompiliertes AppleScript Trojans sind gemerkt worden.

Jedoch ist die Sozialauswirkung von solchem Trojans häufig disproportional zu ihrer Auswirkung in tatsächlichen Ereignissen ausgedrückt. Da sie nicht, Selbst-wiederholen Sie, anders als Viren und Endlosschrauben, sind sie weniger wahrscheinlich, von den dritten Parteien des Unschuldigs verbritten zu werden. Sie neigen, grob programmiert zu werden. Einfache Reihe Akten mit DEL, DELTREE oder FORMAT sind noch das Common, manchmal kompiliert in eine EXE Oder COM Akte mit einem Reihe-Akte Compiler wie BAT2COM. Dieses bildet sie härter zu kennzeichnen. Trojans sind normalerweise direkte Tätigkeit, d.h. sobald ein Trojan durchgeführt wird, tut es seine ganze Beschädigung, sofort, das dieses gegen ihr verbreiten von den vorhergehenden Opfern spricht. Es gibt jedoch Residenttrojans, das sich anbringen, damit sie während jedes rechnenden Lernabschnittes laufen gelassen werden. Häufig sind diese mit Tätigkeiten wie Kennwortdiebstahl. Jedoch maximiert jedes mögliches Trojan dessen Nutzlast nicht sofort und offenkundig böswillig ist, seine eigenen Wahrscheinlichkeiten von an überschritten werden.

Es hat mindestens zwei Versuche gegeben, weg von Trojans als Aufsteigen zu überschreiten PKZip, das allgemein verwendete Akte Kompression Dienstprogramm. Ein neues Beispiel war die Akten PKZ300.EXE und PKZ300B.ZIP stellte für das Downloading auf bestimmten Internet-Aufstellungsorten zur Verfügung.

Ein früheres Trojan führte sich weg als Version 2.0. Aus diesem Grund haben PKWare nie eine Version 2.0 von PKZip freigegeben: vermutlich wenn sie überhaupt eine andere DOS Version (unwahrscheinlich, an diesem Datum, meiner Meinung nach) freigeben, wird es nicht Version 3.0(0) numeriert. [ tatsächlich, ist die neueste Version 2.50 zur Zeit des Schreibens. ]

Tatsächlich, gibt es kaum alle mögliche bekannten Fälle von jemand, das downloadet und durch dieses Trojan geschlagen wird, das wenige Leute gesehen haben (zwar ermitteln die meisten hochwertigen Virusscanner es). Insoweit ich weiß, wurde dieses Trojan nur überhaupt auf die warez Bediener gesehen (spezialisierend auf pirated Software).

Es gibt notierte Fälle einer Fälschung PKZIP gegen. 3 gefunden angesteckt mit einem realen in-d-wilden Akte lebhaftvirus, aber dieses ist auch sehr selten. Zum besten meines Wissens, ist die neueste Version von PKZip 2.04g [ jetzt 2.50 ] oder 2.50 für Windows [ jetzt 2.60/2.70 ].

Es gab eine Version 2.06, die spezifisch für IBM nur internen Gebrauch zusammengefügt wurde (bestätigt durch PKWare). Wenn Sie es in der Zirkulation finden, vermeiden Sie sie. Es ist entweder unerlaubt oder eine möglicherweise zerstörende Fälschung.

Der neue Hautausschlag von resuscitated Warnungen über dieses ist mindestens im Teil ein Hokuspokus. Es ist nicht ein Virus, es ist ein Trojan. Es nicht (und könnte nicht), beschädigt Modem, V32 oder anders, obwohl ich annehme, daß ein Virus oder ein Trojan die Einstellungen eines Modems ändern konnten,—wenn es geschah, eingeschaltet zu sein und anschloß….

Es scheint, Akten zu löschen, Scheiben nicht unwiderruflich zu zerstören.

Es ist zweifellos eine gute Idee, die Akten zu vermeiden, die behaupten, PKZip gegen zu sein. 3, aber die reale Gefahr rechtfertigt kaum die Bandbreite, die dieser Alarm besetzt hat.

Warum ist es eine interessante Vorgeschichte? Für eine Sache ist das Thema des Angriffs ein typisches Ziel für ein zerstörendes Trojan, das sich weg führt, da etwas es nicht ist. PKZip ist ein populäres und sehr nützliches shareware Dienstprogramm. Vor kurzem ist es eher durch andere Dienstprogramme mit dem gleichen Kompression Format überschattet worden, das erklären konnte, warum PKZip ein weniger attraktives Ziel für Trojanization heutzutage ist. Im folgenden spielen wir zu einem ähnlichen Dienstprogramm für den Mac an dessen Identität auch entwendet wurde, um unvorsichtige Opfer in das Laufen lassen eines imposter Programms anzulocken.

Zweitens war es ein nachgemachtes Programm, das nicht bemühte, das Aussehen oder die Funktionalität des Programms anzunehmen, dessen Identität es behauptete. Dieses ist von der direkten Tätigkeit, zerstörendes Trojans, aber nicht eine definierende Eigenschaft charakteristisch.

Drittes und am interessantesten, wurde ein Programm, das sehr wenige Leute überhaupt sahen, eine Hauptbeeinträchtigung wegen der Zahl Leuten, die auf "empfingen und überschritten, semi-hoaxified" das Warnen über das Trojan. Tatsächlich war die Auswirkung des Kettenbriefs ernster, als das Trojan selbst überhaupt wahrscheinlich war zu sein. (dieses ist eine nicht seltene Nebenwirkung der direkten Tätigkeit Trojans, aber es zeigt selten solche großartige Auswirkung.) an

Durch semi-Hokuspokus beziehen uns wir auf einen irreführenden Alarm, der auf einem realen Virus oder einem Trojan basiert, aber in, welches genügend Fehlinformation eingeführt worden ist, um es zu machen zu ungenau, nützlich zu sein. Wir sollten hier zwischen einer Anzahl von Möglichkeiten vermutlich unterscheiden:

• · Ein Alarm basiert auf realer böswilliger Software, aber zu ungenau, um nützlich zu sein. (viele Virusalarme überschritten an bis zum Nichtexpertefall in diese Kategorie.)
• · Ein Alarm basiert auf realer böswilliger Software, aber durch die Fehlinformation weniger nützlich gemacht basiert auf unvollständigem Verständnis der relevanten Technologie. Sogar können kenntnisreiche Einzelpersonen solch eine Ungenauigkeit in einen Alarm unbeabsichtigt vorstellen.
• · Ein Alarm basiert auf realer, böswilliger Software, aber durch die Einleitung des absichtlich irreführenden Materials, der Übertreibung oder der kompletten Herstellung von Attributen und von Potential für Beschädigung ungültig erklärt.

Nicht ist eine Warnung irgendeine ein Hokuspokus oder nicht ein Hokuspokus? Ich denke nicht. Die Absicht zum Hokuspokus (oder zum Mangel an ihm) konnte absolut, aber die Mischung der Tatsache und Erfindung sein ist alltäglich in den Hokuspokussen, in denen Tatsache nebensächliche Unterstützung zu einer im Wesentlichen fiktiven Behauptung verleiht.

Spätem 1997 wurde eine gefälschte Version von Stuffit Deluxe verteilt. (Stuffit ist ein ein anderes populäres archivierendes Werkzeug, das hauptsächlich auf Macs. benutzt wird) Während der Installation wurde das Programm Lösch-Taste System Akten. Aladdin Systeme, Hersteller von Stuffit, gaben weitverbreitete advisories über das Trojan zu der Zeit heraus.

Böswilliges Trojans auch bekannt zur Maskerade als Anti-Virus Software.

Ein sehr gut bekanntes Trojan, das Sabotage kombinierte und Erpressung das PC CYBORG Trojan Horse war oder AIDS Trojan. 1989 wurden ca. 10.000 Kopien einer AIDS-Informationen Diskette in Europa, in Afrika, in Skandinavien und in Australien, viele zu den medizinischen Einrichtungen verteilt. Nachdem das Programm und Durchlauf angebracht wurde, verschlüsselte ein verstecktes Programm die Festplatte nach einer Satzanzahl von Neuladen. Die Idee war, daß das Opfer eine "Lizenzgebühr" PC Cyborgs zur panamesischen Adresse würde schicken müssen, um den Dekodierungschlüssel zu erhalten. Glücklicherweise knackte ein Virusforscher in Großbritannien die Verschlüsselung.

PrivatlebenAngriffstrojans

Privatlebenangriffstrojans führen im Allgemeinen irgendeine Funktion durch, die zu den lebenswichtigen und privilegierten Informationen des Programmierers über ein System oder anders Kompromisse aufdeckt, die System. Kennwörter sind, aus offensichtlichen Gründen, ein sehr allgemeines Ziel.

Sie Dose auch (oder anstatt) verbergen irgendeine Funktion, die irgendein zu den lebenswichtigen und privilegierten Informationen des Programmierers über ein System oder Kompromisse aufdeckt, die System.

Einige Anti-Virus Firmen haben zwischen PC-SPEZIFISCHEM Privatlebenangriffstrojans und zerstörendem Trojans unterschieden, indem sie den Gebrauch von der Bezeichnung Trojan zu den zerstörenden Programmen einschränkten. Sie verwenden die Bezeichnung Kennwort stealers für die allgemeinsten Privatlebenangriffsprogramme. Zur Hälfte letzte der neunziger Jahre, die Programme spezifisch für AOL Benutzer schien Kennwort-zu stehlen, sehr allgemein zu werden (einige Schätzungen an der Zahl solchen Programmen stiegen zu vielen Hunderten). Etwas Anti-Virus Software benutzt einen APS Bezeichner für solche Programme und vermutlich steht für AOL Kennwort Stealer. Jedoch ist AOL nicht und war nie der einzige verletzbare Service. In ihrem Papier, in dem ist es Rauch gibt, dort Spiegel, Sarah Gordon und David Schach beschreiben, Benutzersimulationen auf AOL über einen siebenmonatlichen Zeitraum laufen zu lassen. Während Versuche, ihre Attrappe zu gewinnen gebildet wurden, users'screen Kennwörter, diese Versuche im Allgemeinen verwendeten direkten Sozialtechniktechniken durch die Korrespondenten, die als AOL Stab, anstatt indirekt mit verstohlenen Programmen des Kennwortes masquerading sind.

Hintertür Trojans

Trojans haben, von Zeit zu Zeit, errichtet in den gesetzmaßigen Anwendungen. Ken Thompson beschreibt in den Reflexionen auf dem Vertrauen des Vertrauens eine Anzahl von interessanten (nicht völlig hypothetischen) Drehbüchern, das berühmteste Sein das Trojanized Compilerdrehbuch. In diesem Fall bietet Produktion Software den Mitteln des privilegierten Zuganges zu jedermann das Wissen der Hintertür oder des trapdoor an, die beschrieben werden.

Hintertüren und die trapdoors, die nicht autorisierten Zugang anbieten (und möglicherweise Änderung) sind nicht die einzigen Fälle des nicht autorisierten Codes eingeführt in gesetzmaßige Programme, jedoch. Viele Macinhaber, die eine bestimmte Marke der third-Partei Tastatur mit einem Trojan kauften, hardcoded in ROM Span fanden, daß der Text "Willkommen Datacomp" in ihre Dokumente in anscheinend gelegentlichen Abständen eingesetzt wurde. PC Motherboards mit einem Trojanized BIOS wurden durch "alles Gute zum Geburtstag gekennzeichnet", das durch den System Lautsprecher an der Aufladung-oben, anscheinend auf dem Geburtstag des Programmierers gespielt wurde.

Fernzugriff-Werkzeuge (Ratten)

Obwohl wenige Anti-Virus Verkäufer behaupten würden, alles bekannte Trojans zu ermitteln, am meisten ermitteln Sie mindestens einiges auf den Plattformen, für die sie Produkte haben, besonders jenen Trojans, das Beschädigung verweisen. Fernzugriff-Werkzeuge (Ratten) wie Netbus und rückseitige Öffnung spreizen jedoch eine Linie zwischen der gesetzmaßigen Systeme Leitung (ähnlich der überall durchgeführt durch Programme wie PC) und verborgenem nicht autorisiertem Zugang. Wenn der System Inhaber überzeugt wird, das Installation Programm laufen zu lassen, wird ein Bedienerprogramm angebracht, das von einem Klient Programm über eine Remotemaschine ohne das Wissen des Benutzers erreicht werden kann. Der Bediener wird benutzt, um die Opfermaschine zu manipulieren.

Funktionell, konnte es keinen Unterschied zwischen einer RATTE und einem "gesetzmaßigen" Werkzeug geben. Der Unterschied liegt nicht in der Funktionalität, aber in der Erleichterung der verborgenen Verwendbarkeit dieser Funktionalität zu nicht autorisierten Einzelpersonen. Wie mit Sauganlegern und Netzscannern, ist es nicht, was das Programm soviel tut, während der Grund es verwendet wird. Noch, wenn die RATTE-Software bereitwillig angebracht wird, das System zu einem Angriff öffnend der Benutzer nicht, erwartet das bildet es ein Trojan? Das Verwenden von von Microsoft Word bildet auch den Benutzer verletzbar zu den Angriffen, die er nicht vorweggenommen haben konnte. Es war, verwirklichten zum Beispiel buchstäblich Jahre vor einigen Computerbenutzern, daß das das Verwenden von von Versionen des Wortes und anderer Microsoft Office Anwendungen, die Makrosprachen stützen, sie verletzbar zu den Makroviren und zu Trojans bildete. Bildet das Bill Gates einen Trojan Autor? Nr., weil die Funktionalität in diesem Fall auch generalisiert wird, als Hintertür beschrieben zu werden. Jedoch kann eine RATTE, die seine Anwesenheit zu einem Hacker überträgt, der eine charakteristische Strecke der Portzahlen prüft, als Hintertür Trojan zweifellos beschrieben werden. Sie fördert die Absichten des Autors und stürzt die Erwartungen des Opfers um.

Dieses ist eine ernste Ausgabe—nicht wenige dadurch, daß die "schlechten Kerle" häufig zu den Fehlern der gesetzmaßigen Software anspielen (besonders Microsoft) als ob unvorhergesehene Wanzen im Büro ihre eigenen vorsätzlichen Tätigkeiten rechtfertigten.

Nichtsdestoweniger haben einige RATTE-Autoren diese ambivalenz ausgenutzt, indem sie "professionelle" Versionen solcher Software produzierten und für sie aufluden. Dieses erlaubt den Autoren, sich vom Anti-Kapitalisten, Antikonkurrenzverhalten zu beschweren der Sicherheit Verkäufer, die ihr Programm als Trojan ermitteln (oder, alle zu häufig und ungenau, ein Virus). Es funktioniert, auch. Einige Anti-Virus Verkäufer haben Abfragung der professionellen Version von Netbus, trotz des murkiness seiner Vorgeschichte und seines fortfahrenden Potentials für Fehlanwendung fallengelassen. Andere sind von ihrer Weise, zwischen Standardnetbus Proinstallationen und Trojanized Installationen zu unterscheiden erloschen.

Tropfenzähler

Ein Tropfenzähler ist ein Programm, das nicht selbst ein Virus ist, aber soll ein Virus anbringen. Neugierig die populäre Verbindung von Trojans und von Viren gegeben, sind Tropfenzähler ein verhältnismässig seltener Eingang für Viren im wilden. In der PC Welt sind Tropfenzählerprogramme mit dem Transportieren der Aufladung Sektorviren über Netzen am allgemeinsten verbunden und können für diesen Zweck von den Pro- und Anti-Virus Forschern verwendet werden. Sie können als benutzt werden verborgene Mittel des Einführens eines Virus auf ein System, wenn das Opfer durch Sozialtechniktechniken überzeugt werden kann, das Tropfenzählerprogramm laufen zu lassen.

Tropfenzähler sind überraschend häufig in der Macwelt, zwar benutzt worden. Das MacMag Virus wurde über einen HyperCard Stapel eingeführt, der New Apple Produkte genannt wurde. Das Tetracycle Spiel wurde in der ursprünglichen Verbreitung von MBDF impliziert. ExtensionConflict soll Konflikte zwischen Verlängerungen kennzeichnen (jetzt gibt es eine Überraschung), aber bringt das SevenDust Virus an. werden SevenDust und MBDF noch in auffangen berichtet. Zurück in der PC Welt, muddied der rote Mannschaftalarm das Wasser, indem er einen Virustropfenzähler behauptet, um eine Verlegenheit für ein Virus zu sein anbrachte, das nicht und nicht vielleicht bestehen könnte.

Witze

Witzprogramme sind fast so alt wie rechnend. Ein venerable Beispiel ist das PDP Plätzchenprogramm, das oben knallte und das Opfer um ein Plätzchen bat. PC und Macbenutzer sind lang durch solche Programme erfreut worden oder gereizt worden. Durcheinander hat entstandenes wegen der Gewohnheit von Anti-Virus Software des Alarmierens (das Wortvirus verwendend) nicht nur auf Viren und Trojans, aber auf Witzprogrammen wie CokeGift. Dieses weit verteilte Programm bietet dem Opfer ihren CD-Behälter als Halter für ihr fizzy Getränk an (oder vielleicht weißes Puder für nasale Einnahme oder kohlestoffhaltigen Fossilbrennstoff). Nett für einiges, nicht genau reizend für andere, aber lebensbedrohend. Jedoch konnte die Praxis des Alarmierens auf Witzprogrammen in Erwiderung auf angenommene Witzprogramme entstanden sein, die bedrohen, Scheiben zu formatieren, oder behauptet, so getan zu haben, aber bildet keinen solchen tatsächlichen Versuch. In der Tat hat es über Fälle wenn, was ein Verkäufer als Trojan berichtet hat, ein anderer Verkäufer gegeben, der als Witz berichtet wird.

Bomben

Logikbomben sind böswillige Programme, die ihre Nutzlast durchführen, wenn ein vorprogrammierter Zustand getroffen wird. Wenn der Triggerzustand eine Zeit oder ein Datum ist-, kann die Bezeichnung Zeitbombe benutzt werden. Eine Abschaltung ist eine Logikbombe, die manchmal benutzt wird, um Vertrag Bezeichnungen zu erzwingen. Charakteristisch stoppt das Programm zu laufen, es sei denn etwas Maßnahmen ergriffen werden, um anzuzeigen (zum Beispiel) daß die Lizenzgebühr gezahlt worden ist, oder die Fremdfirma, die den Code schrieb, ist gezahlt worden. Sie ist nicht unbekannt, damit eine Fremdfirma mehr drastische ausgelöst zu werden einführt Zeitbombe,, wenn eine Debatteüberzahlung entsteht.

Der Gebrauch der Wortbombe schlägt eine zerstörende Nutzlast vor, aber dieses brauchen nicht ist tatsächlich der Fall. Postbomben und Subskription Bomben sind DOS (Ablehnung-von-Service) die Angriffe, die das Opfer belästigen sollen, indem sie seinen oder Briefkasten mit einem Schwall von Post zerschlagen. Häufig wird dieses getan, indem man das Opfer zu vielen Postsendunglisten unterzeichnet. Email Trojans bestehen zweifellos, obgleich email häufiger ein Infektionvektor für Viren und Endlosschrauben ist.

Das Bezeichnung ANSI bombardieren sich bezieht normalerweise eine Postanzeige oder auf andere Textakte, die Nutzen aus einer Verbesserung zum Treiber des MS-DOS ANSI.SYS zieht. Dieses erlaubt, daß Schlüssel mit einer Entweichenreihenfolge in diesem Fall neu definiert werden um irgendeinen möglicherweise zerstörenden Befehl zur Konsole widerzuhallen. Solche Programme waren auf einmal berichteten ziemlich häufig über Fidonet. Jedoch heutzutage lassen wenige Systeme Programme laufen, die ANSI Terminalemulation erfordern, und ANSI.SYS wird nicht normalerweise in Windows 9x oder später angebracht.

Es gibt Alternativen zu ANSI.SYS, die nicht Tastaturneudefinition stützen, oder erlauben, daß sie abgestellt wird.

Rootkits

Ein rootkit ist ein Beispiel eines Satzes von trojanized Systemprogramm, daß ein Eindringling, der Wurzel-Kompromiß ein System handhat, sein konnte, für die commands'standard Äquivalente zu ersetzen. Beispiele schließen geänderte Versionen der Dienstprogramme wie Oberseite und ps ein und lassen ungesetzliche Prozesse unbemerktes laufen lassen; Dämonen geändert, um sich Maschinenbordbucheintragungen zu vergleichen oder Anschlüsse zu verstecken; Dienstprogramme gimmicked, um Eskalation zu ermöglichen, Privilegien zu verwurzeln oder rootkit Teilakten oder andere heimliche Funktionalität (die geheimen Kennwörter, zum des privilegierten Zuganges zu erlauben, zum Beispiel) zu verstecken. Verbundene Programme schließen die Paketsauganleger und utmp/wtmp Herausgeber mit ein (benutzt, um Maschinenbordbuchakten zu behandeln).

Rootkits bestehen für eine Anzahl von Aromen von UNIX und erscheinen in den NT Versionen. Jedoch sind one-off Trojanized Versionen von LOGON (das heißt, die Versionen eingeschlossen nicht in einer Suite von Programmen wie einem rootkit) zum Beispiel verwendet worden um Kennwörter zu ernten da Pontius, das im PILOTEN programmiert wird.

Sarah Gordons Papierpublikation von Verwundbarkeit und von Werkzeug (Verfahren der Twelfth Weltkonferenz auf Computer Security, Audit und Control, 1995) schließt eine technische Analyse einiger rootkit Bestandteile ein.

DDoS Mittel

DDoS (verteilter Ablehnung-von-Service) Werkzeuge mögen Stacheldraht, TFN2K, und Trinoo sind Trojans, das mit einem sehr spezifischen Zweck entworfen ist. Sie sollen Internet-Bediener senken, indem man entfernt Paket-Überschwemmung Angriffe von den mehrfachen Maschinen koordiniert. Gewöhnlich steuert der Eindringling eine Anzahl von Vorlagenmaschinen. Diese steuern der Reihe nach Dämonen auf Remotemaschinen. Verborgen angebracht, wird ihre Anwesenheit häufig durch die Installation von rootkits verborgen. Dämonen können auf viele Hunderte der Remotemaschinen, alle verweisenüberschwemmungangriffe am Opfersystem angebracht werden.

Die Installation und das Vorhandensein eines DDoS Angriff Werkzeugs können mit den gleichen Mitteln wie anderes malware ermittelt werden. Das heißt, Anerkennung einer spezifischen Suchzeichenkette (bekannt etwas Abfragung), der heuristischen Abtastung und der Änderung Abfragung. Virusscanner ermitteln normalerweise bekannte DDoS Werkzeuge. Netzverkehr kann für Eigenschaften wie IP Pakete mit überwacht werden spoofed Quelladressen. Eindringenabfragung Systeme können zusammengebaut werden, um auf die Muster abzulichten, die von den Kommunikationen zwischen Vorlagen-Software und Dämon-Software charakteristisch sind.