Die komplette Wahrheit über Viren & Co.

Mittwoch, 15. März 2023

Das Problem, mit dem wir uns in der heutigen Ausgabe auseinandersetzen möchten, ist nicht neu, aber immer noch aktuell – Infizierung der Hosts-Datei. Eine von uns durchgeführte Umfrage hat gezeigt, dass die Infektion der Hosts-Datei eine der häufigsten Bedrohungen ist, mit denen unsere Nutzer konfrontiert werden. Sie haben wohl von dieser Datei gehört. Sie befindet sich in einem der Windows-Systemordner und ist ein Leckerbissen für Cyberkriminelle. Einige Nutzer wissen, welche Gefahren diese scheinbar harmlose Datei bergen kann. Die meisten Nutzer ahnen aber nichts davon. Falls Ihr Antivirus die Bedrohung DFH.HOSTS.corrupted oder Trojan.Hosts (je nach Antivirushersteller) meldet, sollten Sie wissen, worum es sich dabei handelt.

Eine Hosts-Datei gibt es nicht nur in Windows, sondern auch in anderen Betriebssystemen. In allen Betriebssystemen führt sie die gleichen Funktionen aus. Vor langer Zeit, als die ersten Computernetzwerke entwickelt wurden, sorgte diese Datei für den störungsfreien Betrieb eines Computernetzwerks. Heutzutage interagieren Nutzer selten direkt mit dieser Datei. Die Datei ist zwar vorhanden, aber deren Nutzung ist seit langem nicht mehr erforderlich. In der Regel befindet sich die Hosts-Datei im Betriebssystem während dessen gesamten Lebenszyklus, ohne geändert zu werden.

Doch das ist nicht immer der Fall. Manchmal wird sie von Cyberkriminellen für Netzwerkangriffe genutzt. In unserem Projekt haben wir bereits über das DNS-Spoofing, Man-in-the-Middle-Angriffe und Infektionen privater Router geschrieben. Alle diese Hacking–Verfahren dienen dazu, den Nutzer an eine falsche IP-Adresse umzuleiten. Zu diesem Zweck werden auch modifizierte (infizierte) Hosts-Dateien verwendet.

Wie funktioniert diese Datei und wozu dient sie? Gehen wir auf diese Fragen ein. In Computernetzwerken, in denen Daten über das TCP/IP-Protokoll übertragen werden, werden bei der Übermittlung von Datenpaketen IP-Adressen genutzt. Jedem Netzwerkknoten (Server oder Client) wird eine IP-Adresse zugewiesen. Die IP-Adresse von drweb-av.de ist z.B. 213.79.65.36. Stellen Sie sich vor, dass Sie diese Adresse eingeben müssen, um die Website aufzurufen. Nicht einfach. Vor allem, wenn man bedenkt, dass wir Dutzende von Websites täglich besuchen. Um IP-Adressen (für Computer verständliche Namen) in für Menschen verständliche Namen umzuwandeln, wurde das Domain-Namen-System (DNS) entwickelt. Das DNS ermöglicht es einem Computer, die IP-Adresse anhand eines Domain-Namens zu ermitteln und die Netzwerkanfrage an den entsprechenden Host zu senden.

Vor der Entwicklung des DNS war die Hosts-Datei die einzige Datenbank, die Informationen zur Umwandlung von Domain-Namen in IP-Adressen und umgekehrt enthielt. Heutzutage erfüllen DNS-Server und entsprechende lokale Dienste diese Funktion. Wenn Sie den gewöhnlichen Namen einer Website (z.B. drweb-av.de) in der Adresszeile eines Webbrowsers eingeben, weiß dieser nicht, an welchen Host Ihre Anfrage gesendet werden soll. Um dies zu ermitteln, ruft er den DNS-Client auf Ihrem Computer auf. Und hier beginnt der Zauber.

Um die IP-Adresse zu ermitteln, werden folgende Quellen in der folgenden Reihenfolge abgefragt:

1. Hosts-Datei
2. Cache auf Ihrem Computer
3. DNS-Server, der in den Einstellungen des Netzwerkadapters angegeben ist

Wie Sie sehen, dient die Hosts-Datei dazu, zu ermitteln, welche IP-Adresse einem bestimmten Domain-Namen zugeordnet ist. Besonders wichtig ist, dass die Hosts-Datei als erste abgefragt wird und Vorrang vor Ihrem Cache und dem DNS-Server hat. Wenn der gesuchte Eintrag in der Hosts-Datei fehlt, leitet der DNS-Dienst die Anfrage weiter. Daher ahnen viele Nutzer nicht einmal, dass es eine Hosts-Datei gibt. Noch interessanter wird es, wenn der gesuchte Eintrag in der Hosts-Datei gefunden wird.

Da diese Datei die höchste Priorität hat, kann ihre unbefugte Änderung schwerwiegende Folgen haben. Alle Anwendungen, einschließlich Webbrowser, senden ihre Anfragen an bestimmte IP-Adressen anhand der in der Datei angegeben Einträge. Cyberkriminelle könnten den Namen einer harmlosen Website der IP-Adresse einer betrügerischen Website zuordnen, um einen Phishing-Angriff durchzuführen. Zu diesem Zweck können auch einige Trojaner die Hosts-Datei modifizieren. Außerdem könnte diese Datei für die Durchführung von Man-in-the-Middle-Angriffen verwendet werden. Es gibt viele verschiedene Angriffsszenarien.

Durch die Änderung der Hosts-Datei kann Zugriff auf eine Website oder einen Netzwerkknoten gesperrt werden. Dazu wird einem Domain-Namen die lokale Adresse des Computers localhost (127.*.*.*., in der Regel 127.0.0.1) zugewiesen. In diesem Fall ruft der Computer beim Versuch, eine Verbindung mit dem Host unter diesem Domain-Namen herzustellen, sich selbst auf. Dieser Trick wird unter anderem in illegalen Aktivierungsdateien verwendet, um den Zugriff auf den Aktivierungsserver zu sperren.

Natürlich erfüllt die Hosts-Datei auch andere Funktionen. Z.B. ermöglicht sie es, die Namensauflösung innerhalb eines lokalen Netzwerks zu konfigurieren. Dies gehört in der Regel zum Aufgabenkreis eines Systemadministratoren und in dieser Ausgabe werden wir nicht darauf eingehen.

Die Modifikation der Hosts-Datei kann also die Sicherheit des Computers gefährden. Wie schützt ein Antivirus vor dieser Bedrohung? Wir möchten einige Schutzmechanismen beschreiben, die in Dr.Web Security Space für Windows verwendet werden. Die Komponente „Präventivschutz“ überwacht Zugriffsversuche auf die Hosts-Datei. Der Dr.Web Scanner erkennt Änderungen und desinfiziert die Datei bei Bedarf. Diese Schutzkomponenten arbeiten unabhängig voneinander. Standardmäßig sperrt die Komponente „Präventivschutz“ den Zugriff auf die Hosts-Datei und schützt diese vor Änderungen, unter anderem durch den Nutzer. Falls die Hosts-Datei noch vor der Installation des Antivirus oder während dessen Deaktivierung modifiziert wurde, erkennt Dr.Web die Infektion und desinfiziert die Datei. Desinfiziert werden Einträge, die den Zugriff auf eine Website oder einen Host blockieren, indem sie Anfragen an localhost weiterleiten.

Dank der Komponente „Präventivschutz“ werden sogar Änderungen durch unbekannte Trojaner verhindert. Auch wenn der Nutzer die Hosts-Datei vom Scan durch diese Komponente ausschließt oder eine Anwendung, die zur Modifizierung der Datei dient, zur Liste vertrauenswürdiger Anwendungen hinzufügt, erkennt Dr.Web trotzdem Sperreinträge in der Datei und desinfiziert diese bei Bedarf. Dieser Ansatz sorgt für Rundumschutz und erhöht das Sicherheitsniveau des Systems. Wie oben erwähnt, wird die Hosts-Datei nur selten von einfachen Nutzern geändert. Versuche, die Datei unbefugt zu modifizieren hingegen, kommen sehr häufig vor. Daher sollte ein sicherer Schutz Vorrang vor Handlungsfreiheit haben.