Die meisten Malware-Varianten (um nicht zu sagen fast alle) müssen eine Verbindung zwischen dem Endgerät und ihrem Kontrollserver herstellen. Das bedeutet, dass wir mit den richtigen Werkzeugen diese Verbindung aufzeichnen können und Daten wie IP-Adresse, Hostname und den beteiligten Prozess erhalten. Wieder einmal hat der Entwickler Nirsoft ein kleines Programm namens TcpLogView, das automatisch jede Verbindung und ihre Nebendaten präsentiert.
Intuition kann eine gute Verbündete bei der Diagnose eines Computers sein. Auf den ersten Blick bemerken Sie vielleicht nichts Ernstes, aber es ist die Anhäufung von seltsamen Aktionen und „digitalen Wutanfällen“, die letztendlich eine Infektion offenbart. Ein guter Ausgangspunkt ist die Überwachung der Verbindungen, die ins Internet gehen.
Browser, Updatesysteme, Synchronisierungswerkzeuge und sogar Windows selbst erzeugen ständig Verbindungen, aber alle haben ein gewisses „Profil“, das sie von bösartigen Prozessen unterscheidet. Nun ist die Frage: Wie zeichnen wir diese Aktivität auf?
So überwachen Sie Ihre Verbindung
Die Antwort ist TcpLogView, ein weiteres fantastisches Tool von Nirsoft. Zunächst erscheint die Oberfläche leer, was den falschen Eindruck eines Fehlers erwecken kann, aber nach einigen Sekunden sehen Sie die ersten Einträge. Die Informationen sind in mehrere Spalten aufgeteilt, beginnend mit Datum und Uhrzeit des Ereignisses, dem Typ (Verbindung geöffnet oder geschlossen), lokale Adresse, entfernte Adresse, Hostname, Ports, Prozesskennung, der vollständige Name des Prozesses und der Pfad zu seinem Speicherort auf der Festplatte.
Die letzte Spalte löst das Land der IP-Adresse auf, erfordert jedoch einen zusätzlichen Download, der nicht unter der Kontrolle von Nirsoft steht. Wie immer hat TcpLogView keinerlei Abhängigkeiten, ist vollständig portabel und funktioniert in jeder Windows-Version ab Windows 2000.
Falls Windows die Ausführung aufgrund einer Berechtigungsbeschränkung blockiert, reicht es, Administratorrechte zu vergeben. Abschließend möchte ich die Möglichkeit erwähnen, den gesamten Inhalt in eine Text-, HTML-, CSV- oder XML-Datei zu exportieren, was sehr nützlich ist, wenn wir eine detailliertere Studie durchführen müssen.
