Feldstudie.net

Vollständiges Speicherabbild unter Windows – Gehasst, verdammt, vergöttert

// September 22nd, 2010 // 2 Comments » // IT, Tutorials

Für das Debugging des Betriebssystems oder darauf laufender Anwendungen, kann es u.U. notwendig sein, ein vollständiges Speicherabbild erstellen zu lassen (bei Crash) oder selbst eines zu erstellen (beim Einfrieren der Anwendung / des OS).

Die Konfiguration für die Abbilder in Windows erreicht man über die Systemeigenschaften (Rechtsklick Arbeitsplatz / Computer > Eigenschaften oder über WIN+Pause). Unter dem Tab Erweitert > Starten und Wiederherstellen > Eigenschaften bekommen wir nun das Fenster angezeigt unter welchem man die Art der Debuginformationen einstellen kann.

Die drei möglichen Optionen

1. Kleines Speicherabbild
   Aufgrund der Größe des Speicherabbilds von 64K sind dort lediglich folgende Informationen enthalten:
   • Die Stop-Meldung, deren Parameter und weitere Daten
   • Eine Liste der geladenen Treiber
   • Den Prozessorkontext (PRCB) für den Prozessor, der angehalten wurde
   • Die Prozessdaten und den Kernelkontext (EPROCESS) für den Prozess, der beendet wurde
   • Die Prozessdaten und den Kernelkontext (ETHREAD) für den Thread, der beendet wurde
   • Die Kernelmodus-Aufrufliste für den Thread, der beendet wurde
2. Vollständiges Speicherabbild
   Hier wird der komplette Inhalt des Arbeitsspeichers in das Abbild geschrieben. So kann der Dump, abhänging von der Größe physikalischen Speichers, mehrere Gigabyte groß werden. Hier sind sämtliche Informationen zur Speichernutzung, laufenden Prozessen, Treibern, etc. enthalten, die einem eine erweiterte Analyse ermöglichen.
3. Kernelspeicher-Abbild
   Im Kernelspeicher-Abbild werden nur Informationen zum Kernel und des Hadware Abstraction Layer hinterlegt und ist damit deutlich kleiner als das vollständige Speicherabbild. Werden jedoch Informationen zu Programmen, etc. benötigt, ist dieses Abbild nicht ausreichend.

Standardoptionen für Abbildtypen

• Windows 2000 Professional: Kleines Speicherabbild (64 KB)
• Windows 2000 Server: Vollständiges Speicherabbild
• Windows 2000 Advanced Server: Vollständiges Speicherabbild
• Windows XP (Professional und Home Edition): Kleines Speicherabbild (64 KB)
• Windows Server 2003 (Alle Versionen): Vollständiges Speicherabbild
• Windows Server 2003: Kernelspeicher-Abbild

(more...)

Kaspersky Lab und Microsoft schließen gemeinsam neue Zero-Day-Sicherheitslücke von Stuxnet

// September 16th, 2010 // No Comments » // IT, Kaspersky, Security

Kaspersky Lab hat eine Zero-Day-Sicherheitslücke in Microsoft Windows gefunden und diese in Zusammenarbeit mit Microsoft erfolgreich geschlossen. Der in den letzten Wochen berühmt-berüchtigt gewordene Wurm Stuxnet (Worm.Win32.Stuxnet) ist ursprünglich ein Industriespionage-Tool. Er wurde entwickelt, um Zugang zum Siemens WinCC-Betriebssystem zu erlangen, das für Datensammlung und Produktionsüberwachung zuständig ist.

Seit seinem ersten Auftauchen im Juli 2010 haben IT-Sicherheitsexperten Stuxnet in seiner Vorgehensweise und seinen Einsatzmöglichkeiten genau analysiert. Hierbei konnten sie feststellen, dass Stuxnet nicht nur, wie anfangs beobachtet, LNK- und PIF-Dateien befällt, sondern zusätzlich vier weitere Sicherheitslücken in Windows nutzt. Ein derartiges Beispiel ist MS08-067: Diese Lücke wurde Anfang 2009 schon von dem berüchtigten Wurm Kido (Conficker) genutzt. Die anderen drei Sicherheitslücken waren zunächst noch unbekannt und bestehen in der aktuellen Version von Windows.

(more...)

Leichtsinnige Passwort-Verwaltung bietet Angriffsfläche für Cyberkriminelle

// January 11th, 2010 // 59 Comments » // IT, Kaspersky, Security

Mit dem Kaspersky Password Manager verwalten Anwender ihre Passwörter sicher, einfach und bequem

Moskau/Ingolstadt, 07. Januar 2010 – So gut wie jeder Internetanwender nutzt regelmäßig Dienste wie E-Mail, Instant Messaging, Online-Banking oder soziale Netzwerke, für die er sichere Passwörter benötigt. Da viele Anwender für diese Dienste die selben Passwörter verwenden, laufen sie Gefahr, dass ihre Daten beziehungsweise ihre Online-Identität von Cyberkriminellen missbraucht werden. Kaspersky Lab unterstützt Internetanwender mit seinem neuen Password Manager bei der Verwendung sicherer Passwörter und schützt digitale Identitäten.

Laut einer Studie von Microsoft [1] nutzt der durchschnittliche Anwender bis zu 25 Online-Dienste. In der Regel greift er pro Tag auf acht Online-Dienste zu, die eine Registrierung per Passwort verlangen. Viele Programme, einschließlich Web-Browser, speichern oft unbemerkt vom Nutzer persönliche Informationen, die so ein Einfallstor für bösartige Angriffe sind.

Der Kaspersky Password Manager gewährleistet die Sicherheit von Passwörtern, die beim Zugang zu Webseiten und Windows-Anwendungen verwendet werden. Das Programm speichert alle Passwörter, Benutzernamen und andere vertrauliche Daten in einer verschlüsselten Datenbank, auf die über ein Master-Passwort zugegriffen werden kann. Wurde das Master-Passwort eingegeben, werden per Mausklick automatisch der Benutzername und das Passwort in das entsprechende Login-Feld eingesetzt. Nutzer haben damit einfachen, schnellen und sicheren Zugang zu ihren Anwendungen. Zudem können sich Anwender auch über Bluetooth- oder USB-Anschlüsse sowie per Handy authentifizieren.  Die manuelle Eingabe des Master-Passworts wird so überflüssig.

(more...)

Kaspersky Internet Security 2010 ist Windows 7 ready

// October 22nd, 2009 // 1 Comment » // IT, Kaspersky, Security

Nach langer Betaphase ist die Kaspersky Internet Security 2010 auch Windows 7 ready. Der Download steht entweder über die Downloadseite von Kaspersky oder über Feldstudie.net zur Verfügung. Aufgrund der momentanen Nachfrage dieser Version, ist die letztere Möglichkeit evtl. die schnellere.

  Kaspersky Internet Security 2010 (70.1 MiB, 1,799 hits)

(more...)

Ausgeblendete Geräte im Windows Gerätemanager anzeigen

// June 11th, 2009 // No Comments » // IT, Tutorials

Sind Geräte, wie z.B. Drucker, Scanner, Festplatten, etc. nicht am PC angeschlossen, werden diese auch nicht im Gerätemanager angezeigt. Möchte man nun doch auf diese Geräte zugreifen, um z.B. diese zu deinstallieren oder die Treiber zu erneuern, können einige Änderungen vorgenommen werden, um wieder alle Devices anzeigen zu lassen.

Dazu muss man die Umgebungsvariablen etwas anpassen. Diese findet man in der Systemsteuerung unter System > Tab "Erweitert" und klickt dort auf den Button "Umgebungsvariablen". Unter Vista sind diese unter Systemsteuerung > System > "Erweiterte Einstellungen" (links) > Tab "Erweitern" > Button "Umgebungsvariablen".

Hier fügt man nun folgende Werte hinzu:

Devmgr_show_details=1
Devmgr_show_nonpresent_devices=1

In der DOS-Eingabeaufforderung gibt man nun die beiden folgenden Zeilen ein

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

Schneller geht es, wenn man den folgenden Code in eine Textdatei kopiert, diese mit der Endung .reg speichert und dann ausführt. Damit werden die Werte direkt in die Registry importiert.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment]
"Devmgr_show_details"="1"
"Devmgr_show_nonpresent_devices"="1"

(more...)

Windows Sicherheitscenter per Registry konfigurieren

// June 4th, 2009 // No Comments » // IT, Security, Tutorials

In seltenen Fällen kann es passieren, dass das Microsoft Security Center, welches die Eigenschaften der Firewall, des Anti-Virus und des Anti-Spy überwacht, die Meldungen von Drittanbieter-Software nicht richtig interpretieren kann und somit Falschmeldungen ausgibt.

Um die Überwachung der Komponenten zu deaktivieren, kann man einfach die Einstellungen über das Security Center konfigurieren. Möchte man das ganze jedoch scriptgesteuert ändern, empfehlen sich folgende Änderungen in der Registry:

bis Windows Vista: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center

ab Windows Vista: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc

Hier muss man den Wert "FirewallOverride" wie folgt ändern:

1 Firewall Überwachung ausschalten
0 Firewall Überwachung aktivieren

Hier muss man den Wert "AntiVirusOverride" wie folgt ändern:

1 Virenscanner Überwachung ausschalten
0 Virenscanner Überwachung aktivieren

Ab Windows Vista kann man zusätzlich noch den Wert "AntiSpywareOverride"Â wie folgt ändern:

1 Antispyware Überwachung ausschalten
0 Antispyware Überwachung aktivieren

Sind die Schlüssel nicht standardmäßig vorhanden können diese Angelegt werden. Der Datentyp ist REG_DWORD