Neues Hacker-Tool umgeht Intrusion Detection

Beim Sicherheitskongress Cansecwest in Vancouver während der vergangenen Woche hat ein Freizeit-Hacker mit dem Nickname „K2“ ein Tool vorgestellt, das konventionelle Intrusion Detection Systeme aushebeln könnte. Die Software maskiert die kleinen Programme, die Hacker brauchen, um in ein Netzwerk eindringen zu können. „Vertrauen Sie mir, das wird jegliche Mustererkennung über den Haufen werfen“, sagte K2, der seinen echten Namen nicht nennen wollte, weil er auch als Sicherheitsconsultant tätig ist.

Wird ein Sicherheitsloch in einem Unternehmensnetzwerk entdeckt, finden Hacker normalerweise mehrere Möglichkeiten, daraus Kapital zu schlagen. Um mit diesen Angriffen Schritt zu halten, nehmen die Hersteller von Intrusion Detection Systemen solche wunden Punkte in ihre Software mit auf und updaten die Programme. Doch dieses Gleichgewicht von Angriff und Verteidigung könnte laut K2 jetzt aus den Fugen geraten. Mit einer polymorphes Codieren genannten Technik könnten Angreifer die Struktur der Programmierung eines Angriffstools so ändern, dass zahlreiche der Intrusion Detection Systeme ausgetrickst werden könnten – ohne dass die Brisanz des Angriffs-Tools verloren ginge. „Auf diese Art und Weise kriegt das System von den Sicherheitslücken gar nichts mehr mit“, so K2.

Die Reaktionen der Sicherheits-Consultants auf das Tool waren gemischt: Einige spielten die Technik als typische Episode aus dem Kampf von Hackern gegen Sicherheits-Spezialisten herunter. „Intrusion Detection ist ein Wettrennen“, sagte der Erfinder des populären Systems Snort, Martin Roesch. „Da geht es um Maßnahme – Gegenmaßnahme.“ Roesch hat bereits damit begonnen, Snort gegen Tools wie das von K2 zu wappnen. „Wir werden nicht mehr nach einer einfachen Signatur suchen dürfen, sondern stark differenzierende Regeln aufsetzen“, so der President von Sourcefire, Roesch.

Trotzdem befürchten andere Sicherheitsexperten dass Hacker in der Zeit, die die Hersteller von Intrusion Detection Systemen brauchen, um ihre Software upzudaten, einen Mordsspass haben werden: „Falls K2s Code von vielen Leuten übernommen wird, könnte uns das wirklich Kopfschmerzen bereiten“, so der Abteilungsleiter der Sicherheits-Consultants Neohapsis, Greg Shipley. Der Veranstalter der Cansecwest-Konferenz, Dragos Ruiu nannte das Programm nur einen vorübergehenden Rückschlag für die Hersteller von Intrusion-Detection-Systemen. Doch selbst K2 glaubt nicht an einen schnellen Erfolg seines Systems: „Es ist keine eigentliche Script Kiddie-Anwendung“, so der Teilzeit-Hacker. „Man braucht schon einiges an Wissen dazu und solche Leute finden Sicherheitslücken ganz von selber.“