Informatyka śledcza · Linux

Reverse Shells forensisch rekonstruieren – Ausgehende Angreifer-Fernzugriffe forensisch nachweisen

Eine Reverse Shell ist eine von einem kompromittierten System aus aktiv aufgebaute Verbindung zu einem vom Angreifer kontrollierten Server, über die diesem eine interaktive Kommandozeile auf dem betroffenen System bereitgestellt wird.

Wysyłaj zapytanie bez zobowiązań

Da eine solche Verbindung vom kompromittierten System selbst ausgeht, kann sie mitunter einfacher perimeterbasierte Sicherheitsmaßnahmen umgehen, die primär eingehende Verbindungen kontrollieren.

Dlaczego LanCologne?

Od momentu powstania firma LanCologne zajmuje się przede wszystkim profesjonalną kryminalistyką informatyczną. Nasi pracownicy posiadają wieloletnie doświadczenie w dziedzinie technologii informacyjnych i wspierają przedsiębiorstwa, prawników, osoby prywatne, a także regularnie sądy w technicznym wyjaśnianiu złożonych spraw związanych z technologiami cyfrowymi.

Badanie przeprowadza się zasadniczo wyłącznie na kopii kryminalistycznej, obrazie kryminalistycznym lub źródle danych zarejestrowanym w sposób technicznie równoważny i zapewniający bezpieczeństwo dowodowe. Oryginalny dowód pozostaje niezmieniony i jest przechowywany w sposób zapewniający bezpieczeństwo dowodowe.

Nasze usługi

Wir untersuchen Systeme auf Hinweise für den Einsatz von Reverse Shells, rekonstruieren zugehörige Netzwerkverbindungen und Prozessaktivitäten und ordnen ausgeführte Befehle soweit möglich zeitlich zu.

Typowe obszary zastosowań

•Nachweis des Einsatzes einer Reverse Shell
•Rekonstruktion über eine Reverse Shell ausgeführter Befehle
•Identifikation der Zielinfrastruktur des Angreifers
•Bewertung des über die Verbindung erlangten Zugriffsumfangs
•Reagowanie na incydenty w systemach Linux
•Ekspertyzy sądowe i pozasądowe

So läuft eine Reverse-Shell-Untersuchung ab

Nach der Sicherung werden verfügbare Netzwerk- und Prozessartefakte auf Hinweise für ausgehende, atypische Verbindungen geprüft. Zugehörige auslösende Prozesse sowie eingesetzte Werkzeuge werden identifiziert und mit weiteren Systemartefakten zu einer zeitlichen Chronologie zusammengeführt.

Warum ist die Reverse-Shell-Untersuchung forensisch relevant?

Eine Reverse Shell stellt häufig den unmittelbaren, interaktiven Zugriffsweg eines Angreifers dar, weshalb ihre forensische Rekonstruktion zentrale Erkenntnisse über den Umfang und die Dauer eines Zugriffs liefern kann.

Die Kenntnis der vom Angreifer genutzten Zielinfrastruktur kann zudem für weitergehende Maßnahmen sowie für eine mögliche Zuordnung des Vorfalls von Bedeutung sein.

Najczęściej zadawane pytania

Wie unterscheidet sich eine Reverse Shell von einer klassischen Shell-Verbindung?+
Bei einer Reverse Shell baut das kompromittierte System die Verbindung aktiv zum Angreifer auf, statt dass sich der Angreifer aktiv auf das System verbindet.
Kann eine bereits beendete Reverse-Shell-Verbindung noch nachgewiesen werden?+
Sofern entsprechende Netzwerk-, Prozess- oder Log-Artefakte noch vorhanden sind, ist dies in vielen Fällen möglich.
Welche Werkzeuge werden für Reverse Shells häufig missbraucht?+
Unter anderem gängige, auf vielen Systemen ohnehin vorhandene Interpreter und Netzwerkwerkzeuge, die zweckentfremdet eingesetzt werden.

🔗 Powiązane tematy

LanCologne – Kryminalistyka systemów Linux w Kolonii

Sie benötigen eine professionelle forensische Untersuchung zu „Reverse Shells forensisch rekonstruieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Skontaktuj się z nami już teraz