IT-forensik · Linux

Reverse Shells forensisch rekonstruieren – Ausgehende Angreifer-Fernzugriffe forensisch nachweisen

Eine Reverse Shell ist eine von einem kompromittierten System aus aktiv aufgebaute Verbindung zu einem vom Angreifer kontrollierten Server, über die diesem eine interaktive Kommandozeile auf dem betroffenen System bereitgestellt wird.

Begär en icke-bindande offert

Da eine solche Verbindung vom kompromittierten System selbst ausgeht, kann sie mitunter einfacher perimeterbasierte Sicherheitsmaßnahmen umgehen, die primär eingehende Verbindungen kontrollieren.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Wir untersuchen Systeme auf Hinweise für den Einsatz von Reverse Shells, rekonstruieren zugehörige Netzwerkverbindungen und Prozessaktivitäten und ordnen ausgeführte Befehle soweit möglich zeitlich zu.

Typiska användningsområden

•Nachweis des Einsatzes einer Reverse Shell
•Rekonstruktion über eine Reverse Shell ausgeführter Befehle
•Identifikation der Zielinfrastruktur des Angreifers
•Bewertung des über die Verbindung erlangten Zugriffsumfangs
•Incident Response auf Linux-Systemen
•Rättsliga och utomrättsliga utlåtanden

So läuft eine Reverse-Shell-Untersuchung ab

Nach der Sicherung werden verfügbare Netzwerk- und Prozessartefakte auf Hinweise für ausgehende, atypische Verbindungen geprüft. Zugehörige auslösende Prozesse sowie eingesetzte Werkzeuge werden identifiziert und mit weiteren Systemartefakten zu einer zeitlichen Chronologie zusammengeführt.

Warum ist die Reverse-Shell-Untersuchung forensisch relevant?

Eine Reverse Shell stellt häufig den unmittelbaren, interaktiven Zugriffsweg eines Angreifers dar, weshalb ihre forensische Rekonstruktion zentrale Erkenntnisse über den Umfang und die Dauer eines Zugriffs liefern kann.

Die Kenntnis der vom Angreifer genutzten Zielinfrastruktur kann zudem für weitergehende Maßnahmen sowie für eine mögliche Zuordnung des Vorfalls von Bedeutung sein.

Vanliga frågor

Wie unterscheidet sich eine Reverse Shell von einer klassischen Shell-Verbindung?+
Bei einer Reverse Shell baut das kompromittierte System die Verbindung aktiv zum Angreifer auf, statt dass sich der Angreifer aktiv auf das System verbindet.
Kann eine bereits beendete Reverse-Shell-Verbindung noch nachgewiesen werden?+
Sofern entsprechende Netzwerk-, Prozess- oder Log-Artefakte noch vorhanden sind, ist dies in vielen Fällen möglich.
Welche Werkzeuge werden für Reverse Shells häufig missbraucht?+
Unter anderem gängige, auf vielen Systemen ohnehin vorhandene Interpreter und Netzwerkwerkzeuge, die zweckentfremdet eingesetzt werden.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Sie benötigen eine professionelle forensische Untersuchung zu „Reverse Shells forensisch rekonstruieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Kontakta oss nu