[gelöst] Möglichkeiten von Schadprogrammen

[spice1001]

Hallo zusammen,
mich würde interessieren, ob es einem Eindringling möglich ist, unbemerkt zum Beispiel Browserfenster zu öffnen, um zu surfen und ob das auch möglich ist, wenn der "Deckel" zugeklappt ist, sprich Laptob in Ruhe.

Gruß
harald

[man-draker]

Wenn der Laptop im Ruhemodus ist, dann natürlich nicht.
Wenn es der Schadsoftware gelingt, den Ruhemodus beim Herunterklappen des "Deckels" zu verhindern, dann ja.

[spice1001]

danke, habs vermutet, wollte aber noch mal die Bestätigung dafür.

[spice1001]

noch ne schnelle Frage, trotz "gelöst". Kann bei herunter geklappten Deckel das Anspringen des Lüfters ein Indiz dafür sein? Beim Zuklappen geht der Lüfter aus und irgendwann läuft er wieder. Ist ziemlich laut, deshalb ist es mir aufgefallen

[man-draker]

Ja und nein. Das hängt vom Notebook ab.
Wie bei Autos kann es sein, dass die Temperatur im Gerät nach dem Beginn des Ruhemodus einen kritischen Punkt überschreitet, weil die jetzt nicht mehr aktiv gekühlten Komponenten weiter Wärme abgeben.
Dann ist es möglich, dass nur der Lüfter anläuft, bis ein weiterer Schwellwert unterschritten wird und er wieder anhält.

Ein sicheres Zeichen, dass da etwas läuft, wäre, wenn das Gerät - trotz herunter geklappten Deckels - über das Netz erreichbar ist. Ansonsten kannst du dir nach dem Wiederaufwecken die Log-Dateien ansehen. Da müssten die Meldungen zum Schlafenlegen zu dem Zeitpunkt verzeichnet sein, zu dem du den Deckel geschlossen hast, dann nichts und die Aufweckmeldungen zu dem Zeitpunkt des Wieder Öffnens.

Also Deckel zu 20:00 Uhr, Log-Einträge bis einige Sekunden danach
Deckel wieder auf um 20:10 Uhr, Log-Einträge ab dann

Gibt es für die Zeit dazwischen irgend einen Eintrag, ist verschärfte Analyse angesagt.

[Alf1967]

Ich habe aber schonmal einen Download gestartet und den Deckel runtergeklappt, der Download lief weiter.

[man-draker]

Dabei hast du aber nicht vermutet, dass dein Rechner im Ruhemodus war, oder?

[Alf1967]

Nö, nur der der Bildschirm war aus, ich bin nicht davon ausgegangen das er in den Ruhemodus geht.

[spice1001]

@man-draker
welche log Dateien wären das und wo finde ich die

[alf]

welche log Dateien wären das und wo finde ich die

Einfach mittels

Code: Alles auswählen

journalctl

. Um den Zeitraum einzuschränken die Optionen "--since" und/oder "--until" verwenden. Siehe

Code: Alles auswählen

man journalctl

.
Hier mal ein Beispiel:

Code: Alles auswählen

journalctl --since="2015-12-04 10:16:00"
-- Logs begin at So 2015-09-20 18:46:06 CEST, end at Fr 2015-12-04 10:50:34 CET. --
...............
Dez 04 10:34:20 kre010 kernel: i915 0000:00:02.0: BAR 6: [??? 0x00000000 flags 0x2] has bogus alignment
Dez 04 10:34:20 kre010 kernel: i915 0000:00:02.0: BAR 6: [??? 0x00000000 flags 0x2] has bogus alignment
Dez 04 10:34:21 kre010 systemd-sleep[6017]: Suspending system...
Dez 04 10:34:21 kre010 kernel: PM: Syncing filesystems ... done.
Dez 04 10:34:21 kre010 kernel: PM: Preparing system for mem sleep
Dez 04 10:34:21 kre010 kernel: bbswitch: enabling discrete graphics
Dez 04 10:46:14 kre010 kernel: Freezing user space processes ... (elapsed 0.001 seconds) done.
Dez 04 10:46:14 kre010 kernel: Freezing remaining freezable tasks ... (elapsed 0.000 seconds) done.
Dez 04 10:46:14 kre010 kernel: PM: Entering mem sleep
Dez 04 10:46:14 kre010 kernel: Suspending console(s) (use no_console_suspend to debug)
Dez 04 10:46:14 kre010 kernel: wlp3s0: deauthenticating from bc:05:43:b3:e0:09 by local choice (Reason: 3=DEAUTH_LEAVING)
Dez 04 10:46:14 kre010 kernel: queueing ieee80211 work while going to suspend
Dez 04 10:46:14 kre010 kernel: cfg80211: Calling CRDA to update world regulatory domain
Dez 04 10:46:14 kre010 kernel: sd 0:0:0:0: [sda] Synchronizing SCSI cache
.......................


Laptopdeckel um 10:34 zugeklappt und 10:46 wieder geöffnet.
(Ausgabe gekürzt)

[spice1001]

vielen Dank, das hilft mir weiter.