Systemeinbrüche aufdecken mit LOKI

Inhaltsverzeichnis

Immer wenn eine neue Schadcode-Kampagne läuft, oder ein Angriff auf Unternehmensnetzwerke bekannt wird, stehen im Netz jede Menge Informationen: Hersteller von Sicherheitssoftware, unabhängige Experten und staatliche Behörden wie das US-CERT informieren umfassend zu aktuellen Fällen. Mit dabei sind fast immer Dateinamen und -hashes, IP-Adressen von Command-and-Control-Servern und Codeauszüge aus schädlichen Skripten. Noch detailliertere Informationen zu Schadcode nebst sämtlichen Komponenten bieten die automatisch generierten Analyseberichte von Online-Services wie VirusTotal oder Hybrid-Analysis.

All diese Informationsbausteine liefern Hinweise auf erfolgreiche Einbrüche (Indicators of Compromise, kurz IoC). Netzwerkadmins, aber auch sicherheitsbewusste Privatleute, können damit die eigenen Systeme und Netze nach Anzeichen auf Kompromittierungen durchsuchen.

LOKI läuft ohne vorherige Installation

Genau dafür gibt es den kostenlosen IoC-Scanner LOKI. Er läuft ohne vorherige Installation auf Windows, Linux oder macOS, zum Beispiel auf Domain Controllern, Web- und Fileservern oder sämtlichen Clients im Netzwerk. Das schlanke Kommandozeilen-Tool gleicht Dateien und laufende Prozesse mit einer lokal gespeicherten Signaturdatenbank ab – ähnlich wie ein Virenscanner. Während man in klassischer Antivirensoftware in der Regel nicht "mal eben schnell" eigene Datei-Signaturen einpflegen kann, geht das mit LOKI ganz einfach.

Das war die Leseprobe unseres heise-Plus-Artikels "Systemeinbrüche aufdecken mit LOKI". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.