IT-Forensik Wiki - Benutzerbeiträge [de]

CryptoLocker

2019-07-31T16:21:46Z

St181279:

Was ist CryptoLocker:

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben. <ref>[https://en.wikipedia.org/wiki/CryptoLocker CryptoLocker], vgl. Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)</ref>

Wie funktioniert CryptoLocker:

CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

Klone:

Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

CryptoLocker

2019-07-31T16:21:09Z

St181279:

Was ist CryptoLocker:

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben. <ref>[https://en.wikipedia.org/wiki/CryptoLocker CryptoLocker], Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)</ref>

Wie funktioniert CryptoLocker:

CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

Klone:

Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

CryptoLocker

2019-07-31T16:20:44Z

St181279: Die Seite wurde neu angelegt: „Was ist CryptoLocker: Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssys…“

Was ist CryptoLocker:

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben. <ref>[https://en.wikipedia.org/wiki/CryptoLocker CryptoLocker], Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)</ref>

Wie funktioniert CryptoLocker:

CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

Klone:

Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

Forensic Data Mining

2019-07-30T13:58:24Z

St181279: Die Seite wurde neu angelegt: „Data Mining ist Teil des interdisziplinären Feldes der Informationsverarbeitung bzw. gezielten Recherche in Datenbanken. Datenrecherche im Sinne des Data Mini…“

Data Mining ist Teil des interdisziplinären Feldes der Informationsverarbeitung bzw. gezielten Recherche in Datenbanken. Datenrecherche im Sinne des Data Mining begann in den 1980er Jahren und nahm in den 1990er Jahren rasant zu. Spezifische Techniken die entwickelt wurden, in Bereichen wie künstliche Intelligenz, maschinelles Lernen und Mustererkennung, wurden erfolgreich in Data Mining eingesetzt. Data Mining wurde in den verschiedensten Feldern erfolgreich eingeführt. Ein wichtiges Anwendungsgebiet für Data Mining Techniken ist das World-Wide-Web, aber auch in der kriminellen Forensik, speziell in der digitalen Forensik. Beispiele hierfür sind das Erkennen verschleierter krimineller Identitäten und das Erkennen von kriminellen Tätergruppen, die sich durch die verschiedensten illegalen Aktivitäten kennzeichnen, etc. Data Mining Techniken zielen in der Regel darauf ab, Erkenntnisse aus sehr großen Datenmengen zu gewinnen. Strafverfolgungs- und Militärorganisationen verlassen sich heute in hohem Maße auf die digitale Forensik. Im Informationszeitalter mit immer größer werdenden Datenmengen und deren immer schnelleren Verarbeitung der Daten, ist die Hauptproblematik, die Filterung, das Auffinden und die Auswertung der relevanten Daten. Nur mit den Techniken der digitalen Forensik, im speziellen des Data Mining, kann dieses Problem effizient angegangen werden. Die Techniken müssen ständig angepasst, weiterentwickelt und effizienter werden. Nur damit kann den Ermittlern eine wirksame „digitale“ Strafverfolgung ermöglicht werden und die Aufdeckung von Fällen digitaler Kriminalität erhöht werden.
<ref>[https://www.sit.fraunhofer.de/fileadmin/dokumente /Anwendertag_IT-Forensik/2014/Vortrag_Poppitz.pdf?_=1463500692], Vgl. Fast Detect (2014): Anwendung IT-Forensik „Big Data – Big Evidence?“. URL: https://www.sit.fraunhofer.de/fileadmin/dokumente /Anwendertag_IT-Forensik/2014/Vortrag_Poppitz.pdf?_=1463500692 (Stand: 01.07.2019)</ref>
<ref>[http://aircconline.com/ijdkp/V2N6/2612ijdkp04.pdf], Vgl. M.Nirkhi, R.V.Dharaskar, VM Thakre (2012). Data Mining: A PROSPECTIVE APPROACH FOR DIGITAL FORENSICS. URL: http://aircconline.com/ijdkp/V2N6/2612ijdkp04.pdf (Stand: 01.07.2019)</ref>
<ref>[http://www.scirp.org/pdf/JIS20120300002_13729911.pdf], Vgl. K.K. Sindhu, B.B. Meshram (2012). Digital Forensics and Cyber Crime Datamining. URL: http://www.scirp.org/pdf/JIS20120300002_13729911.pdf (Stand: 01.07.2019)</ref>

'''Speziell Cybercrime Data Mining:'''

Cyber Crime Data Mining ist die Extraktion von Daten im Zusammenhang mit Computerkriminalität zur Ermittlung von Kriminalitätsmustern. Angesichts der wachsenden Größe von Datenbanken stehen Strafverfolgungs- und Geheimdienstbehörden vor der Herausforderung, große Datenmengen zu analysieren, die mit kriminellen und terroristischen Aktivitäten zu tun haben. Eine geeignete wissenschaftliche Methode für die digitale Forensik ist daher das Data Mining.
Crime Data Mining wird wie folgt klassifiziert:

1. Die Entitätsextraktion wurde verwendet, um Person, Login-ID, Passwort, ID-Nr., IP des Systems und persönliche Eigenschaften aus Berichten oder Protokollen automatisch zu identifizieren.

2. Clustering-Techniken wie „Concept Space“ wurden verwendet, um verschiedene Objekte (wie Personen, Organisationen, Hardwaresysteme) automatisch in Tatbeständen zuzuordnen.

3. Die Erkennung von Abweichungen wurde bei der Betrugserkennung, der Erkennung von Netzwerkeinbrüchen und anderen Kriminalitätsanalysen angewendet, bei denen abnormale Aktivitäten aufgespürt werden.

4. Die Assoziationsregel wurde angewendet, um Assoziationen zu finden, und sequentielle Muster zwischen Webtransaktionen basieren auf dem Apriori-Algorithmus. Die Ergebnisse des Data Mining nach der Analyse zeigen Motiv, Muster und Anzahl ähnlicher Angriffe in einer bestimmten Zeit.

Hauptseite

2019-07-30T13:55:38Z

St181279: /* F */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]]<br>

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensic Data Mining]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Why-Because-Analyse (WBA)]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Chain of Custody

2019-07-30T13:54:23Z

St181279:

Bedeutet übersetzt: „Kette der Obhut“ bzw. Beweismittelkette. Sie ist das wesentliche Element der IT-Forensik im Zusammenhang mit der Gerichtsfestigkeit der digitalen Beweismittel und aller damit einhergehenden Maßnahmen. Diese müssen den Anforderungen von Gerichten an belastbaren Beweismitteln genügen. Das heißt die Dokumentation der Beweismittel und der Weg der Sammlung, über die Analyse bis zur Bewertung lückenlos und umfassend sein. Damit Spuren später vor Gericht verwendet werden können, muss die Beweismittelkette („Chain of Custody“) nachvollzogen werden können. Deshalb muss durch die lückenlose Dokumentation jeder Umgang, jede Veränderung einschließlich des Verbleibes der Beweismittel, zu jederzeit schlüssig dokumentiert und objektiv nachvollziehbar sein. (Stichwort: Chain-of-Custody-Formular)
Dies schützt vor:

* Beweismittelverlust
* Beweismittelverwechslung
* Beweismittelvertausch
* Beweismittelmanipulation
* Beweismittelverfälschung

Damit wird sichergestellt, dass zu jedem Zeitpunkt, beginnend mit der Erfassung der digitalen Beweisspuren, kein potentieller Missbrauch bzw. keine Verfälschung möglich war und dies auch nachweisbar und dadurch gerichtsfest ist.<ref>[http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ Chain of Custody],Vgl. ComputerStrafrechtBLOG (2019): Chain-of Custody-(CoC) – Was ist das? URL: http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ (Stand: 01.07.2019)</ref>
<ref>[https://www.datenschutzbeauftragter-info.de/beweismittelsicherung-in-der-it-forensik/ Beweismittelsicherung in der IT-Forensik], Vgl. Datenschutzbeauftragter (2019): Beweismittelsicherung in der IT-Forensik. URL: https://www.datenschutzbeauftragter-info.de/beweismittelsicherung-in-der-it-forensik/ (Stand: 01.07.2019)</ref>

Chain of Custody

2019-07-30T13:53:39Z

St181279:

Bedeutet übersetzt: „Kette der Obhut“ bzw. Beweismittelkette. Sie ist das wesentliche Element der IT-Forensik im Zusammenhang mit der Gerichtsfestigkeit der digitalen Beweismittel und aller damit einhergehenden Maßnahmen. Diese müssen den Anforderungen von Gerichten an belastbaren Beweismitteln genügen. Das heißt die Dokumentation der Beweismittel und der Weg der Sammlung, über die Analyse bis zur Bewertung lückenlos und umfassend sein. Damit Spuren später vor Gericht verwendet werden können, muss die Beweismittelkette („Chain of Custody“) nachvollzogen werden können. Deshalb muss durch die lückenlose Dokumentation jeder Umgang, jede Veränderung einschließlich des Verbleibes der Beweismittel, zu jederzeit schlüssig dokumentiert und objektiv nachvollziehbar sein. (Stichwort: Chain-of-Custody-Formular)
Dies schützt vor:
• Beweismittelverlust
• Beweismittelverwechslung
• Beweismittelvertausch
• Beweismittelmanipulation
• Beweismittelverfälschung
Damit wird sichergestellt, dass zu jedem Zeitpunkt, beginnend mit der Erfassung der digitalen Beweisspuren, kein potentieller Missbrauch bzw. keine Verfälschung möglich war und dies auch nachweisbar und dadurch gerichtsfest ist.<ref>[http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ Chain of Custody],Vgl. ComputerStrafrechtBLOG (2019): Chain-of Custody-(CoC) – Was ist das? URL: http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ (Stand: 01.07.2019)</ref>
<ref>[https://www.datenschutzbeauftragter-info.de/beweismittelsicherung-in-der-it-forensik/ Beweismittelsicherung in der IT-Forensik], Vgl. Datenschutzbeauftragter (2019): Beweismittelsicherung in der IT-Forensik. URL: https://www.datenschutzbeauftragter-info.de/beweismittelsicherung-in-der-it-forensik/ (Stand: 01.07.2019)</ref>

Chain of Custody

2019-07-30T13:52:11Z

St181279: Die Seite wurde neu angelegt: „Bedeutet übersetzt: „Kette der Obhut“ bzw. Beweismittelkette. Sie ist das wesentliche Element der IT-Forensik im Zusammenhang mit der Gerichtsfestigkeit d…“

Bedeutet übersetzt: „Kette der Obhut“ bzw. Beweismittelkette. Sie ist das wesentliche Element der IT-Forensik im Zusammenhang mit der Gerichtsfestigkeit der digitalen Beweismittel und aller damit einhergehenden Maßnahmen. Diese müssen den Anforderungen von Gerichten an belastbaren Beweismitteln genügen. Das heißt die Dokumentation der Beweismittel und der Weg der Sammlung, über die Analyse bis zur Bewertung lückenlos und umfassend sein. Damit Spuren später vor Gericht verwendet werden können, muss die Beweismittelkette („Chain of Custody“) nachvollzogen werden können. Deshalb muss durch die lückenlose Dokumentation jeder Umgang, jede Veränderung einschließlich des Verbleibes der Beweismittel, zu jederzeit schlüssig dokumentiert und objektiv nachvollziehbar sein. (Stichwort: Chain-of-Custody-Formular)
Dies schützt vor:
• Beweismittelverlust
• Beweismittelverwechslung
• Beweismittelvertausch
• Beweismittelmanipulation
• Beweismittelverfälschung
Damit wird sichergestellt, dass zu jedem Zeitpunkt, beginnend mit der Erfassung der digitalen Beweisspuren, kein potentieller Missbrauch bzw. keine Verfälschung möglich war und dies auch nachweisbar und dadurch gerichtsfest ist.<ref>[http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ Chain of Custody],Vgl. ComputerStrafrechtBLOG (2019): Chain-of Custody-(CoC) – Was ist das? URL: http://blog.computerstrafrecht.info/2012/08/20/chain-of-custody-coc-was-ist-das/ (Stand: 01.07.2019)</ref>

Hauptseite

2019-07-30T13:50:52Z

St181279: /* C */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]]<br>

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Why-Because-Analyse (WBA)]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Hauptseite

2019-07-30T13:49:06Z

St181279: /* C */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]]<br>

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Why-Because-Analyse (WBA)]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]

Cryptolocker

2019-07-30T13:48:40Z

St181279:

'''Was ist CryptoLocker:'''

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben. <ref>[https://en.wikipedia.org/wiki/CryptoLocker], Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)</ref>

'''Wie funktioniert CryptoLocker:'''

CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

'''Klone:'''

Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

Cryptolocker

2019-07-30T13:48:18Z

St181279:

Cryptolocker

2019-07-30T13:47:46Z

St181279:

'''Was ist CryptoLocker:'''

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben. <ref>[https://en.wikipedia.org/wiki/CryptoLocker]</ref>

'''Wie funktioniert CryptoLocker:'''

CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

'''Klone:'''

Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)

Cryptolocker

2019-07-30T13:45:54Z

St181279:

Was ist CryptoLocker:

Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben.

Wie funktioniert CryptoLocker:
CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

Klone:
Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)

Cryptolocker

2019-07-30T13:41:35Z

St181279: Die Seite wurde neu angelegt: „CryptoLocker Was ist CryptoLocker: Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows…“

CryptoLocker
Was ist CryptoLocker:
Der CryptoLocker-Ransomware-Angriff war ein Cyberangriff, bei dem ein Trojaner verwendet wurde, der es auf Microsoft Windows Betriebssysteme abgesehen hatte. Die Malware wurde über infizierte E-Mail-Anhänge und über ein vorhandenes „Gameover ZeuS-Botnetz“ verbreitet. Bei Aktivierung verschlüsselte die Malware, durch den öffentlichen Schlüssel einer RSA-Verschlüsselung, bestimmte Dateitypen, die auf lokalen und bereitgestellten Netzlaufwerken gespeichert waren. Der private Schlüssel wurde auf den Steuerungsservern der Malware gespeichert. Die Malware zeigte daraufhin eine Nachricht an, in der angeboten wurde, die Daten zu entschlüsseln, wenn eine Zahlung (z.B. durch Bitcoin) innerhalb einer festgelegten Frist erfolgte, und drohte, den privaten Schlüssel zu löschen, wenn die Frist abgelaufen ist. Wenn die Frist nicht eingehalten wurde, bot die Malware an, Daten über einen von den Betreibern der Malware bereitgestellten Onlinedienst zu entschlüsseln. Dies allerdings zu erheblich höheren Kosten. Außerdem gab es keine Garantie, dass die Zahlung den verschlüsselten Inhalt wirklich freigab.
Obwohl CryptoLocker selbst leicht zu entfernen war, blieben die betroffenen Dateien weiterhin verschlüsselt. Spezialisten hielten es für nicht möglich die Verschlüsselung zu knacken. Einige Spezialisten rieten dazu das Lösegeld nicht zu bezahlen, boten aber auch keine Möglichkeit an, die Dateien wiederherzustellen. Andere gaben an, dass das Bezahlen des Lösegelds die einzige Möglichkeit sei, nicht gesicherte Dateien wiederherzustellen. Einige betroffene Opfer gaben an trotz Bezahlung keine Entschlüsselung erhalten zu haben.

CryptoLocker wurde Ende Mai 2014 über die „Operation Tovar“ isoliert, wodurch das „Gameover ZeuS-Botnetz“, mit dem die Malware verbreitet wurde, heruntergefahren wurde. Eine beteiligte Sicherheitsfirma konnte die Datenbank der von CryptoLocker verwendeten privaten Schlüssel auslesen, und die Schlüssel zum Wiederherstellen der Dateien, ohne Zahlung des Lösegelds über ein Online-Tool, zur Verfügung stellen. Es wird angenommen, dass die Betreiber von CryptoLocker insgesamt rund 3 Millionen US-Dollar erfolgreich von den Opfern des Trojaners erpresst haben.

Wie funktioniert CryptoLocker:
CryptoLocker wurde in der Regel als Anhang an eine scheinbar harmlose E-Mail-Nachricht weitergegeben, die anscheinend von einem seriösen Unternehmen gesendet wurde. Eine an eine E-Mail-Nachricht angehängte ZIP-Datei enthielt eine ausführbare Datei mit dem Dateinamen und dem als PDF-Datei getarnten Symbol. Dabei wurde das Windows-Standardverhalten ausgenutzt, bei dem die Erweiterung vor Dateinamen verborgen wird, um die echte EXE-Erweiterung zu verbergen.
Bei der ersten Ausführung wird die Payload selbst im Benutzerprofilordner installiert und fügt der Registrierung einen Schlüssel hinzu, durch den sie beim Start ausgeführt wird. Anschließend wird versucht, eine Verbindung zu einem von mehreren angegebenen Befehls- und Steuerungsservern herzustellen. Sobald die Verbindung hergestellt ist, generiert der Server ein 2048-Bit-RSA-Schlüsselpaar und sendet den öffentlichen Schlüssel zurück an den infizierten Computer. Der Server kann ein lokaler Proxy sein und andere Server durchlaufen, die häufig in verschiedenen Ländern platziert werden, um die Suche nach ihnen zu erschweren.
Die Payload verschlüsselt dann Dateien auf lokalen Festplatten und zugeordneten Netzlaufwerken mit dem öffentlichen Schlüssel und protokollierte jede verschlüsselte Datei in einem Registrierungsschlüssel. Der Vorgang verschlüsselt nur Datendateien mit bestimmten Erweiterungen, einschließlich Microsoft Office, OpenDocument und anderen Dokumenten, Bildern und AutoCAD-Dateien. Die Payload zeigt eine Nachricht an, die den Benutzer darüber informiert, dass Dateien verschlüsselt wurden, und fordert eine Zahlung von 400 USD oder Euro über einen anonymen Prepaid-Bargeldgutschein oder einen entsprechenden Betrag in Bitcoin innerhalb von 72 oder 100 Stunden oder der private Schlüssel auf dem Server würde zerstört, und „niemand kann Dateien wiederherstellen“. Die Zahlung des Lösegelds ermöglicht es dem Benutzer, das Entschlüsselungsprogramm herunterzuladen, das mit dem privaten Schlüssel des Benutzers vorinstalliert ist.
Im November 2013 haben die Betreiber von CryptoLocker einen Onlinedienst gestartet, bei dem sie angaben, dass Benutzer ihre Dateien ohne das CryptoLocker-Programm entschlüsseln und den Entschlüsselungsschlüssel nach Ablauf der Frist erwerben könnten. Der Prozess beinhaltete das Hochladen einer verschlüsselten Datei auf die Seite als Beispiel und das Warten, bis der Dienst eine Übereinstimmung findet. Die Website behauptete, dass eine Übereinstimmung innerhalb von 24 Stunden gefunden werden würde. Einmal gefunden, konnte der Benutzer den Schlüssel online bezahlen. Wenn die Frist von 72 Stunden abgelaufen war, stiegen die Kosten auf 10 Bitcoin.

Klone:
Der Erfolg von CryptoLocker brachte eine Reihe von nicht verwandten und gleichnamigen Ransomware-Trojanern hervor, die im Wesentlichen auf die gleiche Art und Weise arbeiteten, darunter einige, die sich selbst als "CryptoLocker" bezeichneten.

Wikipedia (2019): CryptoLocker. URL: https://en.wikipedia.org/wiki/CryptoLocker (Stand: 01.07.2019)

Hauptseite

2019-07-30T13:39:32Z

St181279: /* C */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Projektarbeiten]]

[[Forensik in DB]]

== Stichworte IT-Forensik ==
=== A ===
[[Anti-Forensik]]

[[Asset Relocation]]

=== B ===
[[BSI-Vorgehensmodell]]

[[Betriebssystem]]

=== C ===
[[Cache]]

[[CERT-Taxonomie]]

[[Chip-Off]]

[[Cross Site Scripting (XSS)]]

[[Cryptolocker]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbankforensik]]

[[Datenvernichtung]]

[[Datensammlung]]

[[DDL & DML]]

[[Digitale Forensik]]

[[Dokumentation]]

[[Dual Use Software]]

=== E ===
[[Ermittlungsprozess]]<br>

[[Exploit]]

=== F ===
[[File Carving]]

[[Flüchtige Daten]]

[[Forensischer Koffer]]

[[Fragmentierung]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

=== H ===
[[Hilfstatort]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Honeypot]]

=== I ===
[[Imaging]]

[[Incident-Response-Team]]

[[Integrität]]

[[IT-Forensik]]

=== J ===
[[Jailbreak]]

=== K ===
[[Kausalität in der Forensik]]

[[Korrelation]]

=== L ===
[[Live-Forensik]]

[[Log-File]]

=== M ===
[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netflow]]

[[Never-Touch-Original]]

=== O ===
[[Online-Forensik]]

[[Offline-Forensik]]

[[OS Fingerprinting]]

[[OSINT-Werkzeug]]

=== P ===
[[Partition]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

[[Post-Mortem-Analyse]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[PCMCIA]]

[[Penetrationstest]]

=== R ===
[[Rainbow Table]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Reverse Engineering]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Skimming]]

[[Slack Space]]

[[Sniffing]]

[[SQL Injection]]

[[Sealbag]]

[[SpiderFoot]]

=== T ===
[[Tatort]]

[[Timeline]]

[[Trugspur]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Why-Because-Analyse (WBA)]]

[[Wiping]]

[[Write Blocker]]

=== Z ===
[[Zeit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Interessante Links ==

Tsurugi Forensik-Linux https://tsurugi-linux.org

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-forensik-bachelor-fernstudium-beng/ IT-Forensik, Bachelor]

[https://fiw.hs-wismar.de/bereiche/eui/studiengaenge/it-sicherheit-und-forensik-master-fernstudium-meng/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]