Die Rechnung, die ein Programm ist
Verdächtig ist eine Datei oder ein Prozess, der auf einem System liegt oder läuft, aber nicht dorthin gehört. Wer solche Spuren erkennt, findet den Weg eines Eindringlings schneller.
In einem Büro öffnet jemand „Rechnung_Oktober.pdf“, und nichts geschieht. Später läuft ein fremdes Programm auf dem Rechner. Die Datei war gar kein PDF.
Am Ende dieser Lektion
Notiz
Ich kann eine verdächtige Datei oder einen verdächtigen Prozess finden.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| Prozess | ein Programm, das gerade läuft | |
| Dateikennung | die ersten Bytes einer Datei, die ihre Art verraten | 25 50 44 46 |
| Dateiendung | der Teil des Namens nach dem letzten Punkt | |
| Carving | Dateien in Rohdaten an ihrer Kennung wiederfinden | |
| Persistenz | etwas, das einem Eindringling den Zugang erhält | ein Cron-Eintrag |
| Indikator | ein Anzeichen für einen Vorfall |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein verdächtiger Prozess fällt auf
Eine Prozessliste zeigt jedes laufende Programm mit Nutzer, Nummer und Befehl. Sie fragen bei jeder Zeile: Gehört das hierher?
Verdächtig sind ein unerwarteter Nutzer, ein Programm aus einem Ordner für temporäre Dateien und ein Name, der einem Systemprogramm nur ähnelt.
Ein Beispiel: eine Prozessliste prüfen
| Nutzer | Befehl | Urteil |
|---|---|---|
| root | /usr/sbin/cron | Üblich |
| www-data | /usr/sbin/nginx | Üblich für einen Webserver |
| deploy | /tmp/kernelhelper | Verdächtig: ein Programm aus /tmp |
| kai | /usr/bin/sshd | Verdächtig: ein Systemdienst unter einem Nutzerkonto |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Prozesse fremder Nutzer herausfiltern
printf "1 root init\n812 www-data nginx\n913 deploy kernelhelper\n" | awk '$2 != "root" && $2 != "www-data" {print $3}'Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die ersten Bytes verraten die Dateiart
Jede Dateiart beginnt mit festen Bytes, der Dateikennung. Ein PDF beginnt mit 25 50 44 46, das sind die Zeichen %PDF. Ein ZIP beginnt mit 50 4b 03 04. Ein Linux-Programm beginnt mit 7f 45 4c 46.
Die Endung im Namen ist nur eine Beschriftung. Wer ein Programm „Rechnung.pdf“ nennt, ändert die Kennung nicht.
Die Kennung eines PDF ausgeben
printf '%%PDF-1.4' | od -An -tx1Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die Kennung eines ZIP ausgeben
printf 'PK\003\004' | od -An -tx1Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Die Kennung eines Programms ausgeben
printf '\177ELF' | od -An -tx1Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Ein Beispiel: häufige Dateikennungen
| Art | Erste Bytes (hexadezimal) | Übliche Endung |
|---|---|---|
| PDF-Dokument | 25 50 44 46 | |
| PNG-Bild | 89 50 4e 47 | .png |
| JPEG-Bild | ff d8 ff | .jpg |
| ZIP-Archiv | 50 4b 03 04 | .zip |
| Linux-Programm | 7f 45 4c 46 | meist keine |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele glauben, die Endung sage, was in der Datei steckt. Die Endung ist ein Teil des Namens, und jeder kann sie ändern. Die Bytes am Anfang lassen sich nicht so leicht beschriften. Lesen Sie sie, wenn eine Datei nicht zu ihrem Namen passt.
Carving findet gelöschte Dateien in Rohdaten
Löscht jemand eine Datei, bleiben ihre Bytes oft auf dem Datenträger, bis etwas sie überschreibt. Beim Carving suchen Sie im rohen Abbild nach bekannten Kennungen.
Jede Kennung ist ein Anfang. Ein Werkzeug schneidet von dort bis zum Ende der Datei aus. So kommen Dateien zurück, die kein Verzeichnis mehr nennt.
Persistenz hält die Tür für den Eindringling offen
Wer eingebrochen ist, will meist wiederkommen. Dafür legt er etwas an, das den Zugang erhält: einen geplanten Job, einen Schlüssel für die Anmeldung, ein neues Konto oder einen Dienst.
Die Zeiten der Dateien helfen dabei. Was erst nach dem Einbruch geändert wurde, ist verdächtig. Was lange davor geändert wurde, meist nicht.
Dateien eines bestimmten Tages herausfiltern
printf "2026-09-02 root /usr/bin/ls\n2026-10-14 deploy /tmp/helper\n" | awk '$1 == "2026-10-14"'Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.