unbekannter ADS -> RDS : NSRL Reference Data Set? Einstellungen

[Gast_Beobachter_*]

Hallo Leute,

Ich habe heut bei meinem Windows7 System einen verdächtigen ADS entdeckt, der an "c:Windows" angehängt war. Bei upload bei Virustotal
ergab als Hinweis dies

MD5 : 529917fa550eea5a8cc0db00ca803e2b
SHA1 : 0588a5c17d46c2b67fd4708adf9ad675cef15c71
SHA256: 1f783b232a5e1890dde9855defd2f58096b53dac28b3eac6cf588cd04c8f174f
TrID : File type identification
Unknown!
ssdeep: 3:ol2Rvlt/:VJv
PEiD : -
RDS : NSRL Reference Data Set

weitere Recherchen brachten mich zu dieser Seite

http://www.nsrl.nist.gov/

kann mir jemand das mal erklären bitte? Ansonsten bin ich ganz schnell wieder bei XP.

mfg Beobachter

Der Beitrag wurde von Manu bearbeitet: 02.01.2010, 01:59

[aido]

NSLR ist eine Datenbank die jedem Entwickler frei zur verfügung gestellt wird. Dort sind richtlinien definiert die Entwickler/Hersteller in ihre Produkte integrieren können. Das Ziel dabei ist, einem Softwareprodukt eine eindeutige Signatur zu geben. Dabei wird nicht zwischen Gut und Böse unterschieden, sondern mit diesen Einträgen ist es möglich die Software bis zu ihrem Ursprung zurückverfolgen zu können. Es soll die forensische Arbeit nach der Suche schädlicher Software vereinfachen. Das ist ein einfache Darstellung was die Arbeit dieser Gruppe ausmacht. Dennoch haben wir noch nicht gelesen welche Software diesen ADS-Eintrag verursacht hat. Deshalb wäre es vernüftig und Sinnvoll alle Installationsschritte bis zu diesem Zeitpunkt durchzuführen und bei jedem Durchgang zu kontrollieren ob dieser Eintrag vorhanden ist. Die ADS-Datei hat einen Zeitstempel, liegt dieser nicht zu lange zurück, sollte es für dich ein leichtes sein, die vergangenen Schritte zu wiederholen.

Hast du regelemässig Backups gemacht? Anhand dieser Backups (wenn du sie aufbewahrst), kann man ganz leicht herausfinden wann dieser Eintrag zustande gekommen ist.

Ferner solltest du auch bedenken, dass nicht unbedingt installierte Software das verursacht haben kann. Vielleicht suchst du auch einfach an der falschen Stelle.
Über eine Linux-Live-Distribution oder einer Bootfähigen Sicherungs-CD könnte man auf evtl. versteckten Einträgen ausschau halten. Da diese in der Umgebung nicht Aktiv sind, ist es ein leichtes, unbekanntes zu erkennen.

Gruß,
aido