So funktionieren Backdoors III - IP-Scanner

Das Aktivierungssignal für den Server sendet das Client-Programm von einem anderen PC aus via Internet. Dazu muss der Angreifer die IP-Adresse des Opfers kennen.

Weil diese zunächst meist unbekannt ist, verfügen die Backdoor-Clients über integrierte IP-Scanner. Der Angreifer gibt einen Adressbereich an, beispielsweise 224.10.0.0 bis 224.10.255.255. Der Scanner schickt nun an jede Adresse und den passenden Port das Aktivierungssignal für den Server und wartet auf eine Antwort.

Wenn Sie eine Personal Firewall nutzen - und das sollten Sie bei einem Einzelplatz- PC unbedingt tun -, sind Ihnen sicher schon merkwürdige Einträge im Protokoll aufgefallen: Unbekannte Adressen schicken mehrmals hintereinander Datenpakete an Ihren PC. Die Firewall hat diese Datenpakete geblockt und keine Antwort gesendet.

Hier hat jemand versucht, auf Ihrem PC eine Backdoor zu finden. Es sind meist mehrere Versuche registriert, weil der Angreifer verschiedene Ports zur Verbindungsaufnahme ausprobiert hat, die typischerweise von bekannten Backdoors benutzt werden.

Manche Backdoors bieten dem Aggressor eine bequeme Alternative zum wahllosen Scannen von IP-Adressbereichen. Sobald der PC des Opfers online geht, ruft der Backdoor-Server ein CGI-Script auf einem vom Angreifer einstellbaren Webserver auf. Dieses Script ermittelt die aktuelle IP-Adresse des Opfers und sendet diese beispielsweise per Mail an den Angreifer. Der muss zur Verbindungsaufnahme dann nur noch die vier Zahlen der IP-Adresse in das Client-Programm kopieren.