MSITC nightly video review MSITC Acebeam X45 4xXHP70 16500(!) Lumen max. – msitc-shop.com

Mit der X45 hat Acebeam eine Taschenlampe auf den Markt gebracht, die jedem Taschenlampen-Enthusiasten das Wasser im Mund zusammenlaufen lässt. Auf dem aktuellen Stand der Technik liefert sie mit vier CREE XHP70-LEDs im höchsten Leuchtmodus sensationelle 16500(!) Lumen. Diese Leuchtkraft kann man nicht in Worte fassen, man muss sie einfach gesehen haben – Stand April 2017 dürfte die MSITC Acebeam X45 jedenfalls zu den hellsten verfügbaren Taschenlampen gehören und kaum noch Wünsche offen lassen.

Da vier leistungsfähige IMR-Akkus im Lieferumfang der MSITC Acebeam X45 enthalten sind, müssen diese nur noch vollständig geladen werden; dem Leuchtvergnügen steht anschließend nichts mehr im Weg. Ein vollständiges Review zur MSITC Acebeam X45 folgt in Kürze.

MSITC Acebeam X45 nightly video review

 

Bezugsquelle

Die MSITC Acebeam X45 ist im MSITC Shop erhältlich.

Produktankündigung: MSITC HaikeLite MT01 Trekker XHP50 V2 3×18650 2500 Lumen max. cool white

Hinweis: Die MSITC HaikeLite MT01 Trekker wird voraussichtlich ab KW17 lieferbar sein, Vorbestellungen sind möglich!

Die MSITC HaikeLite MT01 Trekker mit max. 2500 Lumen und CREE XHP50 V2 LED muss man live in Aktion gesehen haben, sonst glaubt man nicht, was diese Taschenlampe an Output erzeugt. Der Hersteller gibt eine Reichweite von ca. 300 Metern an, die effektive Reichweite ist aber bedingt durch den SMO-Reflektor und die CREE XHP50 V2-LED deutlich höher. Interessant bei der MSITC HaikeLite MT01 Trekker ist die Verwendung von 3×18650-Akkus, was die Lampe etwas kompakter macht – an Leistungsfähigkeit büßt sie dadurch nichts ein. Die MT01 Trekker ist als kompakter Thrower konzipiert und bietet mit 2500 Lumen ordentlich Leistung und Reichweite.

haikelite_trekker_1


In einem Punkt dürfte die MSITC HaikeLite MT01 Trekker allerdings unschlagbar sein, und das ist das Preis-/Leistungsverhältnis, das man schlicht als Hammer bezeichnen muss! Vergleichen Sie selbst, was adäquate Lampen von anderen Herstellern kosten.

Osterangebote April 2017 im MSITC Shop

Hier heißt es schnell zuschlagen, denn zum einen sind die einzelnen Pakete bzw. Angebote nur in geringen Stückzahlen vorhanden und zum anderen nicht unbegrenzt gültig. Wenn Sie sich selbst oder jemand anderen Freude bereiten wollen, dann schauen Sie doch einfach mal vorbei – die Angebote sind teilweise drastisch reduziert! Beachten Sie dazu bitte auch die folgenden Hinweise:

  • Alle Angebote gelten, solange Vorrat reicht!
  • Wer zuerst kommt, mahlt zuerst
  • Die Angebote sind nicht weiter rabattierbar

 

Nun aber zu den Osterangeboten im MSITC Shop:

 

Osterpaket: MSITC JAXMAN X6 Hunter XHP-50 2500 Lumen max. inkl. Akkus und Ladegerät nur 119,- Euro

Die MSITC JAXMAN X6 Hunter ist ein echtes Reichweitenmonster, das mit einer modernen und leistungsstarken CREE XHP50-LED ausgestattet ist und mit zwei 26650-Akkus betrieben wird. Der Hersteller gibt eine Reichweite von 500 Meter an, die effektive Reichweite ist jedoch bedeutend höher (ca. 700-800 Meter).

Im Lieferumfang sind neben der MSITC JAXMAN X6 Hunter zwei 26650-Akkus mit jeweils 4000 mAh Kapazität sowie ein Efest LUC Mini-Ladegerät enthalten, damit Sie sofort loslegen können. Alle Komponenten sind hochwertig und perfekt aufeinander abgestimmt (Wert Akkus und Ladegerät alleine: 54,70 Euro).

 

Osterangebot: Niwalker Nova MM25MB Monster Bright 3 x XHP70 7600 ANSI-Lumen max. statt 219,- € nur 189,- €!

Die Niwalker Nova MM25MB Monster Bright mit 3 x XHP70 LED und ca. 8000(!) LED-Lumen muss man live gesehen haben, sonst glaubt man nicht, welche Power hinter dieser kompakten Taschenlampe steckt. Mit den ungefähren Maßen einer 0,33l-Getränkedose erreicht die Niwalker Nova MM25MB eine Leuchtkraft, die so manch größere Lampe alt bzw. eher dunkel aussehen lässt. Primär ist die Niwalker Nova MM25MB ein Flooder,  bietet aber mit den überarbeiteten Reflektoren und einer praxisnahen Mischung aus OP- und SMO-Reflektor eine Reichweite  von ca. 300 Meter.

 

Osterangebot: MSITC JAXMAN X1 XPL HI 1000 Lumen max. inkl. Soshine 26650 5500 mAh-Akku statt 89,- € nur 79,- €

Die MSITC JAXMAN X1 ist ein kompakter Thrower, der dank seines großen Reflektors eine Reichweite von  über 500 Metern bietet. Betrieben wird die MSITC JAXMAN X1 mit einem 26650-Akku, der eine lange Laufzeit liefert, und in Kombination mit einer modernen und auf hohe Reichweite ausgelegten CREE XP-L HI LED lässt dieser Hochleistungs-Thrower nichts zu wünschen übrig. Der große Heatsink am Lampenkopf sorgt für eine sehr gute Hitzeableitung. Mit einem Soshine 26650 5500 mAh erzielt die MSITC JAXMAN X1 sagenhafte 96.300(!) Lux, was diese Lampe mit auf den vordersten Platz in dieser Preis- und Größenklasse katapultiert. 

 

Osterangebot: Efest LUC V6 LCD & USB 6 Slots Multi-functional Charger inkl. KFZ-Adapter statt 39,90 € nur 30,- €

Das Efest LUC V6 Modell 2016 ist ein Multifunktionsladegerät mit sechs voneinander unabhängigen und intelligenten Ladeschächten, mit dem eine große Auswahl an Lithium-Ionen- sowie IMR-Akkus geladen werden kann, was das Efest LUC V6 zu einem sehr flexiblen und universellen Ladegerät macht. Über einen Softschalter können Akkus wahlweise mit 500 mA, 1000 mA oder 2000 mA geladen werden. Ein LC-Display bietet informative Echtzeitinformationen wie Ladespannung oder Ladezeit. Darüber hinaus kann das Efest LUC V6 über einen USB-Anschluss externe Geräte wie Smartphones mit Strom versorgen, wenn ein Akku eingelegt ist.

 

Osterpaket: MSITC JAXMAN Mini C8 780 Lumen inkl. Efest-Ladegerät und 18650-Akku

Im Gegensatz zu anderen Billig-Taschenlampen aus Fernost bieten MSITC JAXMAN-Taschenlampen neben einem sehr guten Preis-/Leistungsverhältnis auch eine hervorragende Qualität, wenn es um die Verarbeitung der Lampen geht. Anstatt die Taschenlampen mit Elektronik vollzupacken, beschränkt sich der Hersteller auf das Wesentliche und meistert diese Aufgabe mit Bravour. Alle MSITC JAXMAN-Taschenlampen bieten ein simples Benutzerinterface, das sich jederzeit zwischen zwei Hauptbetriebsmodi umschalten lässt. 

Die MSITC JAXMAN Mini C8 ist ein kompakter Allrounder, der mit seiner XM-L2-LED maximal 780 Lumen und eine Reichweite von ca. 100 Metern bietet.  Egal, ob fürs Camping, Geocaching, die Hunderunde oder sonstige Outdoor-Aktivitäten: Die MSITC JAXMAN Mini C8 macht in allen Bereichen eine gute Figur und steckt dank ihrer Robustheit auch den einen oder anderen harten Schlag weg; außerdem kann die MSITC JAXMAN Mini C8 mit einem sehr guten Preis-/Leistungsverhältnis aufwarten.

Im Lieferumfang ist neben der MSITC JAXMAN Mini C8-Taschenlampe ein Efest Xsmart-Ladegerät sowie ein Shockli 18650 2200 mAh-Akku enthalten, damit Sie sofort loslegen können. Alle Komponenten sind hochwertig und perfekt aufeinander abgestimmt.

Osterpakete im MSITC Shop

Ostern steht bekanntlich schon bald wieder vor der Tür, und passend dazu wird es im MSITC Shop auch einige Osterpakete geben. Hier heißt es allerdings schnell zuschlagen, denn die Pakete sind mengenmäßig begrenzt und nicht in unendlicher Stückzahl vorhanden. Den Anfang machen wir heute mit dem MSITC Jaxman C8-Osterpaket.

 

Osterpaket: MSITC JAXMAN Mini C8 780 Lumen inkl. Efest-Ladegerät und 18650-Akku

jaxman_mini_c8_3

xsmart_1

Review Niwalker Nova C16 Shockli Akkus

 

Lieferumfang:

  • MSITC JAXMAN Mini C8 Taschenlampe
  • Efest Xsmart-Ladegerät
  • Shockli 18650-Akku
  • Lanyard
  • Ersatz-O-Ring
  • Bedienungsanleitung

 

Mit diesem Komplettset können Sie sofort loslegen, alle Komponenten sind hochwertig und optimal aufeinander abgestimmt. Vergleichen Sie die Preise der Einzelkomponenten, und Sie werden schnell feststellen, dass es sich bei diesem Paket um ein absolutes Schnäppchen handelt!

DoubleAgent: 0-day code injection unter Ausnutzung eines 15 Jahre alten undokumentierten Windows Features

Als Security Analyst kommt man nicht umhin, regelmäßig seine Quellen anzuzapfen, um auf dem laufenden zu bleiben, was neue Bedrohungen angeht. Diese hier hatte heute sofort meine ungeteilte Aufmerksamkeit, denn was sich hinter DoubleAgent verbirgt, ist eine knallharte Sicherheitslücke in jeder Windows-Version, die zumindest zum jetzigen Zeitpunkt auch nicht gepatcht werden kann. Ich fasse die wichtigsten Punkte zusammen, der Rest lässt sich im Blog-Beitrag des Sicherheitsforschers nachlesen, der diese Lücke entdeckt hat.

Was macht DoubleAgent als 0-day-Sicherheitslücke nun so gefährlich? An dieser Stelle möchte ich gerne zwei Videos verlinken, dann wird sofort klar, was ich meine:

Avira AntiVirus morphs into Ransomware…

 

Norton Antivirus morphs into Ransomware…

 

Das sind nur zwei Beispiele, laut dem originären Blogbeitrag sind noch deutlich mehr AV-Hersteller von diesem Problem betroffen:

 

Vulnerable Antiviruses
The list of vendors that have been tested and found to be vulnerable to DoubleAgent.
The tests were done on the latest version of the vendor on Windows 10 x64 using our POC code.

Avast (CVE-2017-5567)
AVG (CVE-2017-5566)
Avira (CVE-2017-6417)
Bitdefender (CVE-2017-6186)
Trend Micro (CVE-2017-5565)
Comodo
ESET
F-Secure
Kaspersky
Malwarebytes
McAfee
Panda
Quick Heal
Norton

Antivirus Attack Vectors
During a normal cyber attack, the attacker would invest a lot of effort hiding and running away from the antivirus. By using DoubleAgent, the attack can take full control over the antivirus and do as he wish without the fear of being caught or blocked. He could:

  1. Turn the Antivirus into a malware – Perform malicious operations on behalf of the attacker. Because the antivirus is considered a trusted entity, any malicious operation done by it would be considered legitimate, giving the attacker the ability to bypass all the security products in the organization.
  2. Modify the Antivirus internal behaviour – Changing the antivirus whitelists/blacklists, internal logic and even installing backdoors. The antivirus would still appear to work normally but would actually be completely useless, giving the attacker the ability to execute malware that would normally be blocked without any interference.
  3. Abusing the Antivirus trusted nature – The antivirus is considered one of the most trusted entities in an organization. The attacker can use the antivirus to perform operations that would normally raise “red flags” like exfiltrating data, C&C communication, lateral movement, stealing and decrypting sensitive data, etc. All of these operations would seem legit because they are done by the antivirus.
  4. Destroy the Machine – The antivirus has complete power over the machine, which can allow it to easily encrypt all your files or even format your hard drives.
  5. Denial of Service – An antivirus software is responsible for signing software to act maliciously based on a set of heuristic rules. This means that the attacker can sign a totally legit and critical software such as browser applications, document viewers, or even some key components that are deep within the operating system. Once the signature has spread across the organization, it would then cause a total denial of services for the entire company. Once an antivirus decides a file is malicious, it would create a signature for it and share it globally around the world. Because the attacker controls the antivirus, he may sign totally legit and critical applications such as browsers, document viewers, or even some key components that are deep within the operating system. Once the new signature has spread across the organization, all the other instances of the antivirus would remove/delete the critical application causing total denial of services for the entire organization.

Unter Ausnutzung dieser Sicherheitslücke ist es möglich, Code in laufende Prozesse zu injizieren, ohne dass ein Prozess sich davor schützen könnte. Die Technik, die hinter der code injection steht, ist so einzigartig, dass sie offensichtlich von keinem traditionellen AV-Programm erkannt wird:

DoubleAgent gives the attacker the ability to inject any DLL into any process. The code injection occurs extremely early during the victim’s process boot, giving the attacker full control over the process and no way for the process to protect itself. The code injection technique is so unique that it’s not detected or blocked by any antivirus.

Wie in den Videos auf drastische Art und Weise dargestellt wurde, kann sich auf diese Art und Weise eine eigentlich für die Abwehr von Bedrohungen gedachte Software – nämlich der Virenscanner – im Handumdrehen selbst in Malware bzw. Ransomware verwandeln. Ein AV-Programm läuft üblicherweise im SYSTEM-Kontext des Betriebssystems und hat damit alle Rechte und Möglichkeiten, die es benötigt, um Angriffe und Bedrohungen abzuwehren. Wenn man das ganze weiterspinnt, dann entstehen zumindest in der Theorie Schreckensszenarien, an die man als Verantwortlicher gar nicht denken möchte:

  • Breitflächige Verteilung in Firmennetzwerken, wenn der Proof-of-Concept-Programmcode weiterentwickelt, verbessert und mit anderen Infektionsvektoren gekoppelt wird
  • Aushebeln des Virenschutzes zum Einschleusen weiterer Malware oder Ransomware
  • Vollständige Übernahme von Endgeräten

Die Möglichkeiten werden meines Erachtens nur durch die Vorstellungskraft begrenzt, und davon besitzen Cyberkriminelle eine Menge. Ich wage jetzt schon zu behaupten, dass DoubleAgent als 0-day exploit in den nächsten Wochen und Monaten noch für viel Aufregung sorgen wird.

SparkCognition DeepArmor: Next-Generation AV-Lösung auf Basis von Machine Learning, Artificial Intelligence und Natural Language Processing (NLP)

Diesen Hersteller habe ich auch schon seit geraumer Zeit auf dem Radar. Wie andere Mitbewerber auch verspricht SparkCognition mit seinem Endpoint Protection-Produkt DeepArmor einen deutlich besseren Schutz auf Endgeräten (Windows, Android, IoT devices) vor Bedrohungen durch Malware und Ransomware. Grundsätzlich kommen hier auch bereits bekannte Merkmale wie machine learning, AI/KI, signaturenlose Scans sowie NLP für Threat Intelligence zum Einsatz. DeepArmor bietet mehrere Endpoint Protection Features wie

  • Execution Control
  • Background Threat Detection
  • Realtime file monitoring
  • Application Control
  • Script Control
  • Memory Protection

Sobald ich die Möglichkeit habe, einen Produkttest durchzuführen, werden selbstverständlich weitere Artikel zu SparkCognition DeepArmor folgen.

SAMAS RansomWorm: Next-Generation Ransomware

Wer glaubt, dass Cyberkriminellen die Ideen ausgehen, der irrt gewaltig. Neben der Tatsache, dass es mittlerweile täglich über 4000 neue Ransomware Samples gibt, geht auch die technologische Entwicklung bei den Cryptolockern weiter. Die neueste Errungenschaft ist der SAMAS RansomWorm; wie der Name schon sagt, handelt es sich dabei um eine Mischung aus Ransomware und Wurm. Das heimtückische daran ist, dass sich dieses Exemplar in einem Netzwerk mit Hilfe von lateral movement und Windows-Bordmitteln fortpflanzen kann, indem beispielsweise das Active Directory zur Informationsgewinnung genutzt wird.

SAMAS RansomWorm

Obwohl das momentan nur Firmennetzwerke betrifft, dürfte es wohl nur eine Frage der Zeit sein, bis eine Version erscheint, die auch kleinere Heimnetzwerke infiltrieren kann. Was es bedeutet, wenn nicht nur ein Endgerät in einem Netzwerk infiziert wird, sondern gleich mehrere, muss ich an dieser Stelle nicht weiter ausführen – für kleine und mittelständische Unternehmen ohne funktionierendes Backup-Konzept und einem wirkungsvollen Endgeräteschutz auf Basis von effektiven Technologien wie Application Whitelisting kann das eine echte Katastrophe bedeuten.

Ab 25. Mai 2018 kommt noch erschwerend hinzu, dass nach der bisherigen Übergangsfrist die Europäische Datenschutz-Grundverordnung (EU-DS-GVO) voll greift. Diese sieht u.a. vor, dass Unternehmen Breaches, also sicherheitsrelevante Vorfälle im Bereich der Informations- und IT-Sicherheit innerhalb von 72 Stunden der zuständigen Behörde melden müssen. Wird dies versäumt, dann können drastische Geldbußen verhängt werden. Eine Ransomware, die im schlimmsten Fall Dokumente mit Kundendaten ins Internet überträgt, um damit der Forderung nach Lösegeld mehr Nachdruck zu verleihen, muss auf jeden Fall gemeldet werden.

Aus technischer Sicht ist es deshalb schon jetzt sehr ratsam, zu effizienten Schutzmaßnahmen zu greifen. Bislang ist eine der sichersten Möglichkeiten zum Schutz vor Ransomware der Einsatz einer Application Whitelisting Lösung wie SecureAPlus, die eine Infektion mit Ransomware und Malware deutlich wirkungsvoller verhindern kann, wie es bei traditioneller AV-Software der Fall ist. Als IT Security Analyst und Incident Responder bin ich bestens mit dem täglich wachsenden Bedrohungspotential durch Ransomware und Malware vertraut und berate Sie gerne beim Thema Endpoint Security.

Überzeugen Sie sich anhand des nachfolgenden Videos selbst von der Wirksamkeit von Application Whitelisting:

SecureAPlus vs. Ransomware

Next-Generation Endpoint Protection solutions: Hype vs. Realität

Wie jedes Jahr gibt es in der IT auch in 2017 von Marketing-Strategen ersonnene Buzzwords, die in keinem Repertoire fehlen dürfen. Schon letztes Jahr war regelmäßig von von “machine based learning”, “artificial intelligence”,“math models” oder auch von “deep learning” die Rede. Üblicherweise werden diese Begriffe mit der nächsten Generation von AV-Software in Verbindung gebracht und signalisieren schon deutlich, dass hier keine veraltete (signaturbasierte) Technologie zum Einsatz kommt, sondern etwas weitaus leistungsfähigeres.

Hier stellt sich natürlich die Frage, ob das wirklich nur reine Buzzwords sind oder ob tatsächlich mehr dahintersteckt? Ich versuche die Frage einmal aus meiner Sicht zu beantworten: Zunächst muss man hier ganz klar die Spreu vom Weizen trennen, denn es gibt natürlich auch zunehmend Trittbrettfahrer, die sich gerne dieser Attribute bemächtigen, aber in Wahrheit nur ansatzweise oder gar keinen Gebrauch davon machen. Es gibt Hersteller wie Cylance, die ich als Pionier auf diesem Gebiet betrachte, denn bereits Ende 2015/Anfang 2016 hatte Cylance mit CylancePROTECT ein Produkt am Start, das wirklich anders war als Produkte der Mitbewerber aus dem klassischen AV-Umfeld wie Bitdefender, Kaspersky, Avira, Avast usw.

Im Jahr 2016 gesellten sich dann weitere Anbieter wie Invincea (inzwischen von Sophos akquiriert), Endgame, SparkCognition, Heilig Defense und andere dazu, die ebenfalls damit werben, Next-Gen-Techniken zu verwenden. Im Enterprise-Umfeld hat schon vor geraumer Zeit ein Paradigmenwechsel eingesetzt, der dazu geführt hat, dass man heute nicht mehr krampfhaft den Perimeter mit Firewalls, Proxies, Mailgateways oder IDS zu schützen versucht, sondern sich auf das schwächste Glied in der ganzen Kette konzentriert, und das ist nun mal das klassische Endgerät wie ein Desktop oder ein Laptop. Genau diesem Umstand wird mit Hilfe von Next-Gen-Lösungen auch Rechnung getragen, denn auf Signaturen und verhaltensbasierte Erkennung sollte man sich heutzutage nicht mehr verlassen – das mag noch bei simpel gestrickter (und bekannter!) Malware helfen, aber nicht mehr bei fortgeschrittenen Angriffen wie spear phishing oder targeted attacks, also zielgerichteten Angriffen gegen Unternehmen oder einzelne Personen.

Kurzum: Das Jahr 2017 wird mit Sicherheit weitere interessante Entwicklungen bringen. Während einige Hersteller von Next-Gen-Lösungen offensichtlich kein Interesse am Small Office- und Home-Bereich haben, weiß ich von anderen, dass sie auch an Versionen für den Heimbereich arbeiten. Vor Mitte des Jahres wird aber vermutlich nichts kommen, da wie gesagt der Enterprise-Markt im Fokus steht und nicht der Home-Bereich. Diese Entwicklung wird aus meiner Sicht dazu führen, dass die Hersteller von traditionellen AV-Lösungen nicht umhin kommen werden, ebenfalls auf neue Technologie zu setzen – andernfalls könnte es gut passieren, dass sie eines Tages mit dem Rücken an der Wand stehen.

Diese Behauptung möchte ich mit einem Beispiel untermauern: Wer schon mal Malware- und Ransomware-Tests durchgeführt hat, weiß, dass die cloudbasierte Erkennung bei vielen Herstellern von klassischer AV-Software zu einem Großteil für die Erkennung von Schadcode zuständig ist. Das setzt aber wiederum voraus, dass eine permanente Internetanbindung besteht, was normalerweise auch kein Problem darstellt. Was aber, wenn es um mobile Anwender geht, die nicht permanent mit dem Internet verbunden sind und demnach auch mit einer deutlich reduzierten Schutzwirkung leben müssen, solange kein cloudbasierter Scan möglich ist? Es gibt Firmen, deren Techniker oder Kundendienstmonteure tage- oder gar wochenlang in Regionen mit schlechter oder keiner Internetverbindung unterwegs sind – wie gut ist diese Zielgruppe wohl ohne aktuelle Signaturen und cloudbasierten Scans geschützt?

Das sieht mit Next-Gen AV-Lösungen ganz anders aus, denn diese funktionieren übicherweise auch im Offline-Betrieb genau gleich, da sie nicht von Signaturen oder cloud based scans abhängig sind. Für mich gehört die Zukunft ganz klar diesen Lösungen, und ich hoffe, dass ich noch ausreichend Gelegenheit haben werde, das ein oder andere Produkt in diesem Bereich gründlich zu testen und die Ergebnisse in meinem Youtube-Kanal zu präsentieren. Wie es der Zufall so möchte, habe ich dazu gerade im Blog von Cylance noch diesen recht interessanten Artikel entdeckt: https://www.cylance.com/en_us/blog/antivirus-testing-for-real-world-failure.html

Wer sich übrigens etwas genauer in das Thema machine based learning einlesen möchte, findet im Blog von Endgame eine sehr umfangreiche Schilderung der bekannten Modelle auf englisch: https://www.endgame.com/blog/its-bake-navigating-evolving-world-machine-learning-models

ThorFire-Taschenlampen ab Ende Februar 2017 im MSITC Shop verfügbar

Erweiterung unseres Produktportfolios

Wir werden ab Ende Februar 2017 unser Produktportfolio um MSITC ThorFire-Taschenlampen erweitern. MSITC ThorFire steht dabei für Taschenlampen mit einem sehr guten Preis-/Leistungsverhältnis, die sich auch in qualitativer Hinsicht nicht hinter anderen bekannten Marken zu verstecken brauchen.

Den Anfang machen wir mit folgenden Modellen:

  • MSITC ThorFire VG10: Guter Allrounder für viele Einsatzbereiche
  • MSITC ThorFire VG15S: Kompakte EDC-Taschenlampe mit über 1000 Lumen!
  • MSITC ThorFire TK4A: Tolle Taschenlampe für all jene, die den Betrieb mit normalen Batterien oder NiMH-Akkus bevorzugen. Ausgestattet mit einer modernen XP-L-LED erreicht die TK4A satte 1100 ANSI-Lumen!
  • MSITC ThorFire S70s: Mit über 4000 LED-Lumen ist die MSITC ThorFire S70s ein echtes Lumenmonster und die derzeit größte Taschenlampe im ThorFire-Portfolio

Reviews und Videos aus unserer Serie Helle Taschenlampen@Night folgen nach Produktverfügbarkeit.

thorfire_tk4a_1

thorfire_vg15s_2

thorfire_s70s_1

thorfire_vg10_2

Bezugsquelle

MSITC ThorFire-Taschenlampen sind ab Ende Februar 2017 in folgenden Shops erhältlich:

Review: SecureAPlus – Next Generation Endpoint Protection and Application Whitelisting

 

Einführung

Um mit aktuellen Bedrohungen durch Malware und Ransomware Schritt halten zu können, bedarf es heutzutage mehr als nur einer signaturbasierten AV-Lösung. Insbesondere beim Thema Ransomware kommt es regelmäßig vor, dass traditionelle AV-Software, die primär auf Signaturen basiert, kläglich versagt und Signaturen zur Erkennung von Bedrohungen teilweise erst Tage später vom jeweiligen Hersteller bereitgestellt werden. Ich möchte an dieser Stelle keine Namen erwähnen, aber seien Sie versichert, dass ich mehrfach erlebt habe, dass Ransomware in Unternehmen nicht von der dort installierten Enterprise AV-Lösung entdeckt geschweige denn geblockt wurde.

Bereits im Heimbereich ist eine Infektion mit Ransomware nicht nur sehr ärgerlich, sondern kann auch ernste Folgen haben, wenn persönliche Daten, Bilder oder Dokumente irreversibel verschlüsselt werden. Ich bin sicher, dass in den wenigsten Haushalten oder Heimnetzwerken ein vernünftiges Backupkonzept existiert, mit dessen Hilfe sich im Schadensfall wichtige Daten schnell und zuverlässig wiederherstellen lassen. Für kleine und mittelständische Unternehmen (SMB/SOHO) kann die Kombination aus nicht entdeckter Ransomware und einem nicht vorhandenen Backup dazu führen, dass der Geschäftsbetrieb unterbrochen wird und wichtige Daten (Kundenaufträge, Konstruktionszeichnungen, Buchhaltungsdaten usw.) verloren gehen – was das konkret bedeutet, überlasse ich der Phantasie jedes einzelnen. Im schlimmsten Fall muss der Geschäftsbetrieb mit allen entsprechenden Konsequenzen eingestellt werden.

Mitigationsstrategien

Ich möchte an dieser Stelle nicht allzu sehr in die Tiefe abdriften, aber zu einer Mitigationsstrategie gehören für mich ganz klar u.a. folgende Faktoren:

Wirkungsvoller Schutz vor Malware und Ransomware auf dem Endgerät – das Endgerät ist das schwächste Glied in der Kette, auf den Perimeterschutz sollte man sich nicht verlassen
Durchdachtes und funktionierendes Backup-Konzept, das auf seine Wirksamkeit hin verifiziert wurde
Im Unternehmensumfeld: Schutz vor schädlichen Downloads/URLs durch Web Gateways/Proxies und Device Control, um die (nichtauthorisierte) Verwendung von Wechselmedien u.a. an USB-Ports zentral managen und kontrollieren zu können
Arbeiten mit normalen Benutzerrechten

Da in einem großen Unternehmen üblicherweise auch eine entsprechende IT-Abteilung existiert, die sich um derartige Themen kümmert, möchte ich mich im folgenden auf den SOHO-Bereich (Small Office/Home User) konzentrieren, da SecureAPlus dort meines Erachtens ein äußerst hohes Maß an Sicherheit bietet, das von konventionellen AV-Lösungen nur teilweise erreicht wird. Warum das so ist, werde ich nachfolgend näher erläutern.

Begriffsdefinition

Bevor es nun gleich ans eingemachte geht, halte ich es für wichtig, häufig verwendete Begriffe kurz zu erläutern, um das Review verständlich zu halten.

  • Endgerät oder Endpoint: Wird in diesem Review als Abkürzung für Windows-basierte Endgeräte verwendet (keine Smartphones!)
  • Whitelisting oder Application Whitelisting: Bezeichnet eine Technik, die von vielen Fachleuten als die sicherste Methode zum Schutz der Ausführung von unbekanntem Programmcode oder Anwendungen angesehen wird. Dazu wird ein Snapshot (Bestandsaufnahme) auf einem Endgerät erstellt und anschließend das Endgerät sozusagen versiegelt, d.h. nach dem initialen Snapshot wird keine Software mehr ausführt, egal ob sie vom Internet heruntergeladen oder von einer CD oder einem USB-Stick gestartet wurde. Dies ist dann nur noch nach expliziter Zustimmung des Anwenders möglich. Betriebssystem- oder Software-Updates sind davon natürlich nicht betroffen.
  • Universal AV Scan: Diese Bezeichnung wird von SecureAge, dem Hersteller von SecureAPlus, für die Anbindung von cloudbasierten Virenscannern verwendet. SecureAPlus bietet die Möglichkeit, beliebige Dateien mit Hilfe von 12 verschiedenen Scan Engines (u.a. von Eset, AVG, McAfee usw.) zu überprüfen. Dazu werden in der Standardeinstellung ausführbare Dateien in die Cloud zur Analyse hochgeladen, was sich aber auch deaktivieren lässt, falls man das nicht möchte. Der Universal AV Scan setzt eine Internetverbindung voraus, ansonsten kann diese Option nicht verwendet werden.
  • Offline AV Scan: Ist für Situationen gedacht (z.B. mobile Anwender ohne bestehende Internetverbindung), in denen der Universal AV Scan nicht zur Verfügung steht und dennoch Dateien gescannt werden sollen. In diesem Fall kommt der Open Source-Virenscanner ClamAV zum Einsatz. Ich möchte an dieser Stelle eindrücklich darauf hinweisen, dass ClamAV mittlerweile zwar auch brauchbare Ergebnisse erzielt, aber unter keinen Umständen als gleichwertiger Ersatz für ein kommerzielles AV-Programm betrachtet werden sollte. Hinter ClamAV steckt kein Hersteller, der regelmäßig neue Signaturen bereitstellt, sondern eine Community, in der Freiwillige diesen Job übernehmen.
  • Traditionelle AV-Software: Vor ungefähr zwei Jahren begann eine sehr interessante Entwicklung im AV-Bereich, die bis heute andauert. Die meisten AV-Programme wurden zwar im Laufe der Jahre weiterentwickelt, aber dennoch arbeitet ein Großteil immer noch mit Signaturen zur Erkennung von Bedrohungen. Signaturen alleine reichen heute aber nicht mehr aus, wenn man sich vor Augen hält, dass Stand Februar 2017 täglich über 300.000(!) neue Malware-Samples generiert werden, und selbst mit heuristischer oder verhaltensbasierter Analyse hinken traditionelle AV-Programme denen der nächsten Generation (Next-Gen AV) hinterher.

Next-Gen AV-Software: Lässt sich auf deutsch am besten mit “AV-Software der nächsten Generation” übersetzen. Next-Gen AV kommt vollständig ohne Signaturen aus und arbeitet üblicherweise mit fortschrittlichen Methoden wie maschinenbasiertem Lernen, mathematischen Modellen oder künstlicher Intelligenz (AI). Das klingt zunächst nach vielen Marketing-Buzzwords, und genau das ist es bei einigen Herstellern auch. Insbesondere bekannte Namen aus dem Bereich der traditionellen AV versuchen nun auch auf diesen gewinnbringenden Zug aufzuspringen, aber in der Regel bleibt es bei diesem Versuch. Ohne Namen zu nennen, kann ich an dieser Stelle sagen, dass ich die Möglichkeit hatte, über mehrere Monate hinweg einen Proof Of Concept zu begleiten, in dem es um die Evaluierung einer Next-Gen-Lösung für den Unternehmenseinsatz ging, und bei sämtlichen Tests – egal, ob es sich um Trojaner, 0-day malware, Backdoors oder Ransomware handelte – lag die Next-Gen-Lösung stets vor der traditonellen AV-Lösung und lieferte absolut überzeugende Ergebnisse.

Natürlich könnte ich noch viel mehr dazu schreiben, aber ich belasse an dieser Stelle beim gesagten. Fakt ist aber, dass traditionelle AV-Programme für mich keine Zukunft haben – die Zukunft gehört ganz klar Next-Gen AV-Lösungen, da hier neue Methoden zur Erkennung von Malware und Ransomware zum Einsatz kommen und die neben einer ausgezeichnten Erkennungsrate auch deutlich ressourcenschonder ans Werk gehen als konventionelle AV-Programme. Noch wichtiger: Für mich ist uninteressant, mit welchen Buzzwords Hersteller um sich werfen, ich mache mir lieber ein eigenes Bild, und meine persönlichen Erfahrungen mit Next-Gen AV-Software sind einfach äußerst vielversprechend.

SecureAPlus, eine interessante Endpoint Protection-Lösung?

Ja, definitiv. SecureAPlus vereint nämlich mehrere Konzepte unter einer Haube:

  • Application Whitelisting
  • Universal AV Scan
  • Offline Scan

Ich möchte gleich beim ersten Punkt beginnen, und zwar beim Thema (Application) Whitelisting. Wer sich damit bereits auseinandergesetzt hat, weiß, dass Whitelisting zwar den bestmöglichen Schutz auf Endgeräten bietet, aber gleichzeitig mit einem immensen Pflegeaufwand verbunden ist. Das gilt zwar weniger für den SOHO-Bereich, aber dafür umso mehr im Unternehmensumfeld, denn dort heißt es bei jedem Applikationsupdate die Whitelist zu pflegen. Glücklicherweise bietet SecureAPlus einen ebenso einfachen wie wirkungsvollen Ansatz, um den Pflegeaufwand so gering wie möglich zu halten – dazu gleich noch mehr.

Den zweiten Punkt hatte ich auch schon erläutert, möchte aber dennoch etwas näher darauf eingehen. Stellen Sie sich folgende Situation vor: Sie laden eine Datei aus dem Internet herunter und prüfen diese mit Ihrem Virenscanner. Dieser kann nichts schädliches entdecken, und somit kann der Download als sicher gelten. Oder etwa doch nicht? Was, wenn Ihr Virenscanner schädlichen Programmcode einfach nicht entdeckt hat? Sie können die heruntergeladene Datei beispielsweise nun manuell zu Virustotal hochladen, um sie dort mit über 55 Virenscannern überprüfen zu lassen, doch ganz ehrlich: Wer macht das schon? Wer nimmt diesen Aufwand auf sich? Meiner Erfahrung nach so gut wie niemand.

Anders hingegen sieht es aus, wenn die Überprüfung per Kontextmenü und Mausklick über den Windows Explorer stattfinden kann, denn genau diese Funktionalität bietet SecureAPlus mit dem Universal AV Scan. Darüber hinaus wird der Universal AV Scan auch bei der Erstinstallation von SecureAPlus aktiv, um sicherzustellen, dass sich keine Malware im System befindet. Würde die Überprüfung nicht stattfinden, dann könnte dies im worst case dazu führen, dass bereits aktive Malware nicht erkannt wird und stattdessen auf der Whitelist landet. Mittels Universal AV Scan lassen sich Dateien mit 12 Scan Engines in der Cloud überprüfen, was die Wahrscheinlichkeit deutlich erhöht, auch aktuelle Malware zu erkennen.

Den Offline Scan möchte ich nur der Vollständigkeit halber erwähnen, weil hier ClamAV zum Einsatz kommt. ClamAV ist ein Open Source-Virenscanner, dessen Erkennungsrate nicht mit der von kommerziellen Produkten mithalten kann – er ist sicher besser als nichts, aber ich würde jederzeit dem Univeral AV Scan den Vorzug geben.

Das schärfste Schwert im Sortiment ist für mich ganz klar das Whitelisting. Ich habe SecureAPlus in meinem Lab mit hunderten von Samples getestet, darunter waren sowohl brandheiße Malware als auch aktuelle Ransomware. In keinem einzigen Fall wurde ein unbekanntes Programm ausgeführt, was einer Erfolgsquote von 100% entspricht. Natürlich besteht immer die Möglichkeit, dass ein findiger Hacker Mittel und Wege findet, auch eine Whitelisting-Lösung zu umgehen, doch dazu bedarf es eines erheblichen Aufwandes, und Wald- und Wiesen-Malware wird definitiv durch das Whitelisting-Konzept abgewehrt, was im übrigen auch für Ransomware gilt.

Ein weiterer wichtiger Punkt ist für mich das Thema Systemauslastung. Generell bremst ein Virenscanner bedingt durch seine Funktionsweise jedes System aus, auf älteren Endgeräten macht sich das allerdings noch viel stärker bemerkbar als auf einem Rechner der neuesten Generation. Das ist bei SecureAPlus anders, denn im Vergleich mit einem traditionellen AV-Programm ist es eher ein Leichtgewicht und lässt sich deshalb auch problemlos auf älteren Endgeräten einsetzen.

 

Installation und Konfiguration

Das Setup steht in zwei Varianten zur Verfügung. Bei der einen werden zu Beginn der Installation weitere Komponenten aus dem Internet nachgeladen, und bei der anderen befindet sich bereits alles benötigte im Setup. Nach der Installation beginnt SecureAPlus mit der Überprüfung des Systems, um eine Kompromittierung durch aktive Malware auszuschließen. Anschließend beginnt der Whitelisting-Prozess, der je nach Rechnergeneration bis zu mehreren Stunden dauern kann. Dieser Vorgang ist einmalig (Initial Full Scan) und die Grundlage für Application Whitelisting. Ab diesem Zeitpunkt ist ein Endgerät vollständig geschützt, d.h. die Ausführung von Programmen oder Scripts wird nun defaultmäßig unterbunden. Die Installation bzw. die Ausführung von neuen Programmen oder Scripts muss explizit erlaubt werden, damit sie der Whitelist hinzugefügt und als legitime Anwendung betrachtet werden; das ist am Anfang vielleicht etwas umständlich, aber dafür erhält man im Gegenzug einen Security Level, den ein traditioneller AV-Scanner nicht bieten kann.

SecureAPlus verfügt übrigens über ein deutsches Sprachpaket, das nach der Installation aktiviert werden kann. Leider steht die Support-Webseite von SecureAge nur auf englisch zur Verfügung, es lohnt sich aber definitiv, dort die Einführung in die Funktionsweise von SecureAPlus durchzulesen: https://support.secureaplus.com/

sap_language_settings

 

Arbeiten mit SecureAPlus

Wie ich bereits erwähnte, ist das Endgerät nach der Installation sozusagen versiegelt und lässt ohne explizite Erlaubnis weder die Installationv von Software noch die Ausführung von Scripts zu. Im Klartext bedeutet das, dass z.B. auch Ransomware, die üblicherweise durch maliziöse Dokumente verbreitet wird, keine Chance mehr hat, aktiv zu werden. Um bei diesem Beispiel zu bleiben, möchte ich kurz den Infektionsverlauf skizzieren:

1. Anwender erhält ein maliziöses Office-Dokument per Mail und wird per Social Engineering dazu gebracht, die Ausführung von Office-Makros in Dokumenten zu erlauben, die aus dem Internet heruntergeladen wurden

2. Im nächsten Schritt wird bösartiger Makrocode ausgeführt, der entweder direkt eine ausführbare .exe-Datei oder ein Script (Powershell oder Javascript) aus dem Office-Dokument extrahiert oder aus dem Internet nachlädt und ausführt

3. Was jetzt folgt, ist hinlänglich bekannt: Entweder wird der Schadcode vom Virenscanner erkannt oder eben auch nicht. Man sollte sich auch nicht verlassen, dass die User Account Control (UAC) von Windows zuschlägt, denn aktuelle Ransomware kennt auch üble Tricks, um die UAC zu umgehen (https://www.bleepingcomputer.com/news/security/erebus-ransomware-utilizes-a-uac-bypass-and-request-a-90-ransom-payment/). Damit bekommt der Anwender noch nicht einmal mehr mit, dass im Hintergrund möglicherweise etwas läuft, das dort besser nicht laufen sollte.

Im worst case – und das ist es in den meisten Fällen – hat der Anwender nun den Schaden und verschlüsselte Dateien auf der Festplatte.

Glücklicherweise schlägt genau diese Vorgehensweise bei Verwendung von SecureAPlus fehl, und zwar aus dem simplen Grund, weil die extrahierten oder heruntergeladenen Dateien nicht auf der Whitelist stehen und deshalb auch nicht ausgeführt werden. Soll eine legitime Software installiert werden, dann wird einfach das entsprechende Installationsprogramm gestartet und im Whitelist-Dialog die Option “Freigeben & Vertrauen” angeklickt. Damit wird die Whitelist um diese Anwendung erweitert, außerdem besteht an dieser Stelle die Möglichkeit, heruntergeladene Dateien direkt über den Universal/AV Cloud Scan auf Malware prüfen zu lassen. Selbstverständlich ist auch der Import und Export von Whitelists möglich.

sap_whitelisting_app

Für Anwender im Firmenumfeld gibt es auch noch die Möglichkeit, eine Freigabe von Anwendungen über das SecureAgePlus-Portal beim zuständigen Administrator zu beantragen; darauf möchte ich an dieser Stelle aber nicht näher eingehen, da Software in der Regel dort zentral gemanaged und verteilt wird und somit auch das Application Whitelisting durch die IT und nicht durch den Anwender erfolgt. Hinzu kommt, dass SecureAge die zentralen Managementmöglichkeiten gerade stark überarbeitet und in Zukunft das Portal zur Verwaltung von mehreren Endgeräten mit SecureAPlus über das Internet um weitere Funktionalitäten erweitern wird.

Sonstiges

Ich habe es schon mehrfach zum Ausdruck gebracht, deshalb mache ich es an dieser Stelle kurz: Application Whitelisting bietet ein Schutzniveau, das von einer herkömmlichen AV-Lösung nicht erreicht werden kann. Obwohl damit zumindest rein theoretisch ein 100%-Schutz vor Malware und Ransomware möglich ist, möchte ich zu bedenken gaben, dass es immer ein Wettlauf bleiben wird.

Dem Einfallsreichtum von Angreifern sind keine Grenzen gesetzt, deshalb hinken die Verteider immer hinterher. Gleichwohl gilt, dass es aus meiner Sicht deutlich schwieriger ist, eine Application Whitelisting-Lösung zu unterlaufen als eine tradtionelle AV-Lösung. Da SecureAPlus sehr leichtgewichtig ist und kaum Systemressourcen verbraucht, lässt es sich zusätzlich zu einem vorhandenen Virenscanner betreiben. Beachten Sie jedoch bitte, dass keine vollständige Kompatibilität zu sämtlicher AV-Software gewährleistet werden kann, deshalb möchte ich an dieser Stelle keine Empfehlungen für eine bestimmte AV-Lösung aussprechen – hier hilft notfalls nur testen und ggf. auch Ausschlüsse im Virenscanner definieren, falls doch Probleme beim Parallelbetrieb auftreten sollten.

Sobald die ersten Next-Gen AV-Lösungen auf Basis von machine based/deep learning für den SOHO-Bereich verfügbar sind (ich gehe von Mitte des Jahres aus), kann ich jedem Anwender nur empfehlen, auf eine derartige Lösung umzusteigen und diese als optimale Ergänzung zum Application Whitelisting zu verwenden. Ich hatte im vergangenen Jahr die Möglichkeit, an einem längeren Proof Of Concept einer Next-Gen-Lösung teilzunehmen, und die Ergebnisse dieses PoCs haben für mich ganz klar gezeigt, wem die Zukunft gehört – es sind definitiv nicht signaturbasierte traditionelle AV-Lösungen. Sobald Verfahren wie machine based learning und AI (Artifical Intelligence) zum Einsatz kommen, kann signaturbasierte AV einpacken, aber dazu ein anderes Mal mehr.

Videos

Der Anfang ist bereits gemacht, und für die Zukunft habe ich schon weitere Videos geplant, in denen SecureAPlus im Einsatz zu sehen sein wird. Ein Bild sagt bekanntlich mehr als tausend Worte, für ein Video gilt das natürlich umso mehr. Vergleichen Sie selbst, wie leistungsfähig SecureAPlus im Vergleich mit adäquaten Programmen oder diversen Antiviren-Lösungen ist. Abonnieren Sie unseren MSITC Youtube-Kanal, um keine neuen Videos zu verpassen. 

SecureAPlus vs Cerber Ransomware

 

Fazit

Als Incident Responder und IT Security Analyst bin ich bestens mit digitalen Bedrohungen jeglicher Art vertraut, denen Endgeräte heutzutage ausgesetzt sind. Da ein zuverlässiger und sicherer Endgeräteschutz immer wichtiger wird, um mit der permanent wachsenden Zahl von Bedrohungen Schritt halten zu können, bietet eine Application Whitelisting-Lösung ein sehr hohes und adäquates Schutzniveau. Egal, ob Ransomware, Malware, Backdoors, drive-by-downloads, phishing mails oder maliziöse Office-Dokumente: Ich habe SecureAPlus lange und intensiv getestet und kann daher sagen, dass in keinem einzigen Fall schädlicher Code ausgeführt werden konnte. Während moderne AV-Scanner von Avast, Avira, Bitdefender, Kaspersky usw. zwar auch gute Erkennungsleistungen zeigen, besteht dennoch immer die Möglichkeit, dass ein gut getarntes und erst wenige Minuten oder Stunden altes Malware- oder Ransomware-Sample nicht erkannt wird. Da spielt es dann auch keine Rolle, ob die Erkennungsrate ansonsten bei 99% oder höher liegt – das eine Ransomware-Sample schlägt ein und führt dann zu den bekannten unangenehmen Konsequenzen für den Anwender.

Da mir der Hersteller von SecureAPlus einen Einblick in die Entwicklungspläne zuteil werden ließ, kann ich an dieser Stelle nur sagen, dass noch sehr interessante Dinge kommen werden, die den jetzt schon sehr guten Schutz, den SecureAPlus bietet, noch weiter erhöhen werden. Auch für das zentrale Management in Firmen wird es in naher Zukunft deutlich mehr Möglichkeiten geben; ich werde darauf in einem follow-up eingehen, sobald es spruchreif ist.

Wenn man den Leistungsumfang betrachtet, den man mit dem Erwerb einer Premium-Lizenz von SecureAPlus erhält, dann bekommt man aus meiner Sicht ein Komplettpaket mit einem Rundumschutz vor aktuellen Bedrohungen zu einem sehr guten Preis-/Leistungsverhältnis.

 

Bezugsquelle

Wir sind offizieller SecureAPlus Reseller, SecureAPlus Premium-Lizenzen sind bei uns im Shop erhältlich. Für weitere Fragen zu SecureAPlus oder Supportanfragen können Sie uns gerne über das Kontaktformular im Shop .