Einträge in Windows-Registry für Regedit.exe unsichtbar

Dieses Thema im Forum "Netzwelt" wurde erstellt von zwa3hnn, 25. August 2005 .

Schlagworte:
  1. Diese Seite verwendet Cookies. Wenn du dich weiterhin auf dieser Seite aufhältst, akzeptierst du unseren Einsatz von Cookies. Weitere Informationen
  1. #1 25. August 2005
    Microsofts Registry-Editor Regedit.exe ist bei der Suche nach Trojaner- und Wurmeinträgen auf dem PC wenig hilfreich, worauf ein Posting auf der Sicherheitsmailingliste Full Disclosure aufmerksam macht. So zeigt das Tool Registry-Einträge vom Typ "Zeichenfolge" (REG_SZ) mit mehr als 255 Zeichen langen Namen nicht an. Eine Suche nach verdächtigen Keys bleibt so unter Umständen ergebnislos, obwohl sie vorhanden sind.

    Bei einem Test der heise-Security-Redaktion unter Windows XP SP2 und Windows 2000 SP4 gelang es zwar, Schlüssel auf diese Weise zu erzeugen und unsichtbar zu machen. Allerdings ließen sich so keine funktionierenden Autostart-Einträge erzeugen, mit denen sich etwa ein Schädling bei jedem Neustart von Windows zum Leben erwecken lassen kann. Offenbar ignoriert Windows -- wie Regedit.exe -- die Einträge.

    Anwender von Windows 2000 haben allerdings eine Alternative zu Regedit.exe: Regedt32.exe ist ein eigenständiges Programm, das auch zu lange Werte noch anzeigt (und auch sonst mächtiger ist als Regedit.exe).

    Anders unter Windows XP: Dort ist Regedt32.exe nur ein Wrapper auf Regedit.exe, die die Einträge nicht anzeigt. Immerhin bringt Windows XP ein Bordmittel mit, das auch die versteckten Registry-Keys anzeigt, sofern man weiß, wo man suchen muss: das Kommandozeilentool Reg.exe. Damit lassen sich Autostarts beispielsweise mit reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run durchforsten. Alternativ hilft unter XP auch das kostenlose "Autoruns" von Sysinternals, die Registry auf Einträge hin zu überprüfen, die Regedit vorenthält -- allerdings nicht unter 2000. Mit Autoruns lassen sich die unerwünschten Keys auch leicht entfernen.

    Das ISC will auch Meldungen von Lesern erhalten haben, wonach Spybot S&D, AdAware und Microsofts AntiSpyware Beta zu lange Keys ignoriert.

    Um Schädlingen auf die Spur zu kommen, die sich selbst und abgelegte Daten verstecken, sollten Anwender besser dedizierte Tools einsetzen. Ähnliche Tricks zur Verschleierung benutzen auch Rootkits -- bekannt ist etwa, dass Schlüssel mit führenden NULL-Zeichen für die Windows Registry-Editoren unsichtbar sind. Sysinternals RootkitRevealer hilft allerdings dabei, Anomalien aufzuzeigen - ebenso wie F-Secures Blacklight.

    [Update]
    Regedit.exe blendet nicht nur Registry-Werte mit überlangen Namen vom Typ REG_SZ aus, sondern auch Einträge aller anderen Typen. Für Schlüssel gilt dies nicht, Regedit verweigert die Vergabe eines zu langen Namens mit einer Fehlermeldung.

    In einem Schlüssel, in dem ein Eintrag mit einem zu langen Namen erstellt wurde, blendet Regedit zudem alle später angelegten Einträge aus. Sofern die nachträglich dazugekommenen Einträge korrekt sind, wertet Windows sie jedoch im Unterschied zu den Einträgen mit den überlangen Namen aus. Auf diese Weise könnten beispielsweise Autostarts in der Registry verankert sein, die Windows zwar ausführt, Regedit jedoch nicht anzeigt.

    Unter Windows 2000 blendet Regedit.exe auf diese Weise nicht nur später angelegte Einträge, sondern in einigen Fällen auch Schlüssel aus -- warum, ist bislang unklar. Regedit von Windows XP hingegen zeigt sie immer an.

    Beim Aufspüren solch versteckter und dennoch funktionstüchtiger Autostarts helfen wieder die gleichen Tools: Unter Windows XP zeigen das oben erwähnte Autoruns, das Kommandozeilen-Tool Reg.exe sowie das Systemkonfigurationsprogramm Msconfig.exe die Autostarts an. Unter Windows 2000 hilft Regedt32.exe weiter.


    quelle: heise online
     
    + Multi-Zitat Zitieren

  3. Anzeige

  4. Videos zum Thema
Auf dieses Thema antworten
Die Seite wird geladen...
Similar Threads - Einträge Windows Registry
  1. esage

    [Windows 7] Batch-Datei zum Durchsuchen der Registry und Löschen bestimmer Einträge

    esage , 23. Mai 2011 , im Forum: Windows
    Antworten:
    2
    Aufrufe:
    1.402
    Cyris
    1. Juni 2011
  2. Mr.y

    Linux installiert: Windows in den Bootmanager eintragen?

    Mr.y , 10. April 2015 , im Forum: Windows
    Antworten:
    3
    Aufrufe:
    1.795
    Sancho-Pancho
    10. April 2015
  3. SadStatue

    [Windows 7] Registrierungsdatenbank Einträge

    SadStatue , 5. Juli 2011 , im Forum: Windows
    Antworten:
    2
    Aufrufe:
    619
    MasterJulian
    5. Juli 2011
  4. die_kackwurst

    WinRAR ist deinstalliert aber die einträge in der Windows Shell noch da

    die_kackwurst , 6. Januar 2010 , im Forum: Anwendungssoftware
    Antworten:
    2
    Aufrufe:
    290
    die_kackwurst
    6. Januar 2010
  5. Excelsus

    Windows 2003 DHCP Einträge per Script hinzufügen

    Excelsus , 8. Dezember 2008 , im Forum: Windows
    Antworten:
    4
    Aufrufe:
    387
    Excelsus
    8. Dezember 2008