Ein Systemadministrator erhält die folgende Warnung von einem Tool zur Überwachung der Dateintegrität: Der Hash der Datei cmd.exe hat sich geändert. Der Systemadministrator überprüft die OS-Protokolle und stellt fest, dass in den letzten zwei Monaten keine Patches angewendet wurden. Was ist am wahrscheinlichsten passiert?

Die Änderung des Hashes einer kritischen Systemdatei wie cmd.exe ohne angewendete Patches ist ein starker Hinweis auf eine Kompromittierung. Ein Rootkit ist eine Art von Malware, die darauf ausgelegt ist, ihre Präsenz zu verbergen und unbefugten Zugriff auf ein System zu ermöglichen, oft durch Manipulation von Systemdateien oder -prozessen. Die Änderung des Hashes deutet darauf hin, dass die Datei modifiziert wurde, was ein typisches Verhalten eines Rootkits ist, um seine bösartigen Komponenten zu integrieren oder sich zu tarnen. Die Änderung von Dateiberechtigungen würde den Hash der Datei nicht ändern. Eine kryptografische Kollision ist extrem unwahrscheinlich bei modernen Hash-Algorithmen und würde nicht nur eine einzelne Datei betreffen. Ein Dateisystem-Snapshot würde den Hash der Originaldatei nicht ändern, sondern lediglich einen Zustand des Dateisystems zu einem bestimmten Zeitpunkt erfassen.