Sicherheitslücke MT4 - EA als Blackbox

Folgen

Geschrieben 27. Januar 201016 Jr.

Hi,

mir ist vorhin folgende Frage in den Sinn gekommen: Ist es möglich einen EA als Virenschleuder zu benutzen? Man kann kann ja alles Programmieren wonach einem lustig ist. Der Metatrader ist ja sogar soweit das es möglich ist Libarys von aussen einzubinden. Wäre es dann nicht auch möglich durch einen EA auf systemrelevante Infos zuzugreifen? Wäre das möglich dann wär ein EA den man sich irgendwo als "Open Source" holt ja sehr unsicher. Oder sogar noch viel schlimmer - einen Black Box EA, dort hat man ja nichtmal theoretisch eine Chance etwas mitzubekommen.

Man könnte ja sogar 2mal verdienen. 1. Durch den Verkauf des "Supermegagigantischgalaktisch guten EA´s" und durch die Daten die man sich holt oder den Schaden den man anrichtet. Was mir da einfällt: Mit integriertem FTP oder per Mailserver ist sogar alles on Board beim Metatrader was man für das abtransportieren der Daten braucht.

Was spricht gegen so ein solches Szenario?

Viele Grüße,

Rumpel

Btw: Ich will hier niemanden zu Schandtaten anregen! :wub:

Zitieren

Melden

Geschrieben 27. Januar 201016 Jr.

Das ist alles möglich.

Man muss lediglich die kernel32.dll und die user32.dll einbinden (die es in jedem Windows-System gibt). Der User, der sich für den Code nicht interessiert, bekommt davon gar nichts mit. Sofern er das Einbinden von dlls erlaubt, kann man mit einem System alles machen - einfach alles.

FTP-Upload ist auch möglich, einen Server braucht man dafür nicht. Man benötigt dafür die wininet.dll. Die hat jeder on board, einfach mal danach suchen mit dem Explorer. --> C:\windows\system32

Details stehen hier: http://pinvoke.net/default.aspx/wininet/FtpCommand.html

Aber ehrlich gesagt: wer sich von ein paar Equity Kurven blenden lässt und sich eine Blackbox zulegt und auf sein echtes hart verdientes Geld ansetzt, dem kann sowieso niemand mehr helfen... Nur meine persönliche Meinung.

Zitieren

Melden

Geschrieben 27. Januar 201016 Jr.

Jup, theoretisch möglich ist alles. Im Prinzip ist ein Blackbox-EA das gleiche wie wenn du von irgendeiner Seite eine *.exe runterlädst und sie ausführst (vom Risiko was deinem Rechner und den Daten alles passieren kann). Bei OpenSource EAs ist es insofern eingeschränkt als das man im Source sehen würde wenn ungewollte imports vorkommen.

Dafür kann man sich gegen sowas auch relativ leicht schützen. Bei unbekannten EAs einfach das importieren von dlls verbieten bzw. jeden einzelnen Aufruf zu Beginn bestätigen lassen. Dann ist der EA auf den lokalen file-Ordner von MT eingeschränkt und dort sollten dann eben keine relevanten Daten liegen. Und natürlich zuerst auf Demo starten, damit keine Kontodaten gespeichert/verschickt werden können.

Und wie Philipp schon sagt, ernsthaft einen Blackbox-EA in Erwägung zu ziehen ist sowieso sehr fraglich. (natürlich außer er hat das Tom-Next Zertifikat :wub: ;)

Zitieren

Melden

Geschrieben 27. Januar 201016 Jr.

...
Ist es möglich einen EA als Virenschleuder zu benutzen?
...

Absolut.

Man kann kann ja alles Programmieren wonach einem lustig ist. Der Metatrader ist ja sogar soweit das es möglich ist Libarys von aussen einzubinden. Wäre es dann nicht auch möglich durch einen EA auf systemrelevante Infos zuzugreifen?

Aber Hallo!!

...
Was spricht gegen so ein solches Szenario?
...

DLL-Einbindung verbieten.

Btw: Ich will hier niemanden zu Schandtaten anregen!

zu spät :wub:

Sofern im MQL4 die Einbindung von Dlls nicht erlaubt ist, braucht man keine Angst vorm bösen EA zu haben. Das ist global und für den EA bzw. Indikator, ...) konfigurierbar, ohne den Quellcode zu haben. Man könnte auch sagen, dass die Skripte, Indikatoren oder EAs in einer Art Sandbox ablaufen, wo alles sicher ist, sofern man keine Brücke zur Aussenwelt via DLL-Import aktiviert.

Inwiefern es allerdings Hacks gibt, die diesen Sicherheitsmechanismus ausgabeln, weiss ich nicht, kann ich mir aber nicht vorstellen (ok, das konnte man sich zu Beginn bei Applets auch nicht vorstellen, bis man vom Gegenteil überzeugt wurde, aber das ist eine andere Geschichte.

:sad: