Die Trojan.Winlock-Familie sorgte im Monat Januar für eine große Infektionswelle. Die meisten aufgedeckten Betrugsfälle setzen die Zahlungsweise via SMS voraus. Cyber-Kriminelle feilen weiter an neuen Monetisierungs-Tricks und Methoden zur Verbreitung von Malware.

Windows-Blockierer

Die massive Verbreitung mehrerer Varianten von Trojan.Winlock wurde zum Hauptereignis auf der Sicherheitsszene im Monat Januar. Der Schädling lässt oberhalb aller anderen Fenster sein eigenes Fenster anzeigen und stört die Funktion einiger auf dem PC installierten Programme. Das blockierte System kann laut Angreifer nur gegen Gebühr entsperrt werden. Sie fordern Anwender auf, eine kostenpflichtige SMS an die angebotene Kurznummer zu versenden. Eine solche SMS-Nachricht kostete z.B. im Januar 7-14 €.

Der Statistikserver von Doctor Web verzeichnete über 850.000 detektierte Exemplare von Trojan.Winlock auf mit Dr.Web geschützten Systemen (Dr.Web Enterprise Suite und Dr.Web Antivirus-Service inbegriffen). Diese Zahl ist im Vergleich zum Dezember 2009 um 215 % gewachsen. Im Vergleich zum November 2009 ist sie um 2340 % gestiegen. Es handelt sich um eine große Epidemie von Trojan.Winlock in Russland und der Ukraine. Im vorigen Monat infizierte der Trojaner PCs mehrerer Millionen Anwender.

Windows-Blockierer brachten Internetanwendern viele Sorgen im Januar. Nach dem großen Aufsehen kam die Reaktion der Provider von Kurznummern, die den zu Schaden gekommenen Abonnenten Entsperrungscodes kostenlos zur Verfügung stellten. Mobilfunkanbieter richten jetzt Services ein, die es ihren Abonnenten ermöglichen, die Gebühr jeder SMS-Nachricht vor dem Versand genau zu kalkulieren.Hersteller von Antivirensoftware bieten bereits Tools zur Neutralisierung von Trojan.Winlock.

Am 22. Januar haben wir auf unserer Website einen speziellen Bereich gelauncht, wo der Entsperrungscode für Windows generiert werden kann (nur innerhalb einer Woche wurde diese Webseite von über 1 Mio. Besucher aufgerufen). Es wurden auch mehrere Varianten von Dr.Web CureIt! veröffentlicht, mit dem man kontaminierte PCs effizient desinfizieren kann.

SMS-Betrug

Die mit Hilfe von SMS-Nachrichten erwirtschafteten illegalen Gewinne spornten die ganze Industrie von Malware-Websites an, die nicht existierende Services und Software anbieten.

So boten die Betrüger gefälschte Antivirensoftware an, die auf dem PC der Anwender Programme zur Verwaltung von Mobiltelefonen, mobile Scanner usw. entdeckten.

In den meisten Fällen wurden solche Services und Software-Produkte via SMS bezahlt. Ende Januar geriet diese Zahlungsweise ins Visier der Kurznummer-Provider, die diesen Service für viele Malware-Websites wegen Trojan.Winlock-Epidemie gesperrt haben. Nun greifen die Online-Kriminellen zu alt bewährten Zahlungsmethoden (z.B. via WebMoney) und lassen sich immer wieder neue Maschen einfallen.

Neue Monetisierungs-Tricks

Die Angreifer rüsten sich mit neuen Monetisierungs-Tricks aus. So fordert man z.B. Anwender auf, ihre Mobilfunknummer auf der angebotenen Website einzugeben. Anschließend bekommt man eine SMS-Nachricht, in der man per Klick auf einen vorhandenen Link den gewünschten Service aktivieren kann. Danach wird vom Konto des Anwenders ein Betrag abgebucht.

Die Gefahr besteht darin, dass jeder Handynummer-Besitzer eine solche SMS-Nachricht bekommen kann. Auf den ersten Blick erscheint die Nachricht als harmlos. Per Klick auf den angebotenen Link kann aber das Konto des Besitzers angezapft werden. Doctor Web fordert alle Anwender auf, solche SMS-Nachrichten zu ignorieren.

Neue Verbreitungsmethoden von Malware und Spam

Im vergangenen Monat haben die Übeltäter neue Methoden zur Verbreitung von Malware eingesetzt. So wurden z.B. Spam-Mails mit angehängten Torrent-Dateien versendet, durch die man vermeintliche E-Cards vom Torrent-Tracker laden konnte. Die Karten erwiesen sich als böswillige Software. Die Mailserver lassen solche Mails durchkommen, weil eine Torrent-Datei als solche keinen Schadcode enthält.

Die Spammer lassen sich auch immer wieder neue Methoden zur Übertragung großer Datenmengen einfallen. Den Beweis liefern Spams mit angehängten mp3-Dateien, die ca. 1 Stunde lange Lektionen enthielten. Außerdem wurden Spam-Mails verschickt, die zu Videospots auf Websites der Angreifer und auf YouTube weiterleiteten.

Tipps zur Vorbeugung einer Infizierung mit Trojan.Winlock

1. Installieren Sie immer eine lizenzierte Antivirensoftware und halten Sie die Software laut Empfehlung des Herstellers auf dem aktuellen Stand.
2. Benutzen Sie alternative Webbrowser (Mozilla Firefox, Opera oder Google Chrome) und installieren Sie rechtzeitig empfohlene Sicherheits-Updates.
3. Installieren Sie rechtzeitig Sicherheits-Updates für Ihr Betriebssystem.
4. Gehen Sie nicht auf Websites, die in Popup-Fenstern erscheinen.
5. Verzichten Sie auf Codecs und andere Programme, die Ihnen zum Ansehen von Videos angeboten werden. Gehen Sie auf die offizielle Homepage des Herstellers und laden Sie diese Software herunter. In vielen Fällen wird Trojan.Winlock als Video-Codec verbreitet.

Tipps zur Desinfektion von Trojan.Winlock

Wenn auf Ihrem Bildschirm das Fenster erscheint, in dem von Ihnen verlangt wird, eine SMS-Nachricht zu versenden, und dieses Fenster sich nicht schließen lässt, heißt es, dass Sie mit Trojan.Winlock infiziert sind.

1. Versenden Sie in keinem Fall kostenpflichtige SMS-Nachrichten. Jede versendete SMS motiviert Online-Kriminelle zur Anfertigung neuer Varianten von Trojan.Winlock.
2. Gehen Sie auf die Seite, wo Sie einen Entsperrungscode bekommen können.
3. Laden Sie die spezielle Variante von Dr.Web CureIt! und benutzen Sie das Tool zur Desinfektion des Systems und Entfernung von Trojan.Winlock.
4. Gehen Sie auf www.freedrweb.com/ und laden Sie Dr.Web LiveCD herunter. Nach der Desinfektion durch Dr.Web LiveCD ist es empfehlenswert, das System mit Dr.Web CureIt! zu prüfen.
5. Besuchen Sie unser Forum und zwar den Bereich Hilfe bei der Desinfektion.
6. Rufen Sie den Provider der Kurznummer an und fordern Sie ihn auf, den Entsperrungscode kostenlos zur Verfügung zu stellen.

Der Anteil von Schadprogrammen im gesamten E-Mail-Traffic im Januar ist im Vergleich zum Dezember 2009 um 30% gefallen. Der Anteil von Schadsoftware auf PCs der Anwender ist um 35% geschrumpft. Diese Korrektur ist allem Anschein nach auf einen extrem hohen Anteil der Schadsoftware im vorigen Monat zurückzuführen.

Top-20-Malware im E-Mail-Traffic

Top-20-Malware auf PCs der Anwender