Alle News
08.08 Update von Dr.Web Control Service in Dr.Web Produkten
Frankfurt, 8. August 2017
Für Dr.Web Enterprise Security Suite und Dr.Web AV-Desk wurde das Verhalten der Apps beim Wechseln der Netzwerkoberfläche angepasst.
Nun fragt der Agent Einstellungen aller installierten Komponenten beim Aufbau einer Verbindung zum Server an.
Das Update erfolgt automatisch.
03.08 Update von Dr.Web LiveDisk 9.0
Frankfurt, 3. August 2017
Jetzt sollen Dr.Web Produkte unter Windows fehlerfrei installiert und gestartet werden.
Frankfurt, 2. august 2017
Durch das Update der Firewall und des Dr.Web Firewall Drivers wird die fehlerhafte Verdoppelung von Regeln für Netzwerk-Apps behoben. Die Funktionsstabilität der Module wird dabei verbessert.
Das Update erfolgt automatisch. Für Produkte mit einer installierten Firewall ist der Neustart des Rechners erforderlich.
01.08 Neue Regeln für die Sperrung von Piratenlizenzen
Frankfurt, 1 August 2017
Gemäß neuen Regeln werden Lizenzen ohne Verwaltungszentrale für Dr.Web Enterprise Security Suite als Piratenlizenzen erkannt und sofort gesperrt.
Für Geschäftsanwender werden Lizenzen über ein Ticket im Support-Tracker wiederhergestellt. Der Link zum Ticket wird per E-Mail nach der Lizenzsperrung zugesendet. Dabei muss ein Geschäftskunde erklären können, aus welchem Grund eine Lizenz gesperrt wurde und welche Vorbeugemaßnahmen er in der Zukunft treffen wird.
Wie früher kann man als Geschäftsanwender eine Lizenz dreimal kostenlos ersetzen – mit der Voraussetzung, dass bis zum Ablauf der Lizenz weniger als 30 Tage verbleiben. Sonst muss eine Lizenz verlängert werden.
Heimanwender können ihre Lizenzen nur einmal kostenlos ersetzen.
Mehr zu neuen Regeln finden Sie hier.
Frankfurt, 31. Juli 2017
| Mehr |
Frankfurt, 31. Juli 2017
| Mehr |
31.07 Rückblick und Analyse von Bedrohungen im Juli 2017
July 31, 2017
Zusammenfassung
Der Juli ist in der Regel kein Monat für aufsehenerregende Ereignisse. Im Juli haben aber die Sicherheitsspezialisten von Doctor Web in der App zum Dokumentenmanagement M.E.Doc eine Backdoor entdeckt. Später wurde auch eine Verbreitungsquelle von
Hauptereignisse im Juli
- Entdeckung einer Backdoor in M.E.Doc
- Entdeckung der Verbreitungsquelle von Dande
- Kompromittieren der Webseite für elektronische Services gosuslugi.ru
Bedrohung des Monats
Die beliebte App M.E.Doc zum Dokumentenmanagement wurde von Intellect Service entwickelt. In der Komponente der App, die ZvitPublishedObjects.Server.MeCom heißt, haben Virenanalysten von Doctor Web einen Eintrag entdeckt, der für den Schlüssel des Windows-Registry typisch ist: HKCU\SOFTWARE\WC.
Dieser Schlüssel wurde von Trojan.Encoder.12703 verwendet. Die Analyse des Dr.Web Protokolls, das von einem Kundenrechner stammt, zeigte, dass Trojan.Encoder.12703 auf dem infizierten Rechner durch die ausführbare Datei ProgramData\Medoc\Medoc\ezvit.exe gestartet wurde. Diese ist eine Komponente von M.E.Doc:
Die angeforderte Datei ZvitPublishedObjects.dll hatte den gleichen Hash wie das von Doctor Web analysierte Muster. So konnten Virenanalysten von Doctor Web zum Schluss kommen, dass das Update-Modul von M.E.Doc, das als dynamische Bibliothek ZvitPublishedObjects.dll realisiert ist, eine Backdoor enthält. Diese Backdoor ist in der Lage, im System folgende Funktionen zu übernehmen:
- Daten für den Zugang zu Mailservern sammeln;
- Befehle im infizierten System ausführen;
- Dateien ins infizierte System herunterladen;
- Herunterladen, Speichern und Starten von ausführbaren Dateien;
- Hochladen von Dateien auf einen Remote-Server.
Interessant erscheint ein weiteres Fragment des Modulcodes von M.E.Doc. Mit Hilfe dieser Codezeilen und des Tools rundll32.exe mit Paramter #1 kann eine Nutzleistung generiert werden. Mehr dazu finden Sie hier.
Statistik
Dr.Web Antivirus
Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.BtcMine
Familie von Trojanern, die unerlaubt CPU-Ressourcen des PCs zum Mining von der Kryptowährung wie Bitcoin anzapfen.
Serverstatistik
JS.DownLoader
Böswillige Szenarien auf JavaScript, die auf den Rechner weitere böswillige Apps herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den Schadcode in den HTML-Code von Webseiten integrieren. Trojan.InstallCore
Familie von Installationsassistent für unerwünschte Apps.Trojan.DownLoader
Trojaner, die zum Herunterlanden von anderen Apps geeignet sind.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Malwarestatistik für E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den Schadcode in den HTML-Code von Webseiten integrieren. Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.Trojan.Encoder.6218
Erpresser, der für die Entschlüsselung von Daten Geld verlangt.Trojan.InstallCore
Installationsassistenten für böswillige und unerwünschte Apps.
Statistik von Dr.Web Bot für Telegram
Android.Locker.139.origin
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.EICAR Test File
Testdatei, die zum Testen von Virenschutz-Apps verwendet wird. Alle Virenschutz-Apps sollten auf die Datei wie auf eine böswillige Datei reagieren.- Joke.Locker.1.origin
Riskware für Android, die den Bildschirm des mobilen Endgeräts sperrt BSOD, Blue Screen of Death anzeigt. Android.SmsSend.20784
Böswillige Software, die Nutzern kostspielige Services unterschiebt.Trojan.PWS.Stealer
Trojaner, die vertrauliche Daten klauen sollen.
Encoder
Support-Anfragen wegen Encoder im Juli:
Trojan.Encoder.858 — 34.80% Anfragen;Trojan.Encoder.567 — 8.21% Anfragen;Trojan.Encoder.761 — 3.19% Anfragen;Trojan.Encoder.5342 — 3.04% Anfragen;- Trojan.Encoder.11423 — 2.13% Anfragen;
Trojan.Encoder.11432 — 1.98% Anfragen;
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im Juli 2017 wurden 327 295 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| Juni 2017 | Juli 2017 | Wachstum |
|---|---|---|
| + 229,381 | + 327,295 | + 42.6% |
Mitte Juli wurde auf der russischen Webseite für elektronische Services gosuslugi.ru ein potenzieller Schadcode entdeckt. Dieser Code ließ den Browser jedes Benutzers mit einer von 15 Domainadressen, von denen 5 niederländischen Unternehmen gehören, verbinden. Bei der dynamischen Generierung von Webseiten wurde auch ein Container <iframe> eingefügt. Dadurch konnte man den Browsern beliebige Daten abfragen. Alle Sicherheitslücken der Webseite wurden von der Administration von gosuslugi.ru nach der Veröffentlichung der Meldung über den Vorfall geschlossen.
Andere Ereignisse
Im Jahre 2011 haben unsere Analysten den Trojaner
Die von Doctor Web durchgeführte Analyse zeigte, dass
Böswillige und unerwünschte Apps für mobile Endgeräte
Anfang Juli haben die Sicherheitsspezialisten von Doctor Web im auf Google Play beliebten Spiel BlazBlue
Hauptereignisse im Juni 2017:
- Entdeckung eines Android-Trojaners in Android-Firmware von einigen mobilen Geräten;
- Entdeckung eines Download-Trojaner auf Google Play;
- Entdeckung eines Banken-Trojaners, der infizierte Geräte steuern und vertrauliche Daten klauen kann.
Mehr zur mobilen Sicherheitsszene finden Sie hier.
Erfahren Sie mehr mit Dr.Web
31.07 Doctor Web: Rückblick und Analyse von Bedrohungen für mobile Geräte im Juli 2017
Frankfurt, 31. Juli 2017
Im Juli haben die Sicherheitsanalysten von Doctor Web auf einigen Smartphone-Modellen unter Android einen Trojaner aufgespürt, der in einer Systembibliothek von Android eingebettet war. Der Schädling konnte u.a. in laufende Prozesse eindringen und weitere böswillige Module starten. Darüber hinaus haben die Analysten von Doctor Web auf Google Play ein Spiel ausfindig gemacht, das mit einem Download-Trojaner ausgerüstet war. Darüber hinaus hat man noch einen neuen gefährlichen Trojaner analysiert, der sich die Kontrolle über infizierte Geräte und vertrauliche Daten von Nutzern sichert.
Hauptereignisse
- Entdeckung eines Trojaners in Android-Firmware
- Entdeckung eines Download-Trojaners auf Google Play
- Entdeckung eines neuen gefährlichen Bankentrojaners
Bedrohung des Monats
Besonderheiten von
- Die Einbettung in die Systembibliothek ist auf Ebene des Quellcodes realisiert;
- Der Schädling bettet sich in laufende Prozesse ein und integriert in diese böswillige Module;
- Um den Trojaner zu installieren, ist die Neuinstallation des Betriebssystems erforderlich.
Mehr zum Trojaner finden Sie in dieser Mitteilung.
Statistik von Dr.Web Produkten für Android
Android.DownLoader .337.originAndroid.DownLoader .526.origin- Trojaner, die zum Herunterladen anderer Apps gedacht sind.
Android.HiddenAds .85.originAndroid.HiddenAds .68.originAndroid.HiddenAds .83.origin- Trojaner, die zum Anzeigen anderer Apps gedacht sind, werden unter dem Deckmantel beliebter Apps verbreitet und im Systemverzeichnis unsichtbar installiert.
- Adware.Avazu.8.origin
- Adware.SalmonAds.1.origin
- Adware.Jiubang.1
- Adware.Batmobi.4
Adware.Cootek.1.origin - Unerwünschte App-Module, die in Android-Apps eingebettet werden und zum Anzeigen auf mobilen Geräten gedacht sind.
Trojaner auf Google Play
Im Juli haben Sicherheitsspezialisten von Doctor Web auf Google Play
Bankentrojaner
Im Monat Juli wurde der Trojaner
Virenschreiber greifen Android-Nutzer weiterhin an. Ständig erweitern sie die Funktionalität von Trojanern und versuchen, diese mit allen zugänglichen Methoden zu verbreiten. Für einen zuverlässigen Schutz gegen Malware empfehlen wir Dr.Web Produkte für Android zu installieren.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 100 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
Frankfurt, 27. Juli 2017
Trojaner der Familie
Im Unterschied zu anderen Vertretern dieser Familie, die sich root-Privilegien zu sichern versuchen, ist der von unseren Analysten entdeckte Trojaner
Nach der Initialisierung nimmt der Schädling Einstellungen vor, erstellt ein Verzeichnis und prüft, wo er läuft. Wenn der Trojaner unter Dalvik läuft, fängt er eine der Systemmethoden ab, kann alle Apps überwachen und böswillige Aktivitäten durchführen.
Die Hauptfunktion von
So kann sich
Außerdem kann
Da
19.07 Dr.Web AV-Desk baut seine Präsenz in Südostasien aus
Frankfurt, 19. Juli 2017
Den Virenschutz im SaaS-Modell werden nun über 50 Geschäftskunden von ESPINAT DATA GLOBAL nutzen können.
Das Team von ESPINAT DATA GLOBAL konnte sich beim Test des Services vergewissern, wie einfach die Einrichtung und Administration des Services und wie stabil seine Funktionsweise ist. Dabei ist der Support sowohl für Nutzer als für den Systemadministrator verfügbar.
«Die Einrichtung von Dr.Web AV-Desk wurde dank der Begleitung des Teams von Doctor Web schnell und unkompliziert durchgeführt. Der Service bietet eine gute Übersicht und komplette Kontrolle der unternehmenseigenen IT-Sicherheit», sagt CEO von ESPINAT DATA GLOBAL Rizal Muhammad.
Über ESPINAT DATA GLOBAL
ESPINAT DATA GLOBAL ist ein indonesischer Anbieter von IT-Dienstleistungen.
Über Dr.Web AV-Desk
Der Managed Security Service Dr.Web AV-Desk wurde von Doctor Web 2007 entwickelt. Bis heute wurde Dr.Web AV-Desk von über 350 IT-Anbieter in Frankreich, den Niederlanden, Spanien, der Ukraine, Estland, Litauen, Kasachstan und anderen Ländern eingerichtet.
18.07 Update von Dr.Web für Telegram
Frankfurt, 18. Juli 2017
Dank dem Update können ab sofort Dateien mit einem Grössenlimit von bis zu 20 MB geprüft werden. Für neue Chats wurde die Default-Benachrichtigung auf «Nur über Bedrohungen benachrichtigen» angepasst.
Fehler in kyrillischen und in arabischen Symbolen sowie in Dateinamen wurden beseitigt. Außerdem wurden Mängel beim Herunterladen von Dateien vom Telegram-Server behoben.
Um den Bot zu nutzen, finden Sie auf Telegram das Konto @DrWebBot (oder gehen Sie auf telegram.me/drwebbot) und senden Sie dem Bot eine Datei oder einen Link zu — der Bot wird diese «on the fly» prüfen und Ihnen das Ergebnis mitteilen.
Frankfurt, 18. Juli 2017
Im Update-Modul wurden Verbesserungen durchgeführt, die die Interaktion mit Dr.Web Update-Servern effektiver machen sollen.
Ursachen für das Abbrechen des Agenten beim Start unter Windows Server 2008 SP2 wurden behoben. In Dr.Web Enterprise Security Suite 10.0 und 10.1 wurden auch Ursachen für das Abbrechen des Agenten beim Wechseln aus einem Benutzer- in den Administratormodus beseitigt.
In Lua-script for av-service wurde ein Problem verbessert, wegen dem ein Produkt für Workstations im System mit einem ES-Agenten nicht aktualisiert werden konnte.
Das Update erfolgt automatisch.
11.07 Update von SpIDer Agent für Windows in Dr.Web Produkten 10.0 und 11.0 für Windows
Frankfurt, 11. Juli 2017
Der Fehler, der zum Zurücksetzen von Regeln für Apps bei der Konfiguration der Firewall führen konnte, wurde beseitigt.
Das Update erfolgt automatisch.
04.07 Doctor Web: M.E.Doc enthält eine Backdoor, die Cyber-Kriminellen den Zugang zum PC erlaubt
Frankfurt, 4. Juli 2017
In den Mitteilungen hieß es, dass die Verbreitung von
Die Virenanalysten sind auf diesen Pfad aufmerksam geworden, weil
id: 425036, timestamp: 15:41:42.606, type: PsCreate (16), flags: 1 (wait: 1), cid: 1184/5796:\Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe
source context: start addr: 0x7fef06cbeb4, image: 0x7fef05e0000:\Device\HarddiskVolume3\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorwks.dll
created process: \Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe:1184 --> \Device\HarddiskVolume3\Windows\System32\cmd.exe:6328
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: "cmd.exe" /c %temp%\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18o EJeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6 UGTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad9 2ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvD X0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
status: signed_microsoft, script_vm, spc / signed_microsoft / clean
id: 425036 ==> allowed [2], time: 0.285438 ms
2017-Jun-27 15:41:42.626500 [7608] [INF] [4480] [arkdll]
id: 425037, timestamp: 15:41:42.626, type: PsCreate (16), flags: 1 (wait: 1), cid: 692/2996:\Device\HarddiskVolume3\Windows\System32\csrss.exe
source context: start addr: 0x7fefcfc4c7c, image: 0x7fefcfc0000:\Device\HarddiskVolume3\Windows\System32\csrsrv.dll
created process: \Device\HarddiskVolume3\Windows\System32\csrss.exe:692 --> \Device\HarddiskVolume3\Windows\System32\conhost.exe:7144
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 0, new: 0, dbg: 0, wsl: 0
curdir: C:\windows\system32\, cmd: \??\C:\windows\system32\conhost.exe "1955116396976855329-15661177171169773728-1552245407-149017856018122784351593218185"
status: signed_microsoft, spc / signed_microsoft / clean
id: 425037 ==> allowed [2], time: 0.270931 ms
2017-Jun-27 15:41:43.854500 [7608] [INF] [4480] [arkdll]
id: 425045, timestamp: 15:41:43.782, type: PsCreate (16), flags: 1 (wait: 1), cid: 1340/1612:\Device\HarddiskVolume3\Windows\System32\cmd.exe
source context: start addr: 0x4a1f90b4, image: 0x4a1f0000:\Device\HarddiskVolume3\Windows\System32\cmd.exe
created process: \Device\HarddiskVolume3\Windows\System32\cmd.exe:1340 --> \Device\HarddiskVolume3\Users\user\AppData\Local\Temp\wc.exe:3648
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: C:\Users\user\AppData\Local\Temp\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18oE JeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6U GTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad92 ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvDX 0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
fileinfo: size: 3880448, easize: 0, attr: 0x2020, buildtime: 01.01.2016 02:25:26.000, ctime: 27.06.2017 15:41:42.196, atime: 27.06.2017 15:41:42.196, mtime: 27.06.2017 15:41:42.196, descr: wc, ver: 1.0.0.0, company: , oname: wc.exe
hash: 7716a209006baa90227046e998b004468af2b1d6 status: unsigned, pe32, new_pe / unsigned / unknown
id: 425045 ==> undefined [1], time: 54.639770 ms
Die angeforderte Datei ZvitPublishedObjects.dll hatte dieselben Hash wie das von Doctor Web analysierte Muster. So konnten wir zum Schluss kommen, dass das Update-Modul von M.E.Doc, das als dynamische Bibliothek ZvitPublishedObjects.dll realisiert ist, eine Backdoor enthält. Diese Backdoor ist in der Lage, im System folgende Funktionen zu übernehmen:
- Daten für den Zugang zu Mailservern sammeln;
- Befehle im infizierten System ausführen;
- Dateien ins infizierte System herunterladen;
- Herunterladen, Speichern und Starten von ausführbaren Dateien;
- Hochladen von Dateien auf einen Remote-Server.
Interessant erscheint ein weiteres Fragment des Modulcodes von M.E.Doc. Mit Hilfe dieser Codezeilen und des Tools rundll32.exe mit Paramter #1 kann eine Nutzleistung generiert werden:
So wurde auch auf Rechnern der Opfer der Encoder, der als NePetya, Petya.A, ExPetya und WannaCry-2 (
In einem Interview auf der Reuters-Webseite haben die Entwickler von M.E.Doc behauptet, dass die von ihnen entwickelte App keinen böswilligen Code enthalte. Die Virenanalysten von Doctor Web kamen aufgrund von Daten aus der statistischen Codeanalyse zum Schluss, dass unbekannte Täter die App M.E.Doc infiziert haben. Diese Komponente wurde in die Dr.Web Virendefinitionsdatei als
| Mehr |
03.07 Epidemie des Encoders, neue Trojaner für Linux und andere Ereignisse im Juni 2017
Frankfurt, 3. Juli 2017
| Mehr |
03.07 Rückblick und Analyse von Bedrohungen im Juni 2017
Frankfurt, 3. Juli 2017
Hauptereignisse im Juni 2017
- Epidemie von Trojan.Encoder.12544;
- Verbreitung des Miners für Windows;
- Malware für Linux entdeckt.
Bedrohung des Monats
Die Sicherheitsspezialisten von Doctor haben den Schädling, der in den Medien auch als Petya, Petya.A und WannaCry-2 bekannt ist, als
Vernichtet wird auch der VBR (Volume Boot Record) der Festplatte C: der erste Sektor der Festplatte wird mit Datenmüll angereichert. So wird die Steuerung nach dem Neustart an den Trojaner übertragen. Der Trojaner zeigt auf dem Bildschirm des infizierten PCs den Text an, der einer Meldung des Standardtools zur Prüfung von CHDISK ähnlich aussieht.
Währenddessen verschlüsselt
Die Virenanalysten von Doctor Web glauben, dass
Die Virenanalysten melden, dass die Infektionsquelle das Update-System der App MEDoc war. Diese App hilft ukrainischen Nutzern bei der Buchführung. Noch 2012 haben die Virenanalysten von Doctor Web einen gezielten Angriff gegen eine Apothekenkette und einige Pharmaunternehmen entdeckt, bei dem der Schädling
Statistik von Dr.Web Antivirus
Trojan.InstallCore
Trojaner, die andere Malware installieren.- Trojan.Kbdmai.16
Werbe-Trojaner, der im Browser verschiedene Webseiten aufruft. Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.- Trojan.Moneyinst.69
Trojaner, die andere Malware auf infizierten PCs installieren. Trojan.Encoder.11432
Netzwerk-Wurm, der auf dem Rechner des Opfers Encoder WannaCry ausführt.
Serverstatistik von Doctor Web
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den böswilligen Code in den HTML-Code von Webseiten einbettet. Trojan.InstallCore
Trojaner, die andere Malware installieren.- Trojan.Kbdmai.37
Werbe-Trojaner, der im Browser verschiedene Webseiten aufruft. Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.
Malwarestatistik für E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.W97M.DownLoader
Trojaner, die Sicherheitslücken in Office-Apps ausnutzen, und in der Lage sind, andere böswillige Apps herunterzuladen.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Statistik von Dr.Web Bot für Telegram
Android.Locker.139.origin ,Android.Locker.1733
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.Win32.HLLP.Neshta
Dateivirus, der Virenanalysten seit 2005 bekannt ist, und Dateien wie EXE PE mit mind. 41472 Byte Größe infiziert. Bei der Infizierung schreibt sich der Schädling in den Beginn der infizierten Datei mit der Zeile: «Neshta 1.0 Made in Belarus».EICAR Test File
Testdatei, die zum Testen von Virenschutz-Apps verwendet wird. Alle Virenschutz-Apps sollten auf die Datei wie auf eine böswillige Datei reagieren.Android.Androrat.1.origin
Spyware für Android.
Support-Anfragen wegen Encoder im Juni:
Trojan.Encoder.858 — 28.51% Anfragen;Trojan.Encoder.10103 — 8.10% Anfragen;Trojan.Encoder.567 — 5.54% Anfragen;Trojan.Encoder.11432 — 4.10% Anfragen;- Trojan.Encoder.10144 — 2.36% Anfragen;
Dr.Web Security Space für Windows schützt vor Encodern
Im Juni 2017 wurden 229 381 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| Mai 2017 | Juni 2017 | Wachstum |
|---|---|---|
| + 1,129,277 | + 229,381 | - 79.68% |
Malware für Linux
Virenanalysten von Doctor Web haben zwei Schädlinge für Linux untersucht. Der eine installiert auf dem infizierten Rechner eine App zum Mining von Kryptowährung, der andere startet einen Proxy-Server. Der erste Trojaner wurde in die Dr.Web Virendefinitionsdatei als Linux.MulDrop.14 aufgenommen. Die Verbreitung von
Der andere Schädling heißt Linux.ProxyM. Angriffe, bei denen er eingesetzt wurde, wurden bereits seit April 2017 registriert. Die zeitliche Verteilung von Angriffen durch
Ein Großteil von IP-Adressen, von denen Cyber-Angriffe durchgeführt werden, befindet sich in Russland. Danach folgen China und Taiwan. Die geografische Verteilung von Angriffen, wo
Mehr Statistiken finden Sie hier.
Andere Ereignisse
Mining-Trojaner gibt es seit gut sechs Jahren. Hier und da gibt es Infizierungsfälle. So haben beispielsweise die Virenanalysten von Doctor Web im Jahr 2011 den Mining-Trojaner
Das Hauptmodul, das zum Mining von Monero dient, ist auch als Bibliothek realisiert und kann bis zu 80% der CPU-Ressourcen von PCs in Anspruch nehmen. Der Schädling enthält sowohl eine 32- als auch 64-Bit-Version des Mining-Trojaners. Die entsprechende Version des Schädlings wird je nach Typ des Betriebssystems verwendet. Mehr dazu finden Sie in diesem Artikel.
Böswillige und unerwünschte Apps für mobile Endgeräte
Im Juni haben die Virenanalysten von Doctor
Andere Trojaner, die sich auf Google Play verbreiteten, wurden in Dr.Web Virendefinitionsdatei als
Im Juni wurde
Hauptereignisse im Juni 2017:
- Android-Trojaner für Cyber-Spionage entdeckt;
- Bedrohungen auf Google Play entdeckt;
- Verbreitung eines Encoders für Android.
Mehr zur mobilen Sicherheitsszene finden Sie hier.
03.07 Rückblick und Analyse von mobilen Bedrohungen im Monat Juni 2017
Frankfurt, 3. Juli 2017
Im Juni haben die Virenanalysten von Doctor Web einen Android-Schädling entdeckt, der Cyber-Spionage gegen mobile Nutzer im Iran betrieb und Befehle von Cyber-Kriminellen ausführen konnte. Gleichzeitig wurden auf Google Play mehrere Bedrohungen entdeckt. Einer der Schädlinge wollte einen root-Zugang bekommen, bettete sich in Systembibliotheken ein und konnte Apps ohne Kenntnis der Nutzer installieren. Andere Schädlinge versendeten kostenpflichtige Kurznachrichten und abonnierten kostspielige Premium-Services. Auf Google Play wurde Riskware verbreitet, die eine Datenabwanderung als Folge haben konnte. Darüber hinaus wurde ein weiterer Android-Encoder aufgespürt.
Hauptereignisse
- Android-Trojaner für Cyber-Spionage entdeckt;
- Bedrohungen auf Google Play entdeckt;
- Verbreitung eines Encoders für Android.
Mobile Bedrohung des Monats
Im Juni haben die Virenanalysten von Doctor
- verbreitet sich als harmlose App;
- klaut Kurznachrichten, Kontakte aus dem Telefonbuch und dem Google-Konto;
- kann Fotos mit einer Frontalkamera machen;
- wird von Cyber-Kriminellen via Telegram verwaltet.
Mehr zum Trojaner finden Sie hier.
Statistik von Dr.Web Produkten für Android
Android.HiddenAds .83.originAndroid.HiddenAds .76.originAndroid.HiddenAds .85.origin- Trojaner, die lästige Werbung anzeigen und sich unter dem Deckmantel von anderen Apps verbreiten. Sie sind in der Lage, Apps ohne Kenntnis der Nutzer im Systemverzeichnis zu installieren.
Android.DownLoader .337.origin- Trojaner, der andere Apps herunterladen kann.
Android.Triada .264.origin
<- Multifunktionaler Trojaner, die verschiedene böswillige Aktionen durchführen.
Statistik von Dr.Web Produkten für Android
- Adware.Jiubang.1
- Adware.SalmonAds.1.origin
- Adware.Batmobi.4
- Adware.Avazu.8.origin
Adware.Leadbolt .12.origin- Unerwünschte App-Module, die in Android-Apps eingebaut werden und lästige Werbung anzeigen.
Bedrohungen auf Google Play
Im vergangenen Monat haben Virenanalysten auf Google Play Riskware entdeckt, die die Arbeit mit in der Ukraine gesperrten sozialen Netzwerken «VKontakte» und «Odnoklassniki» ermöglichen. Diese Apps wurden in die Virendefinitionsdatei als
Im Juni wurden auf Google Play Trojaner der Familie
Andere Trojaner, die sich auf Google Play verbreiteten, wurden in Dr.Web Virendefinitionsdatei als
Encoder
Im Juni wurde
Cyber-Kriminelle verlangten von Opfern ein Lösegeld in Höhe von CNY 20,-. Jeden dritten Tag wuchs der Betrag aufs Doppelte. Wenn die Verbrecher nach einer Woche nicht an das Geld kommen konnten, löschte
Böswillige und potenziell gefährliche Apps für Android gelangen auf mobile Endgeräte nicht nur beim Herunterladen von verschiedenen Webseiten, sondern auch vom Google Play. Android-Nutzer müssen höchste Vorsicht walten lassen, wenn sie unbekannte Apps installieren, und Dr.Web Produkte für Android nutzen.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 100 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
Frankfurt, 30. Juni 2017
In veröffentlichten Artikeln heißt es, dass es eine Methode gibt, mit der man die Aktivierung von Trojan.Encoder.12544 unterbinden kann, indem man im Verzeichnis C:\Windows eine perfc-Datei erstellt. Einige weisen auch auf Dateien hin, die es für den Benutzer machen können, z.B.: https://download.bleepingcomputer.com/bats/nopetyavac.bat.
Ähnliche Anleitungen sind unter folgenden Adressen zu finden:
- http://www.telegraph.co.uk/technology/2017/06/28/security…
- https://www.bleepingcomputer.com/news/security/vaccine…
- http://www.foxnews.com/tech/2017/06/28/
petya-ransomware … - http://www.zdnet.com/article/
create-a-single … - http://mashable.com/2017/06/28/
ransomware-notpetya … - https://www.scmagazineuk.com/
notpetya-researchers … - https://xakep.ru/2017/06/28/
petya-vaccine - http://www.securitylab.ru/news/486967.php
Doctor Web erklärt, dass diese Methode gegen Trojan.Encoder.12544, der auch unter dem Namen Petya, Petya. A, ExPetya und WannaCry-2 bekannt ist, aus folgenden Gründen nicht effektiv ist:
- Die Datei, mit der Trojan.Encoder.12544 die Kontrolle über den Neustart verfügt, hängt vom Dateinamen des Trojaners ab. Wenn Cyber-Kriminelle die böswillige Datei umbenennen, schützt eine perfc-Datei im C:\Windows файла nicht gegen die Infizierung.
- Der Trojaner prüft, ob eine perfc-Datei vorhanden ist, nur dann, wenn er über ausreichende Privilegien im System verfügt.
Die Virenanalysten von Doctor Web haben eine vorläufige Analyse von Trojan.Encoder.12544 veröffentlicht, mit der Sie sich auf unserer Webseite bekannt machen können.
29.06 Doctor Web: Ähnliche Infizierungsmethoden haben wir auch früher angetroffen
29 июня 2017 года
Die Virenanalysten, die
Noch 2012 haben die Virenanalysten von Doctor Web einen gezielten Angriff gegen eine Apothekenkette und einige Pharmaunternehmen entdeckt, wo der Schädling
Die Sicherheitsspezialisten von Doctor Web haben eine Untersuchung durchgeführt, die 4 Jahre dauerte. Man hat Festplatten einer geschädigten Firma analysiert und festgestellt, wann der Treiber, der alle anderen Komponenten von
Die beiden Fälle haben gezeigt, dass die Infrastruktur der Softwareentwicklung erhöhte Sicherheitsanforderungen haben muss. Vor allem auf Sicherheitsupdates muss man Rücksicht nehmen. Das gilt sowohl für Entwickler als auch Nutzer. Update-Module, die im Betriebssystem über Rechte für Installation und Starten von Apps verfügen, können zu einer Infektionsquelle werden. Im Fall MEDoc ist die Infizierung auf den Einbruch von Cyber-Kriminellen und den gehackten Server zurückzuführen. Im Fall
28.06 Trojan.Encoder.12544: Anleitung für geschädigte Nutzer
Frankfurt, 28. Juni 2017
Trojan.Encoder.12544 verbreitet sich über die Lücke im Protokoll SMB v1 - MS17-010 (CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0148) und das Exploit NSA "ETERNAL_BLUE". Dabei werden zur Verbreitung Ports 139 und 445 verwendet. Bei der Lücke geht es um den Typ Remote Code Execution, was die Infizierung des Rechners per Fernzugriff bedeutet.
Um das Login im Betriebssystem wiederherzustellen, müssen Sie MBR wiederherstellen (u.a. mit Hilfe von Recovery Console von Windows oder des Tools bootrec.exe /FixMbr).
Dafür können Sie auch Dr.Web LiveDisk verwenden. Erstellen Sie eine Boot-CD oder einen Boot-Datenträger und führen Sie das Booten von diesen Datenträgern durch. Starten Sie Dr.Web Scanner, führen Sie den Scan der beschädigten Festplatte aus und neutralisieren Sie die Bedrohungen, indem Sie die entsprechende Funktion auswählen.
Trennen Sie Ihren PC vom lokalen Netzwerk und installieren Sie den Patch MS17-010 https://technet.microsoft.com/en-us/library/security/ms17-010.aspx.
Auf Rechnern unter Windows XP und Windows 2003 müssen Sicherheits-Patches manuell installiert werden. Diese finden Sie unter den folgenden Links:
- Windows XP SP3:
- download.windowsupdate.com/d/csa/csa/secu/2017/02/windowsxp-kb4012598-x86-custom-rus_84397f9eeea668b975c0c2cf9aaf0e2312f50077.exe
- Windows Server 2003 x86:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x86-custom-rus_62e38676306f9df089edaeec8924a6fdb68ec294.exe
- Windows Server 2003 x64:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x64-custom-rus_6efd5e111cbfe2f9e10651354c0118517cee4c5e.exe
- Installieren Sie Dr.Web Antivirus, stellen Sie eine Internetverbindung her, aktualisieren Sie die Virendatenbanken und starten Sie einen Scan.
Testversion für Heimanwender Testversion für Geschäftsanwender
Der Trojaner ersetzt den Master Boot Record (MBR), erstellt und führt den Neustart-Task im Task-Planer aus. Danach ist der Neustart des Betriebssystems wegen des ersetzten Boot-Sektors der Festplatte nicht möglich. Anschließend wird die Verschlüsselung von Daten gestartet. Für jede Festplatte wird ein separater AES-Schlüssel erstellt. Dieser existiert im Speicher, bis die Verschlüsselung der Festplatte abgeschlossen wird. Für ihn wird ein Open-Source-Schlüssel RSA verwendet. Nachdem der MBR erfolgreich ersetzt und der Neustart des PCs durchgeführt wurde, wird die (Master File Table) MFT verschlüsselt, wo Daten zu Inhalten der Festplatte gespeichert sind. Um die Inhalte wiederherzustellen, braucht man einen Schlüssel, d.h. die verschlüsselten Daten können ohne Schlüssel nicht dekodiert werden.
Zum jetzigen Zeitpunkt ist die Dekodierung noch nicht möglich. Es wird nach Lösungen gesucht. Wir halten Sie auf dem Laufenden.
28.06 Neuer globaler Angriff des Encoders: Details von Doctor Web
Frankfurt, 28. Juni 2017
Trojan.Encoder.12544, der in der letzten Zeit in den Medien für Schlagzeilen sorgte, stellt eine ernsthafte Gefahr für PCs unter Microsoft Windows dar. Aus einigen Quellen heißt es, dass es um eine neue Variante von Petya (Trojan.Ransom.369) geht. Trojan.Encoder.1254 weist aber nur einige wenige Ähnlichkeiten mit Petya auf. Der Schädling konnte in IT-Systeme von Behörden, Banken und NGOs in der Ukraine eindringen und mehrere Unternehmen in Russland infizieren.
Zum jetzigen Zeitpunkt ist es bekannt, dass der Trojaner Lücken ausnutzt, die früher zur Verbreitung von WannaCry verwendet wurden. Die massenhafte Verbreitung von Trojan.Encoder.12544 begann am Vormittag, dem 27. Juni. Beim Start auf dem infizierten PC sucht der Schädling im lokalen Netzwerk nach Rechnern und scannt anhand der Liste von IP-Adressen Ports 445 und 139. Nachdem Rechner mit diesen Ports gefunden wurden, versucht Trojan.Encoder.12544 diese über die bekannte SMB-Lücke (MS17-10) zu öffnen.
In seinem Körper enthält der Trojaner 32- und 64-Bit-Versionen von Mimikatz, der Passwörter von offenen Sitzungen unter Windows abfängt. Je nach Version des Betriebssystems entpackt er die entsprechende Version des Tools in einem temporären Verzeichnis und startet sie. Mit Hilfe von Mimikatz und zwei anderen Methoden erhält Trojan.Encoder.12544 eine Liste von lokalen Nutzern sowie Domainnutzern, die auf dem infizierten PC eingeloggt sind. Anschließend sucht er nach Ordnern im Netzwerk, versucht diese zu öffnen und dort seine Kopie zu speichern. Um PCs zu infizieren, zu denen er den Zugang erhalten hat, nutzt Trojan.Encoder.12544 das Tool zur PC-Remote-Verwaltung PsExec (im Körper des Trojaners enthalten) oder ein Standard-Console-Tool zum Aufrufen von Dateien Wmic.exe.
Seinen erneuten Start kontrolliert der Schädling mit Hilfe der Datei, die im Verzeichnis C:\Windows\ gespeichert wird. Diese Datei hat einen Namen, der dem Namen des Trojaners ohne Erweiterung entspricht. Da der Wurm, der aktuell verbreitet wird, den Namen perfc.dat besitzt, wird die Datei, die seinen wiederholten Start verbietet, C:\Windows\perfc heißen. Wenn der ursprüngliche Name des Trojaners angepasst wird, kann die Erstellung der Datei mit dem Namen perfc ohne Erweiterung auf C:\Windows\ (wie einige Anbieter empfehlen) Ihren PC vor der Infizierung nicht retten.
Nach dem Start definiert der Trojaner Privilegien für sich, lädt seine Kopie in den Speicher und überträgt ihr die Steuerung. Anschließend speichert er seine eigene Datei neu, fügt dort Datenmüll ein und löscht die Datei. Trojan.Encoder.12544 verschlüsselt und kopiert eine Boot-Signatur in einen anderen Bereich der Festplatte und speichert seine eigene Signatur. Vernichtet wird auch VBR (Volume Boot Record) der Festplatte C: der erste Sektor der Festplatte wird mit Datenmüll angereichert. So wird die Steuerung nach dem Neustart an den Trojaner übertragen. Der Trojaner zeigt auf dem Bildschirm des infizierten PCs den Text an, der einer Meldung des Standardtools zur Prüfung von CHDISK ähnlich aussieht. Währenddessen verschlüsselt Trojan.Encoder.12544 Daten auf Festplatten.
Der Trojaner verschlüsselt Daten nur auf Festplatten des PCs. Jede Festplatte wird separat verschlüsselt. Die Verschlüsselung erfolgt mit Hilfe von Algorithmen AES-128-CBC. Für jede Festplatte wird ein jeweiliger Schlüssel erstellt. Dieser Schlüssel wird mit Hilfe des Algorithmus RSA-2048 verschlüsselt und im Kernverzeichnis der Systemdatei mit dem Namen README.TXT gespeichert. Verschlüsselte Dateien erhalten keine zusätzliche Erweiterung. Außerdem kann der Trojaner Systemverzeichnisse löschen. Nach der Verschlüsselung verlangt Trojan.Encoder.12544 ein Lösegeld für die Dekodierung von Daten.
Obwohl das Support-Team von Doctor Web noch keine Anfragen wegen Trojan.Encoder.12544 erhalten hat, stellt er eine ernsthafte Gefahr dar. Eines der Merkmale der Infizierung ist die Datei perfc auf dem Datenträger C:\Windows. Wenn Sie eine solche Datei entdeckt haben, sehen Sie vom Neustart Ihres PCs ab!
Wenn der PC trotzdem neu gestartet wurde und beim Neustart eine Nachricht über den Start des Tools CHDISK erschienen ist, schalten Sie Ihren PC sofort aus. Eine Boot-Signatur wird in diesem Fall beschädigt, kann aber später mit Hilfe des Recovery-Tools von Windows oder der Recovery Console wiederhergestellt werden. Dafür können Sie auch Dr.Web LiveDisk benutzen. Erstellen Sie eine Boot-CD oder einen Boot-Datenträger und führen Sie das Laden von diesen Datenträgern durch. Starten Sie Dr.Web Scanner, führen Sie den Scan der beschädigten Festplatte aus und neutralisieren Sie die Bedrohungen, indem Sie die entsprechende Funktion auswählen. Um der Infizierung durch Trojan.Encoder.12544 vorzubeugen, empfehlen wir, Backups von kritischen Daten auf separaten Datenträgern zu erstellen und die Funktion «Schutz vor Datenverlust» in Dr.Web Antivirus zu aktivieren. Außerdem muss man alle Sicherheits-Updates des Betriebssystems installiert haben. Die Malware-Spezialisten von Doctor Web setzen die Analyse von Trojan.Encoder.12544 fort und halten Nutzer auf dem Laufenden.
Anleitung für Nutzer, die unter Trojan.Encoder.12544 gelitten haben
Mehr zum Trojaner
27.06 Encoder, der Unternehmen in Russland und der Ukraine angreift, wird von Dr.Web erkannt
Frankfurt, 27. Juni 2017
Ukraine teilt Doctor Web mit, dass dieser Encoder von Dr.Web erfolgreich erkannt wird.
Anhand von Informationen, die unsere Spezialisten heute zur Verfügung haben, verbreitet sich der Trojaner ähnlich wie WannaCry. Es gibt aber noch keine genauen Daten, wie der Verbreitungsmechanismus aussieht. Einige Medien vergleichen den Schädling mit Petya (Trojaner, der von Dr.Web als Trojan.Ransom.369 erkannt wird), weil er wie ein Erpresser agiert. Die Verbreitungsmethode der neuen Bedrohung sieht aber anders als bei Petya aus.
Heute um 15:30 Uhr (CET) wurde der Trojaner in der Dr.Web Virendefinitionsdatei als
Das Team von Doctor Web ruft alle Nutzer auf, höchste Vorsicht walten zu lassen und verdächtige E-Mails nicht aufzumachen. Es ist außerdem empfehlenswert, Backups von sensiblen Daten zu machen und alle Sicherheits-Updates für installierte Apps zu installieren. Ein Virenschutz muss im System installiert sein.
26.06 Update von Komponenten in Dr.Web Produkten
Frankfurt, 26. Juni 2017
Ursachen für Detektionsfehler von Dr.Web Shellguard während der gleichzeitigen Nutzung von MS Word 2016 und Office Tab wurden behoben.
Ursachen für einen BSOD-Fehler im Selbstschutz-Modul auf Rechnern unter Windows 2008 R2 wurden auch beseitigt.
Das Update erfolgt automatisch. Anschließend ist der Neustart Ihres Rechners erforderlich.
26.06 Linux-Version für Dr.Web 11.0 für Internet-Gateways Kerio
Frankfurt, 26. Juni 2017
Die neue Version bietet Unterstützung für Kerio Control 9.2.1 und 9.2.2, während frühere Versionen des Internet-Gateways vom Dr.Web 9.0 unterstützt werden.
Bevor Sie Dr.Web 11.0 für Internet-Gateways Kerio installieren, müssen Sie eine alte Version des Plug-ins deinstallieren.
Mehr zu den Systemanforderungen und zur Installation des Plug-ins finden Sie hier.
![[Facebook]](social/facebook.png)
![[Twitter]](social/twitter.png)
![[Google+]](social/google_plus.png)
![[Xing]](social/xing.png)
![[You Tube]](social/youtube.png)
![[Instagram]](social/instagram.png)
![[Pinterest]](social/pinterest.png)
