Viren-News
09.09 Doctor Web: Rückblick und Analyse von Bedrohungen im August 2019
August, 9. September 2019
Im August zeigten die Statistiken im Vergleich zum Juli einen Rückgang bei der Gesamtzahl der erkannten Bedrohungen um 21,28%. Gleichzeitig nahm die Anzahl der einzigartigen Bedrohungen um 2,82% ab. Dominiert wurde der Mail-Verkehr von Malware, die Schwachstellen von Microsoft Office-Dokumenten ausnutzt, sowie von Download-Trojanern. Die meisten der erkannten Bedrohungen unter böswilligen und nicht erwünschten Apps sind Werbe-Apps.
Hauptereignisse
- Die Verbreitung von böswilligen Apps durch Cyber-Kriminelle
- Die Zahl von böswilligen und nicht empfohlenen Webseiten nimmt zu.
- Encoder sind aktiv geworden
Bedrohung des Monats
Im August fanden Virenanalysten von Doctor Web heraus, dass Hacker Kopien von beliebten Websites verwenden, um gefährliche Banking-Trojaner zu verbreiten. So kopierte man einen bekannten VPN-Dienst, während die anderen gefährlichen Websites als Corporate-Software-Websites getarnt waren.
Serverstatistik von Doctor Web
Bedrohungen dieses Monats:
- Adware.Softobase.15
- Ein Installationsprogramm, das veraltete Software verbreitet und die Browsereinstellungen anpasst.
- Adware.Ubar.13
- Ein Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.Winlock.14244
- Ein Trojaner sperrt und schränkt den Zugriff des Benutzers auf das Benutzersystem und seine Funktionen ein. Für die Entsperrung ist die Überweisung eines Lösegeldes auf das Konto der Entwickler nötig.
- Trojan.InstallCore.3553
- Ein Trojaner, der Werbe-Module ohne Zustimmung des Benutzers installiert und Werbung anzeigt.
Malware im E-Mail-Traffic
- Exploit.Rtf.CVE2012-0158
- Ein angepasstes Word-Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- W97M.DownLoader.2938
- Eine Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Ein angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE-2017-11882 zum Ausführen des Schadcodes ausnutzt.
- Trojan.PWS.Stealer.19347
- Ein Trojaner, der von infizierten Geräten sensible Daten klaut.
Encoder
Support-Anfragen aufgrund von Encodern im August 2019:
Trojan.Encoder.858 — 17.73%Trojan.Encoder.11464 — 7.09%Trojan.Encoder.18000 — 4.96%Trojan.Encoder.28004 — 4.26%Trojan.Encoder.11539 — 2.60%Trojan.Encoder.25574 — 1.18%Trojan.Encoder.567 — 1.65%
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im August 2019 wurden 204 551 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen
| Juli 2019 | August 2019 | Wachstum |
|---|---|---|
| + 123 251 | + 204 551 | + 65.96% |
Bedrohungen für mobile Geräte
Im August machten die Virenanalysten von Doctor Web mehrere böswillige Apps auf Google Play ausfinding. In die Malwaredatenbank wurden Kennungen von Schädlingen wie
Ende August entdeckten wir einen weiteren Banking-Trojaner, der Benutzer aus Brasilien angriff. Der Schädling unter dem Namen
Die wichtigsten sicherheitsrelevanten Ereignisse in der mobilen Welt im August:
- Die Verbreitung von böswilligen Apps über Google Play setzt sich fort.
- Neue unerwünschte Werbe-Module tauchen auf.
Erfahren Sie mehr mit Dr.Web
19.08 Banking-Trojaner Bolik verbreitet sich als NordVPN
Baden-Baden, 19. August 2019
Vor kurzem haben unsere Spezialisten eine Kopie der Website des beliebten VPN-Dienstes NordVPN unter nord-vpn[.]club gefunden. Wie auf der Originalwebsite wird dem Benutzer angeboten, die App zur Nutzung von VPN herunterzuladen. Mit der App verbreiten aber die Cyberkriminellen den gefährlichen Banking-Trojaner
Die Kopie ist fast identisch mit dem Original: Sie hat das gleiche Design, einen ähnlichen Domainnamen und ein gültiges SSL-Zertifikat.
Nach unseren Informationen richtet sich die Kampagne, wo eine gefälschte Website verwendet wird, in erster Linie an das englischsprachige Publikum und wurde am 08. August 2019 gestartet. Zum Zeitpunkt der Veröffentlichung dieses Beitrags hatte die bösartige Website jedoch bereits Tausende von Aufrufen.
Darüber hinaus hat die gleiche Gruppe von Hackern Ende Juni Kopien der Websites invoicesoftware360[.]xyz (das Original heißt invoicesoftware360[.]com) und clipoffice[.]xyz (das Original heißt crystaloffice[.]com) erstellt, wo Trojaner wie
Der Trojaner
Zuvor verbreiteten die gleichen Angreifer den
Alle Versionen dieses Trojaners werden durch Dr.Web Antivirus erfolgreich erkannt, entfernt und stellen für Dr.Web Nutzer keine Bedrohung dar.
Baden-Baden, 8. August 2019
Dieser Trojaner stellt ein böswilliges Modul dar, das in der Klassifikation von Dr.Web den Namen
Nachdem der Trojaner gestartet hat, sendet er die folgenden Informationen über das infizierte Gerät an den Server der Cyber-Kriminellen:
- Hersteller und Modell;
- Version des Betriebssystems;
- Wohnsitz des Nutzers und die Standardsprache des Betriebssystems;
- User-Agent ID;
- Name des Mobilfunkbetreibers;
- Art der Internetverbindung;
- Bildschirmeinstellungen;
- Zeitzone;
- App, in die der Trojaner eingebettet ist.
Daraufhin sendet der Server die notwendigen Einstellungen an den Schädling. Diese Einstellungen enthalten Namen von Methoden und Klassen mit den entsprechenden Parametern. Mi Hilfe dieser Parameter ist
Wenn eine neue App installiert oder eine apk-Datei vom Play Store Client heruntergeladen wird, überträgt der Trojaner Informationen über die App an den Server der Cyberkriminellen.
So kann der Trojaner je nach Servereinstellungen und Anweisungen des Administrators nicht nur Apps auf Google Play bewerben, sondern auch Websites im Hintergrund herunterladen, u.a. mit Werbung (einschließlich Videos) oder anderen fragwürdigen Inhalten. Nach der Installation der Apps, in die der Trojaner eingebettet war, beschwerten sich einige Nutzer über automatisch erstellte Abos von teuren Content-Anbietern.
Abbildung 1. Kommentar des ersten Nutzers: Nach der Installation werden kostenpflichtige Abos erstellt. Seien Sie aufmerksam. Installieren Sie diese App auf keinen Fall!!!
Antwort des Entwicklers: Um welche Abos geht es? Sie irren sich.
Kommentar des zweiten Nutzers: Nach der Installation wurden 5 Abos erstellt. Das Guthaben ist aufgebraucht.
Abbildung 2. Kommentar des Nutzers: Ist es ein Witz? Um welche Beeline-Abos geht? Ich habe keine Berührung mit Beeline.
Abbildung 3. Kommentar des Nutzers: 50 RUB werden sofort abgebucht. Wie können Sie das erklären?
Abbildung 4. Kommentar des Nutzers: Vor der Nutzung der App werden irgendwelche Abos erstellt.
Den Malwareanalysten von Doctor Web ist es nicht gelungen, die Bedingungen für das Herunterladen solcher Webseiten durch den Trojaner zu rekonstruieren, aber die betrügerische Methode unter Einsatz von
Die Virenanalysten von Doctor Web identifizierten 34 Apps, in die
| GPS Fix |
| QR Code Reader |
| ai.type Free Emoji Keyboard |
| Cricket Mazza Live Line |
| English Urdu Dictionary Offline - Learn English |
| EMI Calculator - Loan & Finance Planner |
| Pedometer Step Counter - Fitness Tracker |
| Route Finder |
| PDF Viewer - EBook Reader |
| GPS Speedometer |
| GPS Speedometer PRO |
| Notepad - Text Editor |
| Notepad - Text Editor PRO |
| Who unfriended me? |
| Who deleted me? |
| GPS Route Finder & Transit: Maps Navigation Live |
| Muslim Prayer Times & Qibla Compass |
| Qibla Compass - Prayer Times, Quran, Kalma, Azan |
| Full Quran MP3 - 50+ Audio Translation & Languages |
| Al Quran Mp3 - 50 Reciters & Translation Audio |
| Prayer Times: Azan, Quran, Qibla Compass |
| Ramadan Times: Muslim Prayers, Duas, Azan & Qibla |
| OK Google Voice Commands (Guide) |
| Sikh World - Nitnem & Live Gurbani Radio |
| 1300 Math Formulas Mega Pack |
| Обществознание - школьный курс. ЕГЭ и ОГЭ. |
| Bombuj - Filmy a seriály zadarmo |
| Video to MP3 Converter, RINGTONE Maker, MP3 Cutter |
| Power VPN Free VPN |
| Earth Live Cam - Public Webcams Online |
| QR & Barcode Scanner |
| Remove Object from Photo - Unwanted Object Remover |
| Cover art IRCTC Train PNR Status, NTES Rail Running Status |
Die Informationen über den Trojaner wurden von Doctor Web an Google weitergegeben. Einige Apps wurden aus dem Google Play Store schnell entfernt. Darüber hinaus wurden Updates für mehrere Apps, die keine böswilligen Komponente mehr haben, freigegeben. Zum Zeitpunkt dieser Pressemitteilung enthielten die meisten Apps jedoch immer noch ein böswilliges Modul und standen weiterhin zum Download bereit.
Virenanalysten von Doctor Web empfehlen Entwicklern, vertrauenswürdige Module zur Monetarisierung von Apps sorgfältig auszuwählen und keine zweifelhaften SDKs zu integrieren. Dr.Web Produkte für Android erkennen und entfernen Apps, die bekannte Versionen von
Mehr zu
Ihr Android-Gerät braucht einen Malwareschutz.
Nutzen Sie Dr.Web
- Eine der ersten Malwareschutz-Apps für Android weltweit
- Über 140 Mio Downloads – nur auf Google Play
- Kostenlos für Nutzer von Dr.Web Produkten für Heimanwender
#Android #Google_Play/p>
05.08 Doctor Web: Rückblick und Analyse von Bedrohungen im Juli 2019
Baden-Baden, 5. August 2019
Im Vergleich zum Juni zeigte sich bei den erkannten Bedrohungen im Juli ein Rückgang um 54,21%. Gleichzeitig hat sich die Anzahl der einzigartigen Bedrohungen fast verdoppelt. Den Mail-Verkehr wird von Malware dominiert, die Schwachstellen in Microsoft Office-Dokumenten ausnutzt. Werbe- und Installationsapps sind weiterhin führend bei der Gesamtzahl der erkannten Bedrohungen. Unter den Encodern führt Trojan.Encoder.858 die Tabelle im Juli an und macht 21,15% aller Support-Anfragen zur Dekodierung von Nutzerdaten aus.
Die Virenanalysten von Doctor Web veröffentlichten vor kurzem Ergebnisse einer Studie zu Bedrohungen für IoT-Geräte. Die Studie basiert auf statistischen Daten, die auf infizierten Geräten seit 2016 gesammelt wurden, und macht auf das Thema Sicherheit im IoT-Bereich aufmerksam.
Hauptereignisse
- Einzigartige Schädlinge verbreiten sich immer mehr.
- Die Aktivität der Encoder nimmt ab.
Serverstatistik von Doctor Web
Bedrohungen im Juli:
- Adware.Ubar.13
- Ein Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Adware.Softobase.15
- Ein Installationsprogramm, das veraltete Software verbreitet und die Browsereinstellungen anpasst.
- Trojan.Packed.20771
- Ein Trojaner, der für Browser bösartige Erweiterungen installiert. Diese Erweiterungen leiten die Nutzer aus dem Suchindex auf andere Websites um.
- Trojan.Winlock.14244
- Ein Trojaner sperrt und schränkt den Zugriff des Benutzers auf das Benutzersystem und seine Funktionen ein. Für die Entsperrung ist die Überweisung eines Lösegeldes auf das Konto der Entwickler nötig.
- Trojan.DownLoader29.14148
- Ein Trojaner, der Befehle von Cyber-Kriminellen ausführt.
Malware im E-Mail-Traffic
- Exploit.Rtf.CVE2012-0158
- Ein angepasstes Word-Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- W97M.DownLoader.2938
- Eine Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Ein angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE-2017-11882 zum Ausführen des Schadcodes ausnutzt.
- JS.DownLoader.1225
- Eine Familie von böswilligen Skripten, die in JavaScript geschrieben sind. Diese laden andere böswillige Apps herunter und installieren sie auf dem Computer.
Encoder
Support-Anfragen aufgrund von Encodern im Juli 2019:
Trojan.Encoder.858 — 21.15%Trojan.Encoder.567 — 9.45%Trojan.Encoder.11464 — 8.01%Trojan.Encoder.25574 — 4.93%Trojan.Encoder.18000 — 3.90%Trojan.Encoder.11539 — 3.08%Trojan.Encoder.28004 — 1.85%
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im Juli 2019 wurden 123 251 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Juni 2019 | Juli 2019 | Wachstum |
|---|---|---|
| + 151 162 | + 123 251 | -18.46% |
Bedrohungen für mobile Geräte
Mitte Juli meldete Doctor Web einen gefährlichen Trojaner, der auf Google Play auftauchte. Mit Hilfe von
Identifiziert wurden auch die neuen
Die Signatur zur Erkennung der
Die wichtigsten sicherheitsrelevanten Ereignisse in der mobilen Welt im Juli:
- Erkennung einer gefährlichen Backdoor, die schädliche Befehle ausführt.
- Aufkommen neuer Malware auf Google Play.
- Verbreitung von Trojanern zur Cyberspionage.
Erfahren Sie mehr mit Dr.Web
17.07 Risiken und Gefahren in der IoT-Welt
Baden-Baden, 17. Juli 2019
Einleitung
Heute sind nicht nur Computer, Smartphones, Tablets und Router, sondern auch Smart TVs, CCTV-Kameras, intelligente Uhren, Kühlschränke, Autos, Fitness-Tracker, Videorekorder und sogar Spielzeug für Kinder im Netz. Die Zahl der IoT-Geräte liegt bereits bei mehreren Milliarden und wächst jährlich.
Viele davon sind schlecht oder gar nicht gegen Angriffe geschützt. So kann beispielsweise mit Hilfe von einfachen oder bekannten Login/Passwort-Paaren eine Verbindung zu diesen Geräten aufgebaut werden. Besitzer von Geräten denken oft nicht daran, Voreinstellungen zu ändern, oder können dies aufgrund der Einschränkungen der Hersteller selbst nicht vornehmen. Dann erhalten Angreifer relativ einfach Zugang zu solchen Geräten, indem sie mehrere Benutzer-Passwort-Kombinationen erfolgreich verwenden (die Methode ist heute auch als der Brute-Force-Methode bekannt). Außerdem können sie Schwachstellen von Betriebssystemen ausnutzen.
Seit 2016 verfolgen die Malwareanalysten von Doctor Web sicherheitsrelevante Entwicklungen in IoT-Bereich sehr genau. Zu diesem Zweck haben unsere Spezialisten ein Netzwerk von Fallen oder «Honeypots» aufgestellt, die das Verhalten von smarten Geräten imitieren und Infizierungsversuche registrieren. Honeypots decken mehrere Hardwareplattformen auf einmal ab, darunter ARM, MIPS, MIPSEL, PowerPC und Intel x86_64. Mit ihnen kann man Angriffe verfolgen, neue Malware erkennen und untersuchen, Erkennungsmechanismen verbessern und Malware schlussendlich effektiver bekämpfen.
In diesem Bericht werden erkannte Angriffe gegen IoT-Geräte sowie die häufigsten Bedrohungen aufgezeigt.
Statistik
Zu Beginn der Beobachtung registrierten Virenanalysten von Doctor Web eine relativ geringe Präsenz von bösartigen Apps, die es auf IoT-Geräte abgesehen haben. In den ersten vier Monaten von 2016 wurden 729.590 Angriffe erfasst. Nur ein Jahr später sind sie ums 32fache auf 23 741 581 gewachsen. 12 Monate später gab es schon 99 199 434 Angriffe. In den sechs Monaten von 2019 wurden 73 513 303 Angriffe registriert – fast so viele wie im Jahr 2018.
Die Wachstumsdynamik ist in der nachfolgenden Grafik dargestellt:
In weniger als drei Jahren ist die Zahl der Versuche, IoT-Geräte zu hacken und zu infizieren, um 13 497% gestiegen.
Angriffe auf IoT-Geräte wurden von IP-Adressen aus über 50 Ländern durchgeführt. Die häufigsten Angriffe waren aus den Vereinigten Staaten, den Niederlanden, Russland, Deutschland, Italien, dem Vereinigte Königreich, Frankreich, Kanada, Singapur, Indien, Spanien, Rumänien, China, Polen und Brasilien zu sehen.
Die geografische Verteilung der Angriffe und deren Anteil an der Gesamtzahl aller Angriffe sind in der nachfolgenden Grafik dargestellt:
Nach einer erfolgreichen Kompromittierung von Geräten können Angreifer auf diese einen oder mehrere Trojaner herunterladen. Insgesamt wurden 131 412 einmalige bösartige Dateien während der Beobachtung erkannt. Die Erkennungsdynamik ist nachfolgend dargestellt:
Smarte Geräte laufen auf verschiedenen Prozessorarchitekturen. Viele bösartige Apps haben jeweilige Versionen für mehrere Hardwareplattformen. Unter denjenigen, die unsere Honeypots imitieren, werden Geräte mit ARM-, MIPSEL- und MIPS-Prozessoren am häufigsten angegriffen. Dies ist im Diagramm deutlich zu erkennen:
Die aktivsten bösartigen Apps gehören zur
Böswillige Apps, die IoT-Geräte angreifen, können nach ihren Hauptfunktionen in mehrere Kategorien aufgeteilt werden:
- Trojaner für DDoS-Angriffe (z.B.
Linux.Mirai ); - Trojaner, die andere bösartige Apps und Zusatzkomponenten (z.B. Linux.DownLoader, Linux.MulDrop) verbreiten, herunterladen und installieren;
- Trojaner, die die Fernverwaltung infizierter Geräte ermöglichen (z.B. Linux.BackDoor);
- Trojaner, die Geräte in Proxy-Server verwandeln (z.B.
Linux.ProxyM , Linux.Ellipsis.1, Linux.LuaBot); - Trojaner zum Mining von Kryptowährungen (z.B. Linux.BtcMine);
- Andere Schädlinge.
Die meisten bösartigen Apps heute sind aber multifunktionale Bedrohungen, da sie mehrere Funktionen auf einmal kombinieren können.
Neueste Entwicklungen bei Bedrohungen für smarte Geräte
- Wegen der allgemeinen Verbreitung des Quellcodes für Trojaner wie
Linux.Mirai ,Linux.BackDoor.Fgt , Linux.BackDoor.Tsunami wächst die Zahl der neuen böswilligen Apps. - Immer mehr böswillige Apps werden in Programmiersprachen wie Go und Rust entwickelt.
- Angreifer haben Zugriff auf Informationen zu vielen Schwachstellen, die zur Infizierung von Geräten ausgenutzt werden können.
- Das Mining von Kryptowährungen (vor allem Monero) auf IoT-Geräten ist nach wie vor beliebt.
Nachfolgend finden Sie die häufigsten und bemerkenswerten Trojaner für IoT-Geräte.
Häufigste IoT-Bedrohungen
Linux.Mirai
Nachdem das Zielgerät infiziert wurde, verbindet sich
Die nachfolgende Grafik zeigt die Erkennungsdynamik für aktive Kopien des Trojaners:
Verschiedene Modifikationen von
Linux.Hajime
Eine weitere gefährliche App, die IoT-Geräte infiziert, ist
Der Höhepunkt der
Brasilien, die Türkei, Vietnam, Mexiko, Südkorea und Vietnam gehören zu den Ländern, in denen diese Trojaner am häufigsten vorkommen. Nachfolgende sind die Länder gekennzeichnet, wo die höchste Anzahl an aktiven
Linux.BackDoor.Fgt
Zu den fünf Trojanern, die zur Infizierung von IoT-Geräten entwickelt wurden, gehört auch
Die Backdoors werden über die Protokolle wie Telnet und SSH verbreitet. Dabei werden Logins und Passwörter gebrochen, um auf Zielobjekte zugreifen zu können. Mit Hilfe dieser Trojaner werden DDoS-Angriffe durchgeführt und infizierte Geräte ferngesteuert.
Linux.ProxyM
Der Trojaner
Linux.Ellipsis.1
Linux.LuaBot
Die Malwareanalysten von Doctor Web entdeckten die ersten Versionen von
Linux.BtcMine.174
Cyberverbrecher infizieren IoT-Geräte vor allem mit einem Ziel: Sie wollen dadurch Kryptowährungen schürfen. Die Linux.BtcMine-Familie sowie andere bösartige Apps sind ihnen dabei behilflich. So ist z.B.
Der Trojaner nistet sich im Autostart ein und hat daher keine Angst, wenn das infizierte Gerät neu gestartet wird. Darüber hinaus überprüft er regelmäßig, ob der Mining-Prozess aktiv ist. Bei Bedarf initiiert er diesen erneut und stellt so die permanente Produktion von Kryptowährung sicher.
Linux.MulDrop.14
Die Linux.MulDrop-Trojaner werden zur Verbreitung und Installation anderer bösartiger Anwendungen eingesetzt. Sie laufen auf vielen Hardwarearchitekturen und Gerätetypen. 2017 entdeckten aber die Virenanalysten von Doctor Web den Trojaner
Linux.HideNSeek
Linux.HideNSeek infiziert smarte Geräte, Computer und Server unter Linux, indem er sie zu einem dezentralen Botnet hinzufügt. Für seine Verbreitung generiert er IP-Adressen und versucht, anhand einer Liste mit bekannten Benutzername-Passwort-Kombinationen eine Verbindung zu den Geräten aufzubauen. Darüber hinaus ist er in der Lage, verschiedene Hardware-Schwachstellen auszunutzen. Linux.HideNSeek kann infizierte Geräte per Fernzugriff verwalten sowie Befehle (Entfernen von Dateien usw.) von Cyberkriminellen ausführen.
Linux.BrickBot
Im Gegensatz zu den meisten Schädlingen sind die Linux.BrickBot-Trojaner für den Vandalismus konzipiert: Sie deaktivieren Computer und IoT-Geräte. Bekannt sind sie seit 2017.
Der Linux.BrickBot infiziert Geräte über Telnet, indem er Benutzernamen und Passwörter ausprobiert. Dann versucht er, Daten aus dem Speicher zu löschen, die Netzwerkeinstellungen zurückzusetzen, alle Verbindungen zu blockieren und erzwingt den Neustart. Die beschädigten Elemente müssen in einigen Fällen sogar ersetzt werden. Diese Trojaner kommen selten vor, sind aber extrem gefährlich.
Der Linux.BrickBot infiziert Geräte über Telnet, indem er Benutzernamen und Passwörter ausprobiert. Dann versucht er, Daten aus dem Speicher zu löschen, die Netzwerkeinstellungen zurückzusetzen, alle Verbindungen zu blockieren und erzwingt den Neustart. Die beschädigten Elemente müssen in einigen Fällen sogar ersetzt werden. Diese Trojaner kommen selten vor, sind aber extrem gefährlich.
Fazit
Millionen von Geräten, die wir im Alltag benutzen, sind Kleincomputer. Sie sind ähnlichen Angriffen ausgesetzt und haben auch ihre Schwachstellen. Aufgrund vieler Einschränkungen kann es viel schwieriger oder gar unmöglich sein, diese zu schützen. Viele Nutzer sind außerdem potenzieller Risiken nicht ganz bewusst und nehmen diese Geräte immer noch als sicheres und praktisches Spielzeug wahr.
Der IoT-Markt entwickelt sich rasant und wiederholt in vielerlei Hinsicht die Situation mit der Massenverbreitung von PCs, wo Mechanismen des Kampfes gegen Bedrohungen nur langsam verbessert wurden. Während sich Hersteller und Besitzer smarter Geräte an die neuen Gegebenheiten anpassen, haben Angreifer große Chancen. Daher kann in naher Zukunft mit neuer IoT-Malware gerechnet werden.
Die Virenanalysten von Doctor Web werden auch weiterhin die Verbreitung von IoT-Trojanern sowie anderen Bedrohungen verfolgen und Nutzer über alle interessanten Entwicklungen im IoT-Bereich auf dem Laufenden halten. Alle im Bericht erwähnten Schädlinge werden durch Dr.Web erfolgreich erkannt und entfernt.
12.07 Doctor Web: Eine gefährliche Android-Backdoor verbreitet sich über Google Play
Baden-Baden, 12. Juli 2019
Der Schädling unter dem Namen
Bei der Ausführung von
Die böswillige App verfügt über eine Schaltfläche, um nach Updates für die grafische Oberfläche von OpenGL ES zu suchen. Nachdem auf die Schaltfläche geklickt wurde, imitiert der Trojaner den Prozess der Suche nach neuen Versionen von OpenGL ES, führt aber in der Tat keine Suche durch.
Sobald das Opfer das Fenster der App geschlossen hat, entfernt
Der Schädling unterhält eine Verbindung zu mehreren Servern, von denen er Befehle von Cyberkriminellen empfängt und an die er auch gesammelte Daten weiterleitet. Cyberkriminelle können den Trojaner aber auch über den Firebase Cloud Messaging-Dienst kontrollieren.
- Übertragen von Kontaktinformationen aus dem Telefonbuch an den Server;
- Übertragen von Informationen über SMS an den Server (die untersuchte Version des Trojaners hat nicht die erforderlichen Berechtigungen dafür);
- Übermitteln von Informationen über Telefonate an den Server;
- Übermitteln von Daten über den Gerätestandort an den Server;
- Herunterladen und Ausführen von apk- oder dex-Dateien unter Einsatz der Klasse DexClassLoader;
- Übertragen von Informationen über installierte Apps an den Server;
- Herunterladen und Ausführen von ausführbaren Dateien;
- Herunterladen von Dateien vom Server;
- Übertragen einer definierten Datei an den Server;
- Übertragen von Informationen über Dateien im angegebenen Verzeichnis oder über Dateien auf der Speicherkarte an den Server;
- Ausführen eines Shell-Befehls;
- Starten von definierten Aktivitäten;
- Herunterladen und Installieren einer Android-App;
- Anzeigen von bestimmten Benachrichtigungen;
- Anfordern der im Befehl angegebenen Berechtigung;
- Übertragen einer Liste von Berechtigungen, die dem Trojaner gewährt wurden, an den Server;
- Sperren des Geräts für den Ruhezustand.
Der Trojaner verschlüsselt alle an den Server gesendeten Daten mit dem AES-Algorithmus. Jede Anfrage ist durch einen Schlüssel geschützt, der anhand der aktuellen Uhrzeit generiert wird. Mit demselben Schlüssel wird auch die Serverantwort kodiert.
- automatisch, wenn das System Root-Zugriff hat (mit Hilfe des Shell-Befehls);
- über den System-Paketmanager (nur für Systemsoftware);
- über einen Standard-Dialog, wo der Nutzer der Installation zustimmen soll.
Der Schädling ist also gefährlich. Er wird nicht nur zwecks Cyberspionage eingesetzt, sondern kann auch für Phishing-Aktionen verwendet werden, da er Fenster und Benachrichtigungen mit beliebigen Inhalten anzeigen kann. Darüber hinaus kann er weitere böswillige Apps herunterladen und installieren sowie zufälligen Code ausführen. So ist
Doctor Web hat Google über den gefundenen Trojaner benachrichtigt. Zum Zeitpunkt der Veröffentlichung dieser Meldung wurde der Trojaner aus dem Google Play-Store entfernt.
Mehr zu Android.Backdoor.736.origin
#Android, #backdoor, #Google_Play, #слежка
Ihr Android-Gerät braucht einen Malwareschutz.
Nutzen Sie Dr.Web
- Eine der ersten Malwareschutz-Apps für Android weltweit
- Über 140 Mio Downloads – nur auf Google Play
- Kostenlos für Nutzer von Dr.Web Produkten für Heimanwender
03.07 Doctor Web: Rückblick und Analyse von Bedrohungen im Juni 2019
Baden-Baden, 3. Juli 2019
Im Juni verzeichneten Serverstatistiken von Doctor Web einen deutlichen Anstieg bei der Anzahl von häufigen und einmaligen Bedrohungen im Vergleich zum Vormonat. Werbeprogramme und Installer sind nach wie vor führend bei der Gesamtzahl der erkannten Bedrohungen. Besonders aktiv waren aber Schädlinge im E-Mail-Verkehr. Trojan.PWS.Maria.3 (auch Ave Maria genannt), der früher bei einem Angriff auf ein Öl- und Gasunternehmen eingesetzt wurde, nahm seine Tätigkeit wieder auf. Über E-Mails verbreitet sich auch Trojan.Nanocore.23, der es Übeltätern erlaubt, einen infizierten Computer zu kontrollieren. Darüber hinaus wurde im Juni eine Virenkampagne unter Einsatz des Verschlüsselungstools Trojan.Encoder.858 durchgeführt.
Hauptereignisse
- Aktivitäten von gefährlicher Malware nehmen zu
- Stealer und RAT-Trojaner werden via E-Mail verbreitet
- Encoder zeigen sich aktiv
Bedrohung des Monats
Im Juni wurde im Virenlabor von Doctor Web ein seltener Node.js-Trojaner untersucht. Er ist auch unter dem Namen Trojan.MonsterInstall bekannt. Der Schädling läuft auf dem Gerät des Opfers, lädt notwendige Module herunter, installiert diese, sammelt Informationen über das System und sendet sie an den Server der Cyber-Kriminellen. Nachdem er die Antwort vom Server erhalten hat, wird er in den Autoloader installiert und beginnt mit dem Schürfen der TurtleCoin-Kryptowährung. Die Entwickler dieser Malware nutzen zur Verbreitung eigene Websites mit Cheats für beliebte Spiele und infizieren Dateien auf anderen ähnlichen Websites.
Mehr zur Bedrohung
Serverstatistik von Doctor Web
Bedrohungen des Monats:
- Adware.Ubar.13
- Ein Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.InstallCore.3553
- Ein Trojaner installiert Adware, zeigt Werbung an und installiert zusätzliche Programme ohne Zustimmung des Nutzers.
- Trojan.Winlock.14244
- Ein Trojaner sperrt und schränkt den Zugriff des Benutzers auf das Benutzersystem und seine Funktionen ein. Für die Entsperrung ist die Überweisung eines Lösegeldes auf das Konto der Entwickler nötig.
- Trojan.Starter.7394
- Ein Trojaner, der zum Starten weiterer Malware auf dem Gerät gedacht ist.
- Adware.Softobase.12
- Eine Werbe-App, die alte Apps verbreitet und Browser-Einstellungen anpasst.
Malware im E-Mail-Traffic
- Exploit.Rtf.CVE2012-0158
- Ein angepasstes Word-Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- W97M.DownLoader.2938
- Eine Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Ein angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE-2017-11882 zum Ausführen des Schadcodes ausnutzt.
Diese Schädlinge sind im Juni aktiver geworden:
- Trojan.PWS.Maria.3
- Ein Stealer, der per E-Mail über bösartige Excel-Dateien verbreitet wird. Er nutzt die beliebte Schwachstelle CVE-2017-11882 aus, um eine Datei auszuführen und wurde erstmals in einer Phishing-Kampagne gegen Unternehmen der italienischen Öl- und Gasindustrie identifiziert.
- Trojan.Nanocore.23
- Ein gefährlicher Trojaner mit Fernzugriff, der es Hackern erlaubt, den infizierten Computer zu kontrollieren, einschließlich der Kamera und des Mikrofons.
Encoder
Support-Anfragen aufgrund von Encodern im Juni 2019:
Trojan.Encoder.858 — 30.31%Trojan.Encoder.567 — 7.02%Trojan.Encoder.11464 — 6.47%Trojan.Encoder.11539 — 3.33%Trojan.Encoder.18000 — 3.14%Trojan.Encoder.28004 — 2.59%Trojan.Encoder.25574 — 1.66%
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im Juni 2019 wurden 151 162 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Mai 2019 | Juni 2019 | Wachstum |
|---|---|---|
| + 223 952 | + 151 162 | – 32.5% |
Bedrohungen für mobile Geräte
Im Juni spürten die Virenanalysten von Doctor Web wieder viele bösartige und unerwünschte Software auf Google Play auf. Unter denen waren auch der Trojaner
Innerhalb eines Monats wurden neue Downloader wie
Hauptereignisse in der mobilen Sicherheitsszene:
- Neue Schädlinge wurden auf Google Play entdeckt.
Mehr zu den Ereignissen in der mobilen Sicherheitsszene lesen Sie in diesem Bericht.
Erfahren Sie mehr mit Dr.Web
19.06 Neuer Trojaner auf Node.js entdeckt
Baden-Baden, 19. Juni 2019
Das Team von Yandex übergab dem Virenlabor von Doctor Web eine Probe dieses seltenen Node.js-Trojaners zur Analyse. Es stellte sich heraus: Die Malware, die über Cheatsites für Videospiele verbreitet wird, hat mehrere Versionen und Komponenten.
Beim Herunterladen eines Cheats lädt der Nutzer ein passwortgeschütztes Archiv auf seinen Computer herunter. Darin befindet sich eine ausführbare Datei, die beim Start die notwendigen Cheats zusammen mit anderen Komponenten des Trojaners herunterlädt.
Trojan.MonsterInstall startet danach auf dem Gerät des Opfers, lädt alle notwendigen Module herunter, installiert sich im System, sammelt Systemdaten und sendet diese an den Server des Entwicklers. Nach Erhalt der Antwort wird er im Autostart-Verzeichnis installiert und fängt gleich an, die Kryptowährung TurtleCoin zu schürfen.
Zur Verbreitung des Trojaners nutzen Malware-Entwickler ihre eigenen Websites mit Cheats für beliebte Spiele und infizieren auch Dateien auf anderen ähnlichen Websites. Laut SimilarWeb-Statistik rufen Nutzer diese Websites etwa 127.400 Mal im Monat auf.
Websites, die dem Entwickler des Trojaners gehören:
- румайнкрафт[.]рф;
- clearcheats[.]ru;
- mmotalks[.]com;
- minecraft-chiter[.]ru;
- torrent-igri[.]com;
- worldcodes[.]ru;
- cheatfiles[.]ru.
Darüber hinaus sind einige Dateien auf der Webseite proplaying[.]ru infiziert.
Die Virenanalysten von Doctor Web empfehlen deshalb allen Nutzern, ihre Virenschutz-Apps auf einem aktuellen Stand zu halten und keine verdächtige Apps herunterzuladen.
Wir danken auch dem Team von Yandex für die bereitgestellte Probe sowie weitere Informationen zur Verbreitung des Schädlings.
17.06 Doctor Web: Google Chrome-Nutzer sind von böswilligen Benachrichtigungen bedroht
Baden-Baden, 14. Juni 2019
Die Web-Push-Technologie ermöglicht es Webseiten, mit Zustimmung des Nutzers Benachrichtigungen an den Nutzer zu senden, auch wenn eine Webseite nicht im Browser geöffnet ist. Diese Funktion ist nützlich und bequem, wenn man mit harmlosen Inhalten arbeitet. So kann man sich beispielsweise in sozialen Netzwerken auf diese Weise über neue Beiträge informieren. Nachrichtenagenturen können auch ihre Abonnenten über neue Beiträge benachrichtigen. Die Technologie wird jedoch von Cyberkriminellen und skrupellosen Werbetreibenden missbraucht, um Werbung und betrügerische Benachrichtigungen von gehackten oder bösartigen Webseiten zu verbreiten.
Diese Benachrichtigungen werden in Browsern sowohl auf PCs als auch auf Laptops und mobilen Geräten unterstützt. In der Regel gerät das Opfer auf eine zweifelhafte Webseite, wenn es einen Link oder Werbebanner anklickt.
Beim Start lädt der Trojaner im Google Chrome-Browser eine Webseite herunter, deren Adresse in den Einstellungen einer böswilligen App angegeben ist. Diese Seite leitet den Nutzer auf Seiten verschiedener Partnerprogramme weiter. Danach wird man aufgefordert, den Erhalt von Benachrichtigungen auf jeder dieser Seiten zu erlauben. Um das Opfer davon zu überzeugen, wird eine Art Überprüfung durchgeführt (z.B. dass der Benutzer kein Roboter ist) oder ein Hinweis darauf gegeben, auf welche Schaltfläche man klicken soll. Dies soll mehr Abos generieren. Beispiele für solche Anfragen sind auf den folgenden Bildschirmaufnahmen dargestellt:
Nach der Aktivierung des Abos beginnen diese Webseiten, dem Nutzer zahlreiche Benachrichtigungen zu fragwürdigen Inhalten zu senden. Sie werden auch dann empfangen, wenn der Browser geschlossen ist und der Trojaner bereits gelöscht wurde. Der Inhalt kann alles Mögliche sein, u.a. falsche Benachrichtigungen über den Erhalt von Geldboni oder Überweisungen, neue Meldungen in sozialen Netzwerken, Werbehoroskopen, Casinos, Waren und Dienstleistungen und sogar «News».
Viele von ihnen sehen wie echte Benachrichtigungen über echte Online-Dienste aus. So sind sie beispielsweise mit dem Logo einer Bank, einer Dating-Webseite, einer Nachrichtenagentur oder eines sozialen Netzwerks versehen. Besitzer von Android-Geräten können täglich Dutzende solcher Spam-Nachrichten empfangen.
Obwohl diese Benachrichtigungen auch die Adresse der entsprechenden Webseite enthalten, können sie von einem unwissenden Nutzer übersehen werden. Beispiele für betrügerische Benachrichtigungen sind wie folgt:
Wenn man eine solche Benachrichtigung anklickt, wird man auf die Webseite mit fragwürdigem Inhalt weitergeleitet. Dies kann u.a. Werbung für Casinos sowie unterschiedliche Apps auf Google Play, Rabatt- und Gutscheinangebote sowie gefälschte Online-Umfragen und Gewinnspiele sein, die je nach Standort des Nutzers variieren. Beispiele für solche Webseiten sind wie folgt:
Viele von diesen Webseiten sind an bereits bekannten betrügerischen Programmen beteiligt. Cyberkriminelle sind auch in der Lage, einen Angriff jederzeit zu starten, um sensible Daten zu klauen. Ein potenzielles Opfer kann also eine gefälschte Benachrichtigung anklicken, zu einer Phishing-Seite gehen und seinen Namen, sein Login, sein Passwort, seine E-Mail-Adresse, seine Kreditkartennummer oder andere sensible Daten angeben.
Die Malwareanalysten von Doctor Web sind der Meinung, dass Cyberkriminelle diese Methode zur Promotion zweifelhafter Dienste weiterhin aktiv nutzen werden. Android-Nutzer sollten deshalb beim Aufrufen von Webseiten diese sorgfältig auf verdächtige Aufforderungen und unerwünschte Benachrichtigungen überprüfen. Wenn man aus einem beliebigen Grund unerwünschte Spam-Benachrichtigungen abonniert hat, sollte man wie folgt vorgehen:
- Rufen Sie «Einstellungen» => «Website-Einstellungen» => «Benachrichtigungen» in Google Chrome auf.
- Finden Sie in der Liste die entsprechende Webseite, klicken Sie diese an und wählen Sie «Berechtigungen zurücksetzen» oder «Löschen».
Dr.Web Produkte für Android finden und löschen alle bekannten Modifikationen von
Your Android needs protection.
Use Dr.Web
- The first Russian anti-virus for Android
- Over 140 million downloads—just from Google Play
- Available free of charge for users of Dr.Web home products
03.06 Doctor Web: Rückblick und Analyse von Bedrohungen im Mai 2019
Frankfurt, 3. Juni 2019
Im Mai 2019 verzeichneten die Statistiken der Dr.Web Server einen Anstieg der Anzahl einzigartiger Bedrohungen um 1,49% gegenüber dem Vormonat. Die Gesamtzahl der erkannten Bedrohungen stieg um 14,51%. Die Statistiken zeigen, dass Adware und Installer das Malware-Feld dominieren. Der Mailverkehr wird nach wie vor von Malware dominiert, die Schwachstellen in Microsoft Office-Dokumenten ausnutzt. Auch die Verbreitung des gefährlichen Trojaners
Hauptereignisse
- Anstieg von Malware
- Versand von Stealern per E-Mail
Versand von Stealern per E-Mail
Die Virenanalysten von Doctor Web meldeten eine neue Bedrohung für das MacOS-Betriebssystem –
Serverstatistik von Doctor Web
Bedrohungen des Monats:
- Adware.Softobase.12
- Adware, die alte Apps verbreitet und Browser-Einstellungen anpasst.
- Adware.Ubar.13
- Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.InstallCore.3553
- Der Trojaner installiert Adware, zeigt Werbung an und installiert zusätzliche Programme ohne Zustimmung des Nutzers.
- Trojan.Winlock.14244
- Der Trojaner sperrt und schränkt den Zugriff des Benutzers auf das Benutzersystem und seine Funktionen ein. Für die Entsperrung ist die Überweisung eines Lösegeldes auf das Konto der Entwickler nötig.
- Trojan.Starter.7394
- Trojaner, der zum Starten weiterer Malware auf dem Gerät gedacht ist.
Malware im E-Mail-Traffic
Bedrohungen des Monats:
- W97M.DownLoader.2938
- Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- Exploit.Rtf.CVE2012-0158
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- Exploit.Rtf.435
- Ein böswilliges Microsoft Office Word Dokument, welches die Schwachstelle CVE-2017-11882 zum Herunterladen des Schadcodes Trojan.Fbng.8 (FormBook) auf das Gerät des Nutzers verwendet.
- Trojan.PWS.Stealer.19347
- Familie von Trojanern, die von infizierten Geräten Passwörter sowie weitere sensible Daten klaut.
Diese Schädlinge sind im Mai aktiver geworden:
- Trojan.Inject3.15480
- Der Trojaner, der auch als Trojan.Fbng.8 (FormBook) bekannt ist, klaut persönliche Daten der Nutzer von infizierten Geräten und kann Befehle vom Server der Cyber-Kriminellen empfangen.
Encoder
Support-Anfragen aufgrund von Encodern im Mai 2019:
Trojan.Encoder.18000 — 15.38%Trojan.Encoder.858 — 9.89%Trojan.Encoder.11464 — 5.49%Trojan.Encoder.25574 — 5.49%Trojan.Encoder.11539 — 5.27%Trojan.Archivelock — 5.05%Trojan.Encoder.567 — 1.98%
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im Mai 2019 wurden 223.952 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| April 2019 | Mai 2019 | Wachstum |
|---|---|---|
| + 345 999 | + 223 952 | - 35.27% |
Malware für mobile Geräte
Im Frühling verbreiteten Cyber-Kriminelle verschiedene böswillige Apps über Google Play. Anfang Mai 2019 entdeckten die Virenanalysten von Doctor Web dann den Trojaner
Hauptereignisse in der mobilen Sicherheitsszene:
- Neue Schädlinge auf Google Play.
Mehr zu den Ereignissen in der mobilen Sicherheitsszene lesen Sie in diesem Bericht.
Erfahren Sie mehr mit Dr.Web
15.05 Neue Bedrohung für macOS verbreitet sich unter dem Deckmantel von WhatsApp
Frankfurt, 8. Mai 2019
Eine neue Bedrohung für macOS wurde von den Virenanalysten von Doctor Web am 29. April entdeckt. Der Schädling wird unter dem Namen
Beim Aufrufen dieser Webseiten bestimmt der eingebettete Schadcode das Betriebssystem des Nutzers und lädt je nach Betriebssystem eine Backdoor oder einen Trojaner auf den Rechner herunter. Ein macOS-Nutzer wird also mit dem
Gemäß Angaben der Virenanalysten von Doctor Web wurde die Webseite, die den
Mehr zur Bedrohung
30.04 Doctor Web: Rückblick und Analyse von Bedrohungen im April 2019
Frankfurt, 30. April 2019
Im April 2019 zeigte die Statistik des Dr.Web Servers einen Rückgang der Bedrohungen um 39,44% im Vergleich zum Vormonat, während die Gesamtzahl der erkannten Bedrohungen um 14,96% zurückging. Der E-Mail-Verkehr wird nach wie vor von Malware dominiert, die Schwachstellen in Microsoft Office-Apps ausnutzt. Auch Malware und Statistiken über unerwünschte Software setzen den Trend des letzten Monats fort: Die Mehrheit der erkannten Bedrohungen sind böswillige Erweiterungen für Browser, unerwünschte Apps und Adware.
Die Zahl der böswilligen und nicht empfohlenen Webseiten stieg um 28,04%. Eine dieser Webseiten verbreitete einen Banking-Trojaner, Stealer sowie eine Video- und Audioverarbeitungssoftware. Darüber wurde bereits Anfang April berichtet. Außerdem warnten die Virenanalysten von Doctor Web über Phishing-Mails von angeblichen Adressen bekannter Unternehmen.
Hauptereignisse im April
- Die Verbreitung von Malware nimmt ab.
- Die Zahl von Domainnamen, die in die Datenbank von nicht empfohlenen und böswilligen Webseiten aufgenommen wurden, nimmt zu.
Bedrohung des Monats
Die Virenanalysten von Doctor Web warnten Nutzer über die Kompromittierung der offiziellen Webseite einer beliebten Video- und Audiobearbeitungssoftware. Die Hacker ersetzten den Download-Link und luden zusammen mit dem Editor den gefährlichen Banking-Trojaner Win32.Bolik.2 und Trojan.PWS.Stealer (KPOT Stealer) herunter. Diese Trojaner wurden speziell dafür entwickelt, um Web-Injektionen durchzuführen, den Traffic abzufangen, das Keylogging durchzuführen und Daten aus Bankkundensystemen verschiedener Kreditinstitute zu klauen. Darüber hinaus ersetzten die Hacker den Schädling Win32.Bolik.2 durch einen anderen, eine Variation des Trojan.PWS.Stealer (KPOT Stealer).
Dieser Trojaner klaut Daten aus Browsern, Microsoft-Konten, Messengern und anderen Apps.
Serverstatistik von Doctor Web
Bedrohungen des Monats:
- Adware.Softobase.12
- Die Adware, die alte Apps verbreitet und Browser-Einstellungen anpasst.
- Adware.Ubar.13
- Das Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.Starter.7394
- Der Trojaner, der zum Starten anderer Malware eingesetzt wird.
Adware.Downware.19283 - Die Installationssoftware wird zusammen mit raubkopierten Inhalten verbreitet. Während der Installation kann sie Browsereinstellungen ändern und andere unerwünschte Programme installieren.
Malware im E-Mail-Traffic
- Exploit.ShellCode.69
- Das angepasste Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- Exploit.Rtf.CVE2012-0158
- Das angepasste Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- JS.DownLoader.1225
- JavaScripts, die böswillige Apps auf den PC herunterladen und installieren.
- Trojan.Encoder.26375
- Der Erpresser, der Dateien auf dem PC verschlüsselt und für die Dekodierung ein Lösegeld vom Opfer verlangt.
- W97M.DownLoader.2938
- Die Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
Encoder
Support-Anfragen aufgrund von Encodern im April 2019:
Trojan.Encoder.858 — 17.95%Trojan.Encoder.18000 — 14.65%Trojan.Encoder.11464 — 7.69%Trojan.Archivelock — 5.49%Trojan.Encoder.567 — 3.85%Trojan.Encoder.11539 — 3.85%Trojan.Encoder.25574 — 2.75%
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im April 2019 wurden 345.999 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| März 2019 | April 2019 | Wachstum |
|---|---|---|
| + 270 227 | + 345 999 | + 28.04% |
Bedrohungen für mobile Geräte
Im April teilte teilte Doctor Web über den gefährlichen Trojaner
Im Laufe des Monats wurden auf Google Play neue bösartige Apps wie Downloader und Klicker sowie Trojaner aufgespürt, die Logins und Passwörter aus Instagram-Konten klauen und unter den Namen Android.PWS.Instagram.4 und Android.PWS.Instagram.5 geführt werden.
Darüber hinaus wurden die Android-Nutzer durch Trojaner wie
Hauptereignisse in der mobilen Sicherheitsszene im April 2019:
- Neue Schädlinge wurden auf Google Play entdeckt.
- Verbreitung von neuen Banking-Trojanern
Erfahren Sie mehr mit Dr.Web
Frankfurt, 11. April 2019
VSDC ist eine beliebte kostenlose Video- und Audioverarbeitungssoftware. Laut SimilarWeb hat die offizielle Webseite, von der aus dieser Video-Editor heruntergeladen werden kann, monatlich rund 1,3 Millionen Nutzer. Die vom Unternehmen getroffenen Sicherheitsmaßnahmen reichen jedoch oft nicht aus, um eine derartige Webseite mit einem solchen Traffic zu betreiben, was viele Nutzer gefährdet.
Im vergangenen Jahr erhielten unbekannte Hacker den Administratorzugang zur VSDC-Webseite und ersetzten dort Download-Links. Statt eines Video-Editors luden Nutzer eine JavaScript-Datei herunter, die dann AZORult Stealer, X-Key Keylogger und DarkVNC Backdoor herunterlud. VSDC berichtete, dass die Schwachstelle beseitigt wurde. Vor kurzem sind den Virenanalysten von Doctor Web jedoch andere Infektionsfälle aufgefallen.
Gemäß den Virenanalysten von Doctor Web wurde der Computer des VSDC-Entwicklers seit der letzten Infektion mehrmals angegriffen. Einer der Hacks führte vom 21.02.2019 bis 23.03.2019 zur Kompromittierung der Webseite. Diesmal verwendeten Hacker eine andere Methode zur Verbreitung von Malware: Sie haben einen bösartigen JavaScript-Code in die VSDC-Site eingebettet, um Besucher der Webseite orten zu können und einen Download-Link für Nutzer aus Großbritannien, den USA, Kanada und Australien zu ersetzen. Anstatt authentischer VSDC-Links wurden Links zu einer gehackten Webseite verwendet:
- https://thedoctorwithin[.]com/video_editor_x64.exe
- https://thedoctorwithin[.]com/video_editor_x32.exe
- https://thedoctorwithin[.]com/video_converter.exe
Nutzer, die das Programm von dieser Webseite heruntergeladen haben, haben auch einen gefährlichen Banking-Trojaner heruntergeladen - Win32.Bolik.2. Wie
Darüber hinaus ersetzten Hacker am 22.03.2019 Win32.Bolik.2 durch eine weitere Malware – eine Version des Trojan.PWS.Stealer (KPOT Stealer). Dieser Trojaner klaut Informationen aus Browsern, Microsoft-Konten, Messengern und anderen Apps. An nur einem einzigen Tag wurde er von 83 Nutzern heruntergeladen.
Die VSDC-Entwickler wurden über die Kompromittierung ihrer Webseite informiert. Alle Download-Links wurden wiederhergestellt. Doctor Web empfiehlt jedoch allen Nutzern von VSDC-Produkten, ihre Geräte mit Hilfe von Dr.Web auf Malware zu scannen.
Indikatoren der Kompromittierung.
03.04 Doctor Web: Rückblick und Analyse von Bedrohungen im März 2019
Frankfurt, 3. April 2019
Die Virenanalysten von Doctor Web konnten ihre Analyse des Trojaners, der Counter-Strike 1.6 Spieler angreifen konnte, abschließen. Im Vergleich zum Vormonat machte sich darüber hinaus auch das Wachstum von Malware-Aktivitäten bemerkbar. So haben sich beispielsweise die Aktivitäten von Trojan.MulDrop8.60634 fast verdreifacht und auch die Anzahl der Bedrohungen Trojan.Packed.24060 und Adware.OpenCandy.243 ist im vergangenen Monat drastisch gestiegen. In die Datenbank der nicht empfohlenen und bösartigen Webseiten wurden hingegen vergleichsweise weniger Adressen hinzugefügt. Die Anzahl von Support-Anfragen aufgrund der Datenentschlüsselung nahm jedoch zu.
Hauptereignisse im März
- Die Zahl böswilliger Erweiterungen für Browser ist angestiegen.
- Die Verbreitung von Adware sowie weiteren unerwünschten Programmen hat sich intensiviert.
- Die Anzahl von Support-Anfragen aufgrund der Datenentschlüsselung hat zugenommen.
Bedrohung des Monats
Im März 2019 veröffentlichten die Malwareanalysten von Doctor Web eine detaillierte Studie über einen Belonard Trojaner, der Zero-Day-Schwachstellen im Steam-Client von Counter-Strike 1.6 ausnutzt. Auf dem Computer des Opfers änderte der Trojaner Dateien des Clients und erstellte Spiel-Proxy-Server, um andere Benutzer zu infizieren. Die Anzahl der böswilligen CS 1.6-Server, die mit dem Belonard-Trojaner erstellt wurden, erreichte 39% aller bei Steam registrierten offiziellen Server. Alle Module des Belonard Trojaners werden durch Dr.Web Antivirus erfolgreich erkannt. Dr.Web Nutzer müssen sich daher keine Sorgen machen.
Mehr zum Trojaner.
Serverstatistik von Doctor Web
Bedrohungen des Monats:
Trojan.Packed.24060 - Trojaner, der böswillige Erweiterungen für Browser installiert, die über Suchtreffer in Suchmaschinen zu anderen Webseiten weiterleiten.
- Adware.Softobase.12
- Adware, die alte Apps verbreitet und Browser-Einstellungen anpasst.
Adware.OpenCandy.243 - Apps, die andere Software installieren und durch Entwickler zum Zwecke der Monetisierung verwendet werden.
- Adware.Ubar.13
- Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.Starter.7394
- Trojaner, der zum Starten anderer Malware eingesetzt wird.
Die Zahl der folgenden Bedrohungen hat abgenommen:
- Trojan.MulDrop8.60634
- Dieser Trojaner installiert weitere Trojaner im System. Alle installierten Komponenten sind in Trojan.MulDrop enthalten.
- Adware.Downware.19283
- Die Installationssoftware wird zusammen mit raubkopierten Inhalten verbreitet. Während der Installation kann sie Browsereinstellungen ändern und andere unerwünschte Programme installieren.
Malware im E-Mail-Traffic
- Exploit.ShellCode.69
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- W97M.DownLoader.2938
- Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.Rtf.CVE2012-0158
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
Trojan.SpyBot.699 - Banking-Trojaner, der es Cyber-Kriminellen ermöglicht, verschiedene Apps auf ein infiziertes Gerät hochzuladen und Befehle zu senden. Auf diese Weise können Cyber-Verbrecher Geld von Bankkonten der Nutzer klauen.
- JS.DownLoader.1225
- JavaScripts, die böswillige Apps auf den PC herunterladen und installieren.
Trojan.PWS.Stealer.23680 - Familie von Trojanern, die Passwörter und andere vertrauliche Daten vom infizierten Gerät klaut.
Encoder
Support-Anfragen aufgrund von Encodern im März 2019:
Trojan.Encoder.858 — 28,39%;Trojan.Encoder.18000 — 9,54%;Trojan.Encoder.27210 — 4,25%;Trojan.Encoder.11464 — 4,14%;Trojan.Encoder.11539 — 4,14%;Trojan.Encoder.567 — 2,76%;Trojan.Archivelock — 2,34%.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im März 2019 wurden 270.227 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Februar 2019 | März 2019 | Wachtum |
|---|---|---|
| + 288 159 | + 270 227 | - 6,63% |
Bedrohungen für mobile Geräte
Im vergangenen Monat wurden auf Google Play neue böswillige Apps entdeckt. Darunter befinden sich u.a. Trojaner aus der Familie
Weiterhin wurden auch einige Exemplare von
Cyber-Kriminelle hören nicht auf, Banking-Trojaner zu verbreiten. Über einen solchen Banking-Trojaner wurde bereits in dieser Meldung berichtet. Der Schädling, der auch unter dem Namen Flexnet bekannt ist, klaut Geld von Bankkonten und mobile Guthaben der Nutzer.
Ende März haben die Malwareanalysten von Doctor Web Details zur Schwachstelle im beliebten UC Browser für Android bekanntgegeben, der Plug-ins unter Umgehung von Google Play-Servern herunterladen kann. Cyber-Kriminelle konnten diese Schwachsteller zur Verbreitung von Trojanern ausnutzen.
Hauptereignisse in der mobilen Sicherheitsszene im März 2019:
- Es wurde eine Sicherheitslücke im UC Browser gefunden.
- Verbreitung von Malware auf Google Play.
- Verbreitung von Banking-Trojanern.
Mehr zur Lage in der mobilen Sicherheitsszene erfahren Sie hier.
Erfahren Sie mehr mit Dr.Web
11.03 Doctor Web entdeckt Trojaner, der Zero-Day-Sicherheitslücke im Counter-Strike Client ausnutzt
Frankfurt, 11. März 2019
Trojan.Belonard gelangte auf die Rechner der Spieler, sobald er eine Verbindung zu einem böswilligen Spielserver aufbauen konnte. Der Schädling nutzte dabei Schwachstellen des Spiel-Clients aus und konnte sowohl Steam-Versionen als auch Piraten-Builds von Counter-Strike 1.6 (CS 1.6) infizieren. Auf dem Computer des Opfers änderte der Trojaner Client-Dateien und erstellte Proxy-Server, um andere Benutzer zu infizieren. Diese Technik ermöglichte es Cyber-Kriminellen, Spiele zu bewerben und damit Geld zu verdienen.
Die Zahl der Online-Spieler mit offiziellen CS-Clients 1.6 liegt aktuell im Durchschnitt bei 20.000 und die Gesamtzahl der in Steam registrierten Spielserver beläuft sich auf über 5.000. Verkauf, Vermietung und Bewerbung von Spielservern sind zu einem echten Geschäft geworden und werden als Dienstleistungen auf verschiedenen Webseiten angeboten. Eigentümer von Servern bezahlen oft für solche Dienste, wissen aber nicht, dass für die Bewerbung ihrer Server Malware eingesetzt werden kann. Solche illegalen Methoden verwendete bspw. ein Entwickler unter dem Spitznamen Belonard: Sein Server infizierte andere Spieler mit einem Trojaner und nutzte ihre Konten zur Bewerbung weiterer Spielserver aus.
Die Anzahl der schädlichen CS-Server 1.6, die mit dem Belonard-Trojaner erstellt wurden, hat inzwischen 39% aller bei Steam registrierten offiziellen Server erreicht. Die CS-Community wird mit diesem Problem seit langem konfrontiert. Leider erkannte die Virenschutzsoftware bisher nur Teile des Belonard-Trojaners und nicht den Schadcode als Ganzes. Jetzt werden alle Module des Belonard-Trojaners durch Dr.Web Antivirus ausfindig gemacht und stellen für Dr.Web Nutzer keine Bedrohung dar. Mehr zur Funktionsweise des Trojaners finden Sie in unserem englischsprachigen Ermittlungsbericht.
01.03 Doctor Web: Rückblick und Analyse von Bedrohungen im Februar 2019
Frankfurt, 1. März 2019
Im Februar 2019 ist die Anzahl von Bedrohungen im Vergleich zum Vormonat um 9,73% zurückgegangen. Malware-Aktivitäten blieben generell auf dem Niveau vom Dezember 2018. Bei einigen Bedrohungen gab es aber eine leichte Dynamik. So drängte beispielsweise JS.Miner.28, dessen Aktivitäten im Januar zunahmen, seinen Konkurrenten JS.Miner.11. Trojan.Starter.7394 stieg um 14,29% gegenüber Januar an und Trojan.DownLoader26.28109 ging fast ums Dreifache zurück. Darüber hinaus wurden 1,68% weniger Domains in die Datenbank der nicht empfohlenen Webseiten aufgenommen. Die Zahl von Support-Anfragen aufgrund der Datenentschlüsselung ging ebenfalls zurück.
Hauptereignisse
- Die Anzahl von Bedrohungen, die im E-Mail-Verkehr gefunden wurden, hat abgenommen.
- Der Einsatz von Adware, Torrent-Clients und unerwünschten Programmen hat zugenommen.
Serverstatistik von Doctor Web
Bedrohungen des Monats:
- Adware.Softobase.12
- Adware, die alte Apps verbreitet und Browser-Einstellungen anpasst.
- Adware.Ubar.13
- Torrent-Client, der unerwünschte Software auf dem Rechner installiert.
- Trojan.Starter.7394
- Trojaner, der zum Starten anderer Malware eingesetzt wird.
- Adware.Downware.19283
- Die Installationssoftware wird zusammen mit raubkopierten Inhalten verbreitet. Während der Installation kann sie Browsereinstellungen ändern und andere unerwünschte Programme installieren.
- Trojan.MulDrop8.60634
- Der Trojaner installiert weitere Trojaner im System. Alle installierten Komponenten sind in Trojan.MulDrop enthalten.
Die Anzahl der folgenden Bedrohungen hat abgenommen:
Trojan.Encoder.11432 - Auch als WannaCry bekannt. Der Schädling verschlüsselt Dateien der Nutzer und verlangt ein Lösegeld für die Dekodierung. Im Mai 2017 waren Geräte auf der ganzen Welt davon betroffen.
- Trojan.DownLoader26.28109
- Trojaner, der böswillige Apps ohne Zustimmung des Nutzers herunterlädt und startet.
Malware im E-Mail-Traffic
- JS.DownLoader.1225
- JavaScripts, die böswillige Apps auf den PC herunterladen und installieren.
- W97M.DownLoader.2938
- Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- Exploit.Rtf.CVE2012-0158
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- JS.Miner.28
- JavaScripts zum verdeckten Schürfen von Kryptowährungen. Die Skripts sind auch als Alternative zu CoinHive bekannt.
Trojan.PWS.Stealer.23680 - Familie von Trojanern, die Passwörter und andere vertrauliche Daten vom infizierten Gerät klaut.
Encoder
Support-Anfragen aufgrund von Encodern im Februar 2019:
Trojan.Encoder.858 — 31.39%;Trojan.Encoder.18000 — 10.18%;Trojan.Encoder.11464 — 4.67%;Trojan.Encoder.11539 — 4.67%;Trojan.Encoder.567 — 2.34%;Trojan.Encoder.25814 — 2.34%.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im Februar 2019 wurden 288.159 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Januar 2019 | Februar 2019 | Wachstum |
|---|---|---|
| + 293.012 | + 288.159 | -1,68% |
Malware für mobile Geräte
Im vergangenen Monat haben die Virenanalysten von Doctor Web eine Vielzahl von bösartigen und unerwünschten Programmen für Android OS identifiziert. Mitte Februar registrierte man z.B. eine Werbekampagne, die Cyber-Kriminelle zur Verbreitung von
Im Februar wurden darüber hinaus mehrere neue Kennungen in die Virendatenbank aufgenommen, um böswillige Apps der
Weiterhin verbreiteten Virenschreiber den Trojaner
Hauptereignisse in der mobilen Sicherheitsszene im Februar 2019:
- Verbreitung von böswilligen Apps auf Google Play.
Erfahren Sie mehr mit Dr.Web
01.02 Doctor Web: Rückblick und Analyse von Bedrohungen im Januar 2019
Frankfurt, 1. Februar 2019
Die Virenanalysten von Doctor Web verzeichneten für Januar 2019 viele interessante und beunruhigende Trends. Gegen Mitte des Monats wurden Krypto-Besitzer von einem Trojaner angegriffen, der sich unter dem Deckmantel eines nützlichen Programms verbreitete. Im Vergleich zum Vormonat stieg die Zahl der mit Trojaner.Winlock.14244 infizierten Geräte um 28%. Darüber hinaus wurden 50% mehr bösartige Dateien per Email versendet, welche Sicherheitslücken in Microsoft Office ausnutzten.
Hauptereignisse
- Die Zahl der Infektionen durch Systemblocker hat zugenommen.
- Schwachstellen in Microsoft Office werden verstärkt ausgenutzt.
- Werbesoftware wird tatsächlich häufiger für Werbezwecke eingesetzt.
Bedrohung des Monats
Im Januar 2019 entdeckten die Virenanalysten von Doctor Web einen Trojaner innerhalb einer App zum Verfolgen von Kryptowährungskursen. Die Malware wurde zusammen mit dem Tool verbreitet und installierte weitere Trojaner auf infizierten Geräten. Mit diesen Programmen konnten Hacker persönliche Daten der Benutzer klauen - einschließlich der Passwörter aus Krypto-Wallets.
Mehr zum Trojaner.
Serverstatistik von Doctor Web
- Trojan.Winlock.14244
- Der Schädling blockiert den Zugriff auf das Betriebssystem und seine Hauptfunktionen und verlangt ein Lösegeld für die Entsperrung.
- Adware.Downware.19283
- Die Installationssoftware wird zusammen mit raubkopierten Inhalten verbreitet. Während der Installation kann sie Browsereinstellungen ändern und andere unerwünschte Programme installieren.
- Trojan.DownLoader26.28109
- Trojaner, der böswillige Apps ohne Zustimmung des Nutzers herunterlädt und startet.
Trojan.Encoder.11432 - Auch als WannaCry bekannt. Der Schädling verschlüsselt Dateien der Nutzer und verlangt ein Lösegeld für die Dekodierung. Im Mai 2017 waren Geräte auf der ganzen Welt davon betroffen.
- Trojan.Starter.7394
- Trojaner, der böswillige Apps ohne Zustimmung des Nutzers herunterlädt und startet.
- Trojan.MulDrop8.60634
- Der Trojaner installiert weitere Trojaner im System. Alle installierten Komponenten sind in Trojan.MulDrop enthalten.
- Trojan.Zadved.1313
- Die Werbe-App leitet Nutzer auf Webseiten der Werbetreibenden weiter und zeigt unerwünschte Werbung an.
Malware für E-Mail-Traffic
- JS.DownLoader.1225
- JavaScripts, die böswillige Apps auf den PC herunterladen und installieren.
- Exploit.Rtf.CVE2012-0158
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
- W97M.DownLoader.2938
- Familie von Trojanern, die Sicherheitslücken in Apps ausnutzt und andere böswillige Apps auf den PC herunterlädt.
- Exploit.ShellCode.69
- Angepasstes Microsoft Office Word Dokument, welches die Schwachstelle CVE2012-0158 zum Ausführen des Schadcodes ausnutzt.
Trojan.PWS.Stealer.23680 - Familie von Trojanern, die Passwörter und andere vertrauliche Daten vom infizierten Gerät klaut.
Trojan.Nanocore.23 - Gefährlicher Trojaner, welcher auf Befehl der Cyber-Kriminellen die Kamera und das Mikrofon per Fernzugriff kontrollieren kann.
- JS.Miner.28
- JavaScripts zum verdeckten Schürfen von Kryptowährungen. Die Skripts sind auch als Alternative zu CoinHive bekannt
Trojan.Fbng.8 - Der Trojaner (auch unter dem Namen FormBook bekannt) klaut persönliche Daten des Nutzers vom infizierten Gerät und kann Befehle vom Server des Entwicklers erhalten.
Trojan.Encoder.26375 - Der Trojaner verschlüsselt Daten der Opfer und verlangt ein Lösegeld für die Dekodierung.
- JS.Miner.11
- JavaScripts zum verdeckten Schürfen von Kryptowährungen. Die Skripts sind auch als Alternative zu CoinHive bekannt.
Die böswilligen Aktivitäten von
Encoder
Support-Anfragen aufgrund von Encodern im Januar 2019:
Trojan.Encoder.858 — 26.32%Trojan.Encoder.11464 — 12.63%Trojan.Encoder.11539 — 7.72%- Trojan.Encoder.25574 — 1.58%
Trojan.Encoder.567 — 5.96%Trojan.Encoder.5342 — 0.88%
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im Januar 2019 wurden 293.012 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Dezember 2018 | Januar 2019 | Wachstum |
|---|---|---|
| + 257 197 | + 293012 | +13.93% |
Malware für mobile Geräte
Auf Google Play wurde im vergangenen Monat eine Vielzahl von Schädlingen aufgespürt. Darunter sind u.a. Vertreter von
Hauptereignisse in der mobilen Sicherheitsszene:
- Entdeckung vieler neuer Schädlinge auf Google Play
- Verbreitung eines Trojaner-Spions
Erfahren Sie mehr mit Dr.Web
09.01 Doctor Web: Rückblick und Analyse von Bedrohungen im Dezember 2018
Frankfurt, 28. Dezember 2018
Im letzten Monat des Jahres 2018 gab es in der Malware-Szene keine bemerkenswerten Ereignisse. Nichtsdestotrotz ist unter den auf PCs gefundenen Schädlingen vor allem auf den in JavaScript geschriebenen Schadcode hinzuweisen. Der größte Teil des Schadcodes ist für das Herunterladen von weiteren schädlichen Apps und das unerlaubte Schürfen von Kryptowährung auf PCs gedacht. Auf Festplatten findet sich darüber hinaus u.a. der Banking-Trojaner
Hauptereignisse
- Verbreitung von böswilligen Szenarien
- Neuer Trojaner für Android
Serverstatistik von Doctor Web
- JS.DownLoader
- Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten sowie Geld von Bankkonten klaut.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
- VBS.DownLoader
- Böswillige VBS-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
Malware im E-Mail-Traffic
- JS.DownLoader
- Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten sowie Geld von Bankkonten klaut.
W97M.DownLoader - Trojaner, die Sicherheitslücken in Office-Apps ausnutzen und weitere böswillige Software auf einen Zielrechner herunterladen.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Encoder
Support-Anfragen aufgrund von Encodern im Dezember 2018:
Trojan.Encoder.858 — 22.34% Anfragen;Trojan.Encoder.11464 — 11.71% Anfragen;Trojan.Encoder.11539 — 10.17% Anfragen;- Trojan.Encoder.25574 — 5.08% Anfragen;
Trojan.Encoder.567 — 4.93% Anfragen;Trojan.Encoder.5342 — 1.54% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im Dezember 2018 wurden 257.197 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| November 2018 | Dezember 2018 | Wachstum |
|---|---|---|
| + 231 074 | + 257 197 | +11.3% |
Malware für mobile Geräte
Im Dezember 2018 machten die Virenanalysten von Doctor Web auf Google Play den Schädling
Hauptereignisse in der mobilen Sicherheitsszene:
- Verbreitung eines Banking-Trojaners, der Nutzer in Brasilien angreift;
- Entdeckung einer neuen Version von Spyware;
- Aufspürung mehrerer böswilliger und unerwünschter Apps auf Google Play.
Erfahren Sie mehr mit Dr.Web
2018
28.12 Doctor Web: Rückblick und Analyse von Bedrohungen für mobile Geräte im Jahr 2018
Frankfurt, 28. Dezember 2018
Im vergangenen Jahr wurden Android-Nutzer erneut von einer Reihe böswilliger und unerwünschter Apps angegriffen. Viele dieser Apps wurden über Google Play verbreitet. Folgender Trend wird deutlich: Trojaner mit speziellen Methoden tarnen.
Eine der Hauptbedrohungen für Nutzer in den letzten 12 Monaten waren Android-Banker, die Finanzinstitute auf der ganzen Welt angriffen. Malware, die einen beliebigen Schadcode aus dem Internet herunterladen und ausführen konnte, stellte ebenfalls eine ernsthafte Bedrohung dar.
Virenautoren verbreiteten Trojaner, um betrügerische Programme zu implementieren, und setzten andere bösartige Apps ein, um an das Geld der Nutzer zu kommen. Darüber hinaus versuchten Cyber-Kriminelle mit Hilfe sogenannter Clipper, Kryptowährung zu klauen, indem sie die IDs von elektronischen Wallets in der Zwischenablage änderten.
Das Problem der Infizierung von Firmware in der Produktionsphase bleibt immer noch aktuell. Im Frühjahr entdeckten die Virenanalysten von Doctor Web einen Trojaner, der in Android eingebettet war. Über 40 Modelle mobiler Geräte wurden kompromittiert.
Hauptereignisse des Jahres 2018
- Entdeckung von neuen bösartigen und unerwünschten Apps auf Google Play;
- Versuche von Virenschreibern, die Erkennung von Malware zu verhindern;
- Banking-Trojaner greifen Kunden von Finanzinstituten weltweit an;
- Trojaner verwenden den Android Accessibility Service zur Automatisierung bösartiger Aktivitäten;
- Verbreitung von Trojanern, die in der Lage sind, E-Wallet-Nummern in der Zwischenablage zu ändern.
Die interessantesten Fälle
Anfang 2018 spürten die Virenanalysten von Doctor Web die Verbreitung von
Im März berichteten die Virenanalysten von Doctor Web von einem neuen Fall von Android.Triada.231. Der Schädling war in über 40 Modellen von Android-Smartphones und Tablets integriert. Unbekannte Täter betteten Android.Triada.231 in eine Systembibliothek auf Quellcode-Ebene ein, während andere Vertreter von Android.Triada in der Regel als eigenständige Apps verbreitet werden. Der Trojaner integriert sich in den Zygote-Prozess, der wiederum andere Apps startet. Als Folge infiziert Android.Triada.231 andere Prozesse und kann böswillige Funktionen ausführen. So kann er Apps gegen den Willen des Nutzers herunterladen, installieren oder deinstallieren.
Angreifer verwenden zunehmend Methoden, um die Erkennung von böswilligen und unerwünschten Apps zu verhindern. Im Jahr 2018 setzte sich dieser Trend fort. Eine beliebte Methode, die Präsenz von Malware zu vertuschen, ist der Einsatz von sogenannten Loadern. Diese können Trojaner und andere gefährliche Software für längere Zeit außerhalb der Reichweite von Virenschutzsoftware halten und bei potenziellen Opfern den Verdacht auf Malware verringern. Mit solchen Loadern können Cyber-Kriminelle verschiedene Schädlinge wie z.B. Spyware verbreiten.
Im April 2018 spürten die Virenanalysten von Doctor Web
Im August konnten die Malwareanalysten von Doctor Web
Downloader werden immer häufiger zur Verbreitung von Android-Banking-Trojanern eingesetzt. So wurde im Juli auf Google Play
Später wurden weitere böswillige Apps auf Google Play entdeckt. Eine davon ist unter dem Namen
Downloader infizieren mobile Geräte mit anderer Malware. Im Oktober entdeckten die Virenanalysten von Doctor Web
Böswillige Apps mit mehreren Modulen wurden immer häufiger eingesetzt. Jedes der Module führt bestimmte Funktionen aus. Dabei können Angreifer die Fähigkeiten der Trojaner bei Bedarf erweitern. Dieses Funktionsprinzip trägt dazu bei, dass die Erkennung von Bedrohungen verhindert werden kann. Virenautoren können diese Plug-ins schnell aktualisieren und neue hinzufügen, damit der Trojaner mit einem Minimum an Funktionen auskommt und weniger auffällig wird.
Die Virenanalysten von Doctor Web entdeckten einen solchen Schädling im Februar 2018 und nahmen ihn als
Nachdem sich der Schädling heruntergeladen und gestartet hatte, lud er ein anderes Bild mit dem versteckten Plug-in, welches später
Beispiele von Bildern mit verschlüsselten Modulen von Android.RemoteCode.127.origin:
Im Herbst wurde auch
Malware-Landschaft
Laut der Android-Statistik von Doctor Web wurden Android-Geräte vor allem durch Adware-Trojaner und Malware, die böswillige und unerwünschte Apps herunterlädt, sowie Trojaner, die Befehle von Cyber-Kriminellen ausführen, angegriffen.
Android.Backdoor .682.origin- Trojaner, der Befehle von Cyber-Kriminellen ausführt.
Android.Mobifun .4- Vertreter einer Trojaner-Familie, die unerwünschte Werbung anzeigt.
Android.HiddenAds - Vertreter einer Trojaner-Familie, die unerwünschte Werbung anzeigt.
Android.DownLoader .573.origin- Malware, die Apps von Virenschreibern herunterlädt.
Android.Packed .15893- Schädling, der durch Packprogramme geschützte Trojaner erkennt.
Android.Xiny .197- Trojaner, der andere Apps herunterlädt und löscht.
- Android.Altamob.1.origin
- Malware, die Apps von Virenschreibern herunterlädt.
Unter den unerwünschten und gefährlichen Apps, die auf Android-Geräten gefunden wurden, sind sogenannte Ad-Module am häufigsten anzutreffen. Auch Apps zum Herunterladen und Installieren von böswilliger Software wurden auf Smartphones und Tablets detektiert.
- Adware.Zeus.1
- Adware.Altamob.1.origin
- Adware.Jiubang
- Adware.Adtiming.1.origin
Adware.Adpush .601- Adware.SalmonAds.3.origin
- Adware.Gexin.2.origin
- Virenschreiber betteten unerwünschte Module in Apps ein, die aggressive Werbung anzeigen.
Tool.SilentInstaller .1.originTool.SilentInstaller .6.origin- Potenziell gefährliche Programme zum Herunterladen und Installieren von Apps.
Banking-Trojaner
Banking-Trojaner bleiben nach wie vor eine gefährliche Bedrohung für Online-Banking-Nutzer. Diese Schädlinge klauen Logins und Passwörter von Online-Banking-Konten der Nutzer sowie weitere sensible Daten, um an das Geld der Nutzer zu kommen. Im Laufe der letzten 12 Monate wurden dank Dr.Web für Android über 110.000 Trojaner auf Smartphones und Tablets ausfindig gemacht. Sämtliche Malwarefunde im Jahresverlauf sind wie folgt abgebildet:
Auch Banking-Trojaner für Android wurden massenhaft verbreitet. Als Grundlage für die Entwicklung des Schädlings diente das online verfügbare Muster von
Nutzer erlebten auch im Jahre 2018 erneut Angriffe von Banking-Trojanern, die es auf das Geld der Nutzer in Russland, der Türkei, Brasilien, Spanien, Deutschland, Frankreich sowie anderen Staaten abgesehen haben. Im Frühling haben die Virenanalysten von Doctor Web den Trojaner
Im Herbst machten die Virenanalysten von Doctor Web den Bösewicht
Im Dezember spürten die Virenanalysten von Doctor Web den Schädling
Betrug
Cyber-Kriminelle setzen aktiv Malware für Android für ihre betrügerischen Kampagnen ein. 2018 wurde eine Reihe solcher Trojaner entdeckt. Einer davon ist
Unter den auf Google Play gefundenen Trojanern sind auch solche, die eine Webseite auf Befehl der Cyber-Kriminellen oder ihres Verwaltungsservers aufriefen. Dazu gehören u.a.
Cyber-Kriminelle verbreiteten auch
Im Laufe des Jahres haben die Virenanalysten von Doctor Web mehrere böswillige Apps aufgespürt, darunter
Aussichten und Trends
Auch 2019 werden Nutzer mobiler Geräte wieder mit Angriffen von Banking-Trojanern rechnen müssen. Autoren von Viren & Co. werden die Funktionalität von Schädlingen weiter verbessern. Es ist wahrscheinlich, dass sich mehr Android-Banker in multifunktionale Malware verwandeln werden.
Auch die Zahl der betrügerischen Apps und Werbetrojaner wird zunehmen. Virenschreiber werden weiterhin versuchen, die Rechenleistung von Android-Geräten zum Schürfen von Kryptowährung anzuzapfen. Es ist nicht ausgeschlossen, dass es in der Zukunft weitere Fälle von Firmware-Infektionen gibt.
Cyber-Kriminelle werden weiterhin an ihren Methoden zum Umgehen von Virenschutzsoftware feilen. Böswillige Apps mit neuen Funktionsprinzipien und neuen Methoden zum Entwenden von vertraulichen Daten können auftauchen. Diese können mobile Geräte und Eye-Tracking-Techniken verwenden, um getippte Meldungen abzulesen. Darüber hinaus könnte neue Malware maschinelle Lernalgorithmen und andere Mittel der künstlichen Intelligenz zum Vorteil von Angreifern einsetzen.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 140 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
28.12 Doctor Web: Rückblick und Analyse von Bedrohungen im Jahr 2018
Frankfurt, 28. Dezember 2018
Das Jahr 2018 wurde in erster Linie durch die Verbreitung von Mining-Trojanern gekennzeichnet. Diese wurden von Cyber-Kriminellen zum Schürfen von Kryptowährung verwendet. Auch neue Schädlinge für Windows und Linux behelligten die Nutzer. Encoder, die Daten der Nutzer verschlüsselten und für die Dekodierung ein Lösegeld verlangten, haben immer noch hohe Positionen im Malware-Ranking inne. So spürten die Virenanalysten von Doctor Web im Februar und April 2018 zwei Trojaner auf, die trotz aller Zusicherungen, die Dekodierung nach Bezahlung des Lösegeldes durchzuführen, die beschädigten Daten nicht wiederherstellen konnten.
Ende März nahmen die Virenanalysten von Doctor Web den Trojaner
Cyber-Kriminelle waren das ganze Jahr aktiv, indem sie ihre Opfer auf gefälschte Websites lockten und mit Massenmailings belästigten. Die Betrüger verschickten zu Beginn des Jahres gefälschte Mails im Namen von Mail.Ru Group, um Logins und Passwörter der Nutzer herauszufinden. Im Frühjahr versendeten sie dann vermeintliche Entschädigungsangebote. Im Sommer belästigten sie weiterhin Domain-Administratoren, indem sie sich als vermeintliche Mitarbeiter von RU-CENTER ausgaben und von ihren Opfern Geld für die Verlängerung von Domainnamen verlangten.
Auch Android-Nutzer wurden von Cyber-Kriminellen belästigt. So wurden 2018 auf Google Play infizierte Spiele aufgespürt, die über 4.500.000 Mal heruntergeladen wurden. Später wurde ein Android-Miner identifiziert, der 8% smarter Geräte wie Fernseher, Spielkonsolen, Router sowie weitere IoT-Geräte infizieren konnte.
Im Verlaufe des Jahres warnten Virenanalysten die Android-Nutzer vor der Verbreitung von Banking-Trojanern. Darüber hinaus wurden Fälschungen beliebter Android-Apps entdeckt, die von den Angreifern für Phishing-Zwecke verwendet wurden. Einige Android-Trojaner meldeten Nutzer für verschiedenste kostenpflichtige Dienste an, andere verdienten an ihren Opfern durch unsichtbare Werbung, während die dritten wiederum andere Malware auf das infizierte Gerät herunterluden.
Haupttrends
- Verbreitung von Mining-Trojanern, die zum verdeckten Schürfen von Kryptowährungen eingesetzt werden
- Auftauchen neuer Schädlinge für Linux und IoT
- Wachsende Anzahl von Trojanern für Google Android
Interessanteste Fälle im Jahr 2018
Im Februar 2018 wurde ein neuer Verschlüsselungstrojaner entdeckt. Dieser wurde von den Virenschreibern als
Ein weiterer Erpressungstrojaner hieß
Obwohl die Erpresser behaupteten, sie könnten den Betroffenen helfen, war dies wegen einem Fehler im Code des Bösewichts nicht möglich.
Ende März wurde durch die Virenanalysten von Doctor Web
Einen Monat später konnten die Virenanalysten von Doctor Web den Autor dieser Trojaner identifizieren. Der Schädling und seine vielfältigen Versionen klauten Passwörter und Cookies-Dateien aus Chromium-Browsern, Telegram, dem FTP-Client FileZilla sowie Bilder gemäß der vordefinierten Liste. Eine Version des Schädlings wurde auf Telegram-Channels aktiv beworben. Der Entwickler dieser Schädlinge integrierte die geklauten Logins und Passwörter in seine Malware und machte sich dadurch für Virenanalysten von Doctor Web sichtbar.
Der Entwickler der Schädlinge
Die Malwareanalysten von Doctor Web kennen die Verbreitungsmethode via Update-Verfahren bereits und konnten z.B. die Schädlinge
Im September wurde
Der Trojaner unterschob Nutzern gefälschte Login-Webseiten zum Eingeben von Login und Passwort. In einigen Fällen wurde man aufgefordert, einen Verifizierungscode, der an die Mobiltelefonnummer des Nutzers versendet wurde, einzugeben. All diese Daten wurden dann an Cyber-Kriminelle weitergeleitet. Die Malwareanalysten von Doctor Web haben insgesamt 340 Muster von
Eine weitere Recherche zeigte, dass ein Übeltäter eine ganze Reihe von Schädlingen wie Eredel, AZORult, Kpot, Kratos, N0F1L3, ACRUX, Predator The Thief, Arkei, Pony usw. für Phishing-Zwecke eingesetzt und eine gefälschte Kryptowährungsbörse gestartet hat, sowie einen Pool von Mining-Geräten Dogecoin zum Mieten angeboten und ein Partnerprogramm lanciert hat.
Online-Lotterien waren ein weiteres Projekt dieses Übeltäters. Als Preisgeld galt ein bestimmter Betrag in der Kryptowährung Dogecoin. In solchen Lotterien gewinnt man bekanntlich nichts.
Im November 2018 wurde durch die Virenanalysten von Doctor Web noch ein Schädling namens
Aufgrund dieses Trojaners sind bis heute insgesamt 1.400 Nutzer zu Schaden gekommen. Die ersten Fälle waren bereits 2013 bekannt. Mehr zu diesem Trojaner finden Sie in folgendem Beitrag.
Alles rund um Viren & Co
Gemäß der Statistik von Doctor Web waren 2018 der auf JavaScript geschriebene Schadcode, Spyware und böswillige Downloader auf PCs der Nutzer am häufigsten zu finden. Mit Hilfe des Schadcodes versuchten Cyber-Kriminelle, fremde Inhalte in Webseiten einzubetten und Kryptowährungen zu schürfen.
- JS.Inject
- Böswillige JavaScript-Szenarien, die den Schadcode in den HTML-Code von Webseiten integrieren.
JS.BtcMine - JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten und Geld von Bankkonten klaut.
JS.DownLoader - Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
- Trojan.Starter.7394
- Trojaner, der im infizierten System eine ausführbare Datei mit einem bestimmten Funktionsumfang startet.
- Trojan.Encoder.567
- Trojaner, der Dateien auf dem PC verschlüsselt und ein Lösegeld für die Dekodierung vom Opfer verlangt.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
- VBS.BtcMine
- Auf VBS geschriebene JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Die Analyse des E-Mail-Traffics zeigt ein ähnliches Bild auf. In Anhängen ist jedoch weiterhin Spyware häufiger anzutreffen:
JS.DownLoader - Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
- JS.Inject
- Böswillige JavaScript-Szenarien, die den Schadcode in den HTML-Code von Webseiten integrieren.
JS.BtcMine - JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten und Geld von Bankkonten klaut.
- Trojan.Encoder.567
- Trojaner, der Dateien auf dem PC verschlüsselt und ein Lösegeld für die Dekodierung vom Opfer verlangt.
Trojan.DownLoader - Böswillige Trojaner, die weitere Schädlinge auf dem infizierten PC installieren.
Trojan.PWS.Stealer - Trojaner, die auf infizierten PCs Logins, Passwörter und weitere sensible Daten klauen.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Encoder
2018 gab es im Vergleich zu 2017 weniger Anfragen aufgrund der Infizierung durch Verschlüsselungstrojaner. Der Monat Januar verzeichnete ein Jahrestief. Ein Jahreshoch gab es im November.
Support-Anfragen aufgrund von Encodern im Jahr 2018:
Trojan.Encoder.858 — 19,83% Anfragen;Trojan.Encoder.11464 — 9,64% Anfragen;Trojan.Encoder.567 — 5,08% Anfragen;Trojan.Encoder.11539 — 4,79% Anfragen;- Trojan.Encoder.25574 — 4,46% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Malware für Linux
Unter den böswilligen Apps für Linux zeigten sich 2018 Mining-Trojaner besonders aktiv. Die ersten Angriffe auf Linux-Server wurden durch die Virenanalysten von Doctor Web Anfang Mai 2018 registriert. Cyber-Kriminelle bauten eine Verbindung zum Server via SSH auf, suchten mit Hilfe der Bruteforce-Methode nach Login und Passwort des Nutzers und deaktivierten nach ihrer erfolgreichen Autorisierung das Tool iptables, welches für die Verwaltung der Firewall verantwortlich ist. Anschließend luden sie einen Mining-Trojaner und seine Konfigurationsdatei auf den Zielrechner herunter. Später wurde dafür eine andere Malware verwendet. So wurde im August der auf Go erstellte Schädling
Die Virenanalysten von Doctor Web fanden auf demselben Server weitere Trojaner für Microsoft Windows.
Gefährliche und nicht empfohlene Webseiten
In die Datenbanken von Office Control und Web-Antivirus SpIDer Gate werden regelmäßig neue Adressen von nicht empfohlenen und potenziell gefährlichen Webseiten aufgenommen. Darunter sind u.a. böswillige Webseiten und Phishing-Ressourcen, von denen böswillige Programme verbreitet werden, zu finden. Das nachfolgende Diagramm zeigt die Verteilung von gefundenen nicht empfohlenen und potenziell gefährlichen Webseiten.
Cyber-Kriminelle im Netz
Betrug gab es schon immer im Netz – das Jahr 2018 war hier keine Ausnahme. So wurde Anfang März ein Massenversand von Phishing-Mails im Namen von Mail.Ru Group registriert. Um an Logins und Passwörter von Mail.Ru-Nutzern zu kommen, erstellten Unbekannte eine ähnliche Webseite des beliebten Dienstes.
Im Mai 2018 berichtete Doctor Web von neuen Methoden der Cyber-Betrüger, die Nutzer über massenhafte Spam- und Phishing-Mails auf speziell angefertigte Webseiten lockten. Die Spammer versprachen, Überzahlungen für Sozial- und Krankenkassenversicherungen zu erstatten. Um die Rückerstattung zu erhalten, sollten einfältige Nutzer einen kleinen Betrag auf das Konto der Betrüger überweisen. Selbstverständlich gab es danach keine Rückerstattung.
Die Virenanalysten von Doctor Web spürten 110 ähnliche Webseiten auf, die von Netzbetrügern im Zeitraum von Februar bis Mai 2018 erstellt wurden. Im August 2018 wurden Domainadministratoren angegriffen, die früher Dienstleistungen von RU-CENTER genutzt haben. Mitte des Monats erhielten sie E-Mails, die angeblich von RU-CENTER stammten. In den Phishing-Mails wurde behauptet, dass Rechnungen für die Registrierung von Domains innerhalb von einem Tag ab Datum des E-Mail-Einganges bezahlt werden sollten.
LBetrüger versenden häufig E-Mails im Namen bekannter Unternehmen. Betroffen war diesmal der Online-Shop Aliexpress, dessen Stammkunden Phishing-Mails mit der Einladung, Links zu Aktionen und Rabatten zu folgen, erhalten haben.
In der Tat war der Online-Shop nichts anderes als eine Sammlung von Links, die den Nutzer zu betrügerischen Marktplätzen weiterleiteten. Die Frage, wie die Kriminellen in den Besitz der Kundendatenbank von Aliexpress gekommen sind, bleibt immer noch unbeantwortet.
Malware für mobile Geräte
Nutzer von Android-Geräten erlebten auch im Jahr 2018 Angriffe von vielen böswilligen Apps. Darunter waren u.a. Banking-Trojaner, die es auf das Geld der Nutzer in Russland, der Türkei, Brasilien, Spanien, Deutschland, Frankreich sowie anderen Staaten abgesehen haben. Im Frühling haben die Virenanalysten von Doctor Web den Trojaner
Im November 2018 haben die Virenanalysten von Doctor Web
Im Dezember 2018 machten die Virenanalysten von Doctor Web auf Google Play den Schädling
Auch Banking-Trojaner für Android wurden aktiv verbreitet. Als Grundlage für die Entwicklung des Schädlings diente das frei zugängliche Muster von
Viele Banking-Trojaner gelangten auf Geräte der Nutzer dank Trojanern wie
Auch 2018 haben Trojaner der Familie
Ein weiterer Trojaner unter dem Namen
Cyber-Kriminelle griffen auch auf andere Methoden zurück, um mit Hilfe der Schädlinge an Geld zu kommen. So setzten sie den Mining-Trojaner
Im Herbst wurde auch
Trojaner wurden auch in Betrugskampagnen eingesetzt. In einem Fall wurde Nutzern für die Teilnahme an der Umfrage eine Entschädigung versprochen, die aber gemäß Regel der Kriminellen nur überwiesen werden konnte, wenn Nutzer selbst einen kleinen Betrag an Cyber-Betrüger überwiesen. Nach der Überweisung des Geldes war von den Umfrage-Autoren nichts mehr zu hören. In einem weiteren Fall wurden von Kriminellen sogenannte Klicker eingesetzt, die durch das Klicken auf Anzeigen Geld für ihre Besitzer verdienen sollten.
Trojaner wie bspw.
2018 wurden auch Fälle mit der Infizierung von Android-Firmware registriert. Einer solcher Fälle war die Infizierung von über 40 Smartphone- und Tablet-Modellen durch
Trends
Obwohl es 2018 keine großen Epidemien gab, ist eine massive Verbreitung von Malware in der Zukunft wahrscheinlich. Böswillige Szenarien in verschiedenen Sprachen werden sich weiterhin vermehren und nicht nur Microsoft Windows, sondern auch andere Plattformen wie Linux gefährden.
Auch neue Mining-Trojaner, die Hardware-Ressourcen infizierter Geräte verdeckt ausnutzen, werden Nutzern zusetzen. Das Interesse der Cyber-Kriminellen am IoT wird weiter steigen: Trojaner für smarte Geräte gibt es bereits und in naher Zukunft wird deren Anzahl sicherlich wachsen.
Es gibt jeden Grund zur Annahme, dass Virenschreiber 2019 neue Trojaner für Google Android entwickeln und verbreiten werden. Die Trends des vergangenen Jahres zeigen, dass Werbe- und Banking-Trojaner mit großer Wahrscheinlichkeit die mobile Malware dominieren werden.
Es ist eher unwahrscheinlich, dass betrügerische E-Mails und Newsletter verschwinden: Cyber-Kriminelle werden weiter an neuen Betrugsmethoden tüfteln. Deshalb ist es wichtig, einen zuverlässigen Schutz gegen Viren & Co. zu haben!
Erfahren Sie mehr mit Dr.Web
30.11 Der Doctor Web Virusreport November 2018
Frankfurt, 30. November 2018
Im November 2018 haben die Virenanalysten von Doctor Web einen Mining-Trojaner für Linux erforscht, der die auf dem PC installierte Virenschutzsoftware deinstallieren kann. Außerdem haben sie einen Windows-Clicker und mehrere böswillige Apps für Android ausfindig gemacht.
Hauptereignisse
- Verbreitung eines Windows-Clickers
- Neuer Mining-Trojaner für Linux, der Virenschutzsoftware entfernen kann
- Neue Malware für Android
Bedrohung des Monats
Der Trojaner wird unter dem Namen
Von dieser Webseite wird ein Archiv mit der Datei setup.exe heruntergeladen, die eine andere Datei herunterlädt. Diese Datei wird als ARJ-Archiv getarnt, welches einen Trojaner und die App DynDNS installiert. Wenn der Nutzer entscheidet, die App zu deinstallieren, wird nur die App DynDNS deinstalliert.
Serverstatistik von Doctor Web
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten klaut.
- JS.DownLoader
- Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
- Trojan.MulDrop
- Trojaner, die weitere Schädlinge auf dem infizierten PC installieren.
Trojan.Encoder.11432 - Wurm, der auch unter dem Namen WannaCry bekannt ist.
Malware im E-Mail-Traffic
- JS.DownLoader
- Böswillige JavaScript-Szenarien, die weitere Schädlinge auf dem infizierten PC installieren.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten und Geld von Bankkonten klaut.
- JS.Miner
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.Encoder.26375 - Trojaner, der Dateien auf dem PC verschlüsselt und ein Lösegeld für die Dekodierung vom Opfer verlangt.
Encoder
Support-Anfragen aufgrund von Encodern im November 2018:
Trojan.Encoder.858 — 32.15% Anfragen;Trojan.Encoder.11464 — 11.17% Anfragen;Trojan.Encoder.11539 — 10.80% Anfragen;- Trojan.Encoder.25574 — 4.91% Anfragen;
Trojan.Encoder.567 — 1.35% Anfragen;Trojan.Encoder.10700 — 1.35% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Zu den gängigen Methoden der Cyber-Kriminellen gehört das sogenannte Phishing, mit dem einem Opfer eine speziell erstellte Webseite oder ein Formular untergeschoben wird, welches vertrauliche Nutzerdaten wie Benutzername und Passwort an Cyber-Kriminelle weiterleitet. Diese wiederum können die Daten zur Erpressung der Nutzer verwenden.
Im November 2018 wurden mehrere Kampagnen registriert, in denen Cyber-Kriminelle Nutzer aufforderten, auf einen Link zu klicken, um die Deaktivierung von E-Mail-Konten abzubrechen.
Der Link führte zu einem speziell erstellten Formular, das Benutzerdaten wie Benutzername und Passwort an Cyber-Kriminelle weiterleitete. Das Analystenteam von Doctor Web machte mehrere Webseiten dieser Art ausfindig und trug sie in die Datenbank von nicht erwünschten Webseiten ein.
Im November 2018 wurden 231.074 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| Oktober 2018 | November 2018 | Wachstum |
|---|---|---|
| + 156 188 | + 231 074 | + 47.94% |
Bedrohungen für Linux
Der Trojaner stellt ein Szenario dar, das in der sh-Sprache geschrieben ist und über 1.000 Codezeilen enthält. Der Bösewicht besteht aus mehreren Komponenten, die vom Server der Cyber-Kriminellen heruntergeladen werden. Nach erfolgreicher Installation lädt er den Schädling
Nachdem sich
Andere Ereignisse
Gemäß Statistik war
Die schädlichen Funktionen von
Nach Befehl von Cyber-Kriminellen ist
Der Bösewicht ist in der Lage, nach Online-Banking-Clients in geöffneten Fenstern, in Dateien und Browser-Cookies zu suchen. Nachdem sich
Malware für mobile Geräte
Im November 2018 haben die Analysten von Doctor Web
Hauptereignisse in der mobilen Sicherheitsszene:
- Verbreitung von böswilligen und unerwünschten Apps auf Google Play.
Erfahren Sie mehr mit Dr.Web
20.11 Neuer Mining-Trojaner für Linux löscht Virenschutzsoftware
Frankfurt, 20. November 2018
Der Trojaner, welcher als
Bei einer erfolgreichen Installation lädt der Trojaner eine Version von
Nach seiner Installation sucht
Anschließend versucht der Schädling Services von Virenschutzsoftware mit den Namen safedog, aegis, yunsuo, clamd, avast, avgd, cmdavd, cmdmgd, drweb-configd, drweb-spider-kmod, esets und xmirrord zu finden. Sobald der Trojaner einen dieser Services entdeckt, bricht er nicht nur seinen Prozess ab, sondern löscht auch die Dateien und das Verzeichnis, in dem die Virenschutz-App installiert war.
Anschließend trägt sich
Nach all diesen Schritten startet
Eine vollständige Liste mit den Indikatoren einer Infizierung finden Sie hier https://github.com/DoctorWebLtd/malware-iocs/tree/master/Linux.BtcMine.174.
31.10 Doctor Web: Rückblick und Analyse von Bedrohungen im Oktober 2018
Frankfurt, 31. Oktober 2018
Im Oktober 2018 hat Doctor Web die Ergebnisse einer Recherche zur Tätigkeit eines Cyber-Kriminellen veröffentlicht. Die Zahl der geschädigten Opfer, die wegen der Betrugsaktionen mindestens 24.000 US-Dollar verloren haben, liegt bei ca. 10.000 Nutzern.
Im Laufe des Monats versendete eine Gruppe von Übeltätern E-Mails, in denen sie von Nutzern Geld für die Nicht-Veröffentlichung ihrer persönlichen Daten forderten. Die Cyber-Kriminellen konnten den Zugang zu einer Datenbank mit E-Mail-Adressen und Passwörtern der Nutzer erlangen und verschickten an diese E-Mail-Adressen Nachrichten, dass auf ihren Rechnern ein Schädling installiert sei und ihre Passwörter den Kriminellen längst bekannt seien. Für die Nicht-Veröffentlichung der persönlichen Daten verlangten die Erpresser ein Lösegeld in Bitcoins, das umgerechnet Beträgen in Höhe von 500 bis 850 US-Dollar entspricht.
Die Kriminellen nutzen dabei mehrere Bitcoin-Geldbörsen. Gemäß Informationen auf der Webseite blockchain.com sind mehrere Opfer auf das Angebot der Übeltäter reingefallen.
In letzter Zeit ist diese Erpressungsmethode bei Cyber-Kriminellen äußerst beliebt. Sie versenden massenhaft E-Mails mit Übereinstimmungen von Benutzernamen und Passwörtern. Die Erpresser setzen keine Viren oder Trojaner ein, um an die Daten zu gelangen. Nutzer können sich gegen solche Angriffe schützen, indem sie neue Passwörter anlegen.
Hauptereignisse
- Gefährlicher Cyber-Krimineller entlarvt
- Massenhafter Versand von Spam durch Erpresser
Bedrohung des Monats
Das Team von Doctor Web führte eine große Recherche durch und teilte deren Ergebnisse im Oktober. Im Rampenlicht der Recherche stand ein Cyber-Krimineller, der sich unter den Namen Investimer, Hyipblock und Mmpower versteckte. Dieser Bösewicht setzte in seinem kriminellen Geschäft ein breites Arsenal an Tools ein, u.a. Stealer, Downloader, Encoder und Miner mit dem integrierten Modul zur Unterschiebung der Inhalte aus der Zwischenablage.
Zum Spezialgebiet von Investimer gehörten Kryptowährungen. Die Methoden, mit denen er Kryptowährungen sammelte, sind vielfältig: Er entwickelte Webseiten von nicht existierenden Kryptobörsen, Mining-Farms, Partnerprogrammen und Online-Lotterien.
Das Beuteschema des Cyber-Kriminellen sah folgendermaßen aus: Der Betrüger lockte das Opfer auf verschiedenen Wegen auf eine böswillige Webseite, von der es ein vermeintliches Client herunterladen sollte. Unter dem Deckmantel des Clients versteckte sich ein Trojaner, der auf Befehl des Kriminellen weiteren Schadcode auf dem Rechner des Opfers installierte. Solche Programme (meistens waren es sogenannte Stealer) klauten aus dem infizierten System sensible Daten, die später zum Gelddiebstahl aus Krypto-Wallets und Bezahlungssystemen verwendet wurden.
Die Analysten von Doctor Web gehen davon aus, dass die Gesamtzahl von Nutzern, die wegen solcher Betrugsaktivitäten zu Schaden kamen, bei ca. 10.000 liegt. Die Schadenschätzung liegt bei etwa 24.000 US-Dollar. Dazu gehören auch 182.000 Dogecoins, was umgerechnet 900 US-Dollar entspricht. Mehr zu dieser Recherche finden Sie hier.
Serverstatistik von Doctor Web
JS.BtcMine - Trojaner, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten klaut.
- Trojan.Starter.7394
- Trojaner, der im infizierten System eine ausführbare Datei mit böswilligen Funktionen startet.
Trojan.Encoder.11432 - Verschlüsselungstrojaner, der auch unter dem Namen WannaCry bekannt ist.
Malware im E-Mail-Traffic
JS.BtcMine - Trojaner, die zum verdeckten Schürfen von Kryptowährungen dienen.
W97M.DownLoader - Trojaner, die Schwachstellen in MS-Office-Apps ausnutzen und Malware auf Zielrechner herunterladen.
- Trojan.Encoder.26375
- Schädling, der Dateien auf dem Rechner verschlüsselt und Lösegeld für die Entschlüsselung fordert.
Trojan.PWS.Stealer - Familie von Trojanern, die auf dem infizierten Rechner Passwörter sowie andere sensible Daten klaut.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten klaut.
Encoder
Support-Anfragen aufgrund von Encodern im Oktober 2018:
Trojan.Encoder.858 — 20.04% Anfragen;Trojan.Encoder.11464 — 11.67% Anfragen;Trojan.Encoder.567 — 6.23% Anfragen;- Trojan.Encoder. 25574 — 5.84% Anfragen;
- Trojan.Encoder.1539 — 4.86% Anfragen;
Trojan.Encoder.5342 — 1.75% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im Oktober 2018 wurden 156.188 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| September 2018 | Oktober 2018 | Wachstum |
|---|---|---|
| + 271,605 | + 156,188 | - 42.49% |
Malware für mobile Geräte
Anfang Oktober wurde ein neuer Trojaner namens
Ende Oktober wurden auf Google Play Downloader wie
Außerdem erforschte das Analystenteam von Doctor Web die Trojaner
Hauptereignisse in der mobilen Sicherheitsszene:
- Entdeckung von Schadcode auf Google Play;
- Verbreitung eines gefährlichen Banking-Trojaners, der den Schadcode blitzschnell kompilieren und ausführen kann.
Mehr zur Lage in der mobilen Sicherheitsszene erfahren Sie hier.
Erfahren Sie mehr mit Dr.Web
19.10 Doctor Web: VPN-Client für Android enthielt einen Trojaner
Frankfurt, 19. Oktober 2018
Der Trojaner, dem der Name
Beim Starten versuchte
Unsichtbar für den Nutzer lud der Schädling eine apk-Datei und speicherte diese auf der SD-Karte. Anschließend versuchte er den Nutzer zu überzeugen, die App zu installieren. Ein Beispiel einer solchen Meldung, mit der
Zum Zeitpunkt der Analyse stellte eine ausführbare Datei den Trojaner
Der IT-Sicherheitsspezialist Doctor Web benachrichtigte Google über den Malwarefund auf Google Play. Anschließend wurde der Schädling aus dem Katalog entfernt.
Alle oben erwähnten Trojaner stellen keine Gefahr für Dr.Web Nutzer dar. Dr.Web für Android spürt diese erfolgreich auf und löscht sie von mobilen Endgeräten.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 135 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
28.09 Doctor Web: Rückblick und Analyse von Bedrohungen im September 2018
Frankfurt, 28. September 2018
Der Monat September 2018 wurde durch die Verbreitung eines Banking-Trojaners gekennzeichnet, der PCs von Kunden brasilianischer Banken infizierte. Das Analystenteam von Doctor Web entdeckte über 300 unterschiedliche Muster dieses Schädlings sowie knapp 130 Marktplätze, von denen der Schädling eigene Komponenten lud. Außerdem wurde eine Reihe neuer gefährlicher Apps für Android-Nutzer ausfindig gemacht.
Hauptereignisse
- Verbreitung eines neuen Banking-Trojaners
- Entdeckung von neuen Schädlingen für Android
Bedrohung des Monats
Banking-Trojaner, die Konten von Bankkunden plündern, sind weltweit verbreitet. Ein neuer Schädling, der es auf Bankkunden in Brasilien abgesehen hat, wurde nun vom Analystenteam von Doctor Web unter die Lupe genommen. Registriert wurde er als
Der Trojaner verbreitete sich als App für PDF-Dateien Adobe Reader und infizierte Rechner unter dem Betriebssystem eMicrosoft Windows, in dem Portugiesisch als Benutzersprache eingestellt ist. Alle böswilligen Funktionen von
Wenn der Benutzer Webseiten von brasilianischen Banken öffnet, spielt ihm der Schädling ein gefälschtes Formular zur Eingabe seines Benutzernamens und Passworts zu. In einigen Fällen fordert der Schädling den Benutzer auf, einen Code einzugeben, den er via SMS erhalten haben soll. Anschließend werden gesammelte Daten durch den Bösewicht an Cyber-Kriminelle weitergeleitet.
Serverstatistik von Doctor Web
- JS.BtcMine
- JavaScript-Szenarien, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.Encoder.567 - Encoder, die Dateien auf dem Rechner verschlüsseln und Lösegeld für die Entschlüsselung fordern.
Trojan.SpyBot.699 - Spyware, die Tastatureingaben abfängt, Befehle von Cyber-Kriminellen ausführt und vertrauliche Daten klaut.
Trojan.PWS.Stealer.1932 - Trojaner, der auf dem infizierten Rechner Passwörter sowie andere sensible Daten klaut.
Malware im E-Mail-Traffic
- Trojan.Encoder.567
- Schädling, der Dateien auf dem Rechner verschlüsselt und Lösegeld für die Entschlüsselung fordert.
- JS.BtcMine
- Trojaner, die zum verdeckten Schürfen von Kryptowährungen dienen.
Trojan.PWS.Stealer - Familie von Trojanern, die auf dem infizierten Rechner Passwörter sowie andere sensible Daten klaut.
W97M.DownLoader - Trojaner, die Schwachstellen in MS-Office-Apps ausnutzen und Malware auf Zielrechner herunterladen.
Encoder
Support-Anfragen aufgrund von Encodern im September 2018:
Trojan.Encoder.567 — 16,94% Anfragen;Trojan.Encoder.858 — 12,71% Anfragen;Trojan.Encoder.11464 — 10,68% Anfragen;- Trojan.Encoder.25574 — 4,79% Anfragen;
Trojan.Encoder.24249 — 4,42% Anfragen;Trojan.Encoder.11539 — 1,84% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Gefährliche Webseiten
Im September 2018 wurden 271.605 Internetadressen in die Datenbank nicht empfohlener Webseiten aufgenommen.
| August 2018 | September 2018 | Wachstum |
|---|---|---|
| + 538 480 | + 271 605 | – 49,5% |
Malware für mobile Endgeräte
Im September 2018 konnten die Virenanalysten von Doctor Web die Verbreitung von
Unter den auf Google Play entdeckten Schädlingen finden sich auch die Banking-Trojaner
Darüber hinaus haben Cyber-Kriminelle im September 2018 den gefährlichen Spion
Hauptereignisse in der mobilen Sicherheitsszene:
- Entdeckung von böswilligen Apps auf Google Play
- Verbreitung von Spyware
- Aufspürung eines kostenpflichtigen Schädlings, der Android-Nutzer ausspioniert.
