Viren-News
12.09 Cyber-Kriminelle nutzen IoT zum Spam-Versand
Frankfurt, 12. September 2017
Es handelt sich um den Schädling
Die Virenanalysten von Doctor Web fanden heraus, dass Übeltäter mit Hilfe von
Subject: Kendra asked if you like hipster girls
A new girl is waiting to meet you.
And she is a hottie!
Go here to see if you want to date this hottie
(Copy and paste the link to your browser)
http://whi*******today.com/
check out sexy dating profiles
There are a LOT of hotties waiting to meet you if we are being honest!
Laut der Statistik, die Doctor Web zur Verfügung steht, verschickt jedes infizierte Gerät etwa 400 Spam-Mails in 24 Stunden. Eine grafische Übersicht der durch
Die Anzahl von einzelnen IP-Adressen der infizierten Endgeräte können Sie dem nachfolgenden Diagramm entnehmen. Das Diagramm zeigt nur Bots an, die von den Analysten von Doctor Web registriert wurden. Eine tatsächliche Zahl von infizierten Geräten kann höher sein.
Die geografische Verteilung von Angriffen durch
Es lässt sich vermuten, dass der Funktionsumfang des Schädlings erweitert wird. Das IoT ist längst im Blick der Cyber-Kriminellen. Davon zeugt eine weite Verbreitung von Malware für Linux, die Geräte mit der unterschiedlichen Architekturen infizieren kann.
31.08 Doctor Web: Rückblick und Analyse von Bedrohungen im August 2017
Frankfurt, 31.August 2017
Im August registrierte das Team von Doctor Web mehrere massenhafte Mail-Angriffe gegen Administratoren von Webseiten. Übeltäter forderten sie auf, eine spezielle PHP-Datei auf die Webseite hochzuladen, was eine Webseite kompromittieren könnte. Ein neuer Mining-Trojaner, dessen Downloader einen Link zur Webseite von Brian Krebs enthält, wurde entdeckt. Und in die Dr.Web Virendefinitionsdatei haben unsere Sicherheitsspezialisten Downloader des Linux-Trojaners Linux- Hajime für Geräte mit der MIPS- und MIPSEL-Architektur aufgenommen.
Hauptereignisse
- Anzahl von Angriffen mittels E-Mail wächst
- Neuer Mining-Trojaner
- Downloader Linux.Hajime für MIPS und MIPSEL tauchen auf
Bedrohung des Monats
Netzwürmer unter dem Namen
Der Löwenanteil von Infizierungen durch
Dr.Web Statistik
Trojan.Inject - Malware, die einen Schadcode in laufende Prozesse einfügt.
Trojan.DownLoader - Trojaner, die andere Malware herunterladen und installieren.
Trojan.InstallCore - Trojaner, die andere Malware installieren.
Serverstatistik
Trojan.DownLoader - Trojaner, die andere Malware herunterladen und installieren.
- JS.Inject.3
- Böswillige Szenarien auf JavaScript, die den Schadcode in den HTML-Code von Webseiten integrieren.
Trojan.InstallCore - Trojaner, die andere Malware installieren.
Trojan.PWS.Stealer - Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Malware im E-Mail-Traffic
JS.DownLoader - Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.
- VBS.DownLoader
- Böswillige Szenarien auf VBScript, die auf PCs andere Malware herunterladen und installieren.
Trojan.Encoder.13570 - Erpresser, der für die Entschlüsselung von Daten Geld verlangt.
Encoder
Support-Anfragen wegen Encoder im August:
Trojan.Encoder.858 — 29.21% Anfragen;Trojan.Encoder.567 — 4.02% Anfragen;Trojan.Encoder.761 — 1.85% Anfragen;Trojan.Encoder.11464 — 1.85% Anfragen;Trojan.Encoder.741 — 1.55% AnfragenTrojan.Encoder.3976 — 1.08% Anfragen.
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im August 2017 wurden 275 399 Internetadressen in die Datenbank von nicht empfohlenen
| July 2017 | August 2017 | Wachstum |
|---|---|---|
| + 327,295 | + 275,399 | -15.8% |
Auf die Liste von nicht empfohlenen Webseiten kommen nicht selten bereits attackierte Homepages. Auf diesen sind unter anderem Szenarien anzutreffen, die Besucherzahlen künstlich steigern und sogar Malware verbreiten. Bei Angriffen auf Webseiten sammeln Übeltäter Daten zu angegriffenen Webseiten, u.a. Code, CMS, Subdomains, Browser und Version des Web-Servers usw. Wenn DNS-Server, die eine Webseite bedienen, richtig konfiguriert sind, können Cyber-Kriminelle keine Daten zur Domainzone erhalten. Bei falsch eingestellten DNS-Servern kann aber ein Übeltäter mittels einer AXFR-Anfrage an alle Informationen zu registrierten Subdomains gelangen. Eine falsche Einstellung von DNS-Servern öffnet zwar keine Sicherheitslücken, kann aber dazu führen, dass eine Webseite kompromittiert wird. Mehr dazu finden Sie hier.
Andere Ereignisse
Im August haben die Virenanalysten von Doctor Web einen neuen Schädling für Linux in die Dr.Web Virendefinitionsdatei aufgenommen -
Böswillige und unerwünschte Apps für mobile Endgeräte
Im August wurden auf Google Play mehrere böswillige Android-Apps entdeckt. Trojaner, die als
Hauptereignisse im August 2017:
- Neuer Android-Trojaner, der DDoS-Angriffe auf Webseiten durchführt;
- Banking-Trojaner auf Google Play entdeckt;
- Dropper, der andere Trojaner installieren soll, auf Google Play entdeckt.
Mehr zur mobilen Sicherheitsszene lesen Sie hier.
Erfahren Sie mehr mit Dr.Web
31.07 Rückblick und Analyse von Bedrohungen im Juli 2017
July 31, 2017
Zusammenfassung
Der Juli ist in der Regel kein Monat für aufsehenerregende Ereignisse. Im Juli haben aber die Sicherheitsspezialisten von Doctor Web in der App zum Dokumentenmanagement M.E.Doc eine Backdoor entdeckt. Später wurde auch eine Verbreitungsquelle von
Hauptereignisse im Juli
- Entdeckung einer Backdoor in M.E.Doc
- Entdeckung der Verbreitungsquelle von Dande
- Kompromittieren der Webseite für elektronische Services gosuslugi.ru
Bedrohung des Monats
Die beliebte App M.E.Doc zum Dokumentenmanagement wurde von Intellect Service entwickelt. In der Komponente der App, die ZvitPublishedObjects.Server.MeCom heißt, haben Virenanalysten von Doctor Web einen Eintrag entdeckt, der für den Schlüssel des Windows-Registry typisch ist: HKCU\SOFTWARE\WC.
Dieser Schlüssel wurde von Trojan.Encoder.12703 verwendet. Die Analyse des Dr.Web Protokolls, das von einem Kundenrechner stammt, zeigte, dass Trojan.Encoder.12703 auf dem infizierten Rechner durch die ausführbare Datei ProgramData\Medoc\Medoc\ezvit.exe gestartet wurde. Diese ist eine Komponente von M.E.Doc:
Die angeforderte Datei ZvitPublishedObjects.dll hatte den gleichen Hash wie das von Doctor Web analysierte Muster. So konnten Virenanalysten von Doctor Web zum Schluss kommen, dass das Update-Modul von M.E.Doc, das als dynamische Bibliothek ZvitPublishedObjects.dll realisiert ist, eine Backdoor enthält. Diese Backdoor ist in der Lage, im System folgende Funktionen zu übernehmen:
- Daten für den Zugang zu Mailservern sammeln;
- Befehle im infizierten System ausführen;
- Dateien ins infizierte System herunterladen;
- Herunterladen, Speichern und Starten von ausführbaren Dateien;
- Hochladen von Dateien auf einen Remote-Server.
Interessant erscheint ein weiteres Fragment des Modulcodes von M.E.Doc. Mit Hilfe dieser Codezeilen und des Tools rundll32.exe mit Paramter #1 kann eine Nutzleistung generiert werden. Mehr dazu finden Sie hier.
Statistik
Dr.Web Antivirus
Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.BtcMine
Familie von Trojanern, die unerlaubt CPU-Ressourcen des PCs zum Mining von der Kryptowährung wie Bitcoin anzapfen.
Serverstatistik
JS.DownLoader
Böswillige Szenarien auf JavaScript, die auf den Rechner weitere böswillige Apps herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den Schadcode in den HTML-Code von Webseiten integrieren. Trojan.InstallCore
Familie von Installationsassistent für unerwünschte Apps.Trojan.DownLoader
Trojaner, die zum Herunterlanden von anderen Apps geeignet sind.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Malwarestatistik für E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den Schadcode in den HTML-Code von Webseiten integrieren. Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.Trojan.Encoder.6218
Erpresser, der für die Entschlüsselung von Daten Geld verlangt.Trojan.InstallCore
Installationsassistenten für böswillige und unerwünschte Apps.
Statistik von Dr.Web Bot für Telegram
Android.Locker.139.origin
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.EICAR Test File
Testdatei, die zum Testen von Virenschutz-Apps verwendet wird. Alle Virenschutz-Apps sollten auf die Datei wie auf eine böswillige Datei reagieren.- Joke.Locker.1.origin
Riskware für Android, die den Bildschirm des mobilen Endgeräts sperrt BSOD, Blue Screen of Death anzeigt. Android.SmsSend.20784
Böswillige Software, die Nutzern kostspielige Services unterschiebt.Trojan.PWS.Stealer
Trojaner, die vertrauliche Daten klauen sollen.
Encoder
Support-Anfragen wegen Encoder im Juli:
Trojan.Encoder.858 — 34.80% Anfragen;Trojan.Encoder.567 — 8.21% Anfragen;Trojan.Encoder.761 — 3.19% Anfragen;Trojan.Encoder.5342 — 3.04% Anfragen;- Trojan.Encoder.11423 — 2.13% Anfragen;
Trojan.Encoder.11432 — 1.98% Anfragen;
Dr.Web Security Space für Windows schützt vor Encodern
Böswillige Webseiten
Im Juli 2017 wurden 327 295 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| Juni 2017 | Juli 2017 | Wachstum |
|---|---|---|
| + 229,381 | + 327,295 | + 42.6% |
Mitte Juli wurde auf der russischen Webseite für elektronische Services gosuslugi.ru ein potenzieller Schadcode entdeckt. Dieser Code ließ den Browser jedes Benutzers mit einer von 15 Domainadressen, von denen 5 niederländischen Unternehmen gehören, verbinden. Bei der dynamischen Generierung von Webseiten wurde auch ein Container <iframe> eingefügt. Dadurch konnte man den Browsern beliebige Daten abfragen. Alle Sicherheitslücken der Webseite wurden von der Administration von gosuslugi.ru nach der Veröffentlichung der Meldung über den Vorfall geschlossen.
Andere Ereignisse
Im Jahre 2011 haben unsere Analysten den Trojaner
Die von Doctor Web durchgeführte Analyse zeigte, dass
Böswillige und unerwünschte Apps für mobile Endgeräte
Anfang Juli haben die Sicherheitsspezialisten von Doctor Web im auf Google Play beliebten Spiel BlazBlue
Hauptereignisse im Juni 2017:
- Entdeckung eines Android-Trojaners in Android-Firmware von einigen mobilen Geräten;
- Entdeckung eines Download-Trojaner auf Google Play;
- Entdeckung eines Banken-Trojaners, der infizierte Geräte steuern und vertrauliche Daten klauen kann.
Mehr zur mobilen Sicherheitsszene finden Sie hier.
Erfahren Sie mehr mit Dr.Web
31.07 Doctor Web: Rückblick und Analyse von Bedrohungen für mobile Geräte im Juli 2017
Frankfurt, 31. Juli 2017
Im Juli haben die Sicherheitsanalysten von Doctor Web auf einigen Smartphone-Modellen unter Android einen Trojaner aufgespürt, der in einer Systembibliothek von Android eingebettet war. Der Schädling konnte u.a. in laufende Prozesse eindringen und weitere böswillige Module starten. Darüber hinaus haben die Analysten von Doctor Web auf Google Play ein Spiel ausfindig gemacht, das mit einem Download-Trojaner ausgerüstet war. Darüber hinaus hat man noch einen neuen gefährlichen Trojaner analysiert, der sich die Kontrolle über infizierte Geräte und vertrauliche Daten von Nutzern sichert.
Hauptereignisse
- Entdeckung eines Trojaners in Android-Firmware
- Entdeckung eines Download-Trojaners auf Google Play
- Entdeckung eines neuen gefährlichen Bankentrojaners
Bedrohung des Monats
Besonderheiten von
- Die Einbettung in die Systembibliothek ist auf Ebene des Quellcodes realisiert;
- Der Schädling bettet sich in laufende Prozesse ein und integriert in diese böswillige Module;
- Um den Trojaner zu installieren, ist die Neuinstallation des Betriebssystems erforderlich.
Mehr zum Trojaner finden Sie in dieser Mitteilung.
Statistik von Dr.Web Produkten für Android
Android.DownLoader .337.originAndroid.DownLoader .526.origin- Trojaner, die zum Herunterladen anderer Apps gedacht sind.
Android.HiddenAds .85.originAndroid.HiddenAds .68.originAndroid.HiddenAds .83.origin- Trojaner, die zum Anzeigen anderer Apps gedacht sind, werden unter dem Deckmantel beliebter Apps verbreitet und im Systemverzeichnis unsichtbar installiert.
- Adware.Avazu.8.origin
- Adware.SalmonAds.1.origin
- Adware.Jiubang.1
- Adware.Batmobi.4
Adware.Cootek.1.origin - Unerwünschte App-Module, die in Android-Apps eingebettet werden und zum Anzeigen auf mobilen Geräten gedacht sind.
Trojaner auf Google Play
Im Juli haben Sicherheitsspezialisten von Doctor Web auf Google Play
Bankentrojaner
Im Monat Juli wurde der Trojaner
Virenschreiber greifen Android-Nutzer weiterhin an. Ständig erweitern sie die Funktionalität von Trojanern und versuchen, diese mit allen zugänglichen Methoden zu verbreiten. Für einen zuverlässigen Schutz gegen Malware empfehlen wir Dr.Web Produkte für Android zu installieren.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 100 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
Frankfurt, 27. Juli 2017
Trojaner der Familie
Im Unterschied zu anderen Vertretern dieser Familie, die sich root-Privilegien zu sichern versuchen, ist der von unseren Analysten entdeckte Trojaner
Nach der Initialisierung nimmt der Schädling Einstellungen vor, erstellt ein Verzeichnis und prüft, wo er läuft. Wenn der Trojaner unter Dalvik läuft, fängt er eine der Systemmethoden ab, kann alle Apps überwachen und böswillige Aktivitäten durchführen.
Die Hauptfunktion von
So kann sich
Außerdem kann
Da
04.07 Doctor Web: M.E.Doc enthält eine Backdoor, die Cyber-Kriminellen den Zugang zum PC erlaubt
Frankfurt, 4. Juli 2017
In den Mitteilungen hieß es, dass die Verbreitung von
Die Virenanalysten sind auf diesen Pfad aufmerksam geworden, weil
id: 425036, timestamp: 15:41:42.606, type: PsCreate (16), flags: 1 (wait: 1), cid: 1184/5796:\Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe
source context: start addr: 0x7fef06cbeb4, image: 0x7fef05e0000:\Device\HarddiskVolume3\Windows\Microsoft.NET\Framework64\v2.0.50727\mscorwks.dll
created process: \Device\HarddiskVolume3\ProgramData\Medoc\Medoc\ezvit.exe:1184 --> \Device\HarddiskVolume3\Windows\System32\cmd.exe:6328
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: "cmd.exe" /c %temp%\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18o EJeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6 UGTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad9 2ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvD X0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
status: signed_microsoft, script_vm, spc / signed_microsoft / clean
id: 425036 ==> allowed [2], time: 0.285438 ms
2017-Jun-27 15:41:42.626500 [7608] [INF] [4480] [arkdll]
id: 425037, timestamp: 15:41:42.626, type: PsCreate (16), flags: 1 (wait: 1), cid: 692/2996:\Device\HarddiskVolume3\Windows\System32\csrss.exe
source context: start addr: 0x7fefcfc4c7c, image: 0x7fefcfc0000:\Device\HarddiskVolume3\Windows\System32\csrsrv.dll
created process: \Device\HarddiskVolume3\Windows\System32\csrss.exe:692 --> \Device\HarddiskVolume3\Windows\System32\conhost.exe:7144
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 0, new: 0, dbg: 0, wsl: 0
curdir: C:\windows\system32\, cmd: \??\C:\windows\system32\conhost.exe "1955116396976855329-15661177171169773728-1552245407-149017856018122784351593218185"
status: signed_microsoft, spc / signed_microsoft / clean
id: 425037 ==> allowed [2], time: 0.270931 ms
2017-Jun-27 15:41:43.854500 [7608] [INF] [4480] [arkdll]
id: 425045, timestamp: 15:41:43.782, type: PsCreate (16), flags: 1 (wait: 1), cid: 1340/1612:\Device\HarddiskVolume3\Windows\System32\cmd.exe
source context: start addr: 0x4a1f90b4, image: 0x4a1f0000:\Device\HarddiskVolume3\Windows\System32\cmd.exe
created process: \Device\HarddiskVolume3\Windows\System32\cmd.exe:1340 --> \Device\HarddiskVolume3\Users\user\AppData\Local\Temp\wc.exe:3648
bitness: 64, ilevel: high, sesion id: 1, type: 0, reason: 1, new: 1, dbg: 0, wsl: 0
curdir: C:\Users\user\Desktop\, cmd: C:\Users\user\AppData\Local\Temp\wc.exe -ed BgIAAACkAABSU0ExAAgAAAEAAQCr+LiQCtQgJttD2PcKVqWiavOlEAwD/cOOzvRhZi8mvPJFSgIcsEwH8Tm4UlpOeS18oE JeJ18jAcSujh5hH1YJwAcIBnGg7tVkw9P2CfiiEj68mS1XKpy0v0lgIkPDw7eah2xX2LMLk87P75rE6U GTrbd7TFQRKcNkC2ltgpnOmKIRMmQjdB0whF2g9o+Tfg/3Y2IICNYDnJl7U4IdVwTMpDFVE+q1l+Ad92 ldDiHvBoiz1an9FQJMRSVfaVOXJvImGddTMZUkMo535xFGEgkjSDKZGH44phsDClwbOuA/gVJVktXvDX 0ZmyXvpdH2fliUn23hQ44tKSOgFAnqNAra
fileinfo: size: 3880448, easize: 0, attr: 0x2020, buildtime: 01.01.2016 02:25:26.000, ctime: 27.06.2017 15:41:42.196, atime: 27.06.2017 15:41:42.196, mtime: 27.06.2017 15:41:42.196, descr: wc, ver: 1.0.0.0, company: , oname: wc.exe
hash: 7716a209006baa90227046e998b004468af2b1d6 status: unsigned, pe32, new_pe / unsigned / unknown
id: 425045 ==> undefined [1], time: 54.639770 ms
Die angeforderte Datei ZvitPublishedObjects.dll hatte dieselben Hash wie das von Doctor Web analysierte Muster. So konnten wir zum Schluss kommen, dass das Update-Modul von M.E.Doc, das als dynamische Bibliothek ZvitPublishedObjects.dll realisiert ist, eine Backdoor enthält. Diese Backdoor ist in der Lage, im System folgende Funktionen zu übernehmen:
- Daten für den Zugang zu Mailservern sammeln;
- Befehle im infizierten System ausführen;
- Dateien ins infizierte System herunterladen;
- Herunterladen, Speichern und Starten von ausführbaren Dateien;
- Hochladen von Dateien auf einen Remote-Server.
Interessant erscheint ein weiteres Fragment des Modulcodes von M.E.Doc. Mit Hilfe dieser Codezeilen und des Tools rundll32.exe mit Paramter #1 kann eine Nutzleistung generiert werden:
So wurde auch auf Rechnern der Opfer der Encoder, der als NePetya, Petya.A, ExPetya und WannaCry-2 (
In einem Interview auf der Reuters-Webseite haben die Entwickler von M.E.Doc behauptet, dass die von ihnen entwickelte App keinen böswilligen Code enthalte. Die Virenanalysten von Doctor Web kamen aufgrund von Daten aus der statistischen Codeanalyse zum Schluss, dass unbekannte Täter die App M.E.Doc infiziert haben. Diese Komponente wurde in die Dr.Web Virendefinitionsdatei als
03.07 Rückblick und Analyse von Bedrohungen im Juni 2017
Frankfurt, 3. Juli 2017
Hauptereignisse im Juni 2017
- Epidemie von Trojan.Encoder.12544;
- Verbreitung des Miners für Windows;
- Malware für Linux entdeckt.
Bedrohung des Monats
Die Sicherheitsspezialisten von Doctor haben den Schädling, der in den Medien auch als Petya, Petya.A und WannaCry-2 bekannt ist, als
Vernichtet wird auch der VBR (Volume Boot Record) der Festplatte C: der erste Sektor der Festplatte wird mit Datenmüll angereichert. So wird die Steuerung nach dem Neustart an den Trojaner übertragen. Der Trojaner zeigt auf dem Bildschirm des infizierten PCs den Text an, der einer Meldung des Standardtools zur Prüfung von CHDISK ähnlich aussieht.
Währenddessen verschlüsselt
Die Virenanalysten von Doctor Web glauben, dass
Die Virenanalysten melden, dass die Infektionsquelle das Update-System der App MEDoc war. Diese App hilft ukrainischen Nutzern bei der Buchführung. Noch 2012 haben die Virenanalysten von Doctor Web einen gezielten Angriff gegen eine Apothekenkette und einige Pharmaunternehmen entdeckt, bei dem der Schädling
Statistik von Dr.Web Antivirus
Trojan.InstallCore
Trojaner, die andere Malware installieren.- Trojan.Kbdmai.16
Werbe-Trojaner, der im Browser verschiedene Webseiten aufruft. Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.- Trojan.Moneyinst.69
Trojaner, die andere Malware auf infizierten PCs installieren. Trojan.Encoder.11432
Netzwerk-Wurm, der auf dem Rechner des Opfers Encoder WannaCry ausführt.
Serverstatistik von Doctor Web
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.- JS.Inject.3
Böswillige Szenarien auf JavaScript, die den böswilligen Code in den HTML-Code von Webseiten einbettet. Trojan.InstallCore
Trojaner, die andere Malware installieren.- Trojan.Kbdmai.37
Werbe-Trojaner, der im Browser verschiedene Webseiten aufruft. Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.
Malwarestatistik für E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.W97M.DownLoader
Trojaner, die Sicherheitslücken in Office-Apps ausnutzen, und in der Lage sind, andere böswillige Apps herunterzuladen.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Statistik von Dr.Web Bot für Telegram
Android.Locker.139.origin ,Android.Locker.1733
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.Win32.HLLP.Neshta
Dateivirus, der Virenanalysten seit 2005 bekannt ist, und Dateien wie EXE PE mit mind. 41472 Byte Größe infiziert. Bei der Infizierung schreibt sich der Schädling in den Beginn der infizierten Datei mit der Zeile: «Neshta 1.0 Made in Belarus».EICAR Test File
Testdatei, die zum Testen von Virenschutz-Apps verwendet wird. Alle Virenschutz-Apps sollten auf die Datei wie auf eine böswillige Datei reagieren.Android.Androrat.1.origin
Spyware für Android.
Support-Anfragen wegen Encoder im Juni:
Trojan.Encoder.858 — 28.51% Anfragen;Trojan.Encoder.10103 — 8.10% Anfragen;Trojan.Encoder.567 — 5.54% Anfragen;Trojan.Encoder.11432 — 4.10% Anfragen;- Trojan.Encoder.10144 — 2.36% Anfragen;
Dr.Web Security Space für Windows schützt vor Encodern
Im Juni 2017 wurden 229 381 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| Mai 2017 | Juni 2017 | Wachstum |
|---|---|---|
| + 1,129,277 | + 229,381 | - 79.68% |
Malware für Linux
Virenanalysten von Doctor Web haben zwei Schädlinge für Linux untersucht. Der eine installiert auf dem infizierten Rechner eine App zum Mining von Kryptowährung, der andere startet einen Proxy-Server. Der erste Trojaner wurde in die Dr.Web Virendefinitionsdatei als Linux.MulDrop.14 aufgenommen. Die Verbreitung von
Der andere Schädling heißt Linux.ProxyM. Angriffe, bei denen er eingesetzt wurde, wurden bereits seit April 2017 registriert. Die zeitliche Verteilung von Angriffen durch
Ein Großteil von IP-Adressen, von denen Cyber-Angriffe durchgeführt werden, befindet sich in Russland. Danach folgen China und Taiwan. Die geografische Verteilung von Angriffen, wo
Mehr Statistiken finden Sie hier.
Andere Ereignisse
Mining-Trojaner gibt es seit gut sechs Jahren. Hier und da gibt es Infizierungsfälle. So haben beispielsweise die Virenanalysten von Doctor Web im Jahr 2011 den Mining-Trojaner
Das Hauptmodul, das zum Mining von Monero dient, ist auch als Bibliothek realisiert und kann bis zu 80% der CPU-Ressourcen von PCs in Anspruch nehmen. Der Schädling enthält sowohl eine 32- als auch 64-Bit-Version des Mining-Trojaners. Die entsprechende Version des Schädlings wird je nach Typ des Betriebssystems verwendet. Mehr dazu finden Sie in diesem Artikel.
Böswillige und unerwünschte Apps für mobile Endgeräte
Im Juni haben die Virenanalysten von Doctor
Andere Trojaner, die sich auf Google Play verbreiteten, wurden in Dr.Web Virendefinitionsdatei als
Im Juni wurde
Hauptereignisse im Juni 2017:
- Android-Trojaner für Cyber-Spionage entdeckt;
- Bedrohungen auf Google Play entdeckt;
- Verbreitung eines Encoders für Android.
Mehr zur mobilen Sicherheitsszene finden Sie hier.
03.07 Rückblick und Analyse von mobilen Bedrohungen im Monat Juni 2017
Frankfurt, 3. Juli 2017
Im Juni haben die Virenanalysten von Doctor Web einen Android-Schädling entdeckt, der Cyber-Spionage gegen mobile Nutzer im Iran betrieb und Befehle von Cyber-Kriminellen ausführen konnte. Gleichzeitig wurden auf Google Play mehrere Bedrohungen entdeckt. Einer der Schädlinge wollte einen root-Zugang bekommen, bettete sich in Systembibliotheken ein und konnte Apps ohne Kenntnis der Nutzer installieren. Andere Schädlinge versendeten kostenpflichtige Kurznachrichten und abonnierten kostspielige Premium-Services. Auf Google Play wurde Riskware verbreitet, die eine Datenabwanderung als Folge haben konnte. Darüber hinaus wurde ein weiterer Android-Encoder aufgespürt.
Hauptereignisse
- Android-Trojaner für Cyber-Spionage entdeckt;
- Bedrohungen auf Google Play entdeckt;
- Verbreitung eines Encoders für Android.
Mobile Bedrohung des Monats
Im Juni haben die Virenanalysten von Doctor
- verbreitet sich als harmlose App;
- klaut Kurznachrichten, Kontakte aus dem Telefonbuch und dem Google-Konto;
- kann Fotos mit einer Frontalkamera machen;
- wird von Cyber-Kriminellen via Telegram verwaltet.
Mehr zum Trojaner finden Sie hier.
Statistik von Dr.Web Produkten für Android
Android.HiddenAds .83.originAndroid.HiddenAds .76.originAndroid.HiddenAds .85.origin- Trojaner, die lästige Werbung anzeigen und sich unter dem Deckmantel von anderen Apps verbreiten. Sie sind in der Lage, Apps ohne Kenntnis der Nutzer im Systemverzeichnis zu installieren.
Android.DownLoader .337.origin- Trojaner, der andere Apps herunterladen kann.
Android.Triada .264.origin
<- Multifunktionaler Trojaner, die verschiedene böswillige Aktionen durchführen.
Statistik von Dr.Web Produkten für Android
- Adware.Jiubang.1
- Adware.SalmonAds.1.origin
- Adware.Batmobi.4
- Adware.Avazu.8.origin
Adware.Leadbolt .12.origin- Unerwünschte App-Module, die in Android-Apps eingebaut werden und lästige Werbung anzeigen.
Bedrohungen auf Google Play
Im vergangenen Monat haben Virenanalysten auf Google Play Riskware entdeckt, die die Arbeit mit in der Ukraine gesperrten sozialen Netzwerken «VKontakte» und «Odnoklassniki» ermöglichen. Diese Apps wurden in die Virendefinitionsdatei als
Im Juni wurden auf Google Play Trojaner der Familie
Andere Trojaner, die sich auf Google Play verbreiteten, wurden in Dr.Web Virendefinitionsdatei als
Encoder
Im Juni wurde
Cyber-Kriminelle verlangten von Opfern ein Lösegeld in Höhe von CNY 20,-. Jeden dritten Tag wuchs der Betrag aufs Doppelte. Wenn die Verbrecher nach einer Woche nicht an das Geld kommen konnten, löschte
Böswillige und potenziell gefährliche Apps für Android gelangen auf mobile Endgeräte nicht nur beim Herunterladen von verschiedenen Webseiten, sondern auch vom Google Play. Android-Nutzer müssen höchste Vorsicht walten lassen, wenn sie unbekannte Apps installieren, und Dr.Web Produkte für Android nutzen.
Ihr Android-Gerät braucht einen Virenschutz
Nutzen Sie Dr.Web
- Über 100 Mio. Downloads auf Google Play
- Gratis für Dr.Web Heimanwender
Frankfurt, 30. Juni 2017
In veröffentlichten Artikeln heißt es, dass es eine Methode gibt, mit der man die Aktivierung von Trojan.Encoder.12544 unterbinden kann, indem man im Verzeichnis C:\Windows eine perfc-Datei erstellt. Einige weisen auch auf Dateien hin, die es für den Benutzer machen können, z.B.: https://download.bleepingcomputer.com/bats/nopetyavac.bat.
Ähnliche Anleitungen sind unter folgenden Adressen zu finden:
- http://www.telegraph.co.uk/technology/2017/06/28/security…
- https://www.bleepingcomputer.com/news/security/vaccine…
- http://www.foxnews.com/tech/2017/06/28/
petya-ransomware … - http://www.zdnet.com/article/
create-a-single … - http://mashable.com/2017/06/28/
ransomware-notpetya … - https://www.scmagazineuk.com/
notpetya-researchers … - https://xakep.ru/2017/06/28/
petya-vaccine - http://www.securitylab.ru/news/486967.php
Doctor Web erklärt, dass diese Methode gegen Trojan.Encoder.12544, der auch unter dem Namen Petya, Petya. A, ExPetya und WannaCry-2 bekannt ist, aus folgenden Gründen nicht effektiv ist:
- Die Datei, mit der Trojan.Encoder.12544 die Kontrolle über den Neustart verfügt, hängt vom Dateinamen des Trojaners ab. Wenn Cyber-Kriminelle die böswillige Datei umbenennen, schützt eine perfc-Datei im C:\Windows файла nicht gegen die Infizierung.
- Der Trojaner prüft, ob eine perfc-Datei vorhanden ist, nur dann, wenn er über ausreichende Privilegien im System verfügt.
Die Virenanalysten von Doctor Web haben eine vorläufige Analyse von Trojan.Encoder.12544 veröffentlicht, mit der Sie sich auf unserer Webseite bekannt machen können.
29.06 Doctor Web: Ähnliche Infizierungsmethoden haben wir auch früher angetroffen
29 июня 2017 года
Die Virenanalysten, die
Noch 2012 haben die Virenanalysten von Doctor Web einen gezielten Angriff gegen eine Apothekenkette und einige Pharmaunternehmen entdeckt, wo der Schädling
Die Sicherheitsspezialisten von Doctor Web haben eine Untersuchung durchgeführt, die 4 Jahre dauerte. Man hat Festplatten einer geschädigten Firma analysiert und festgestellt, wann der Treiber, der alle anderen Komponenten von
Die beiden Fälle haben gezeigt, dass die Infrastruktur der Softwareentwicklung erhöhte Sicherheitsanforderungen haben muss. Vor allem auf Sicherheitsupdates muss man Rücksicht nehmen. Das gilt sowohl für Entwickler als auch Nutzer. Update-Module, die im Betriebssystem über Rechte für Installation und Starten von Apps verfügen, können zu einer Infektionsquelle werden. Im Fall MEDoc ist die Infizierung auf den Einbruch von Cyber-Kriminellen und den gehackten Server zurückzuführen. Im Fall
28.06 Neuer globaler Angriff des Encoders: Details von Doctor Web
Frankfurt, 28. Juni 2017
Trojan.Encoder.12544, der in der letzten Zeit in den Medien für Schlagzeilen sorgte, stellt eine ernsthafte Gefahr für PCs unter Microsoft Windows dar. Aus einigen Quellen heißt es, dass es um eine neue Variante von Petya (Trojan.Ransom.369) geht. Trojan.Encoder.1254 weist aber nur einige wenige Ähnlichkeiten mit Petya auf. Der Schädling konnte in IT-Systeme von Behörden, Banken und NGOs in der Ukraine eindringen und mehrere Unternehmen in Russland infizieren.
Zum jetzigen Zeitpunkt ist es bekannt, dass der Trojaner Lücken ausnutzt, die früher zur Verbreitung von WannaCry verwendet wurden. Die massenhafte Verbreitung von Trojan.Encoder.12544 begann am Vormittag, dem 27. Juni. Beim Start auf dem infizierten PC sucht der Schädling im lokalen Netzwerk nach Rechnern und scannt anhand der Liste von IP-Adressen Ports 445 und 139. Nachdem Rechner mit diesen Ports gefunden wurden, versucht Trojan.Encoder.12544 diese über die bekannte SMB-Lücke (MS17-10) zu öffnen.
In seinem Körper enthält der Trojaner 32- und 64-Bit-Versionen von Mimikatz, der Passwörter von offenen Sitzungen unter Windows abfängt. Je nach Version des Betriebssystems entpackt er die entsprechende Version des Tools in einem temporären Verzeichnis und startet sie. Mit Hilfe von Mimikatz und zwei anderen Methoden erhält Trojan.Encoder.12544 eine Liste von lokalen Nutzern sowie Domainnutzern, die auf dem infizierten PC eingeloggt sind. Anschließend sucht er nach Ordnern im Netzwerk, versucht diese zu öffnen und dort seine Kopie zu speichern. Um PCs zu infizieren, zu denen er den Zugang erhalten hat, nutzt Trojan.Encoder.12544 das Tool zur PC-Remote-Verwaltung PsExec (im Körper des Trojaners enthalten) oder ein Standard-Console-Tool zum Aufrufen von Dateien Wmic.exe.
Seinen erneuten Start kontrolliert der Schädling mit Hilfe der Datei, die im Verzeichnis C:\Windows\ gespeichert wird. Diese Datei hat einen Namen, der dem Namen des Trojaners ohne Erweiterung entspricht. Da der Wurm, der aktuell verbreitet wird, den Namen perfc.dat besitzt, wird die Datei, die seinen wiederholten Start verbietet, C:\Windows\perfc heißen. Wenn der ursprüngliche Name des Trojaners angepasst wird, kann die Erstellung der Datei mit dem Namen perfc ohne Erweiterung auf C:\Windows\ (wie einige Anbieter empfehlen) Ihren PC vor der Infizierung nicht retten.
Nach dem Start definiert der Trojaner Privilegien für sich, lädt seine Kopie in den Speicher und überträgt ihr die Steuerung. Anschließend speichert er seine eigene Datei neu, fügt dort Datenmüll ein und löscht die Datei. Trojan.Encoder.12544 verschlüsselt und kopiert eine Boot-Signatur in einen anderen Bereich der Festplatte und speichert seine eigene Signatur. Vernichtet wird auch VBR (Volume Boot Record) der Festplatte C: der erste Sektor der Festplatte wird mit Datenmüll angereichert. So wird die Steuerung nach dem Neustart an den Trojaner übertragen. Der Trojaner zeigt auf dem Bildschirm des infizierten PCs den Text an, der einer Meldung des Standardtools zur Prüfung von CHDISK ähnlich aussieht. Währenddessen verschlüsselt Trojan.Encoder.12544 Daten auf Festplatten.
Der Trojaner verschlüsselt Daten nur auf Festplatten des PCs. Jede Festplatte wird separat verschlüsselt. Die Verschlüsselung erfolgt mit Hilfe von Algorithmen AES-128-CBC. Für jede Festplatte wird ein jeweiliger Schlüssel erstellt. Dieser Schlüssel wird mit Hilfe des Algorithmus RSA-2048 verschlüsselt und im Kernverzeichnis der Systemdatei mit dem Namen README.TXT gespeichert. Verschlüsselte Dateien erhalten keine zusätzliche Erweiterung. Außerdem kann der Trojaner Systemverzeichnisse löschen. Nach der Verschlüsselung verlangt Trojan.Encoder.12544 ein Lösegeld für die Dekodierung von Daten.
Obwohl das Support-Team von Doctor Web noch keine Anfragen wegen Trojan.Encoder.12544 erhalten hat, stellt er eine ernsthafte Gefahr dar. Eines der Merkmale der Infizierung ist die Datei perfc auf dem Datenträger C:\Windows. Wenn Sie eine solche Datei entdeckt haben, sehen Sie vom Neustart Ihres PCs ab!
Wenn der PC trotzdem neu gestartet wurde und beim Neustart eine Nachricht über den Start des Tools CHDISK erschienen ist, schalten Sie Ihren PC sofort aus. Eine Boot-Signatur wird in diesem Fall beschädigt, kann aber später mit Hilfe des Recovery-Tools von Windows oder der Recovery Console wiederhergestellt werden. Dafür können Sie auch Dr.Web LiveDisk benutzen. Erstellen Sie eine Boot-CD oder einen Boot-Datenträger und führen Sie das Laden von diesen Datenträgern durch. Starten Sie Dr.Web Scanner, führen Sie den Scan der beschädigten Festplatte aus und neutralisieren Sie die Bedrohungen, indem Sie die entsprechende Funktion auswählen. Um der Infizierung durch Trojan.Encoder.12544 vorzubeugen, empfehlen wir, Backups von kritischen Daten auf separaten Datenträgern zu erstellen und die Funktion «Schutz vor Datenverlust» in Dr.Web Antivirus zu aktivieren. Außerdem muss man alle Sicherheits-Updates des Betriebssystems installiert haben. Die Malware-Spezialisten von Doctor Web setzen die Analyse von Trojan.Encoder.12544 fort und halten Nutzer auf dem Laufenden.
Anleitung für Nutzer, die unter Trojan.Encoder.12544 gelitten haben
Mehr zum Trojaner
28.06 Trojan.Encoder.12544: Anleitung für geschädigte Nutzer
Frankfurt, 28. Juni 2017
Trojan.Encoder.12544 verbreitet sich über die Lücke im Protokoll SMB v1 - MS17-010 (CVE-2017-0144, CVE-2017-0145, CVE-2017-0146, CVE-2017-0148) und das Exploit NSA "ETERNAL_BLUE". Dabei werden zur Verbreitung Ports 139 und 445 verwendet. Bei der Lücke geht es um den Typ Remote Code Execution, was die Infizierung des Rechners per Fernzugriff bedeutet.
Um das Login im Betriebssystem wiederherzustellen, müssen Sie MBR wiederherstellen (u.a. mit Hilfe von Recovery Console von Windows oder des Tools bootrec.exe /FixMbr).
Dafür können Sie auch Dr.Web LiveDisk verwenden. Erstellen Sie eine Boot-CD oder einen Boot-Datenträger und führen Sie das Booten von diesen Datenträgern durch. Starten Sie Dr.Web Scanner, führen Sie den Scan der beschädigten Festplatte aus und neutralisieren Sie die Bedrohungen, indem Sie die entsprechende Funktion auswählen.
Trennen Sie Ihren PC vom lokalen Netzwerk und installieren Sie den Patch MS17-010 https://technet.microsoft.com/en-us/library/security/ms17-010.aspx.
Auf Rechnern unter Windows XP und Windows 2003 müssen Sicherheits-Patches manuell installiert werden. Diese finden Sie unter den folgenden Links:
- Windows XP SP3:
- download.windowsupdate.com/d/csa/csa/secu/2017/02/windowsxp-kb4012598-x86-custom-rus_84397f9eeea668b975c0c2cf9aaf0e2312f50077.exe
- Windows Server 2003 x86:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x86-custom-rus_62e38676306f9df089edaeec8924a6fdb68ec294.exe
- Windows Server 2003 x64:
- download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x64-custom-rus_6efd5e111cbfe2f9e10651354c0118517cee4c5e.exe
- Installieren Sie Dr.Web Antivirus, stellen Sie eine Internetverbindung her, aktualisieren Sie die Virendatenbanken und starten Sie einen Scan.
Testversion für Heimanwender Testversion für Geschäftsanwender
Der Trojaner ersetzt den Master Boot Record (MBR), erstellt und führt den Neustart-Task im Task-Planer aus. Danach ist der Neustart des Betriebssystems wegen des ersetzten Boot-Sektors der Festplatte nicht möglich. Anschließend wird die Verschlüsselung von Daten gestartet. Für jede Festplatte wird ein separater AES-Schlüssel erstellt. Dieser existiert im Speicher, bis die Verschlüsselung der Festplatte abgeschlossen wird. Für ihn wird ein Open-Source-Schlüssel RSA verwendet. Nachdem der MBR erfolgreich ersetzt und der Neustart des PCs durchgeführt wurde, wird die (Master File Table) MFT verschlüsselt, wo Daten zu Inhalten der Festplatte gespeichert sind. Um die Inhalte wiederherzustellen, braucht man einen Schlüssel, d.h. die verschlüsselten Daten können ohne Schlüssel nicht dekodiert werden.
Zum jetzigen Zeitpunkt ist die Dekodierung noch nicht möglich. Es wird nach Lösungen gesucht. Wir halten Sie auf dem Laufenden.
27.06 Encoder, der Unternehmen in Russland und der Ukraine angreift, wird von Dr.Web erkannt
Frankfurt, 27. Juni 2017
Ukraine teilt Doctor Web mit, dass dieser Encoder von Dr.Web erfolgreich erkannt wird.
Anhand von Informationen, die unsere Spezialisten heute zur Verfügung haben, verbreitet sich der Trojaner ähnlich wie WannaCry. Es gibt aber noch keine genauen Daten, wie der Verbreitungsmechanismus aussieht. Einige Medien vergleichen den Schädling mit Petya (Trojaner, der von Dr.Web als Trojan.Ransom.369 erkannt wird), weil er wie ein Erpresser agiert. Die Verbreitungsmethode der neuen Bedrohung sieht aber anders als bei Petya aus.
Heute um 15:30 Uhr (CET) wurde der Trojaner in der Dr.Web Virendefinitionsdatei als
Das Team von Doctor Web ruft alle Nutzer auf, höchste Vorsicht walten zu lassen und verdächtige E-Mails nicht aufzumachen. Es ist außerdem empfehlenswert, Backups von sensiblen Daten zu machen und alle Sicherheits-Updates für installierte Apps zu installieren. Ein Virenschutz muss im System installiert sein.
19.06 Doctor Web: Iranische Internetnutzer werden von Android-Trojaner via Telegram ausspioniert
Frankfurt, 19. Juni 2017
Der Trojaner, der als
Beim Start wird dem Nutzer vorgeschlagen, die Beliebtheit seines Profils bei Telegram-Nutzern zu prüfen. Der Trojaner fordert dabei seine ID an und zeigt vermeintliche „Profilbesucher“ an, nachdem das Opfer seine ID eingegeben hat. Diese Funktion soll beim Nutzer den Eindruck erwecken, dass die App keine Gefahr für ihn darstellt. Nach kurzer Zeit löscht
Nach dem Löschen der Desktop-Verbindung kopiert
Nachfolgend sehen Sie Beispiele von Dateien, die
Nachdem vertrauliche Daten geklaut wurden, baut
- call – Anruf tätigen;
- sendmsg – SMS senden;
- getapps – Daten zu installieren Apps an einen Server übermitteln;
- getfiles – Informationen über alle vorhanden Dateien versenden;
- getloc – Standort des Geräts an einen Server versenden;
- upload – Vordefinierte Datei auf den Server hochladen;
- removeA – Vordefinierte Datei löschen;
- removeB – Gruppe von Dateien löschen;
- lstmsg – Datei mit allen ein- und ausgehenden Kurznachrichten an einen Server senden.
Der Telegram-Bot informiert auch Virenschreiber, sobald ein Befehl ausgeführt wurde.
Die Virenanalysten von Doctor Web möchten Nutzer darauf aufmerksam machen, dass Virenschreiber den Trojaner als harmlose App verbreiten. Um sich gegen Android-Trojaner zu schützen, müssen Sie Apps nur von bekannten Entwicklern und aus verlässlichen Quellen wie Google Play herunterladen. Alle bekannten Versionen von
15.06 Doctor Web warnt vor Mining-Trojaner
Frankfurt, 15. Juni 2017
Dieser Schädling wurde zum Mining der Kryptowährung Monero (XMR) und zur Installation der Backdoor Gh0st RAT entwickelt und heißt laut Klassifikation von Dr.Web
Das Hauptmodul, das zum Mining von Monero dient, ist auch als Bibliothek realisiert. Der Schädling enthält sowohl eine 32- als auch 64-Bit-Version des Mining-Trojaners. Die entsprechende Version des Schädlings wird je nach Typ des Betriebssystems verwendet. Die Konfigurationsdatei dieses Moduls enthält Parameter für Kerne und CPU-Ressourcen zum Mining und bestimmt unter anderem, in welchem Zeitraum der Schädling automatisch neu gestartet werden soll. Der Trojaner verfolgt laufende Prozesse auf dem infizierten Rechner. Wenn ein Task-Manager gestartet wurde, bricht er ab.
Mining-Trojaner gibt es seit gut sechs Jahren. Hier und da gibt es Infizierungsfälle. So haben beispielsweise die Virenanalysten von Doctor Web im Jahr 2011 den Mining-Trojaner
05.06 Doctor Web analysiert zwei Linux-Trojaner
Frankfurt, 5. Juni 2017
Der erste Trojaner wurde in die Dr.Web Virendefinitionsdatei unter dem Namen
Der andere Schädling heißt
Ein Großteil von IP-Adressen, von denen Cyber-Angriffe durchgeführt werden, befindet sich in Russland. Danach folgen China und Taiwan. Die geografische Verteilung von Angriffen, wo
Der Trojaner ist schlau und ist in der Lage, Honeypots (Server, die von Sicherheitsanalysten als Fallen für Malware verwendet werden) zu entdeckten. Nach seinem Start stellt er eine Verbindung zum Verwaltungsserver her, erhält von ihm eine Rückmeldung und startet auf dem infizierten Gerät den SOCKS-Proxy-Server. Cyber-Kriminelle können diesen zum Verdecken ihrer Identität nutzen.
Die beiden Trojaner werden durch Dr.Web Antivirus für Linux erfolgreich erkannt und entfernt, deshalb stellen sie für unsere Nutzer keine Gefahr dar.
31.05 Doctor Web: Rückblick und Analyse von mobilen Bedrohungen für Mai 2017
Frankfurt, 31. Mai 2017
Der IT-Sicherheitsspezialist Doctor Web präsentiert den Rückblick von Bedrohungen für Smartphones und Tablets unter Android. Im vergangenen Monat wurden auf Google Play mehrere Android-Trojaner entdeckt. Der eine lud aus dem Internet böswillige Apps und sammelte vertrauliche Daten. Der andere konnte einzelne böswillige Programmmodule herunterladen und aufdringlich Werbung anzeigen. Außerdem haben Cyber-Kriminelle im Mai einen Bankentrojaner verbreitet, der das Geld von Konten der Nutzer klaute.
Hauptereignisse
- Trojaner auf Google Play entdeckt
- Verbreitung eines Android-Bankers
Bedrohung des Monats
Anfang Mai wurde auf Google Play der Trojaner
Besonderheiten von
- Hauptfunktionen des Trojaners befinden sich im verschlüsselten Dienstmodul;
Android.RemoteCode .28 beginnt mit böswilligen Aktivitäten erst 8 Stunden nach seinem Start;- Trojaner prüft das Gerät auf vorhandenen Emulator oder Debugger und bricht ab, wenn diese gefunden werden.
Statistik von Dr.Web Produkten für Android
Android.HiddenAds .83.originAndroid.HiddenAds .76.originAndroid.HiddenAds .68.origin
- Trojaner, die aufdringliche Werbung anzeigen. Die Schädlinge verbreiten sich unter dem Deckmantel von beliebten Apps, die in einigen Fällen unsichtbar installiert werden.
- Android.Sprovider.9
- Trojaner, der aufdringliche Werbung im Infobereich des Smartphones anzeigen, böswillige Apps herunterladen und installieren kann.
Android.Triada .264.origin
- Multifunktionaler Trojaner, der verschiedene Aktionen durchführen kann.
- Adware.Jiubang.1
- Adware.Batmobi.2.origin
Adware.Leadbolt .12.originAdware.Airpush .31.origin- Adware.Appsad.1
- Unerwünschte Module, die in Android-Apps eingebettet werden und Werbung anzeigen.
Trojaner auf Google Play
Mitte Mai wurden auf Google Play Apps entdeckt, die mit
Bankentrojaner
Im Mai haben Cyber-Kriminelle den Trojaner
Böswillige Apps für mobile Endgeräte unter Android sind immer noch gefährlich. Trojaner können sich nicht nur über schädliche Webseiten, sondern auch über den offiziellen App-Katalog Google Play verbreiten. Um sich gegen Riskware und Malware zu schützen, installieren Sie Dr.Web für Android.
Schützen Sie Ihr Android-Gerät durch Dr.Web
31.05 Rückblick und Analyse von Bedrohungen für Mai 2017
Frankfurt, 31.Mai 2017
Das Hauptereignis im Monat Mai war eine massenhafte Verbreitung des Schädlings WannaCry, der von Dr.Web als
Hauptereignisse im Mai
- Verbreitung des gefährlichen Encoders WannaCry
- Entdeckung einer Backdoor für macOS
- Neuer Multikomponenten-Trojaner für Linux
Bedrohung des Monats
Von WannaCry haben bereits viele Medien berichtet. Der Verschlüsselungstrojaner wird von Dr.Web Antivirus als
Er attackiert alle Workstations im lokalen Netzwerk sowie Rechner mit zufälligen IP-Adressen und versucht, eine Verbindung zum Port 445 herzustellen. Nachdem sich der Schädling auf dem infizierten PC eingenistet hat, versucht er, andere Rechner zu infizieren. Daraus erklärt sich der massenhafte Charakter der Infektion. Der Schädling selbst besteht aus mehreren Komponenten. Der Encoder ist nur eine davon. Nach seinem Start registriert sich der Trojaner als Systemservice mssecsvc2.0. Wenn ein Fehler entsteht, versucht er den automatischen Neustart des Services einzustellen. 24 Stunden nach dem Start schließt er seine Arbeit ab. Mehr zum Schädling finden Sie hier. Eine technische Beschreibung des Trojaners gibt es hier.
Statistik von Dr.Web Antivirus
Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.Trojan.Encoder.11432
Netzwerk-Wurm, der auf dem Rechner des Opfers Encoder WannaCry ausführt.Trojan.LoadMoney
Download-Trojaner, die durch Server von LoadMoney generiert werden. Die Apps laden unerwünschte Software herunter und installieren diese auf dem PC des Opfers.- Trojan.Moneyinst.133
Trojaner, der auf dem Rechner des Opfers andere Apps, u.a. Trojaner, installiert.
Serverstatistik von Doctor Web
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.- Trojan.Moneyinst.151
Trojaner, der auf dem Rechner des Opfers andere Apps, u.a. Trojaner, installiert. Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem Rechner klauen.
Malwarestatistik im E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.W97M.DownLoader
Trojaner, die Sicherheitslücken in Office-Apps ausnutzen, und in der Lage sind, andere böswillige Apps herunterzuladen.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Statistik von Dr.Web Bot für Telegram
Trojan.Encoder.11432
Netzwerk-Wurm, der auf dem Rechner des Opfers Encoder WannaCry ausführt.Android.Locker .139.origin
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.Android.HiddenAds .24
Trojaner, der aufdringliche Werbung auf dem infizierten Gerät anzeigt.Android.Androrat.1.origin
Spyware für Android.BackDoor.Bifrost.29284
Vertreter der Backdoor-Trojaner sind in der Lage, Befehle von Kriminellen auszuführen.
Backdoor-Trojaner, die Befehle von Cyber-Kriminellen erhalten und diese ausführen Verteilung von Support-Anfragen wegen Encoder im Mai:
Trojan.Encoder.858 — 14.39% Anfragen;Trojan.Encoder.11432 — 8.36% Anfragen;Trojan.Encoder.3953 — 7.41% Anfragen;Trojan.Encoder.761 — 2.62% Anfragen;- Trojan.Encoder.10144 — 2.60% Anfragen;
Trojan.Encoder.567 — 2.47% Anfragen.
Dr.Web Security Space 11.0 für Windows
schützt vor Verschlüsselungstrojanern
Diese Option ist in der Lizenz für Dr.Web Antivirus für Windows nicht verfügbar.
| Schutz vor Datenverlust | |
|---|---|
 |  |
Im Mai 2017 wurden 1 129 277 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| April 2017 | Mai 2017 | Wachstum |
|---|---|---|
| + 568 903 | + 1 129 277 | + 98.5% |
Weitere Ereignisse aus der IT-Sicherheitsszene
Anfang Mai wurde ein Trojaner entdeckt, der sich über Links in Kommentaren verbreitete. Übeltäter platzierten diese Links in der offiziellen VK-Gruppe von Doctor Web. Anschließend wurden Nutzer dazu aufgefordert, kostenlose Schlüssel für Dr.Web Antivirus herunterzuladen. Bei der angebotenen App ging es aber um den Trojaner
Dieser Schädling ist in der Lage, verschiedene Befehle auszuführen, z.B. das Hintergrundbild von Windows zu ändern, das DVD-Laufwerk zu öffnen und zu schließen, Funktionen von Maustasten zu ändern, einen Satz mit Hilfe einer Sprach-App aussprechen zu lassen und sogar ein schreckliches Video auf dem Bildschirm eines Rechner anzuzeigen. Mehr zum Schädling finden Sie hier.
Malware für Linux
Die Virenanalysten von Doctor Web haben den Schädling, der Geräte unter Linux mit unterschiedlicher Architektur infizieren kann, unter die Lupe genommen. Die ersten Angriffe durch
Mehr Informationen zum Trojaner finden Sie hier. Die technische Beschreibung des Schädlings befindet sich hier.
Malware für macOS
Der letzte Frühlingsmonat von 2017 war durch die Verbreitung der Backdoor für macOS gekennzeichnet. Der Trojaner wurde in die Dr.Web Virendatenbank als
- Liste mit Inhalten aus dem vordefinierten Verzeichnis erhalten;
- Datei lesen;
- Inhalte in einer Datei speichern;
- Dateiinhalte erhalten;
- Datei oder Ordner löschen;
- Datei oder Ordner umbenennen;
- Rechte für Datei oder Ordner (via Befehl chmod) anpassen;
- Besitzer einer Datei (via Befehl chown) anpassen;
- Ordner erstellen;
- Befehl in bash ausführen;
- Trojaner aktualisieren;
- Trojaner neu starten;
- IP-Adresse des Verwaltungsservers anpassen;
- Plug-in installieren.
Mehr Informationen zur Backdoor finden Sie hier.
Böswillige und unerwünschte Apps für mobile Endgeräte
Anfang Mai wurde auf Google Play der Trojaner
Hauptereignisse im Mai:
- Trojaner auf Google Play entdeckt;
- Verbreitung eines Android-Bankers, der das Geld der Nutzer klaut.
Mehr zur mobilen Sicherheitsszene finden Sie hier.
Erfahren Sie mehr über Dr.Web
25.05 Doctor Web untersucht Multikomponenten-Trojaner für Linux
Frankfurt, 25. Mai 2017
Die ersten Angriffe durch
Alle im
Eines der Module von
Die Virenanalysten haben IP-Adressen von Computern erfasst, die mit
Die Virenanalysten von Doctor Web kennen bereits mehrere Varianten von
17.05 Doctor Web veröffentlicht vorläufige Beschreibung von WannaCry
Frankfurt, 17. Mai 2017
Der Schädling WannaCry ist ein Netzwerkwurm, der Rechner unter Microsoft Windows ohne Benutzerteilnahme infizieren kann. Dr.Web Antivirus erkennt alle Komponenten des Wurms als Trojan.Encoder.11432. Die Verbreitung des Wurmes begann am 12. Mai um 10:00 Uhr. Er attackiert alle Workstations im lokalen Netzwerk sowie Rechner mit zufälligen IP-Adressen und versucht, eine Verbindung zum Port 445 herzustellen. Nachdem sich der Schädling auf dem infizierten PC eingenistet hat, versucht er, andere Rechner zu infizieren. Daraus erklärt sich ein massenhafter Charakter der Infektion. Der Schädling selbst besteht aus mehreren Komponenten. Der Encoder ist nur eine davon.
Netzwerkwurm
Nach seinem Start versucht der Wurm, eine Anfrage an den vordefinierten Remote-Server zu senden. Wenn eine Rückmeldung vom Server vorliegt, schließt der Wurm seine Arbeit ab. Laut einigen Medienberichten konnte die Epidemie von WannaCry gestoppt werden, indem man die Domain des Remote-Servers hätte registriert können. Die Domain, unter welcher der Schädling seine Verbreitung begann, hätten Cyber-Kriminelle aus Versehen nicht registriert. Die Analyse zeigt aber, dass sich der Trojaner auf Rechnern verbreitet, die den Zugang zum lokalen Netzwerk, aber keine Internetverbindung haben. Es ist deshalb übereilt zu sagen, dass die Epidemie gestoppt werden konnte.
Nach seinem Start registriert sich der Trojaner als Systemservice mssecsvc2.0. Wenn ein Fehler entsteht, versucht er den automatischen Neustart des Services einzustellen. 24 Stunden nach dem Start schließt der Bösewicht seine Arbeit ab.
Der Wurm startet auf dem infizierten PC und beginnt, nach den im lokalen Netzwerk des infizierten Rechners verfügbaren Servern sowie Rechnern mit zufälligen IP-Adressen im Internet zu suchen. Danach versucht er, eine Verbindung zum Port 445 aufzubauen. Wenn die Verbindung hergestellt wurde, infiziert er diese Rechner über eine Sicherheitslücke im SMB-Protokoll.
Dropper
Der Dropper ist eine weitere Komponente, die zur Installation einer böswilligen ausführbaren Datei im Betriebssystem dient. Der Dropper von WannaCry enthält ein passwortgeschütztes gezipptes Archiv mit dem Encoder, einen Bildschirmhintergrund von Windows mit der Forderung von Cyber-Kriminellen, eine Datei mit Adressen von onion-Servern, Angaben zum Bitcoin-Konto sowie ein Archiv mit Apps zum Interagieren mit dem anonymen Netzwerk Tor. Der Dropper bootet aus dem Körper des Wurms, wird im Betriebssystem installiert und startet seine Kopie als Systemservice, der einen zufälligen Namen zugeteilt bekommt. Wenn dies nicht gelingt, führt er sich als gewöhnliche Desktop-App aus. Die Hauptaufgabe des Droppers ist es, den Inhalt des Archivs auf der Festplatte zu speichern sowie den Verschlüsselungstrojaner zu dekodieren und zu starten.
Encoder
Trojan.Encoder.11432 verschlüsselt Dateien mit einem zufälligen Schlüssel. Die Datei enthält Informationen zur Länge des verschlüsselten Schlüssels, den verschlüsselten Schlüssel selbst, den Typ der Verschlüsselung und die Dateigröße. Während der Infizierung wird die Datei f.wnry erstellt. Darin wird eine Liste von Dateien gespeichert, die der Trojaner im Testmodus entschlüsseln kann.
Der Trojaner enthält einen Decoder, der auf dem infizierten PC Hintergrundkopien löscht und die Funktion der Systemwiederherstellung deaktiviert. Der Schädling wechselt den Bildschirmhintergrund von Windows gegen den nachfolgenden Hintergrund aus:
Anschließend entpackt er (oder lädt herunter) Apps zum Interagieren mit Tor und stellt Verbindungen zu onion-Servern her. Deren Adressen sind in der Konfigurationsdatei des Trojaners bereits vorhanden. Von Servern erhält er Angaben zum Bitcoin-Konto und speichert diese in der Konfigurationsdatei ab. Zum Datenaustausch mit onion-Servern verwendet Trojan.Encoder.11432 ein eigenes Protokoll.
Der Decoder ermöglicht die Entschlüsselung mehrerer Textdateien, deren Liste in der Datei f.wnry bereits vorhanden ist. Ein privater Schlüssel, der zur Entschlüsselung der Textdateien dient, ist in einer der Komponenten des Schädlings auch verfügbar. Deshalb können sie ohne Einsatz des Trojaners dekodiert werden. Die Entschlüsselung von restlichen Dateien (u.a. Textdateien) erfolgt unter Verwendung von verschiedenen Schlüsseln. Somit gibt es keine Garantie für eine erfolgreiche Dekodierung der durch den Trojaner beschädigten Daten – auch wenn das Lösegeld gezahlt wurde.
Leider ist zur Zeit die Dekodierung der durch Trojan.Encoder.11432 verschlüsselten Dateien nicht möglich.
Infizierungsmerkmale
Ihr Betriebssystem ist durch WannaCry infiziert, wenn:
- Systemservice "mssecsvc2.0" (sichtbarer Name "Microsoft Security Center (2.0) Service") vorhanden ist;
- Encoderdatei C:\WINDOWS\tasksche.exe vorhanden ist. Die vorherige Version des Schädlings ist in der Datei C:\WINDOWS\qeriuwjhrf gespeichert.
Was tun im Falle der Infizierung?
- Um die Verbreitung der Infektion einzudämmen, trennen Sie infizierte Workstations mit wichtigen Daten von beliebigen Netzwerken;
- Erstellen Sie ein Backup auf Datenträgern, die keine Verbindung zu anderen PCs haben.
Eine technische Beschreibung des Wurmes finden Sie hier.
15.05 Dr.Web Nutzer waren gegen Erpresser WannaCry geschützt
Frankfurt, 15. Mai 2017
Die erste Version des Trojaners, die Dr.Web als Wanna Decryptor 1.0 kennt, wurde uns am 27. Mai 2017 um 07:20 Uhr zugeschickt. Wenige Stunden später wurden deren Kennungen um 11:51 Uhr in der Virendefinitionsdatei von Dr.Web erfasst.
Der Verschlüsselungstrojaner Trojan.Encoder.11432, der auch als WannaCry bekannt ist, begann sich aktiv am Freitagabend zu verbreiten. Am Wochenende wurden Großorganisationen weltweit angegriffen.
Das Team von Doctor Web erhielt ein Muster des Encoders am 12. Mai um 10:45 Uhr und nahm dieses in die Dr.Web Virendefinitionsdatei auf.
Noch bevor das Muster zur Verfügung stand, konnte der Schädling durch Dr.Web als BACKDOOR.Trojan erkannt werden.
Der Verschlüsselungstrojaner, der jetzt als Trojan.Encoder.11432 geführt wird, besteht aus vier Komponenten - Netzwurm, Dropper, Encoder und Decoder.
Trojan.Encoder.11432 verschlüsselt Dateien auf dem infizierten PC und fordert Lösegeld für die Dekodierung. Das Lösegeld soll in Bitcoin auf ein elektronisches Konto überwiesen werden.
Die massenhafte Verbreitung des Trojaners ist auf die Lücke im SMB-Protokoll zurückzuführen. Von dieser Sicherheitslücke sind alle Windows-Betriebssysteme bis auf Version 10 bedroht. Für Dr.Web Nutzer war die massenhafte Verbreitung von Trojan.Encoder.11432 aber von Anfang an keine Bedrohung.
Um die Einschleusung des Encoders auf Ihren PC zu verhindern, empfehlen wir Ihnen Folgendes:
- Update MS17-010, das unter technet.microsoft.com/en-us/library/security/ms17-010.aspx verfügbar ist, sowie alle aktuellen Sicherheitsupdates installieren;
- Virenschutz-App aktualisieren;
- Angreifbare Ports (139, 445) durch die Firewall schließen;
- Angreifbare Services im Betriebssystem deaktivieren;
- Auf Installation und Starten neuer Apps (ausführbare Dateien) verzichten;
- Unnötige Rechte der Benutzer (Ausführen und Installieren von neuen Apps) deaktivieren;
- Unnötige Services aus dem Betriebssystem löschen;
- Zugang zu Tor sperren.
28.04 Doctor Web: Rückblick und Analyse von Bedrohungen im April 2017
Frankfurt, 28. April 2017
Der IT-Sicherheitsspezialist Doctor Web präsentiert den Malwarebericht für den Monat April 2017. Im Laufe des Monats haben Virenanalysten von Doctor Web die massenhafte Verbreitung eines gefährlichen Trojaners registriert und ein Exploit entdeckt, das Cyber-Kriminelle für eine neue Sicherheitslücke in Microsoft Word verwenden. Darüber hinaus haben unsere Virenanalysten andere böswillige Exemplare für Windows und Android analysiert.
Hauptereignisse im April
- Massenhafte Verbreitung des Trojaners Trojan.MulDrop7.24844 per E-Mail
- Sicherheitslücke in Microsoft Office entdeckt
- Verbreitung von Trojanern für Windows
Bedrohung des Monats
Der multifunktionale Trojaner, der unter dem Namen
Das Archiv enthält einen Container, der auf Autoit geschieben ist. Die Komponente, die auf dem infizierten PC
Statistik von Dr.Web Antivirus
Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.LoadMoney
Download-Trojaner, die durch Server von LoadMoney generiert werden. Die Apps laden unerwünschte Software herunter und installieren diese auf dem PC des Opfers.Trojan.SMSSend .7306
Trojaner mit einem Installationsassistenten, der Kurznachrichten an kostenpflichtige Nummern versenden kann. Mit dieser Funktion erpresst er Geld von Benutzern, die für die Installation einer App eine Kurznachricht versenden sollen.- Win32.Virut.5
Komplexer polymorpher Virus, der ausführbare Dateien infiziert und Rechner per Remote-Zugriff verwalten kann.
Serverstatistik von Doctor Web
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.DownLoader
Trojaner, die andere Malware herunterladen und installieren.- BackDoor.Comet.3269
Trojaner, der Befehle von Cyber-Kriminellen erhält und diesen einen Remote-Zugang zum infizierten PC bietet.
Malwarestatistik im E-Mail-Traffic
JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren.Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.W97M.DownLoader
Trojaner, die Sicherheitslücken in Office-Apps ausnutzen, und in der Lage sind, andere böswillige Apps herunterzuladen.
Statistik von Dr.Web Bot für Telegram
Android.Locker .139.origin
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt.Android.HiddenAds .24
Trojaner, der aufdringliche Werbung auf dem infizierten Gerät anzeigt.BackDoor.Bifrost .29284
Backdoor-Trojaner, die Befehle von Cyber-Kriminellen erhalten und diese ausführenAndroid.SmsSend .15044
Schädling, der kostenpflichtige Services abonniert, indem er Kurznachrichten an vordefinierte Nummern versendet.- Joke.Locker.1.origin
Scherzprogramm für Android, welches den Bildschirm des mobilen Endgerätes sperrt und BSOD (Blue Screen of Death) anzeigt.
Verschlüsselungstrojaner (Encoder)
Trojan.Encoder.858 — 33.57% Anfragen;Trojan.Encoder.3953 — 8.97% Anfragen;Trojan.Encoder.567 — 3.80% Anfragen;Trojan.Encoder.10144 — 3.59% Anfragen;Trojan.Encoder.761 — 2.58% Anfragen.
Dr.Web Security Space 11.0 für Windows
schützt vor Verschlüsselungstrojanern
Diese Option ist in der Lizenz für Dr.Web Antivirus für Windows nicht verfügbar.
| Schutz vor Datenverlust | |
|---|---|
 |  |
Im April 2017 wurden 568.903 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| März 2017 | April 2017 | Wachstum |
| + 223,173 | + 568,903 | + 154.91% |
Mitte April haben unsere Spezialisten ein Schema aufgedeckt, nach dem Cyber-Kriminelle Informationen über abgekartete Spiele verkauften.
In der Tat sind solche Informationen nicht vertrauenswürdig. Ein Benutzer, der an sie gelangen möchte, muss zunächst ein passwortgeschütztes RAR-Archiv herunterladen. Das Opfer erhält aber stattdessen eine böswillige App, die das Verhalten eines SFX-Archivs imitiert. Dieses Archiv enthält eine Textdatei, wo Spielergebnisse abhängig vom Benutzerpasswort unterschoben werden. Der Schädling wurde von unserem Virenanalystenteam als
Andere Ereignisse
Ende April wurde die Verbreitung von
- Datei aus einem temporären Verzeichnis auf der Festplatte des infizierten PCs starten;
- Sich in einen Prozess einbetten;
- Datei herunterladen;
- Ausführbare Datei starten;
- SQLite-Datenbank speichern und Cyber-Kriminellen übermitteln;
- Verwaltungsserver anpassen;
- Cookies löschen;
- Betriebssystem starten;
- Computer ausschalten.
Mehr zu dieser Malware finden Sie hier.
Im April wurde eine Sicherheitslücke im Textredaktor Word entdeckt, der zum Microsoft Office gehört. Übeltäter haben für diese Sicherheitslücke das Exploit
Malware für Linux
Die Sicherheitsspezialisten von Doctor Web haben im vergangenen Monat 1 317 388 Angriffe auf verschiedene Linux-Geräte entdeckt. Darunter wurden 147 401 Angriffe via SSH und 1 169 987 Angriffe via Telnet durchgeführt. Das Verhältnis von Malware, die von Cyber-Kriminellen auf angegriffene Geräte heruntergeladen wurde, können Sie dem nachfolgenden Diagramm entnehmen:
Linux.Mirai
Linux-Trojaner, mit dem DDoS-Angriffe durchgeführt werden können. Der Schädling ist in der Lage den watchdog-Prozess zu deaktivieren, um den Neustart des Betriebssystems zu verhindern.Linux.DownLoader
Böswillige Apps für Linux, die auf infizierte Geräten andere Malware herunterladen und starten.- Linux.BackDoor.Remaiten
Familie von böswilligen Apps für Linux, die DDoS-Angriffe durchführen. Diese Trojaner können in Rechner durch die Passwortermittlung via Telnet einbrechen. Beim Erfolg wird auf das Gerät ein Downloader heruntergeladen, der weitere böswillige Apps herunterlädt. Linux.Mrblack
Trojaner, der DDoS-Angriffe durchführt. Der Schädling ist auch in der Lage, Befehle von Cyber-Kriminellen auszuführen.Linux.DDoS
Familie von böswilligen Apps für Linux-Geräte, die für DDoS-Angriffe verwendet werden.Linux.PNScan
Würmer-Familie, die Router unter Linux infiziert. Der Wurm ist in der Lage, ein Gerät zu infizieren, Ports 9000 und 1337 zu öffnen und eine Verbindung zu einem Verwaltungsserver herzustellen.
Im April haben die Virenanalysten von Doctor Web eine aktuelle Version von
Außerdem wurde im April eine neue Version der Trojanerfamilie Fgt entdeckt. Im Unterschied zu Vorgängerversionen hat
Böswillige und unerwünschte Apps für mobile Endgeräte
Im April haben die Sicherheitsanalysten von Doctor Web einen neuen Trojaner erfasst, den Cyber-Kriminelle für gezielte Angriffe verwendet haben. Der Schädling
Bemerkenswerte Ereignisse aus der mobilen Sicherheitsszene:
- Android-Trojaner für Cyber-Spionage entdeckt;
- Bankentrojaner, die vertrauliche Daten und das Geld von Android-Anwendern klauen, dringen in Google Play ein.
Mehr zu Bedrohungen auf mobilen Endgeräten finden Sie hier.
Learn more with Dr.Web
Frankfurt, 3. März 2017
Bei der von den Virenanalysten von Doctor Web analysierten App handelt es sich um TouchPal – ein virtuelles Keyboard, welches mobile Nutzer als Standardtastatur benutzen können. Das Keyboard verfügt über diverse Funktionen und hat ein Werbe-Modul, welches nach unserer Klassifikation als
Dieses Plug-in ist in der Lage, beliebige Arten von Werbung anzuzeigen. Widgets, die auf dem Bildschirm angezeigt werden, können nicht einfach gelöscht werden. Nachdem der Nutzer auf das Widget
Außerdem integriert
Obwohl TouchPal nicht böswillig ist, hindert
Mehr zu
Schützen Sie Ihr Android-Gerät durch Dr.Web
28.02 Doctor Web: Rückblick und Analyse von Bedrohungen im Februar 2017
Frankfurt, 28. Februar 2017
Im Februar 2017 ist ein neuer Bankentrojaner aufgetaucht, der den Quellcode von einem anderen Vertreter der Bankentrojaner-Familie „Zeus (
Haupttrends
- Verbreitung eines neuen Bankentrojaners
- Entdeckung eines Schädlings für Linux
- Neuer Trojaner für Android
Bedrohung des Monats
Bankentrojaner sind eine der gefährlichsten Arten von Malware, weil sie in der Lage sind, Geld von Bankkonten der Opfer zu klauen. Ein neu entdeckter Bankentrojaner wurde als
Statistiken von Dr.Web CureIt!
Trojan.InstallCore
Trojaner, die andere Malware installieren.Trojan.LoadMoney
Downloadtrojaner, die durch Server von LoadMoney generiert werden. Die Apps laden unerwünschte Software herunter und installieren diese auf dem PC des Opfers.- Win32.Virut.5
Komplexer polymorpher Virus, der ausführbare Dateien startet und Funktionen der Remote-Verwaltung enthält.
Trojan.Zadved
Böswilliges Plug-in, das authentische Suchtreffer unterschiebt und Werbung austauscht.Trojan.InstallCore
Trojaner, die andere Malware installieren.- JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren. BackDoor.IRC.NgrBot.42
Schädling, der via IRC (Internet Relay Chat) Befehle von Cyber-Kriminellen empfangen und ausführen kann.
Malware im E-Mail-Traffic
- JS.DownLoader
Böswillige Szenarien auf JavaScript, die andere Malware herunterladen und installieren. Trojan.Zadved
Böswilliges Plug-in, das authentische Suchtreffer unterschiebt und Werbung austauscht.- Trojan.PWS.Stealer
Trojaner, die vertrauliche Benutzerdaten auf dem PC klauen.
Statistik von Dr.Web Bot für Telegram
- Android.Locker.139.origin
Android-Trojaner, der Lösegeld für die vermeintliche Entsperrung von Geräten verlangt. - Joke.Locker.1.origin
Scherzprogramm für Android, das den Bildschirm des mobilen Endgerätes sperrt und BSOD (Blue Screen of Death) anzeigt. - Android.HiddenAds.24
Trojaner, der aufdringliche Werbung auf dem infizierten Gerät anzeigt. - Android.SmsSend.15044
Schädling, der kostenpflichtige Services abonniert, indem er Kurznachrichten an vordefinierte Nummern versendet. - BackDoor.Comet.2020
Die Backdoor kann auf dem infizierten PC Befehle per Fernzugriff ausführen und den Zugang zum PC für Cyber-Kriminelle freigeben.
Meist verbreitete Encoder im Februar 2017
Trojan.Encoder.858 — 31.16% Anfragen;Trojan.Encoder.567 — 6.70% Anfragen;Trojan.Encoder.3953 — 4.70% Anfragen;Trojan.Encoder.761 — 3.31% Anfragen;Trojan.Encoder.3976 — 1.91% Anfragen.
Dr.Web Security Space 11.0 für Windows
schützt vor Encodern!
Diese Funktion ist in der Lizenz Dr.Web Antivirus für Windows nicht vorhanden
| Schutz vor Datenverlust | |
|---|---|
| |
Im Februar 2017 wurden 134.063 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
| Januar 2017 | Februar 2017 | Wachstum |
|---|---|---|
| + 223 127 | + 134 063 | -39.9% |
Malware für Linux
Trojaner, die Linux-Geräte infizieren, sind keine Seltenheit mehr. Im Februar 2017 haben Sicherheitsspezialisten von Doctor Web ungewöhnliche Malware entdeckt, welche nach dem Start unter Microsoft Windows nach Linux-Geräte sucht und diese versucht zu infizieren.
Der Trojaner wurde als
Im Februar wurde außerdem Linux.Aliande.4 analysiert, der zum Einbruch in Remote-PCs verwendet wird. Der Schädling verwendet eine Liste mit IP-Adressen, die er vom Verwaltungsserver erhält, ermittelt einen passenden Benutzernamen und ein Passwort und stellt eine Verbindung via SSH her. Die Liste von passenden Benutzernamen und Passwörtern sendet er Cyber-Kriminellen zu.
Malware & Co. für mobile Endgeräte
Der Trojaner Android.Click.132.origin wurde entdeckt, welcher sich über Google Play verbreitete. Dieser Schädling rief verdeckt Webseiten auf und klickte automatisch auf Werbebanner. So konnten Virenschreiber daran Geld verdienen.
Wichtigste Ereignisse in der mobilen Sicherheitsszene im Februar 2017:
- • Android-Trojaner entdeckt, der Webseiten von Werbung verdeckt aufrief und automatisch auf Werbebanner klickte.
Mehr zur Sicherheitslage in der mobilen Sicherheitsszene finden Sie hier.
13.02 Doctor Web erforscht neuen Bankentrojaner
Frankfurt, 13. Februar 2017
Dieser Schädling basiert auf dem Quellcode des Trojaners Zeus (
Interessant ist auch die Methode zum Starten des Trojaners auf dem infizierten Rechner: Dafür werden ein Szenario in der PHP-Sprache und ein Interpretator verwendet. Das Szenario wird durch eine Verbindung im Autostart-Verzeichnis gestartet. Alle Informationen, die der Trojaner für seine Funktion braucht, werden im Windows-Registry verschlüsselt gespeichert. Die Module werden in einer verschlüsselten Datei mit einer zufälligen Erweiterung gespeichert.
Dr.Web Antivirus spürt
