Sie verwenden einen veralteten Browser!

Die Seite kann inkorrekt angezeigt werden.

Defend what you create

Mehr

Schließen

Meine Bibliothek
Meine Bibliothek

+ Zur Bibliothek hinzufügen

Support
Support 24/7

Schreiben Sie uns

Ihre Anfragen

Rufen Sie uns an

+7 (495) 789-45-86

Profil

Zurück zur Übersicht

Doctor Web analysierte eine Backdoor, die auf Python geschrieben ist

Frankfurt, 16. Oktober 2017

Als Backdoor bezeichnet man einen Schädling, der Befehle von Cyber-Kriminellen erhält und diesen einen unerlaubten Zugang zum infizierten Gerät bietet. Die Analysten von Doctor Web haben eine neue Backdoor erforscht, die auf Python geschrieben ist.

Der Schädling wurde in die Dr.Web Virendefinitionsdatei unter dem Namen Python.BackDoor.33 aufgenommen. Die Datei enthält das gezippte Tool py2exe, das die auf Python geschriebenen Szenarien unter Windows ausführt. Die Hauptfunktionen von Malware sind in der Datei mscore.pyc realisiert.

Python.BackDoor.33 speichert seine Kopie auf der Festplatte, passt das Registry von Windows an und schließt das Szenario ab. So werden böswillige Funktionen meistens nach dem Neustart des Rechners ausgeführt.

Nach dem Neustart versucht der Trojaner, alle verfügbaren Geräte mit dem Namen von C bis Z zu infizieren. Dafür erstellt er ein verdecktes Verzeichnis, speichert dort eine Kopie seiner ausführbaren Datei ab und erstellt einen Link <volume name>.lnk, der zu einer böswilligen Datei weiterleitet. Alle Dateien, die anders als .lnk, VolumeInformation.exe und .vbs heißen, werden in das früher erstellte Verzeichnis verschoben.

Danach versucht der Trojaner eine IP-Adresse sowie einen Port des Verwaltungsservers zu identifizieren, indem er Anfragen an Services wie pastebin.com, docs.google.com und notes.io versendet. Dies sieht wie folgt aus:

screenshot Python.BackDoor.33 #drweb

Wenn die Backdoor an die IP-Adresse und das Port gelangt, versendet er an einen Verwaltungsserver eine spezielle Anfrage. Wenn die Anfrage beantwortet wird, lädt er vom Verwaltungsserver das auf Python geschriebene Szenario, das in der Dr.Web Virendefinitionsdatei als Python.BackDoor.35 eingetragen wurde. Mit dem Szenario lassen sich Passwörter, eingegebene Daten klauen und Befehle per Fernzugriff ausführen. Der Trojaner kann außerdem verbundene Datenträger prüfen und diese infizieren. Python.BackDoor.35 ermöglicht somit Folgendes:

  • Daten aus Browsern Chrome, Opera, Yandex, Amigo, Torch, Spark klauen;
  • Tastatureingaben und Bildschirmaufnahmen ablesen;
  • Zusätzliche Module auf Python herunterladen und ausführen;
  • Dateien herunterladen und diese auf dem infizierten Gerät abspeichern;
  • Inhalte aus einem Verzeichnis abrufen;
  • Sich über verschiedene Verzeichnisse verbreiten;
  • Informationen zum System anfordern.

Außerdem verfügt Python.BackDoor.35 über eine Selbstaktualisierungsfunktion. Zurzeit ist sie aber nicht verfügbar. Signaturen für alle erwähnten böswilligen Programme wurden in die Dr.Web Virendefinitionsdatei eingetragen. Die entdeckte Malware stellt für Dr.Web Nutzer keine Gefahr dar.

Mehr zum Trojaner

#backdoor #malicious_software #Trojan

Ihre Meinung ist wichtig für uns!

Für jeden Kommentar bekommen Sie 1 Dr.Web Punkt gutgeschrieben. Um dem Administrator der Webseite eine Frage zu stellen, geben Sie in Ihrem Post zunächst @admin ein. Wenn Ihre Frage an den Autor eines Kommentars adressiert ist, schreiben Sie @ und den Namen des Autors im Anschluß.


Andere Kommentare

Führender russischer Hersteller von Dr.Web Virenschutzsoftware

Entwickelt seit 1992

Dr.Web wird in mehr als 200 Ländern genutzt

Antivirus im SaaS-Modell seit 2007

Technischer Support rund um die Uhr

© Doctor Web
2003 — 2017

Doctor Web ist ein russischer Entwickler von IT-Sicherheitslösungen unter dem Markennamen Dr.Web. Dr.Web Produkte werden seit 1992 entwickelt.

Doctor Web Deutschland GmbH. Platz der Einheit 1. 60327 Frankfurt