Frankfurt, 11. März 2019

Die Malware-Analysten von Doctor Web fanden heraus, dass der Trojaner Trojan.Belonard zu seiner Einschleusung eine Zero-Day-Sicherheitslücke in Counter-Strike 1.6 ausnutzte. Der Trojaner ersetzte dabei einzelne Client-Dateien und eine Liste von verfügbaren Spielservern.

Trojan.Belonard gelangte auf die Rechner der Spieler, sobald er eine Verbindung zu einem böswilligen Spielserver aufbauen konnte. Der Schädling nutzte dabei Schwachstellen des Spiel-Clients aus und konnte sowohl Steam-Versionen als auch Piraten-Builds von Counter-Strike 1.6 (CS 1.6) infizieren. Auf dem Computer des Opfers änderte der Trojaner Client-Dateien und erstellte Proxy-Server, um andere Benutzer zu infizieren. Diese Technik ermöglichte es Cyber-Kriminellen, Spiele zu bewerben und damit Geld zu verdienen.

Die Zahl der Online-Spieler mit offiziellen CS-Clients 1.6 liegt aktuell im Durchschnitt bei 20.000 und die Gesamtzahl der in Steam registrierten Spielserver beläuft sich auf über 5.000. Verkauf, Vermietung und Bewerbung von Spielservern sind zu einem echten Geschäft geworden und werden als Dienstleistungen auf verschiedenen Webseiten angeboten. Eigentümer von Servern bezahlen oft für solche Dienste, wissen aber nicht, dass für die Bewerbung ihrer Server Malware eingesetzt werden kann. Solche illegalen Methoden verwendete bspw. ein Entwickler unter dem Spitznamen Belonard: Sein Server infizierte andere Spieler mit einem Trojaner und nutzte ihre Konten zur Bewerbung weiterer Spielserver aus.

Die Anzahl der schädlichen CS-Server 1.6, die mit dem Belonard-Trojaner erstellt wurden, hat inzwischen 39% aller bei Steam registrierten offiziellen Server erreicht. Die CS-Community wird mit diesem Problem seit langem konfrontiert. Leider erkannte die Virenschutzsoftware bisher nur Teile des Belonard-Trojaners und nicht den Schadcode als Ganzes. Jetzt werden alle Module des Belonard-Trojaners durch Dr.Web Antivirus ausfindig gemacht und stellen für Dr.Web Nutzer keine Bedrohung dar. Mehr zur Funktionsweise des Trojaners finden Sie in unserem englischsprachigen Ermittlungsbericht.