Der vergangene Monat brachte keine Aufsehen erregenden Viren-Ereignisse. Es gibt aber ein paar interessante Fakten, die gesondert behandelt werden müssen. Cyber-Kriminelle haben Malware absichtlich als Antivirensoftware verbreitet. Der Oktober belegte auch, dass die elektronische Post und Malware-Websites hauptsächliche Verbreitungskanäle für Schadsoftware sind.

Falsche Antivirensoftware – Tabellenführer im Oktober

Ein Blick auf Top 20 der meist verbreiteten Malware im Oktober reicht aus, um festzustellen, dass Trojan.Fakealert die Liste dominiert. Das weist darauf hin, dass falsche Antivirensoftware die hauptsächliche Einnahmenquelle der Virenschreiber ist.

Innerhalb der ersten zwei Wochen wurden laut Angaben unseres Statistikservers mehr als 2,5 Mio. gefälschte Antivirenprogramme pro Tag detektiert. Zur Zeit liegt diese Zahl bei 1 Mio. Visuelle Effekte in den neuen Varianten von Trojan.Fakealert bleiben wie zuvor (siehe siehe Sicherheitsreport für den Monat September 2009).

Warum installieren Anwender solche Malware auf ihren PCs? Der Grund ist alles andere als kompliziert: sie fallen auf vielfältige Betrugsmaschen der Cyber-Kriminellen ein. Die meisten gefälschten Antivirenprogramme im Oktober wurden als gezippte Datei install.exe verbreitet. Diese Datei erwies sich als gefälschtes Update des jeweils benutzten E-Mail-Systems bzw. E-Mail-Clients Microsoft Outlook (die Update-Meldung stammte vom angeblichen Administrator des Mailservers). Solche Dateien wurden auch per E-Mail verbreitet, wo im gezippten Anhang auf die Verletzung der Urherberrechte durch diesen Anwender im Laufe der letzten 6 Monate hingewiesen wurde. Die Cyber-Kriminellen spielen Gerechtigkeitskämpfer nicht zum ersten Mal. Aber die Datei install.zip, die Trojan.Fakealert enthält, wird zum ersten Mal als Desinfektionstool gegen Conficker (Win32.HLLW.Shadow.based nach Dr.Web Klassifikation) positioniert.

Die Übeltäter haben auch eine hohe Beliebtheit der Weboberfläche von Outlook Web Access ausgenutzt. Die Anwender dieses Services sollten Trojan.Fakealert unter einem Link herunterladen, der zur gefälschten OWA-Oberfläche weiterleitete. Auf dieser Seite wurden vermeintliche Einstellungen für das E-Mail-Benutzerkonto angeboten.

Passwortdiebe wollen nicht zurückbleiben

Eine ernsthafte Bedrohung für Benutzerdaten stellen auch Passwortdiebe dar. Diese Malware klaut persönliche Daten für verschiedene Internet-Ressourcen, u.a. für elektronische Geldkonten, soziale Netzwerke usw.

Einer der typischen Vertreter dieser Malware-Klasse bleibt Trojan.PWS.Panda.122. Dieser Trojaner ist auf das Entwenden von Passwörtern für verschiedene Dienste und Services spezialisiert.

Die Phantasie der Autoren von Trojan.PWS.Panda.122 Varianten kennt keine Grenzen. Die Malware wird nicht nur per E-Mail, sondern auch per Updates für Microsoft Outlook verbreitet. Dabei werden E-Mails und Malware-Websites nach dem Muster von Trojan.PWS.Panda gestaltet (siehe Sicherheitsreport für den Monat Juni 2009).

Die Übeltäter versendeten im Namen des US-Steuerdienstes IRS (Internal Revenue Service) Links zu Malware-Websites. In einigen Fällen wurden Malware-Websites vom Yahoo! Geocities gehostet. Man forderte Steuerzahler auf, sich mit ihrer Steuerbilanz auf der IRS-Website vertraut zu machen. So luden die Anwender Malware selbständig herunter.

In der letzten Oktoberwoche wurde Trojan.PWS.Panda.122 versendet. Der angebliche Absender war der Einlagensicherungsfonds der Vereinigten Staaten (Federal Deposit Insurance Corporation, FDIC). Anwender wurden benachrichtigt, dass die Bank, wo sie ihr Geld liegen hatten, bankrott sei. Man sollte deshalb auf der FDIC- Website Informationen über die Entschädigung erhalten. In der Tat luden die Anwender so genannte Passwortdiebe.

Neben Trojan.PWS.Panda.122 wurden auch weitere Schadprogramme verbreitet, die Passwörter klauen. In den beliebten Instant-Messaging-Systemen wurden Links zu Trojan.PWS.LDPinch versendet. Der Trojaner tarnte sich als Videospot.

Wie füllen Sie die Empfängeradresse aus?

Im Laufe der letzten Monate feilten die Übeltäter an Varianten zweier Malware-Typen: Trojan.Botnetlog.11 und Trojan.BhoSpy.97. Im Namen von DHL und UPS teilte man z.B. mit, dass ein Paket wegen einer falsch angegebenen Anschrift nicht zugestellt werden kann.

Trojan.Botnetlog.11 ist dadurch bekannt, dass er Sicherheitslücken des Systems ausnutzen kann. Nach der Installation und dem Starten des Trojaners auf dem System stellt er die Verbindung zum Server des Übeltäters her, um Befehle und zusätzliche Komponenten der Schaddatei zu erhalten. Der ausführbare Code von Trojan.Botnetlog.11 ist durch einen speziellen Algorithmus verschlüsselt.

Trojan.BhoSpy.97 wird auf dem System als Plug-in für den Web-Browser Microsoft Internet Explorer installiert. Dieser Trojaner kann nicht nur Dateien laden, sondern auch Systemdateien nach Befehl löschen.

In den letzten Tagen des Monats machte sich Trojan.Botnetlog.11 bemerkbar. Der vermeintliche Versender war das weltweit beliebte soziale Netzwerk Facebook. Facebook-Nutzer sollten ihre Benutzerkonten aktualisieren. Der Link leitete die Nutzer auf eine gefälschte Website, wo Malware als Update-Tool geladen wurde.

Können Windows-Blockierer gut sein?

In diesem Monat wurde Malware weiter verbreitet, die das System verschlüsselt und für die Entschlüsselung Geld fordert. Solche Schadprogramme werden nach Dr.Web Klassifikation als Trojan.Winlock eingestuft. Früher wurde wegen dieses Trojaners der ganze Bildschirm blockiert. Nun wird nur ein Teil des Bildschirms blockiert. Der Anwender kann auf dem sichtbaren Bildschirm Programme starten und weiter arbeiten.

Die zu Schaden gekommenen Anwender können die meist kritischen Aktionen vornehmen, Dateien des Trojaners erkennen und diese beim Virenlabor zur Analyse einreichen.

Bemerkenswerte Spam-Mails im Oktober

Im vergangenen Monat wurden einige komische Spam-Mails versendet. Beim ersten Spam-Versand handelte es sich um Trojan.PWS.Panda.122, der als gezippte Datei angehängt war. Solche Mails wurden fehlerfrei zugestellt. Trojan.Packed.683 wurde als verschlüsseltes Archiv versendet.

Betrug ohne Malware

In letzter Zeit versuchen die Übeltäter Anwender mit speziellen Tricks um ihr Geld zu bringen. Die Folgen für Anwender sind unüberschaubar. Unter die Lupe gerieten folgende Tricks.

Im ersten Fall waren es Websites, die Anwendern Informationen über SMS-Nachrichten, ein- und ausgehende Anrufe usw. eines beliebigen Mobilfunkteilnehmers angeblich zur Verfügung stellen. Um solche Informationen zu erhalten, sollte man auf der Website seine Telefonnummer übermitteln. Nachdem der Anwender sein Geld überwiesen hatte, ging er leer aus.

Im zweiten Fall versuchen die Cyber-Kriminellen das Interesse der Anwender für so genannte Musikdrogen anzuregen. Sie versprachen dabei einen Drogeneffekt, der bei Anwendern beim Anhören verschiedener Musikdateien eintreten sollte. Man sollte aber zuerst zahlen. Im Endeffekt erhielt der Anwender keine Dateien und spürte keinen Effekt von der angehörte Musik.

Zur Werbung von Drogen-Websites werden sowohl legale (z.B. AdWords) als auch illegale Methoden eingesetzt. In den letzten Jahren wird für solche Web-Inhalte viel Werbung von eingebrochenen Benutzerkonten sozialer Netzwerke gemacht.

Der vergangene Monat hat den Trend letzter Monate nochmals belegt. Zu hauptsächlichen Verbreitungskanälen von Malware auf PCs der Anwender zählen die elektronische Post, Malware-Websites, Instant-Messaging-Systeme und soziale Netzwerke. Die Cyber-Kriminellen stellen ihre Versuche weiter an. Sie kombinieren Betrugsmaschen und setzen dabei auf einfältige und unaufmerksame Opfer. Um solchen Betrugstechniken effizienten Widerstand leisten zu können, müssen Anwender über eine Antivirensoftware verfügen. Dabei soll die automatische Aktualisierung der Schutzkomponenten und Virendatenbanken aktiviert werden. Die Rolle einer Antispam-Кomponente nimmt wegen großer Menge an gefährlichen E-Mails ständig zu. Die Anwender sollten auch einfache Sicherheitsregeln im Netz nicht ignorieren und in Zweifelsfällen sich von Sicherheitsspezialisten beraten lassen.

Top 20 der meist verbreiteten Malware im E-Mail-Verkehr

Top 20 der meist verbreiteten Malware auf PCs der Anwender