Hanau, 3. Juni 2013

Der IT-Sicherheitsspezialist Doctor Web entdeckte Anfang Mai einen Trojaner, der im Browserfenster Webseiten unterschob. Ein anderer Trojaner, der auch in diesem Monat aufgespürt wurde, griff Facebook-, Google Plus- und Twitter-Benutzer an. Ende Mai haben unsere Sicherheitsexperten einen weiteren Verwaltungsserver des Rmnet-Botnets entdeckt, durch den zwei neue Komponenten des Rment-Virus verbreitet wurden. Darüber hinaus wurden weitere böswillige Programme (u.a. Spyware) für Android ausfindig gemacht.

Allgemeine Sicherheitslage

Den Statistiken von Dr.Web CureIt! zufolge führt Trojan.Hosts.6815 (2,53% von der Gesamtzahl infizierter PCs) das Malware-Ranking dieses Monats an. Ihm folgt Trojan.Mods.1, der Web-Inhalte unterschiebt. Im Laufe des Monats wurden durch Dr.Web CureIt! 15 830 Exemplare dieses Trojaners entdeckt. Die Zahl von Infizierungsfälle durch Trojan.Mayachok bleibt weiter hoch. BackDoor.IRC.NgrBot.42 sowie weitere Varianten von Trojan.Redirect sind ziemlich oft anzutreffen. Nachfolgend finden Sie die Top 20 Malware für den Monat Mai.

Botnets

Die Sicherheitsspezialisten von Doctor Web haben vor kurzem zwei Subnets des Rment-Botnets, das auf Win32.Rmnet.12 basiert, unter Kontrolle gebracht. Im Mai 2013 lag die Zahl aktiver Bots im ersten Subnet bei 619 346, im zweiten – bei 459 524. In den letzten Tagen sind weitere 116 617 infizierte PCs dazugekommen, im zweiten Subnet — 143 554. Nachfolgend können Sie die Wachstumsdynamik des Botnets vom 19. bis zum 29. Mai verfolgen:

Anfang April wurde von unseren Sicherheitsexperten ein Verwaltungsserver von BackDoor.Bulknet.739 entdeckt. Dieser Trojaner ist für den Massenversand von Spam-Mails konzipiert und ist in Italien, Frankreich, der Türkei, den USA, Mexiko und Thailand am meisten verbreitet. Die Wachstumsdynamik des Bots können Sie der Graphik unten entnehmen.

Ende Mai wurde ein weiterer Verwaltungsserver des Botnets Rmnet entdeckt. In diesem Subnet wurden böswillige Programmmodule verbreitet, die später in die Virendatenbank von Doctor Web als Komponenten von Trojan.Rmnet.19 eingetragen wurde. Eine von ihnen soll nach virtuellen Betriebssystemen suchen. Und die andere soll Microsoft Security Essential, Norton Antivisus, Eset NOD32, Avast, Bitdefender und AVG deaktivieren. Dafür emuliert das Modul Aktionen eines Benutzers. Die Wachstumsdynamik dieses Botnets können Sie nachfolgend beobachten.

Detaillierte Informationen zu dieser böswilligen Software finden Sie hier.

Das Botnet BackDoor.Dande bleibt weiter am Leben und infiziert PCs von Apotheken und Pharmaunternehmen, wo Software für die Bestellung von Pharmaprodukten installiert ist. Der Trojaner soll vor allem Daten aus diesen Anwendungen entwenden. Es gibt zur Zeit 331 im ersten Subnet und 1291 im zweiten Subnet durch BackDoor.Dande infizierte PCs.

Das Botnet BackDoor.Flashback.39 , das Apple-kompatible PCs eingebunden hat, existiert bis heute noch und besteht zur Zeit aus 65 987 infizierte Macs.

Die Sicherheitsexperten von Doctor Web konnten vor kurzem durch die sinkhole-Methode einen weiteren Verwaltungsserver von Linux.Sshdkit entdecken. Der Trojaner lädt die von angegriffenen Servern gestohlenen Benutzerdaten herunter und leitet diese weiter. Im Mai 2013 hat der Trojaner Benutzerdaten für 562 infizierte Linux-Server entwendet. Darunter sind auch Server großer Hostinganbieter.

Trojaner des Monats: Trojan.Facebook.311

Die Benutzer von sozialen Netzwerken gehören zu einer der beliebtesten Zielgruppen von Cyber-Kriminellen. Mitte Mai wurde die massive Verbreitung von Trojan.Facebook.311, der sich als Einstellungs-Plug-ins für Google Chrome und Mozilla Firefox maskiert, entdeckt. Diese Plug-ins wurden über eine spezielle Webseite verbreitet, über die alle Benutzer aufgefordert wurden, ein Sicherheits-Update herunterzuladen und zu installieren.

Nachdem der Trojaner Trojan.Facebook.311 installiert und gestartet wurde, versucht er, eine Konfigurationsdatei mit notwendigen Befehlen herunterzuladen. Nachdem sich das Opfer angemeldet hat, führt der Trojaner im Namen des Benutzers verschiedene Aktionen durch. Der Schädling bringt alle Funktionen mit, um nicht nur bei Facebook, sondern auch bei Twitter und Google Plus eingesetzt zu werden.

Angriffe gegen Skype-Benutzer

Am 23. Mai ging eine Spam-Well über Skype-Benutzer. Die Übeltäter verbreiteten Malware über den Skype-Chat. Die Meldungen mit einem böswilligen Link waren oft von Benutzern aus der Kontaktliste des Opfers. Nachdem man auf den vorgeschobenen Link geklickt hat, wurde man auf 4shared.com oder dropbox.com mit Trojan.Gapz.17 weitergeleitet. Anschließend sollte auf den infizierten PC Trojan.SkypeSpam.11 heruntergeladen werden. Dieser Trojaner verschickt Meldungen an Kontakte aus der Kontaktliste von Skype, Windows Messenger, QIP, Google Talk und Digsby.

Die Signatur für Trojan.SkypeSpam.11 wurde in die Dr.Web Virendatenbank am 22. Mai eingetragen.

Sicherheitsbedrohungen für Android

Im Monat Mai sind mehrere Exemplare von Spyware für Android aufgetaucht.

So ist z.B. Android.Pincer.2.origin, der Mitte Mai entdeckt wurde, ein gefährlicher Trojaner, der SMS-Nachrichten abfangen und Remote-Server weiterleiten soll. Der Autor von Android.Pincer.2.origin hat die Malware mit Funktionen ausgerüstet, die das Verfolgen von SMS von bestimmten Telefonnummern ermöglichen. Der durch das Sicherheitszertifikat verbreitete Schädling ist gefährlich, vor allem wenn es um das Online-Banking geht. Weitere Informationen zu diesem böswilligen Programm finden Sie hier.

Malware im E-Mail-Traffic

Malware auf PCs der Anwender