Hanau, 19. März 2013

Der IT-Sicherheitsspezialist Doctor Web teilt über ein rasantes Wachstum von Werbeapplikationen für Rechner unter Mac OS X mit. Darunter sei vor allem Trojan.Yontoo.1 erwähnt, der als Uploader Extras für beliebte Browser installiert.

Seit Anfang 2013 beobachten die Sicherheitsexperten von Doctor Web das rapide wachsende Aufkommen von Werbeads für Mac OS X. So verdienen die Übeltäter an Partnerprogrammen der Werbenetzwerke. Gleichzeitig wächst auch das Interesse der digitalen Verbrecher für Apple-kompatible Rechnern. Ein gutes Beispiel dafür liefert der vor kurzem entdeckte Trojan.Yontoo.1.

Dieser Trojaner dringt in Rechner seiner Opfer auf verschiedene Weise. Zur Verbreitung des Trojaners verwenden die Übeltäter Webseiten mit der Filmvorschau. Beim Aufrufen dieser Webseiten wird der Benutzer aufgefordert, ein Plug-in für seinen Browser zu installieren. Dieses Dialogfenster soll den Benutzer in die Irre führen. Nachdem der Benutzer auf „Install the plug-in“ gekickt hat, wird er zur Website weitergeleitet, wo er den als gewöhnliche Anwendung getarnte Trojan.Yontoo.1 herunterlädt.

Die Übeltäter haben mehrere alternative Verbreitungsmethoden für den Trojaner vorgesehen. Das Opfer kann den Trojaner z.B. als Videoplayer oder ein anderes nützliches Video-Tool aus dem Internet herunterladen.

Nachdem Trojan.Yontoo.1 gestartet wurde, wird auf dem Bildschirm des Opfers ein Dialogfenster angezeigt, wo man ihm anbietet, Free Twit Tube zu installieren.

Statt des angegebenen Programms lädt der Trojaner das Yontoo-Plug-in für Mac OS X Betriebssysteme herunter: Safari, Chrome und Firefox. Dieses Plug-in läuft im Hintergrundmodus und übermittelt auf einen Remote-Server Daten über Webseiten, die vom Benutzer geöffnet werden.

Anschließend lädt das Plug-in von den Übeltätern eine spezielle Datei, die es dem Benutzer ermöglicht, sich Werbewebseiten von verschiedenen Partnerprogrammen anzusehen. So würde z.B. auf einem infizierten Rechner die Website apple.com aussehen:

Solche Plug-ins werden von Dr.Web als Adware.Plugin detektiert. Es sei bemerkt, dass eine vergleichbare Verbreitungsmethode des Werbe-Trojaners auch für Windows existiert.