Hanau, 14. August 2014

Oft werden verschiedene Programme und Spiele, die für ein Betriebssystem entwickelt wurden, an ein anderes Betriebssystem angepasst. Selten passiert es Viren und Trojanern. Fälle, wo Malware zunächst für Linux entwickelt und dann an Windows angepasst wurde, sind eher selten. Mit einem solchen Vorfall wurden die Sicherheitsanalysten von Doctor Web, die mehrere Muster von Malware untersuchten, konfrontiert.

Im Mai 2014 berichtete der IT-Sicherheitsspezialist Doctor Web über die Verbreitung von Malware, die DDos-Angriffe auf Rechner unter Linux durchführt. Während der Analyse dieser Malware sind die Virenanalysten von Doctor Web zum Schluss gekommen, dass diese Bedrohung von chinesischen Virenschreiber ausgeht. Erst kürzlich wurden auch mehrere neue Muster ähnlicher böswilliger Software entdeckt, welche einen wesentlichen Unterschied zu ihren Vorgängern aufweisen: alle analysierten DDoS-Trojaner wurden für den Einsatz in Betriebssystemen Microsoft Windows weiterentwickelt.

Einer der Bedrohungen ist Trojan.DnsAmp.1, der eine Windows-kompatible Version von Linux.DnsAmp darstellt. Er installiert sich im System unter dem Deckmantel des Services Windows Test My Test Server 1.0, dessen ausführbare Datei im Systemverzeichnis als vmware-vmx.exe gespeichert ist. Nachdem Trojan.DnsAmp.1 sich gestartet hat, sendet er Daten zum infizierten Server und wartet auf ein Signal zum Start eines DDoS-Angriffs. Darüber hinaus kann der Trojaner einen anderen Schädling herunterladen und ausführen. Dessen Kennungen weisen darauf hin, dass Autoren des Trojaners auch Urheber von Linux.DDoS und Linux.BackDoor.Gates sind. Weitere Informationen zur Funktionswiese von Trojan.DnsAmp.1 können Sie dem technischen Bericht entnehmen.

Nach aktuellen Erkentnissen der Virenanalysten zielen die meisten DDoS-Angriffe durch Linux.BackDoor.Gates im Zeitraum vom 5. Juni bis 13. August 2014 vornehmlich auf chinesische (28 093 Angriffe) und US-amerikanische Websiten ab. Die Verbreitung von DDoS-Angriffen nach Ländern können Sie dem nachfolgenden Diagramm entnehmen.

Die Signatur für Trojan.DnsAmp.1 wurde in die Dr.Web Virendatenbank aufgenommen. Deshalb stellt der Schädling für Benutzer von Dr.Web Software keine Gefahr dar.

Mehr zur Bedrohung