Frankfurt, 07. Juni 2016

Die Sicherheitsanalysten von Doctor Web warnen vor einem neuen Trojaner (BackDoor.TeamViewer.49), der Teil eines weiteren Trojaners (Trojan.MulDrop6.39120) ist und sich als Adobe Flash Update tarnt. Sobald der User das vermeintliche Update heruntergeladen hat und ausführt, installiert sich automatisch BackDoor.TeamViewer.49, der die dynamische Programmbibliothek avicap32.dll im Windows-Verzeichnis überschreibt. Diese DLL wird in der Regel auch von der Fernwartungssoftware TeamViewer genutzt. Sobald sie ausgetauscht wurde, nutzt der Trojaner die Infrastruktur des TeamViewers, um die Remote-Befehle der Cyber-Kriminellen auszuführen. Hiervon betroffen war eine Version von TeamViewer 6. Die Schwachstelle wurde mit einem Update beseitigt und besteht seitdem nicht mehr. Eine Verbreitung über die Fernwartungssoftware selbst erfolgt nicht.

Sobald das Update des angeblichen Flash-Updates heruntergeladen wurde und die Installationsdatei ausgeführt wird, öffnet sich ein täuschend echt aussehendes Fenster mit dem gewohnten Layout von Adobe, während sich im Hintergrund die Bibliothek avicap32.dll in den Hauptspeicher des Rechners schreibt. Sobald der TeamViewer gestartet wird, aktiviert sich automatisch auch der Trojaner: Er löscht dann die Desktop-Verknüpfung aus dem Systemtray von Windows und unterdrückt gleichzeitig etwaige Fehlermeldungen. Daneben unterbindet er ein wiederholtes Starten des Programms auf dem infizierten PC.

Mit Dr.Web optimal geschützt

BackDoor.TeamViewer.49 schreibt sich in das Autostart-Menü und versucht, für sein Installationsverzeichnis die Attribute „System“ und „verdeckt“ zu setzen. Sollte aber keines der beiden Attribute gesetzt werden können, so löscht die Malware alle Schlüssel aus der Registry, die zu TeamViewer gehören.

Im verschlüsselten System-Verzeichnis auf der Festplatte befinden sich die ausführbare Systemdatei (*.exe), die Konfigurationsdatei und eine Bibliothek. In der Konfigurationsdatei werden alle Informationen abgelegt, die die Malware für ihre reibungslose Funktionalität benötigt. Die Bibliothek dient als Speicherort für die Namen von Verwaltungsservern, von denen der Trojaner verschiedene Befehle erhalten kann. Der komplette Datenaustausch mit dem Verwaltungsserver erfolgt dabei stets verschlüsselt.

Bisher nutzen Trojaner TeamViewer nur dazu, um einen unerlaubten Zugang zum infizierten Rechner zu erhalten. BackDoor.TeamViewer.49 ist in der Lage, verschiedene Befehle auszuführen, wie z.B.:

<!--[if !supportLists]-->·         <!--[endif]-->Disconnect – willkürlicher Abbruch der Verbindung;

<!--[if !supportLists]-->·         <!--[endif]-->Idle – Aufrechterhalten der Verbindung, auch gegen den Willen des Benutzers;

<!--[if !supportLists]-->·         <!--[endif]-->Updips – selbständiges Update der auth_ip Liste;

<!--[if !supportLists]-->·         <!--[endif]-->Connect – Kontaktaufnahme mit dem Verwaltungsserver.

Das bedeutet, dass der Trojaner beispielsweise in der Lage ist, eine Verbindung mit einem Remote-Server (inkl. Autorisierung) aufzubauen. Danach leitet er den Traffic über den infizierten Rechner an eine vordefinierte Adresse weiter. Dadurch können Cyber-Kriminelle ihre Spuren verwischen und eine Verbindung zu Remote-Befehlszentren über einen infizierten PC als Proxy-Server herstellen.

Anwender, die Doctor Web Sicherheitsprodukte nutzen, sind optimal vor Trojan.MulDrop6.39120 und BackDoor.TeamViewer.49 geschützt.

Doctor Web dankt dem Suchmaschinenanbieter Yandex für die Bereitstellung des Schädlingsmusters.

Weitere Informationen zum Trojaner gibt es hier.