Hanau, 17. Januar 2013

Der IT-Sicherheitsspezialist Doctor Web warnt vor der Verbreitung eines gefährlichen Trojaners aus der Familie BackDoor.BlackEnergy. Im Juli 2012 ist es in den Nachrichten aufgetaucht, dass Hauptverwaltungsserver des Botnets unter diesem Trojaner liquidiert wurden. Es sei aber bemerkt, dass das Botnet BlackEnergy noch einige Monate weiter lebte, bis es im Herbst 2012 endgültig verschwand. Im Januar 2013 ist plötzlich eine neue Variante des Schädlings aufgetaucht.

Es sei erwähnt, dass BackDoor.BlackEnergy ein komplexes Trojanerprogramm für den Versand von Spam-Mails ist. Durch den Einsatz dieses Trojaners konnten die Übeltäter eines der weltweit größten Botnets für den Versand von Spam-Mails aufbauen. An einem Tag konnte der Trojaner bis zu 18 Mrd. Spam-Mails verschicken. Das Besondere an den Trojanern aus der Familie BackDoor.BlackEnergy ist es, dass sie Zusatzmoduls und eine XML-Konfigurationsdatei verwenden, die sie zunächst vom Verwaltungsserver laden.

Die Besitzer der neuen Trojanerversion BackDoor.BlackEnergy.36 sind voraussichtlich dieselben Übeltäter, die frühere Modifikationen des Schädlings verwendet haben. Dies bestätigt die Tatsache, dass BackDoor.BlackEnergy.36 für die Datenverschlüsselung denselben Schlüssel wie bei einigen Botnets unter BlackEnergy verwendet.

Man kann allgemein zwei Hauptunterschiede von BackDoor.BlackEnergy.36 zu den vorherigen Versionen des Trojaners feststellen. Die Konfigurationsdatei des Trojaners wird in einer separaten Sektion der dynamischen Bibliothek verschlüsselt gespeichert. Diese Bibliothek ist im Trojaner integriert und schleust sich in den Prozess svchost.exe oder explorer.exe ein. Darüber hinaus haben die Übeltäter das Netzprotokoll, durch das BackDoor.BlackEnergy.36 mit seinem Verwaltungsserver Daten austauschte, modifiziert.

Zum jetzigen Zeitpunkt haben die Sicherheitsanalysten von Doctor Web mehrere Verwaltungsserver von BackDoor.BlackEnergy.36 entdeckt, mit denen die Cyber-Kriminellen ein neues Botnet für die massive Verbreitung von Spam-Mails aufzubauen versuchen. Unsere Sicherheitsanalysten beobachten weiter die Situation rund um den Trojaner BackDoor.BlackEnergy.36. Für Dr.Web Anwender stellt er keine Gefahr dar. Eine entsprechende Signatur wurde in die Dr.Web Virendatenbank bereits eingetragen.