DEUTSCHLAND: Von Toralv Dirro und Dirk Kollberg

Transkript

1 22 gtr Februar 2008 DEUTSCHLAND: Malware lernt die Sprache Von Toralv Dirro und Dirk Kollberg

2 gtr Februar Seit den 1990er Jahren unterscheidet sich das Bedrohungszenario von Europa (einschließlich Deutschland) und Nordamerika. Die Hauptursache dafür liegt in der Vielfalt der Sprachen allein in der Europäischen Union gibt es 23 offizielle Sprachen. Außerdem ließ sich lange Zeit beobachten, dass die meisten Malware- und anderen Angriffe an der Sprachbarriere scheiterten. Diese Barriere machte sich zum Beispiel dann bemerkbar, wenn je nach der Sprachversion des Betriebssystems unterschiedliche Pfade im Dateisystem verwendet wurden. Malware bestimmte häufig mithilfe fest codierter Pfade, an welchen Stellen Dateien zu speichern oder Informationen zu suchen sind. Und das hat ganz schlecht funktioniert. (Wir finden immer wieder noch kommerzielle Software, die aus genau diesem Grund fehlerhaft arbeitet.) Einige sehr primitive Viren hatten Erfolg, weil sie kaum Text verwendeten. Davon war ein Teil mithilfe von VBSWG generiert, einem Toolkit zum Erstellen von Viren, mit dem Jeder einfache Massen- Mailing-Würmer erstellen konnte, die mit Visual Basic Script arbeiteten. Im folgenden Beispiel kommt es auf den Namen der Anlage an, damit die Sprachbarriere leicht überwunden werden kann. Die nächste Klasse von Malware, die mit der Sprachbarriere Probleme hatte, waren Microsoft Word-Makroviren. Die ersten Makroviren haben gar nicht funktioniert, und viele ihrer Nachfolger hatten auch so ihre Probleme, weil in den lokalisierten Versionen von Word auch die Funktionen lokalisiert wurden. Wenn sich ein Virus also in die Funktion FilePrint hätte einklinken wollen, hätte er bei einer deutschen Version von Word die Funktion DateiDrucken und bei einer französischen Version die Funktion FichierImprimer verwenden müssen. Diese Problematik veranlasste Malware- Autoren, Viren speziell für bestimmte Sprachversionen von Word (z. B. deutsch, französisch, spanisch) zu erstellen. Natürlich gibt es auch Makroviren, die keine der lokalisierten Funktionen benötigen und diese Viren sind in Europa durchaus erfolgreich. Die nächste Welle bestand aus Mailing- und Massen-Mailing-Würmer, d. h. Viren, die zielgerichtet s erstellten, um sich selbst an andere Benutzer zu senden. Dieser Typ von Malware war für seinen Erfolg erstmals auf Social Engineering angewiesen. ( Social Engineering bedeutet in diesem Zusammenhang, dass der Empfänger überzeugt sein muss, dass es sich lohnt, die und die angefügte Datei zu öffnen.) Das Problem ist für heutige Angreifer dasselbe wie bei den ersten Mailing-Würmern: Sie müssen eine Nachricht erstellen, die echt aussieht und den Benutzer veranlasst, die Anlage zu öffnen. Ein guter Anfang besteht darin, den Nachrichtentext in der Muttersprache des Empfängers zu verfassen oder nur wenig oder gar keinen Text zu verwenden. Eine längere Nachricht, die angeblich von einem Freund oder Kollegen stammt, gleichzeitig aber auf Englisch dazu auffordert, unbedingt die Anlage zu öffnen, würde in Deutschland nicht funktionieren. Abbildung 1: Der Schlüssel für diese verlockende Dateianlage liegt in Social Engineering. Wenn Windows Explorer so voreingestellt ist, dass bekannte Dateierweiterungen ausgeblendet werden, würde diese Malware als Datei mit dem Namen AnnaKournikova.jpg angezeigt werden. In diesem Fall könnte ein Benutzer den Virus fälschlicherweise für ein Bild halten. Bei anderen Bedrohungen wurde der -Text in der lokalen Sprache geschrieben. Auch wenn eine Malware mit dieser Taktik im jeweiligen europäischen Sprachraum erfolgreich war, stellte sie Copyright 2008 McAfee, Inc.

3 24 gtr Februar 2008 außerhalb dieses Gebiets kaum eine Bedrohung dar. Dadurch hat es eine Reihe lokaler Ausbrüche gegeben, bei denen ein einzelner Virus eine bestimmte Region abdeckte, außerhalb dieses Gebiets jedoch kaum Wirkung erzielte. Durch diese extreme regionale Fokussierung können Forscher nur sehr schwer abschätzen, wie groß die Bedrohung durch eine Malware wirklich ist. In solchen Fällen hat es sich als überaus hilfreich erwiesen, in einzelnen europäischen Ländern lokale Virenforschungslabore zu betreiben. Nach dem deutlichen Kurswechsel in der Malware-Szene, der durch die im Botnet-Geschäft möglichen Profite ausgelöst wurde, werden nun Daten stehlende Trojaner und Phishing-Angriffe in - Nachrichten immer ausgefeilter. Anfangs waren Nachrichten noch in einem gebrochenen Deutsch verfasst, das sich las, als wäre es per Babelfish aus dem Englischen oder Russischen übersetzt wurden. Was wahrscheinlich auch der Fall war. Heute sind die Texte in perfektem Deutsch geschrieben, sie nehmen auf aktuelle Ereignisse Bezug und spielen mit der Erwartungshaltung der Benutzer. So konnten während der Fußballweltmeisterschaft im Sommer 2006 die Fans nur schwer Eintrittskarten bekommen. Daher gab es s, deren Anlagen angeblich detaillierte Informationen darüber enthielten, wie man diese seltenen Eintrittskarten kaufen konnte. Der illegale Tausch von Musik und Videos ist schon seit längerem ein Thema in den Nachrichten. Von deutschen Behörden stammt der Vorschlag, Computer mittels eines so genannten Bundestrojaners online zu durchsuchen. Dieses Thema ist seit einiger Zeit heiß umstritten und hat zu der folgenden geführt: Dies ist ein Beispiel für den berüchtigten Downloader-AAP-Trojaner, der in Deutschland sehr verbreitet ist. Diese Malware wurde massenhaft an Benutzer gesendet, deren -Adressen mit.de endeten. Der Text der war auf deutsch geschrieben. Viele Monate lang wurden diverse Spam-Offensiven pro Woche beobachtet, die alle unterschiedliche Nachrichten im Textteil und unterschiedliche Varianten des Downloaders und des von ihm installierten Kennwörter stehlenden Trojaners enthielten. Laut der Nachricht erhält der Empfänger eine Rechnung von einem Anwalt oder einem in Deutschland bekannten Unternehmen (z. B. Deutsche Telekom, ebay oder GEZ). Dieser Absender sticht dem Empfänger ins Auge: Niemand erhält gern eine Rechnung, ganz besonders dann nicht, wenn es sich um einen Schwindel handeln könnte. Das Downloader-AAP-Beispiel nutzt den Angstfaktor: In diesem Fall geht es um das Tauschen von Dateien und die damit verbundenen juristischen Probleme in Deutschland. Die Nachricht besagt, dass der Benutzer beim Herunterladen von Dateien mit urheberrechtlich geschützten Inhalten in einem Dateitausch-Netzwerk erwischt und seine IP-Adresse protokolliert worden sei. Der PC des Benutzers wurde angeblich bereits von dem Bundestrojaner durchsucht, zulässiges Beweismaterial sei sichergestellt worden und das Bundeskriminalamt (BKA) würde die Straftat melden. Bei all diese Spam-Offensiven wurde in der für weitere Informationen auf die Anlage verwiesen, die wie eine Rechnung aussah (oft mit dem Namen Rechnung.pdf.exe ). Je nach den Systemeinstellungen sahen manche Benutzer nur die Erweiterung PDF und nahmen daher an, dass die Datei sicher ist. Diese war jedoch eine böswillige ausführbare Datei, der Downloader-AAP. Viele Empfänger dieser s bekamen es bei diesen Nachrichten mit der Angst zu tun und klickten ohne weiter nachzudenken auf die Anlage. Aufgrund dieser speziell auf Deutschland zutreffenden Situation funktioniert diese Angriffsmethode in anderen Ländern nicht. Schwerpunkt Deutschland Warum konzentrieren sich die Bösen nur auf ein einziges Land? Abbildung 2: Der Text behauptet, dass die IP-Adresse des Empfängers protokolliert wurde, während er illegal Dateien mit anderen Benutzern austauschte. Der Computer sei mithilfe des Bundestrojaners durchsucht und Beweismittel sichergestellt worden. Es sei Anzeige erstattet worden, und die Anlage enthalte ein Protokoll der auf dem Computer durchgeführten Online-Durchsuchung. Der Downloader-AAP-Trojaner lädt eine Textdatei herunter, die eine verschlüsselte URL enthält. Diese Datei wird entschlüsselt, und die unter der URL befindliche Datei wird heruntergeladen. Sie erweist sich als Spy-Agent.ba ein Trojaner, der sich auf Kreditinstitute konzentriert und versucht, vertrauliche Kontoinformationen zu stehlen. Der Trojaner wurde entworfen, um Homebanking-Verbindungen zu übernehmen und Benutzeranmeldeinformationen und Transaktionsnummern (TANs, Transaction Authentication Numbers) zu stehlen. Diese im Trojaner enthaltenen Funktionen sind für verschiedene deutsche Unternehmen optimiert. Der Trojaner schaltet sich selbst in die Kommunikation zwischen dem zu Hause befindlichen Benutzer und der Bank ein. Bei der Infiltration der Kommunikationswege geht der Trojaner je nach Kreditinstitut anders vor. Copyright 2008 McAfee, Inc.

4 gtr Februar Am 13. September 2007 gab das BKA bekannt, dass man eine international agierende Phishing-Gruppierung zerschlagen und dabei 10 Personen festgenommen und eine Reihe von Computern und anderen Beweismitteln sichergestellt hat. Der Pressemitteilung des BKA zufolge handelte es sich um eine Gruppe, die weltweit Phishing- s mit angehängtem Downloader-AAP-Trojaner verbreitet hat. Aber das ist leider nicht das Ende von Downloader-AAP. Nur eine Woche nach den Festnahmen erhielt McAfee Avert Labs eine neue Probe, die sich auf eine ähnliche Weise verbreitet hat und Spy-Agent.ba herunterlädt. Von speziell auf Kreditinstitute abzielenden Trojanern ist nicht nur Deutschland betroffen. Sie treten ebenfalls in anderen europäischen Ländern auf und stellen auch in Brasilien eine große Bedrohung dar. Deutsche Kunden legen bei ihren Bankgeschäften sehr viel Wert auf Sicherheit und haben Technologien wie Homebanking nur sehr zögerlich akzeptiert. Phishing-Angriffe funktionieren in Deutschland schlechter als in vielen anderen Ländern. Und das liegt nicht nur an der Sprachbarriere. Die deutschen Kunden legen bei ihren Bankgeschäften sehr viel Wert auf Sicherheit und haben neue Technologien wie Homebanking nur sehr zögerlich akzeptiert. Aufgrund dieser zögerlichen Haltung wurden die Banken gezwungen, ein Sicherheitsschema anbieten, welches es erschwert, dass das eigene Bankkonto von Fremden übernommen werden kann. Bei dem aktuellen System ist zum Anmelden nicht nur ein Kontoname und eine PIN erforderlich, sondern zusätzlich auch zu jeder Transaktion eine TAN. Diese werden dem Benutzer von der Bank in gedruckter Form zugesendet. Bei jeder Transaktion muss eine noch nicht verwendete TAN angegeben werden. Diese starken Sicherheitsvorkehrungen haben Kriminelle gezwungen, für Homebanking-Angriffe auf andere Länder auszuweichen. TAN-Phishing Einige Trojaner sind so entworfen, dass sie auf fremden Computern TAN-Listen extrahieren, falls diese elektronisch gespeichert wurden. Und natürlich gab es gelegentlich auch primitive Phishing-Mails, mit denen versucht wurde, an solche TANs zu gelangen. Abbildung 3: In dieser Phishing-Mail wird außer nach vielen persönlichen Daten auch nach 10 unbenutzten TANs gefragt. In den letzten Monaten wurden Trojaner beobachtet, die speziell deutsche Banken angreifen, wobei sie sich in den Browser des Benutzers einklinken und das Verhalten der einzelnen Online- Banking-Sites mit gefälschten Fehlermeldungen simulieren, um die vom Angreifer benötigte TAN zu erhalten. Solche Trojaner können Möchtegernkriminelle auf bestimmten Websites käuflich erwerben. Die Autoren haben Videos veröffentlicht, in denen deren Funktionen und Wirksamkeit demonstriert werden. Angriffe auf das deutsche Online-Banking sind in näherer Zukunft sehr wahrscheinlich. Erfolg gegen international organisierte Online-Kriminelle, BKA.

5 26 gtr Februar 2008 ist ein Massen-Mailer, der in Deutschland, Österreich und der Schweiz viel Aufmerksamkeit auf sich gezogen hat. Die erste Variante wurde Ende 2003 gesichtet, die neueste im März Wie andere Massen-Mailer ruft W32/Sober -Adressen auf dem lokalen System ab und versendet s in der entsprechenden Sprache der Top-Level-Domäne der einzelnen Empfängeradressen. An englische Empfänger versendete W32/Sober eine andere mit einer Kopie von sich selbst im Anhang: Abbildung 6: Englischsprachigen Nachrichten gab W32/Sober ein allgemeineres Erscheinungsbild. Abbildung 4: kann Nachrichten in verschiedenen Sprachen versenden. Die Sprache wird je nach der Top-Level-Domäne der Empfängeradresse gewählt. Bei einem anderen weit verbreiteten Angriff sendete eine an deutsche Benutzer, in der stand, dass der Empfänger Eintrittskarten für die Fußballweltmeisterschaft gewonnen hat: Lokaler Touch Ein weiteres Beispiel für lokalisierte Malware ist der Trojaner Zunker. Dieser Kennwörter stehlende Trojaner versendet ebenfalls Spam-Nachrichten oder lenkt Benutzer auf böswillige Sites, um andere Benutzer zu infizieren. Das Unangenehme an diesem Trojaner ist, dass er eine Verbindung zu einem Server im Internet herstellt und dann je nach der IP-Adresse des Opfers die Spam- Nachrichten empfängt, die der Benutzer versenden soll. Zunker sendet Spam- s nicht nur so, wie man es erwarten sollte. Er bringt auch Text in den vom Benutzer gesendeten s unter. Zu diesem Zweck installiert Zunker auf dem kompromittierten Computer einen Mehrschicht-Dienstanbieter. Jedes Mal, wenn der Benutzer eine sendet, verändert Zunker den Text und fügt einen böswilligen Link hinzu. Der Empfänger der kennt wahrscheinlich den Absender und wird daher wohl Nachricht und Link als vertrauenswürdig ansehen. Diese Nachrichten platziert Zunker auch in Instant Messaging- Nachrichten für ICQ, AOL und Yahoo. Der zentrale Punkt in Sachen Lokalisierung ist in diesem Fall die platzierte Nachricht. Wenn die IP-Adresse des Opfers beispielsweise in Italien registriert ist, trägt Zunker eine italienische Notiz und den Link ein. In Schweden wäre es eine schwedische Notiz, usw. Abbildung 5: Diese Nachricht teilt dem glücklichen Empfänger mit, dass Fußballkarten verfügbar sind. Außerdem wurden noch weitere Einzelheiten versprochen, in der als ZIP-Datei komprimierten Anlage befand sich jedoch die Datei winzipped-text_data.txt.pif. Diese enthielt natürlich keine weiteren Informationen sie war nur eine Kopie des Wurms. Der Wurm trat zum idealen Zeitpunkt auf: Er schlug zu, als viele Deutsche auf eine von der FIFA-Eintrittskarten-Lotterie warteten. Sogar die im deutschen Text aufgeführte Adresse und Telefonnummer stimmten perfekt. Der Wurm bewirkte dann in der Tat einen DDoS-Angriff (Distributed-Denial-of-Service) auf das FIFA-Büro, da dort so viele Empfänger des Wurms unter der angegebenen Nummer anriefen. Abbildung 7: Der Trojaner Zunker kann seine Nachrichten in verschiedenen Sprachen lokalisieren und damit Benutzer in vielen Ländern ansprechen. Copyright 2008 McAfee, Inc.

6 gtr Februar In Abbildung 7 können Sie sehen, wo es überall Opfer von Zunker gibt und wie sich der Spam ausbreitet. Dieselbe Webschnittstelle steuert die Trojaner und richtet die Nachrichten ein, die von den Trojanern verbreitet werden entweder für alle Opfer oder für jedes Land eigene Nachrichten. Infizierte Webserver Ein anderer Verbreitungsweg für lokalisierte Malware ist die Verteilung über Webserver. Wenn ein Browser eine Datei von einem HTTP-Server anfordert, baut er eine TCP-Netzwerkverbindung auf. Der Server empfängt die Anforderung, lädt die Datei von der Festplatte und sendet sie zurück. Server, die als Host für böswillige Dateien dienen, verfügen über ein weiteres Feature: Nach dem Empfang der Anforderung überprüfen sie zuerst die IP-Adresse des anfragenden Systems und lösen dessen Landeshost mithilfe einer Datenbank auf. Mit dieser Information kann der infizierte Server für jedes einzelne Land lokalisierte Dateien übermitteln. Fazit Vielen Angreifern ist inzwischen klar, dass sie regionale Aspekte berücksichtigen müssen, um erfolgreich zu sein. Wir haben gesehen, dass diese Lektion in Deutschland begriffen wurde, und der Trend zum Lokalisieren von Angriffen wird bestimmt weiter anhalten. Phishing-Angriffe werden immer raffinierter und schwieriger ausfindig zu machen. Betrügerische Jobanbieter, die Mittelsmänner für Geldgeschäfte suchen ein kaum verhüllter Versuch, Unschuldige für schmutziges Geld zu engagieren machen heutzutage einen sehr professionellen Eindruck und werden zukünftig wohl noch stärker auf lokale Gegebenheiten eingehen. Es ist wahrscheinlich, dass die Deutschen schon bald im selben Maße Phishing-Angriffen, per verteilten Trojanern und Spam ausgesetzt sein werden wie Benutzer in englischsprachigen Ländern. Bei diesem System gibt es nur eine Verknüpfung zu einer Website. Je nachdem, wo ihre IP-Adresse registriert ist, empfangen Benutzer in den USA oder in Großbritannien einen englischsprachigen Trojaner, während Empfänger in Deutschland oder Österreich deutschsprachige Malware erhalten. Diese infizierten Server können von Antiviren-Anbietern kaum überwacht werden, da sie an die jeweilige URL unzählige Anfragen von unterschiedlichen IP-Adressen senden müssten, um an sämtliche Varianten der Malware zu gelangen. Einen anderen Weg zur Übermittlung lokalisierter Dateien wird bei einem Blick auf die vom Browser an den Server gesendete Anforderung sichtbar: Toralv Dirro ist Sicherheitsstratege in der Hamburger Niederlassung von McAfee Avert Labs. Dirro ist seit 1994 Forscher und ein namhafter Experte für Antivirus-Technologien der nächsten Generation und Netzwerk- Eindringungsschutz. Zu diesen Themen hält er oft Vorträge. Abbildung 8: Ein Trojaner könnte durch Auswerten der Zeile Accept- Language (Sprache akzeptieren) die Nationalität dieser Clientanforderung bestimmen, und für die Antwort die entsprechenden Sprache wählen. Der Benutzer aus Abbildung 8 ist aus Deutschland (.de) und verwendet Internet Explorer 6 unter Windows Anti- Malware-Forscher haben bei solchen Servern wenig Probleme: Sie senden einfach verschiedene Anforderungen von einer einzigen IP-Adresse an einen Server und erhalten die diversen Dateien, die der Trojaner anzubieten hat. Dirk Kollberg arbeitet als Leiter der Malware-Forschung in Hamburg für McAfee Avert Labs. Seit nunmehr acht Jahren analysiert er Würmer, Bedrohungen für Peer-to-Peer-Netzwerke und dienstausnutzende Bedrohungen sowie Trojaner, Bots und andere Viren. Kollberg hat seine Leidenschaft für Bits und Bytes dem Commodore PET zu verdanken.