Die gefährlichsten Malware-Familien

Transkript

1 INTERNET Malware Die gefährlichsten Malware-Familien Sie verbreiten sich über USB-Sticks und Webseiten. Sie schleusen Schadcode ein, klauen Kontodaten und manipulieren Überweisungen. Kennen Sie die Malware-Familien Carberp, Conficker, Mebroot, Sality und Zeus? Jedes Jahr tauchen unzählige neue Viren auf. Der Großteil dieser Schädlinge ist aber nicht komplett neu. Die meisten stammen aus Schädlingsfamilien wie Zeus und werden immer wieder aktualisiert. Nur relativ selten werden wirklich neue Schädlingsfamilien wie der Trojaner Carberp entdeckt. Der Artikel beschreibt fünf der gefährlichsten Familien. Sie lesen, was das Besondere an der jeweiligen Familie ist, und wie Sie eine Infektion aufspüren. Mehrere Kästen stellen außer- dem die wichtigsten Infektionswege vor und erklären, was sich dagegen unternehmen lässt. Kompakt Malware-Familien wie Zeus bestehen aus mehreren Tausend Varianten. Die wichtigsten Infektionswege sind Drive-by-Downloads, USB-Sticks, Codecs und s. Alle beschriebenen Programme finden Sie auf Heft-CD und -DVD oder kostenlos im Internet. Die Heft-DVD ist außerdem bootfähig und startet die Kaspersky Rescue Disk 10. Was ist eine Malware-Familie? Antivirenhersteller sortieren Computerviren in Malware-Familien ein. Das Wort Malware stammt aus dem Engli- 116 Das Computer-Magazin 9/2011

2 Malware INTERNET Inhalt Malware-Familien Was ist eine Malware-Familie? S.116 Malware-Familien Carberp S.118 Conficker S.119 Mebroot S.120 Sality S.120 Zeus S.121 Schutz-Tools gegen Malware: Was wirklich hilft S. Software-Übersicht S.119 Infektionsweg 1: Drive-by-Downloads S.118 Infektionsweg 2: USB-Sticks S.119 Infektionsweg 3: Codecs S.120 Infektionsweg 4: s S.121 Schadcode, unterscheiden sich in eischen und steht für schädliche Software (malicious software). Eine Malware-Familie besteht aus Schädlingen, die sich voneinander nur in wenigen Details unterscheiden. Veränderungen am Schadcode sollen vor allem bewirken, dass ein signaturbasierter Virenscanner den Schädling nicht mehr erkennt. Aber die Autoren fügen auch immer wieder zusätzliche Funktionen hinzu. Allein vom Trojaner Zeus gibt es mehrere Tausend Varianten, während Process Explorer 14.12: Ein Thread, der zu einem angeblich nicht existierenden Prozess gehört, deutet auf eine Infektion mit dem Trojaner Carberp hin (Bild A) die Conficker-Familie nur aus relativ wenigen Vertretern besteht. Zur Unterscheidung der einzelnen Exemplare hängen die Antivirenhersteller ans Ende jedes Virennamens ein Buchstabenkürzel. So basieren zwar beispielsweise Sality.AB und Sality.AE auf demselben Quelle: Trustdefender Schutz-Tools gegen Malware: Was wirklich hilft Der wichtigste Schutz gegen Malware sind eine Antivirensoftware und eine Firewall. Falls doch einmal ein Schädling Ihren PC infiziert, helfen die Kaspersky Rescue Disk 10, Anti-Malware und Rootkit Buster 3.60 dabei, ihn wieder loszuwerden. Kaspersky Rescue Disk 10 Das Live-System finden Sie auf der bootfähigen Heft-DVD. Es startet den PC mit einem garantiert virenfreien Linux-System und checkt ihn dann auf Schädlinge kostenlos /rescuedisk Anti-Malware Schneller und leistungsfähiger Trojaner-Jäger, der eigene Signaturen verwendet und sich deshalb gut als Ergänzung zum installierten Virenscanner eignet kostenlos /malwarebytes_free Rootkit Buster 3.60 Spezial-Tool gegen Rootkits, das gezielt nach den besonders heimtückischen Schädlingen sucht und sie entfernt kostenlos Das Computer-Magazin 9/2011 auf CD und DVD nur auf DVD

3 INTERNET Malware Infektionsweg 1: Drive-by-Downloads Besonders häufig nennen Antivirenhersteller Drive-by-Downloads als Quelle für Vireninfektionen. Der Begriff stammt aus dem Englischen und bedeutet wörtlich übersetzt Download im Vorbeifahren. Der PC wird über eine Sicherheitslücke im Browser oder in installierten Plug-ins verseucht. Das droht nicht nur auf Raubkopierer-Seiten im Internet, sondern auch auf seriösen Webseiten wie Spiegel.de, wenn es den Kriminellen gelingt, ein verseuchtes Banner einzuschleusen. Dabei lässt sich diese Hintertür leicht schließen. Mehr als Firefox und zwei Erweiterungen benötigen Sie nicht dazu (kostenlos, und auf ): Das Addon Noscript blockiert alle aktiven Webinhalte wie Javascript, Flash und Java und erlaubt sie nur noch auf Webseiten, die Sie freigeben (kostenlos, und auf ) (Bild C). Kombinieren Sie Noscript mit Adblock Plus (kostenlos, und auf ). Die Erweiterung verhindert, dass Firefox Werbebanner lädt. Firefox-Erweiterung Noscript : Das Add-on blockiert aktive Webinhalte und schützt so vor gefährlichen Drive-by-Downloads (Bild C) nigen Details aber trotzdem: Sality.AE wurde etwa drei Monate nach Sality.AB entdeckt, versteckt sich in anderen Dateien auf der Festplatte und lädt neuen Schadcode von anderen URLs herunter. Malware-Familien Folgende Malware-Familien sind besonders gefährlich weil sie spezielle Fähigkeiten haben, die sie von anderen Schädlingen unterscheiden, oder weil sie weit verbreitet sind. Carberp Carberp ist noch relativ neu und gilt als gefährlich, weil er keine Admin-Rechte benötigt. Vertreter der erstmals im vergangenen Jahr aufgetauchten Carberp-Familie klinken sich in den Browser ein, manipulieren besuchte Webseiten und klauen Login-Daten. Diese Fähigkeit haben auch Trojaner wie Zeus. Das Besondere an Carberp ist jedoch, dass er keine Admin-Rechte benötigt. So umgeht er den Verseuchte PCs schaltet Carberp zu Bot-Netzen zusammen, die gemeinsam über einen Steuer-Server verwaltet werden. Auf den PC gelangt Carberp meist über manipulierte Webseiten. Dabei verstecken die Kriminellen Javascripts Schutz durch die Benutzerkontensteuerung auf vermeintlich harmlosen von Windows Vista und 7. Webseiten, die Lücken im Browser und in den Plug-ins Flash und Java ausnutzen. Nach der Infektion eines PCs nimmt Carberp Kontakt mit einem Steuer-Server auf und aktualisiert sich. Die Programmierer haben extra ein Plug-in- System entwickelt. So ist etwa das Plug-in passw.plug für den Diebstahl von Zugangsdaten zuständig. passw.plug klaut alle in Firefox, dem Internet Carberp Removal Tool: Das Spezial-Tool erkennt und entfernt den Trojaner Explorer und Opera gespeicherten Carberp.A (Bild B) Benutzerdaten, 118 Das Computer-Magazin 9/2011

4 Malware INTERNET aber auch die in Filezilla, Outlook, dem MSN Messenger sowie WinSCP abgelegten Daten. Die Liste der Programme, die Carberp kennt und bestiehlt, finden Sie in der PDF-Datei Inside Carberp Botnet auf Seite 7. Der englische Text steht unter /inside-carberp-botnet-en.pdf kostenlos zum Download bereit. Andere Plug-ins sind stopav.plug, um Antivirensoftware zu beenden, und miniav.plug, um konkurrierende Schädlinge wie Zeus auszuschalten. Das Plug-in IBank spioniert Online- Banking-Daten aus und fertigt Screenshots an. So entdecken Sie Carberp: Erst einmal auf dem Computer angekommen, manipuliert Carberp den Windows-Explorer und kopiert sich als Datei chkntfs.exe oder syskron.exe in das Autostart-Verzeichnis des gerade angemeldeten Besuchers. So stellt der Schädling sicher, dass er bei jedem Neustart wieder ausgeführt wird. Aufspüren lässt sich Carberp mit dem Tool Process Explorer (kostenlos, internals/bb896653). Starten Sie das Tool und scrollen Sie im oberen Feld bis zu explorer.exe. Wählen Sie View, Show Lower Pane aus, um das Detailfenster einzublenden. Scrollen Sie darin nach unten bis zu den Thread -Einträ- Software-Übersicht Programm Adblock Plus (Werbefilter) Anti-Malware (Trojaner-Jäger) Carberp Removal Tool (Reinigungs-Tool) Firefox (Browser) Kaspersky Rescue Disk 10 (Antiviren-CD) Noscript (Javascript-Blocker) Process Explorer (Prozessmanager) Rootkit Buster 3.60 (Rootkit-Jäger) W32.Downadup Removal Tool (Reinigungs-Tool) Infektionsweg 2: USB-Sticks gen. Steht neben einem der Thread - Einträge der Hinweis auf einen <Nonexistent Process>, ist Ihr PC vermutlich mit Carberp infiziert (Bild A). Führen Sie in diesem Fall das Carberp Removal Tool von Bitdefender aus. Es erkennt und entfernt allerdings nur Quelle malwarebytes_free /rescuedisk Seite Alle -Programme finden Sie auf Heft-CD und -DVD in der Rubrik Internet, Malware. Das -Programm finden Sie nur auf Heft-DVD. Statt wie früher über Disketten verbreiten sich Trojaner heute oft über USB-Sticks. XP- und Vista-Nutzer sollten unbedingt einen Patch einspielen, der die Autorun-Funktion auf USB-Sticks deaktiviert (Bild D). Sie finden ihn Die Schädlinge verwenden verschiedene Tricks: Der effektivste ist die Infektion bereits auf dem unter der Adresse /kb/971029/de. Stick vorhandener EXE-Dateien. Startet der Anwender dann auf einem fremden PC eines seiner Tools, verseucht er auch diesen Rechner. Andere Trojaner verwenden Dateinamen, die Interesse beim Anwender wecken sollen. Mit Windows 7 hat Microsoft dem automatischen Start von Dateien auf USB-Sticks einen Riegel vorgeschoben. Nichtsdestotrotz kopieren sich immer noch viele Schädlinge auf angeschlossene tragbare Datenträger. Autorun-Blocker: Nur Windows 7 ist sicher vor Viren auf USB-Sticks, die automatisch starten. XP- und Vista-Nutzer benötigen das Update KB (Bild D) die Variante Carberp.A (kostenlos, und auf ) (Bild B). Conficker Der Wurm Conficker hat Abermillionen PCs auf der ganzen Welt über USB-Sticks und Windows-Lücken infiziert. Ende 2008 sind die ersten Vertreter des Computerwurms Conficker aufgetaucht, der auch Downadup genannt wird. Zunächst haben sie sich über eine Windows-Sicherheitslücke verbreitet, für die es bereits Monate vorher einen Patch von Microsoft gab. Die Programmierer von Conficker sind besonders trickreich vorgegangen: Hat der Wurm erst einmal einen PC verseucht, lädt er selbst das fehlende Sicherheits-Update von Microsoft herunter und installiert es. So vermeidet er, dass sich ein Wurm einer konkurrierenden Bande ebenfalls auf dem befallenen PC einnistet. Das Computer-Magazin 9/2011 auf CD und DVD nur auf DVD 119

5 INTERNET Malware Infektionsweg 3: Codecs gilt als eine der fortschrittlichsten und gefährlichsten Malware-Familien. Besonders oft verbergen sich Viren in angeblichen Codec-Dateien. Verbreitet wird Mebroot über infizierte Dateien, die zum Beispiel vorgeben, ein Nacktvideo der Sängerin Ein Codec ist eine Software, die der PC braucht, um etwa einen Film anzuzeigen. Und so geht der Trick: Die Angreifer platzieren ein Video auf einer Webseite, Rihanna zu enthalten, sowie über Driveby-Downloads. Ist Mebroot erst einmal auf einem PC angelangt, beginnt er damit, Bankingkann das nicht abgespielt werden Informationen auszuspionieren. Zur (Bild G). Wer das Video ansehen will, soll eine EXE-Datei mit einem Codec herunterladen. Statt des Codecs enthält die Datei aber einen Trojaner. Übertragung der gesammelten Daten verwendet Mebroot ein eigenes Verschlüsselungsprotokoll. Außerdem kann sich Mebroot selbst aktualisieren und beliebigen Schadcode herunterladen. Trojaner statt Video: Wer für dieses angebliche Nacktvideo einen extra Codec lädt, infiziert den PC mit Mebroot (Bild G) So entdecken Sie Mebroot: Weil er sich im MBR versteckt, lässt sich Mebroot unter Windows kaum aufspüren. Nur Conficker öffnet eine versteckte Hintertür Mebroot Spezial-Tools wie Rootkit Buster 3.60 haben eine Chance, Mebroot zu entdecken und zu entfernen (kostenlos, zu dem verseuchten PC und de- Der Trojaner Mebroot versteckt sich im Bootaktiviert installierte Sicherheitssoftware sowie das Windows-Update. Der und auf ). Bereich der Festplatte und ist dort nur schwer wieder wegzubekommen. Wurm kann zusätzliche Schadprogramme Sality herunterladen und einrichten. Aus Trojaner der Mebroot-Familie verän- Der Wurm Sality baut aus infizierten PCs ein diesem Grund stehen ihm alle Möglichkeiten auf einem verseuchten PC offen. nes verseuchten Computers. Auf diese dern den Master Boot Record (MBR) ei- privates Peer-to-Peer-Netz und verbreitet darüber Schadcode. So entdecken Sie Conficker: Sicherheitsforscher Weise stellen sie sicher, dass sie noch der Universität Bonn ha- ben einen kostenlosen Online-Test entwickelt, mit dem sich eine Infektion mit vor dem Betriebssystem starten. Die Entwickler haben sogar einen eigenen Treiber geschrieben, der direkt auf die Der am stärksten verbreitete Schädling des zweiten Halbjahrs 2010 war nach Berechnungen von Symantec der Wurm Conficker leicht aufspüren lässt. Um einzelnen Blöcke einer Festplatte Sality.AE aus der Sality-Familie. Erste den Check auszuführen, genügt ein Besuch der Seite tector (Bild E). Symantec bietet unter schreibt. Weil sie Rootkit-Tricks verwenden, ist Mebroot besonders schwer aufzuspüren und zu entfernen. Mebroot Vertreter aus dieser Familie wurden bereits 2003 entdeckt. Sality infiziert ausführbare Dateien auf der lokalen Festplatte, auf angeschlossenen Datenträgern und auf Netzwerklaufwerken. curity_response/removal tools.jsp ein kostenloses Removal-Tool an, das die Conficker-Varianten A, B und C erkennt und entfernt (Bild F). Laden Sie es per Klick auf So verbreitet er sich weiter. Besonders an Sality ist, dass mit ihm infizierte Computer ein Peerto-Peer-Netz bilden, das sie zum heimlichen Datentausch W32.Downadup Removal nutzen. Über Tool und auf diese Verbindung erhält Download Removal der Wurm unter anderem Tool herunter. Unter Windows Vista und 7 benötigt das Tool Administratorrechte. Conficker Online Test: Die Webseite leder/cfdetector zeigt, ob Ihr PC mit Conficker verseucht ist (Bild E) auch Download- Links für neuen Schadcode. Sality deaktiviert außerdem vorhandene 120 Das Computer-Magazin 9/2011

6 Malware INTERNET Sicherheitsprogramme auf dem PC und verhindert, dass Windows im abgesicherten Modus startet. So entdecken Sie Sality: Ist der Wurm erst einmal auf einen PC gelangt, infiziert er nahezu alle EXE- und SCR-Dateien auf der Festplatte. Nur Ordner, die SYSTEM oder AHEAD im Namen tragen, verschont er. Suchen Sie zwei bis drei EXE-Dateien, die sich nicht in einem der genannten Ordner befinden, und laden Sie sie zu einem Viren-Check auf die Webseite hoch. Weil Sality.AE bereits seit einiger Zeit aktiv und bekannt ist, wird ein Großteil der von Virustotal genutzten Virenscanner eine Infektion aufdecken. Zeus Der Trojaner Zeus klaut Kontodaten und manipuliert Online-Überweisungen. Infektionsweg 4: s Selbst s von Bekannten können mit Viren verseucht sein. Der klassische Weg, einen Computer mit einem Virus zu infizieren, ist das Zusenden einer Spam-Mail mit einem verseuchten Anhang. Öffnet der Anwender die angehängte Datei, startet er den Schädling und verseucht damit seinen Computer. Auch bei s von Bekannten kann man sich nie sicher sein, dass die Datei wirklich sauber ist. Der PC des Absenders könnte mit einem Trojaner verseucht sein, der das Adressbuch ausliest und heimlich Mails versendet. Prüfen Sie deshalb nicht direkt angeforderte Anhänge bei Virustotal ( und lassen Sie sie dort von mehr als 40 Virenscannern checken (Bild H) wurden die ersten Vertreter der Malware-Familie Zeus entdeckt. Seither ist der Trojaner auf das Klauen persönlicher Daten spezialisiert. Infizierte Computer schließen die Kriminellen zu Bot-Netzen zusammen, um Kreditkartendaten zu sammeln oder Online-Banking-Konten zu plündern. Gesammelte Daten verkaufen sie häufig auch an andere Banden weiter. Das Besondere an Zeus ist, dass er sehr leicht einzusetzen ist. Schon für wenige Hundert Dollar erhält ein Ganove einen Softwarebaukasten, mit dem er sich seinen persönlichen Zeus zu- Verseuchter Mail-Anhang: Angeblich enthält die Datei tracking.zip Informationen zu einer Paketsendung. In Wirklichkeit steckt darin jedoch ein gefährlicher Downloader (Bild H) sammenklickt. Weitere Informationen über Zeus stehen im Artikel Der Trojaner Zeus in com! 7/2011. Sie finden ihn als PDF-Datei auf Heft-CD und -DVD sowie kostenlos unter zin.de/archiv. So entdecken Sie Zeus: Scannen Sie Ihren PC mit Anti-Malware (kostenlos, und auf ). Anti-Malware ist in der Gratis- Version ein reiner Festplattenscanner ohne Hintergrundwächter, der auf Trojaner spezialisiert ist. Das Tool können Sie gut zusätzlich zu Ihrer installierten Antivirensoftware einsetzen. Andreas Th. Fischer Weitere Infos Tool gegen Conficker: Das Spezial-Tool erkennt und entfernt die drei Varianten A, B und C des Trojaners Conficker/Downadup (Bild F) Virenanalysen und Schutz-Tipps Das Computer-Magazin 9/2011 auf CD und DVD nur auf DVD 121