Antivirus-Hersteller auf der Jagd nach raffinierter Malware

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Heimlicher Zusammenschluss

Bot-Netze haben nach Erkenntnissen von Antivirus-Spezialisten inzwischen ein bedrohliches Ausmaß erreicht. Schon im Jahre 2004 fiel den Analysten in den Anhängen von E-Mails der Mailwurm Bagle auf, der sich in kurzen Zeitabständen immer wieder veränderte. Jede Modifikation des Wurms enthielt eine neue Funktion, die die Erkennung erschwerte und das Ausmaß der Infektionen erhöhte.

Einmal waren es Excel-Piktogramme, die den Empfänger zum Öffnen der Datei bewegen sollten. Ein anderes Mal tarnte sich Bagle als normale Word-Datei. Darüber hinaus ging der Malware-Autor dazu über, Betreffzeilen nach dem Prinzip des Social Engineering zu wählen – die Zahl der Infektionen nahm zu.

„Wir haben schnell erkannt, dass der Urheber unsere Gegenmaßnahmen sehr genau beobachtete“, erinnert sich Andreas Lamm, Geschäftsführer der Kaspersky Labs in Ingolstadt. Als der Autor dazu überging, infizierte Briefe im Namen von Kaspersky Lab und mit gefälschter Unterschrift zu verschicken, war klar, dass es die Virenjäger mit einem raffinierten Angriff zu tun hatten.

Malware mit vielen Funktionen

In der Folgezeit blockierte der Wurm die Webseiten von Antivirus-Unternehmen, um die Aktualisierung der Antivirenscanner zu verhindern. Zusätzlich wurden Firewalls auf den infizierten Rechnern ausgeschaltet und erstmals zusätzlicher Code für die Fernsteuerung der infizierten Computer eingeschleust.

Damit offenbarte der Virenschreiber die wahre Absicht seiner Malware: Der Aufbau eines verdeckten Netzwerks (Botnet) mit infizierten Rechnern. Diese Bot-Netze rekrutieren weitere Mitglieder (Bots) unter anderem durch den Versand Trojanischer Pferde oder E-Mail-Würmer.

Ist ein Rechner erst einmal zum so genannten Zombie geworden, wird er als nächstes Kontakt zum Botmaster aufsuchen, um weitere Befehle entgegen zu nehmen. In vielen Fällen geschieht dies in IRC-Chaträumen (Internet Relay Chat). Eigentlich als Kommunikationsplattform für mitteilungsfreudige Menschen gedacht, tummeln sich hier auch etliche Bots und warten auf neue Anweisungen.

Schafft der Schadcode die Installation auf den infiltrierten Computern, scannt er Dateien mit dem Ziel, E-Mail-Adressen zu sammeln und sie danach an einen entfernten Rechner zu übermitteln. Die Stabsstelle DV-Sicherheit der Universität Stuttgart (RUS-CERT) stuft die Gefährlichkeit der bisher bekannten Bot-Varianten als sehr hoch ein.

(ID:2006639)