Backdoor stiehlt FTP-Passwörter und andere Login-Daten Antivirus-Hersteller warnt vor Rmnet-Botnetz

Der Antivirus-Spezialist Doctor Web hat mit Win32.Rmnet.12 eine Malware entdeckt, die Windows-Systeme auf verschiedensten Wegen infiziert. Der Schadcode beinhaltet unter anderem Backdoor-Komponenten und hat bereits über eine Million Rechner in ein Botnetz integriert.

Anbieter zum Thema

Mimecast Germany GmbH

Specops Software GmbH

Doctor Web Deutschland GmbH

Wie der Security-Anbieter Dr. Web Mehr hat ein Botnetz entdeckt, das bereits mehr als eine Million Windows-Rechner umfasst. Die Infektionen sind auf das Multikomponenten-Virus Win32.Rmnet.12 zurückzuführen, das sich selbständig vervielfältigen kann.

Hierfür sucht das Virus auf allen vorhandenen Festplatten und Partitionen nach gespeicherten HTML-Dateien und bettet den VBScript-Code dort ein. Zusätzlich infiziert Win32.Rmnet.12 alle .exe-Dateien und kann sich selbständig auf Wechseldatenträger kopieren.

Mithilfe der Festplatten-Seriennummer generiert der Schadcode einen Dateinamen für seine Kopie, legt einen Eintrag im Autorun-Ordner des angemeldeten Users an und versteckt die erzeugte Kopie. Die Virus-Konfiguration wird im gleichen Ordner gespeichert.

Zu Beginn des Einbruchsversuchs versucht Win32.Rmnet.12, den Standard-Browser zu identifizieren. Ist dies nicht von Erfolg gekrönt, attackiert das Virus den Microsoft Internet Explorer. Anschließend wird Code in den jeweiligen Browser-Prozess injiziert. Infolge dessen lassen sich die Cookies des angemeldeten Nutzers auslesen, um einen Zugriff auf Internet-Accounts zu ermöglichen.

FTP- und Online-Banking-Daten in Gefahr

Mithilfe einer Backdoor gelangt die Malware außerdem in den Besitz von Passwörtern, die auf populären FTP-Clients wie Ghisler, WS FTP oder auch FileZilla gespeichert sind. Diese Login-Daten lassen sich später dazu nutzen, Netzwerk-Attacken zu planen und Webseiten zu infizieren.

Zusätzlich kann diese Komponente den Zugang zu bestimmten Webseiten blockieren und den User stattdessen auf eine Domain umleiten, die von den Virenautoren kontrolliert wird. Eine der Win32.Rmnet.12-Modifikationen ist in der Lage, mittels Web-Injections Informationen über Bankkonten zu stehlen.

Weitere Befehle erhält die Malware über einen Command and Control Server. Unter anderem lässt sich Rmnet dazu bringen, beliebige Dateien herunterzuladen und auszuführen, sich selbst zu aktualisieren, Screenshots zu erstellen und diese zu den Angreifern zu senden und schließlich das Betriebssystem lahmzulegen.

Bekannt ist Rmnet bereits seit September 2011, berichtet Pierre Curien, Geschäftsführer Deutschland bei Doctor Web: „Seitdem verfolgen unsere Analysten die Entwicklung.“ Die Security-Forscher entschlüsselten zunächst die Namen der Control-Server, welche im disassemblierten Code von Win32.Rmnet.12 gefunden wurden.

Anschließend befassten sich die Analysten mit dem verschlüsselten Protokoll, das die Kommunikation zwischen Bots und Control-Servern sicherstellte. Am Dienstag, 14. Februar 2012, übernahmen die Security-Forscher schließlich die Kontrolle über das Botnetz. Ende Februar wurde ein weiteres Rment-Subnetz auf diesem Weg gehijackt.

Dennoch besteht weiterhin die Gefahr, dass sich Win32.Rmnet.12 weiter ausbreitet: Vor gut einer Woche umfasste das Botnetz bereits über 1,4 Millionen Hosts und wuchs stetig weiter. Schutz verspricht eine aktuelle Antivirus-Software. Um infizierte Rechner zu säubern, verweist Doctor Web auf seine eigenen Lösungen Dr.Web CureIt! oder die Dr.Web LiveCD.

(ID:33345950)