Definition Remote Access Trojaner / RAT Was ist ein Remote Access Trojaner (RAT)?

Ein Remote Access Trojaner(abgekürzt RAT) ist eine Schadsoftware, die eine vom Anwender unbemerkte Fernsteuerung und administrative Kontrolle eines fremden Rechners ermöglicht. Die Manipulationsmöglichkeiten eins RATs sind vielfältig und reichen vom Ausspähen von Passwörtern über das Stehlen von Daten bis zur unbemerkten Nutzung der Webcam oder des Mikrofons.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

Die Abkürzung RAT steht für den Malware-Begriff Remote Access Trojaner. Es handelt sich um eine Form von Schadsoftware, die es erlaubt, einen fremden Rechner über eine Netzwerkverbindung fernzusteuern und die komplette Kontrolle über das System zu übernehmen. Hierfür öffnet der Remote Access Trojaner eine Art Hintertür und startet ein Programm auf dem Rechnersystem, mit dem sich der Angreifer verbinden kann. Die Arbeitsweise ist ähnlich einer Fernwartungssoftware mit dem Unterschied, dass die Prozesse zur Fernsteuerung und die administrative Fremdkontrolle vor dem Anwender verborgen werden. Als Infektionswege für einen RAT kommen die üblichen Methoden zum Einsatz wie das Ausnutzen von ungepatchten Schwachstellen, der Versand von E-Mails mit infizierten Anhängen oder das Herunterladen und Installieren manipulierter Software.

Grundsätzliche Funktionsweise eines Remote Access Trojaners

Remote Access Trojaner bieten ähnliche Funktionen wie Fernwartungsprogramme. Vergleichbar mit Software wie Teamviewer, VNC oder pcAnywhere erlauben sie die Fernsteuerung von Maus und Tastatur, das Übertragen des Desktop-Inhalts, das Senden, Empfangen und Löschen von Dateien oder das Starten von Anwendungen. Entscheidender Unterschied zur Fernwartungssoftware ist, dass — wie bei einem Trojanischen Pferd üblich — die vom Hacker ausgeführten Aktionen und die zur Fernsteuerung benötigten Programme vor dem Anwender verborgen werden. Die meisten RATs starten auf dem infizierten System einen Server, der einen Netzwerkport öffnet und Anfragen von außen entgegen nimmt oder sich selbständig mit einer Fernsteuerungssoftware des Hackers verbindet. Oft steuert der Angreifer über seine Software eine Vielzahl verschiedener Rechner gleichzeitig. Üblich bei Remote Access Trojanern sind sogenannte Reverse-Verbindungen. Um sich nicht von außen mit dem angegriffenen System verbinden und IP-Adressen herausfinden zu müssen oder Firewalls zu umgehen, verbindet sich der Server des ferngesteuerten Rechners selbständig mit der Software des Hackers. Die Serversoftware wird automatisch beim Hochfahren gestartet.

Manipulationsmöglichkeiten eines Remote Access Trojaners

Da der Remote Access Trojaner die vollständige Kontrolle des ferngesteuerten Rechners ermöglicht, sind den Angriffs- und Manipulationsmöglichkeiten prinzipiell keine Grenzen gesetzt. Der RAT kann:

• das Mikrofon oder die Webcam aktivieren und Mitschnitte oder Bilder übertragen

• eingegebenen Tastaturbefehle aufzeichnen (Keylogger)

• vertrauliche Daten lesen und übermitteln

• Dateien senden, empfangen, löschen oder verändern

• die aktuellen Desktop-Inhalte übertragen

• andere Malware nachladen und installieren

• das System unbrauchbar machen beispielsweise durch Löschen der Festplatte

• - den Anwender erpressen durch Verschlüsselung von Dateien (Ransomware)

Beispiele einiger bekannter Remote Access Trojaner

Einer der ersten Remote Access Trojaner war die 1998 vorgestellte Software Back Orifice. Die erste Version erlaubte die Fernsteuerung von Windows-95- und Windows-98-Rechnern. Weitere Remote Access Trojaner sind SubSeven aus dem Jahr 1999 für die Windows-Versionen 95, 98, XP und ME, Beast aus dem Jahr 2002 für Rechner mit Betriebssystemen von Windows 95 bis Windows XP und Windows 2000, Poison Ivy aus dem Jahr 2005 für Windows XP, Vista, NT, 2000 und 2003 oder BlackShades aus dem Jahr 2010 ebenfalls für Windows-Systeme.

Mögliche Schutzmaßnahmen gegen einen RAT

Um sich gegen einen RAT zu schützen, sind die üblichen Maßnahmen zum Schutz gegen Malware zu ergreifen. Zusätzlich lässt sich die Fernsteuerung eines bereits infizierten Rechners verhindern, indem Firewall-Systeme eingesetzt werden, die jeglichen Datenverkehr von oder zu unbekannten Zielen unterbinden.

(ID:45910756)