VERANSTALTUNGEN

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

Internet World Congress
09.10.18 - 10.10.18
In München

plentymarkets Omni-Channel Day 2018
12.10.18 - 12.10.18
In Kassel

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

4. Esslinger Forum: Das Internet der Dinge
17.10.18 - 17.10.18
In Esslingen

Trojanisches PferdNutzer, die TeamViewer verwenden, sollten zukünftig ganz besondere Vorsicht walten lassen. Denn die Sicherheitsanalysten von Doctor Web haben vor kurzem einen neuen Trojaner entdeckt, der sich über die Fernwartungssoftware verbreitet. 

BackDoor.TeamViewer.49 tarnt sich dabei als Update für Adobe Flash Player und installiert gleichzeitig einen weiteren Trojaner mit der Bezeichnung Trojan.MulDrop6.39120. Im Fokus stehen dabei Endgeräte, die unter dem Betriebssystem Windows laufen.

Sobald die Installationsdatei ausgeführt wird, öffnet sich ein täuschend echt aussehendes Fenster mit dem gewohnten Layout von Adobe, während sich im Hintergrund die Bibliothek avicap32.dll in den Hauptspeicher des Rechners schreibt. Sobald der TeamViewer gestartet wird, aktiviert sich automatisch auch der Trojaner: Er löscht dann die Desktop-Verknüpfung aus dem Systemtray von Windows und unterdrückt gleichzeitig etwaige Fehlermeldungen. Daneben unterbindet er ein wiederholtes Starten des Programms auf dem infizierten PC.

Mit Dr.Web optimal geschützt

BackDoor.TeamViewer.49 schreibt sich in das Autostart-Menü und versucht, für sein Installationsverzeichnis die Attribute „System“ und „verdeckt“ zu setzen. Sollte aber keines der beiden Attribute gesetzt werden können, so löscht die Malware alle Schlüssel aus der Registry, die zu TeamViewer gehören.

Im verschlüsselten System-Verzeichnis auf der Festplatte befinden sich die ausführbare Systemdatei (*.exe), die Konfigurationsdatei und eine Bibliothek. In der Konfigurationsdatei werden alle Informationen abgelegt, die die Malware für ihre reibungslose Funktionalität benötigt. Die Bibliothek dient als Speicherort für die Namen von Verwaltungsservern, von denen der Trojaner verschiedene Befehle erhalten kann. Der komplette Datenaustausch mit dem Verwaltungsserver erfolgt dabei stets verschlüsselt.

Bisher nutzen Trojaner TeamViewer nur dazu, um einen unerlaubten Zugang zum infizierten Rechner zu erhalten. BackDoor.TeamViewer.49 ist in der Lage, verschiedene Befehle auszuführen, wie z.B.:

  • Disconnect – willkürlicher Abbruch der Verbindung;
  • Idle – Aufrechterhalten der Verbindung, auch gegen den Willen des Benutzers;
  • Updips – selbständiges Update der auth_ip Liste;
  • Connect – Kontaktaufnahme mit dem Verwaltungsserver.

Das bedeutet, dass der Trojaner beispielsweise in der Lage ist, eine Verbindung mit einem Remote-Server (inkl. Autorisierung) aufzubauen. Danach leitet er den Traffic über den infizierten Rechner an eine vordefinierte Adresse weiter. Dadurch können Cyber-Kriminelle ihre Spuren verwischen und eine Verbindung zu Remote-Befehlszentren über einen infizierten PC als Proxy-Server herstellen.

Anwender, die Doctor Web Sicherheitsprodukte nutzen, sind optimal vor Trojan.MulDrop6.39120 und BackDoor.TeamViewer.49 geschützt.

Doctor Web dankt dem Suchmaschinenanbieter Yandex für die Bereitstellung des Schädlingsmusters.

Weitere Informationen zum Trojaner gibt es hier.

GRID LIST
Hacker

Anstieg des CEO-Frauds beobachtet

Das Volumen von Phising-Nachrichten mit CEO-Fraud-Inhalt, die gemeldet wurden, hat sich…
Hacker Kamera

Zero‑Day‑Schwachstelle in Videoüberwachungs‑Software entdeckt

Mit der „Peekaboo” getauften Schwachstelle können Cyberkriminelle die Aufnahmen…
Hacker

Kryptomining-Malware in Kodi Add-ons enttarnt

Die Benutzer von Kodi sollten sich ihre installierten Zusatzprogramme nochmal ganz genau…
Hacker

Hacker-Gruppe LuckyMouse signiert Malware mit legitimem Zertifikat

Die Experten von Kaspersky Lab (GReAT) haben mehrere Infektionen eines bisher unbekannten…
Trojaner

Verbreitung von Mining-Trojanern für Windows und Linux

Im vergangenen Monat gerieten erneut Mining-Trojaner in das Visier der Virenanalysten von…
Schloss

Wie lassen sich falsche Webzertifikate ausstellen?

Ein Forscherteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in…
Smarte News aus der IT-Welt