USU World 2018
06.06.18 - 07.06.18
In World Conference Center Bonn

CEBIT 2018
11.06.18 - 15.06.18
In Hannover

ERP Tage Aachen
19.06.18 - 21.06.18
In Aachen

next IT Con
25.06.18 - 25.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

Trojanisches PferdNutzer, die TeamViewer verwenden, sollten zukünftig ganz besondere Vorsicht walten lassen. Denn die Sicherheitsanalysten von Doctor Web haben vor kurzem einen neuen Trojaner entdeckt, der sich über die Fernwartungssoftware verbreitet. 

BackDoor.TeamViewer.49 tarnt sich dabei als Update für Adobe Flash Player und installiert gleichzeitig einen weiteren Trojaner mit der Bezeichnung Trojan.MulDrop6.39120. Im Fokus stehen dabei Endgeräte, die unter dem Betriebssystem Windows laufen.

Sobald die Installationsdatei ausgeführt wird, öffnet sich ein täuschend echt aussehendes Fenster mit dem gewohnten Layout von Adobe, während sich im Hintergrund die Bibliothek avicap32.dll in den Hauptspeicher des Rechners schreibt. Sobald der TeamViewer gestartet wird, aktiviert sich automatisch auch der Trojaner: Er löscht dann die Desktop-Verknüpfung aus dem Systemtray von Windows und unterdrückt gleichzeitig etwaige Fehlermeldungen. Daneben unterbindet er ein wiederholtes Starten des Programms auf dem infizierten PC.

Mit Dr.Web optimal geschützt

BackDoor.TeamViewer.49 schreibt sich in das Autostart-Menü und versucht, für sein Installationsverzeichnis die Attribute „System“ und „verdeckt“ zu setzen. Sollte aber keines der beiden Attribute gesetzt werden können, so löscht die Malware alle Schlüssel aus der Registry, die zu TeamViewer gehören.

Im verschlüsselten System-Verzeichnis auf der Festplatte befinden sich die ausführbare Systemdatei (*.exe), die Konfigurationsdatei und eine Bibliothek. In der Konfigurationsdatei werden alle Informationen abgelegt, die die Malware für ihre reibungslose Funktionalität benötigt. Die Bibliothek dient als Speicherort für die Namen von Verwaltungsservern, von denen der Trojaner verschiedene Befehle erhalten kann. Der komplette Datenaustausch mit dem Verwaltungsserver erfolgt dabei stets verschlüsselt.

Bisher nutzen Trojaner TeamViewer nur dazu, um einen unerlaubten Zugang zum infizierten Rechner zu erhalten. BackDoor.TeamViewer.49 ist in der Lage, verschiedene Befehle auszuführen, wie z.B.:

  • Disconnect – willkürlicher Abbruch der Verbindung;
  • Idle – Aufrechterhalten der Verbindung, auch gegen den Willen des Benutzers;
  • Updips – selbständiges Update der auth_ip Liste;
  • Connect – Kontaktaufnahme mit dem Verwaltungsserver.

Das bedeutet, dass der Trojaner beispielsweise in der Lage ist, eine Verbindung mit einem Remote-Server (inkl. Autorisierung) aufzubauen. Danach leitet er den Traffic über den infizierten Rechner an eine vordefinierte Adresse weiter. Dadurch können Cyber-Kriminelle ihre Spuren verwischen und eine Verbindung zu Remote-Befehlszentren über einen infizierten PC als Proxy-Server herstellen.

Anwender, die Doctor Web Sicherheitsprodukte nutzen, sind optimal vor Trojan.MulDrop6.39120 und BackDoor.TeamViewer.49 geschützt.

Doctor Web dankt dem Suchmaschinenanbieter Yandex für die Bereitstellung des Schädlingsmusters.

Weitere Informationen zum Trojaner gibt es hier.

GRID LIST
Tb W190 H80 Crop Int 3d92b16f38ec40420417ec6e95879516

Versteckte Malware lauert häufig im Verborgenen

Der erschienene Verizon Data Breach Investigations Report 2018 offenbart das Ausmaß der…
Gérard Bauer

Vermeintlich russische Cyberattacken auf westliche IT-Infrastrukturen

Am Montag erklärten das US-Heimatschutzministerium, das FBI und das britische National…
Paul Parker

Cybersecurity im Gesundheitswesen

Nach Ansicht von Paul Parker, Cheftechnologe des Geschäftsbereichs für Regierungsbehörden…
Tb W190 H80 Crop Int 0a77a97abba355a6171f9e666819821a

Minecraft: Spieler sind von Schadsoftware in modifizierten „Skins“ bedroht

Eine Datenanalyse der vergangenen 30 Tage von Avast ergab, dass nahezu 50.000…
Tb W190 H80 Crop Int Cb37aa6c2115131c19c11ce3765ccfaf

Linux-Update mit Spectre- und Meltdown-Absicherung

Linux-Version 4.16 ist freigegeben. Neben einer optimierten Akkulaufzeit überzeugt die…
Kryptomining

Kryptomining – des einen Gewinn, des anderen Verlust

Kryptowährungen sind derzeit in aller Munde. Doch während sich das sogenannte Schürfen,…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security