(openPR) Wenn auch der gerade vergangene Sommermonat Virus-Analytikern keine neuen Exemplare von Malware beschert hat, so bedeutet dies nicht, dass schädliche Programme eine Sommerpause eingelegt haben.
Rückkauf der eigenen Daten
Eine neue Modifikation von Trojan.Encoder.19, den Doctor Web bereits in früheren News beschrieben hat, trat im August auf. Der Encoder verschlüsselt Benutzerdaten, löscht sich selbst und bietet dann dem geschädigten User die Möglichkeit gegen einen Geldbetrag ein Entschlüsselungs-Tool an. Auf diese neue Bedrohung reagierte Doctor Web prompt mit der Bereitstellung eines kostenlosen Entschlüsselungs-Programms.
Vermehrter Versand von Links statt schädlicher Datei-Anhänge
E-Mail ist und bleibt das Transportmittel für Malware. Insbesondere über Dateianhänge oder neuerdings vermehrt über Links in Serienmails gelangt Malware auf die Rechner. Die Links verweisen auf Web-Seiten oder direkt auf schädliche Dateien, deren eingebettete Skripts ein automatisches Herunterladen von Malware initiieren oder den Benutzer zum Herunterladen verführen. In aller Regel erhält der Benutzer einen Link zu Adult-Seiten, häufig im Zusammenhang mit interessanten Prominenten oder die Malware gelangt als so genannter Sturm-Spam auf den Rechner. Eine solche Spam-Mail informiert einen Benutzer über die neuesten Nachrichten, häufig von einer angesehenen Nachrichtenagentur und bietet einen Link zu einem Video im Zusammenhang mit dieser Nachricht an.
Neue polymorphe Packer-Generation
Diese verlinkten Dateien sind ausführbar und mit einer neuen Packer-Generation versehen (auch polymorphe Packer genannt), die ständig variieren und daher schwieriger zu erkennen sind. Diese schädigenden Programme werden von Dr.Web als Modifikationen der Trojan.Fakealert, Trojan.DownLoad oder Trojan.Packed identifiziert. Je nach Intention der Virus-Programmierer können sie weitere Malware herunterladen und starten oder lancieren andere Malware auf dem Computer.
Südossetien als politischer Aufhänger
Politische Ereignisse, die ein weltweites Echo hervorrufen, bleiben auch im Web nie unbemerkt. Im August nutzten Virenschreiber Ereignisse im Zusammenhang mit dem Konflikt in Südossetien aus. Ein Beispiel hierfür ist ein Mailing mit der Betreffzeile "Journalists shot in Georgia" mit dem Anhang Georgia.zip. Der Inhalt des Archivs wird von 'Dr.Web Anti-Virus' als Trojan.Packed.151 identifiziert.
Tarnung als kostenlose Antivirus-Programme
Missetäter nutzen auch den verständlichen Wunsch der Nutzer nach Sicherheit ihrer Informationen aus. Angebote, die das beste kostenlose Anti-Virus-Programm oder ein kritisches Update anbieten, sind mittlerweile einer der beliebtesten Wege bei der Verbreitung von Trojanern. Eines der jüngsten Beispiele ist ein Mailing-Angebot zum Download von Anti-Viren-XP 2008. Sollte ein Benutzer dieses Programm herunterladen und starten, so wird er sicherlich einen Trojaner erhalten, den Doctor Web als Trojan.Fakealert.995 identifiziert hat.
Heutzutage ist ein schädlicher Code im Attachment ein eher seltener Fall. Allerdings wurden im August mehrere Mails mit infizierten Anhängen verschickt, die von Dr.Web als Trojan.Click.19861 und Trojan.Click.19769 identifiziert wurden. An manchen Tagen machten solche Mails 90 Prozent des gesamten malignen E-Mail-Verkehrs aus.
Ein bemerkenswertes Virus
Laut der Doctor Web Virus-Labs entstand Ende August eine neue Variation von Backdoor.Haxdoor, das BackDoor.Haxdoor.559. Diese neue Variante des Backdoor-Virus stiehlt Zertifikate und Passwörter über die Banking-Software KETEFinance sowie von einer beliebten russischen Internet-Banking-Ressource factura.ru, die mit 134 russischen Banken zusammenarbeitet.
Das Virus verbreitet sich über ICQ als GIF-Datei getarnt, die ein verschlüsseltes Skript trägt. Durch das Öffnen der Datei wird automatisch der Download von Komponenten des schädlichen Programms gestartet.
