Doctor Web warnt vor Trojan.Proxy.23012

Veröffentlicht am von
Pressemeldung der Firma Doctor Web Deutschland GmbH

Doctor Web, führender russischer Hersteller von Antivirus- und Antispam-Lösungen, warnt vor dem Schadprogramm Trojan.Proxy.23012, der Massen-Spam-Mails für Angreifern schickt. Durch diverse spezielle Features unterscheidet er sich von anderer Malware.

Trojan.Proxy.23012 wird auf infizierte Computer über andere Schadprogramme wie zum Beispiel Trojan.PWS.Panda.2395 heruntergeladen. Die ausführbare Datei des Trojaners ist mit demselben viralen Packer-Code komprimiert, den auch der als Zeus und Zbot bekannte Trojan.PWS.Panda.2395 verwendet. Aus diesem Grund wird er oft anhand seiner Signatur entdeckt.

Ist Trojan.Proxy.23012 einmal in ein System eingedrungen, wird der Virus entpackt und in den Arbeitsspeicher geladen. Anschließend beginnt die Installation. Das Installationsverzeichnis für dieses Schadprogramm ist abhängig von der Version des Betriebssystems und den Berechtigungen des Accounts, unter dem der Installer läuft. In jedem Fall verändert der Installer die Windows Registry, um sicherzustellen, dass der Trojaner bei Systemstart automatisch startet. Die Schadsoftware versucht zudem, die Benutzerkontensteuerung zu blockieren. In der Endphase der Installation wird der Code des Trojaners in explorer.exe injiziert.

Pierre Curien von Doctor Web: „Das Botnet, das aus mit dem Trojan.Proxy.23012 infizierten Computern besteht, wird von Kriminellen benutzt, um Proxyserver zu kontrollieren. Ziel ist das Versenden von Spam auf Kommando.“

Hat das Programm eine Verbindung zu einem entfernten, Kommandos versendenden Server Command Center hergestellt, erstellt Trojan.Proxy.23012 auf Befehl der Angreifer einen Tunnel, der es den Malware-Programmierern ermöglicht, die Protokolle SOCKS5, SOCKS4 und HTTP (einschließlich der Methoden GET, POST und CONNECT) zu verwenden. Um Spam zu versenden, benutzen die Angreifer SMTP-Services wie gmail.com, hotmail.com und yahoo.com.

Ein charakteristisches Merkmal dieser Malware ist die Art, wie die Bot mit dem Botnet Command-and-Control-Server interagieren: einzelne Hosts werden in Echtzeit ausgewählt, um bestimmte Aktionen durchzuführen. Zusätzlich können Bots, die auf Computern ohne externe IP-Adresse installiert wurden, als Proxyserver dienen. Der Virus hat noch eine weitere Eigenart: er benutzt nur eine Control Server Adresse. Ist diese blockiert, kann er über das Trojan.PWS.Panda.2395 Peer-Netzwerk aktualisiert werden.

Die Signatur des Schädlings wurde der Dr. Web Virendatenbank hinzugefügt. Damit ist Trojan.Proxy.23012 keine ernsthafte Bedrohung für Systeme, die durch Doctor Web-Produkte geschützt werden.



Firmenkontakt und Herausgeber der Meldung:
Doctor Web Deutschland GmbH
Rodenbacher Chaussee 6
63457 Hanau
Telefon: +49 (6039) 939-5414
Telefax: +49 (6039) 939-5415
http://www.drweb-av.de



Dateianlagen:
    • Eine solche Spam-Nachricht kann folgendermaßen aussehen
Das russische Unternehmen Doctor Web Ltd. ist einer der führenden Hersteller von Antivirus- und Anti-Spam-Lösungen mit Hauptsitz in Moskau. Das Doctor Web Team entwickelt seit 1992 Anti-Malware-Produkte und beschäftigt weltweit 190 Mitarbeiter, davon 230 im Research & Development. Doctor Web ist nicht nur Pionier, sondern auch einer der wenigen Anbieter, die ihre Lösungen vollständig innerbetrieblich entwickeln. Das Unternehmen legt großen Wert auf die effektive Beseitigung von Kundenproblemen und bietet schnelle Antworten auf akute Virengefahren. Die umfangreiche Produktpalette von Doctor Web umfasst effiziente Lösungen zur Absicherung von einzelnen Arbeitsplätzen bis hin zu komplexen Netzwerken. Im deutschsprachigen Raum werden die Produkte von der Doctor Web Deutschland GmbH in Hanau vertrieben. Zu den nationalen und internationalen Kunden zählen neben privaten Anwendern namhafte börsennotierte Unternehmen wie Die Bank von Russland, die Russische Bahn, Gazprom oder Arcelor Mittal sowie Bildungseinrichtungen und öffentliche Auftraggeber wie das Russische Verteidigungsministerium. Weitere Informationen finden Sie unter www.drweb-av.de


Weiterführende Links

Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die Huber Verlag für Neue Medien GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die Huber Verlag für Neue Medien GmbH gestattet.