Security: Neuer Bot nistet sich im Speicher ein
(Bild: Sophos)

Security Neuer Bot nistet sich im Speicher ein

Ein neu entdeckter Bot arbeitet im Arbeitsspeicher und ist damit weitaus schwerer aufzuspüren. Die Infizierung erfolgt aber auf herkömmliche Weise. Noch handelt es sich um einen Prototyp.

Anzeige

Eine neuartige Malware lädt bösartigen Programmcode in den Arbeitsspeicher und führt ihn dort aus. Das macht es ungleich schwieriger, ihn aufzuspüren, da er verschlüsselt übertragen und nicht auf der Festplatte abgelegt wird. Noch handelt es sich um einen Prototyp, sagen die Sicherheitsexperten von Sophos Labs.

Bei ihren Recherchen zu einem Angriff, der ihnen gemeldet wurde, stießen die Sophos-Forscher auf einen offensichtlich experimentellen Schadcode, den Malware-Entwickler in einem Feldversuch prüfen, samt Debugging-Informationen. Die dort enthaltene digitale Signatur wurde bereits in einem anderen Zero-Day-Exploit verwendet, den Experten bei Kaspersky Labs aufgedeckt hatten.

Infektion über Flash

Die neue Malware infiziert einen Rechner auf einem herkömmlichen Weg - nämlich über einen Link in einer Spam-E-Mail. Dieser führte auf einen Server in der Türkei, auf dem die Schadsoftware liegt. Sie nutzt eine Schwachstelle in Adobe Flash aus. Gegenwärtig zielt die Malware auf den Firefox-Browser ab. Erst nachdem die Sicherheitsexperten nachgeholfen hatten, konnten sie die experimentelle Schadsoftware ausführen.

Die landet unter dem Namen Scode.dll samt den Shellcode-Dateien Scodeexp.txt und Scode.txt auf dem Rechner eines Opfers. Die Shellcode-Dateien sind entweder an Windows XP oder an andere Windows-Versionen angepasst. Sie legen die ausführbare Datei Taskmgr.exe, die in Scode.dll eingebettet ist, in einem Temp-Ordner ab und laden eine weitere Datei namens Explorer.exe herunter, die wiederum als IAStorIcon.exe im Autostart-Ordner abgelegt wird. Ab diesem Zeitpunkt ist der Rechner infiziert und bleibt es auch nach einem Neustart.

Bot entdeckt

Hier stießen die Forscher auf Links zu zwei Debug-Dateien. Die Dateien seien ein Hinweis darauf, dass es sich um experimentelle Malware handele, schreiben die Sicherheitsexperten.

Die umbenannte Explorer.exe ist mit einem gültigen Zertifikat signiert, mit dem bereits andere Malware signiert ist. Sophos' Antivirensoftware erkennt diese unter dem Namen Troj/FSBSpy-B. IAStorIcon.exe entpuppte sich als Bot, der sich mit einem Command-and-Control-Server in den Niederlanden verbindet.

Der Bot hat drei grundlegende Funktionen: Er liest Systeminformationen aus und kann aus der Ferne gesteuert werden, um Screenshots aufzunehmen und herunterzuladen sowie weiteren Schadcode zu beziehen und auszuführen. Die Kommunikation mit dem Command-and-Control-Server erfolgt verschlüsselt nach AES. Der Schlüssel ist in der Datei IAStorIcon.exe eingebettet. Der Bot überträgt Auskünfte über die CPU, den Arbeitsspeicher, den Festplattenspeicher sowie eine Liste installierter Software.

Verschlüsselte Übertragung

Der heruntergeladene Schadcode werde aber nicht auf der Festplatte gespeichert, sondern im Arbeitsspeicher zu einer ausführbaren Datei zusammengestellt und ausgeführt. Die Datei IAStorIcon.exe übernehme dabei Funktionsimporte, Speicherzuordnungen oder Ähnliches, etwa wie es ein Betriebssystem ebenfalls mache, schreiben die Sicherheitsexperten. Sobald der Schadcode im Speicher ist, werde er gestartet - ohne eigenen Prozess oder Thread. Das sei nicht nur ungewöhnlich, so die Experten, sondern erschwere auch die Erkennung der Malware.

Noch ist die Malware aber mit Debug-Nachrichten versehen. Wenn die Datei IAStorIcon.exe über den Systemprozess mit der ID 4 gestartet werde, sei sie ziemlich mitteilsam, schreiben die Forscher.


Endwickler 17. Feb 2013

Nein. Kenne Windowsnutzer, die auch Ubuntu hernahmen und das hatte ihnen einfach nicht...

DylanD09 15. Feb 2013

@EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer...

DylanD09 15. Feb 2013

Genau das meinte ich. Wäre ein gutes Feature (aus der Sicht der Kriminellen). Es kann...

Endwickler 15. Feb 2013

Soweit ich das erkennen kann, ist diese von dir gemeinte Kasperskymeldung schon fast ein...

ck2k 15. Feb 2013

Steam fragt mich vorher.

Kommentieren



Anzeige

  1. Software-Entwickler in der Qualitätssicherung (m/w)
    Bernecker + Rainer Industrie-Elektronik Ges.m.b.H., Essen
  2. IT-Ingenieur/in für Servernetze
    Landeshauptstadt München, München
  3. IT Security Manager (m/w)
    SITA Deutschland GmbH, Köln
  4. Strategischer Einkäufer (m/w)
    KHS GmbH, Dortmund

Detailsuche


Blu-ray-Angebote
  1. NEU: Serien bis zu 40% reduziert
    (u. a. Vikings 1. Season 14,97€, Homeland 3. Season 17,97€, Fargo 1. Season 24,97€, American...
  2. NEU: Blu-rays je 7,97 EUR oder günstiger
    (u. a. Dallas Buyers Club, Mud - Kein Ausweg, The Body, Die Höhle, Sylvester Stallone vs. Dolph...
  3. VORBESTELLBAR: Der Hobbit 3 - Die Schlacht der fünf Heere - Extended/Sammler Edition [3D Blu-ray] [Limited Edition]
    79,99€ (Vorbesteller-Preisgarantie)

Weitere Angebote


Folgen Sie uns
       


  1. TV-Kabelnetzbetreiber

    Tele Columbus startet Mobilfunktarif für 20 Euro

  2. Projekt Airbos

    Nasa fotografiert Überschall-Druckwellen

  3. IP-Spoofing

    Bittorrent schließt DRDoS-Schwachstelle

  4. Berlin

    Schüler muss wegen Whatsapp-Sexting Schmerzensgeld zahlen

  5. Star Citizen

    Entwickler veröffentlichen Social Module

  6. Serious Games

    Empörung über "Sklaven-Tetris"

  7. Generationen-Fernsehen

    Sony-Lautsprecher ist zugleich Fernbedienung fürs TV

  8. Miaow

    Offene GPGPU-Architektur vorgestellt

  9. Satellit

    Neuer 4K-Demokanal bei SES Astra

  10. Test Lost Horizon 2

    Agenten, Artefakte - und technische Probleme



Haben wir etwas übersehen?

E-Mail an news@golem.de



Rare Replay im Test: Banjo, Conker und mehr im Paket
Rare Replay im Test
Banjo, Conker und mehr im Paket
  1. Microsoft Warum Quantum Break nicht für Windows erscheint
  2. Xbox One DVR-Funktion erscheint vorerst nicht in Deutschland
  3. Xbox One Frische Farben für die neue Nutzerführung

Honor 7 im Hands on: Neues Honor-Smartphone kommt für 350 Euro nach Deutschland
Honor 7 im Hands on
Neues Honor-Smartphone kommt für 350 Euro nach Deutschland

Windows 95 im Test: Endlich lange Dateinamen!
Windows 95 im Test
Endlich lange Dateinamen!
  1. Tool Microsoft Snip erzeugt Screenshots mit Animationen und Sprachmemos
  2. Microsoft Neuer Insider-Build von Windows 10
  3. Vor dem Start von Windows 10 Steigender Marktanteil für Windows 7

  1. Wechsel der Bezeichnungen, Strafe, Strafmündigkeit

    philosophos | 19:40

  2. Re: Falltest auf Asphalt

    Jasmin26 | 19:39

  3. OT: Drecks Router von Tele Columbus

    Eheran | 19:39

  4. Re: Lollipop-Smartphone

    Jasmin26 | 19:38

  5. Re: In dem alter ein Smartphone?

    /mecki78 | 19:32


  1. 18:54

  2. 18:48

  3. 18:35

  4. 18:11

  5. 17:54

  6. 17:28

  7. 16:57

  8. 16:39


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel