Anzeige
Security: Neuer Bot nistet sich im Speicher ein
(Bild: Sophos)

Security Neuer Bot nistet sich im Speicher ein

Ein neu entdeckter Bot arbeitet im Arbeitsspeicher und ist damit weitaus schwerer aufzuspüren. Die Infizierung erfolgt aber auf herkömmliche Weise. Noch handelt es sich um einen Prototyp.

Anzeige

Eine neuartige Malware lädt bösartigen Programmcode in den Arbeitsspeicher und führt ihn dort aus. Das macht es ungleich schwieriger, ihn aufzuspüren, da er verschlüsselt übertragen und nicht auf der Festplatte abgelegt wird. Noch handelt es sich um einen Prototyp, sagen die Sicherheitsexperten von Sophos Labs.

Bei ihren Recherchen zu einem Angriff, der ihnen gemeldet wurde, stießen die Sophos-Forscher auf einen offensichtlich experimentellen Schadcode, den Malware-Entwickler in einem Feldversuch prüfen, samt Debugging-Informationen. Die dort enthaltene digitale Signatur wurde bereits in einem anderen Zero-Day-Exploit verwendet, den Experten bei Kaspersky Labs aufgedeckt hatten.

Infektion über Flash

Die neue Malware infiziert einen Rechner auf einem herkömmlichen Weg - nämlich über einen Link in einer Spam-E-Mail. Dieser führte auf einen Server in der Türkei, auf dem die Schadsoftware liegt. Sie nutzt eine Schwachstelle in Adobe Flash aus. Gegenwärtig zielt die Malware auf den Firefox-Browser ab. Erst nachdem die Sicherheitsexperten nachgeholfen hatten, konnten sie die experimentelle Schadsoftware ausführen.

Die landet unter dem Namen Scode.dll samt den Shellcode-Dateien Scodeexp.txt und Scode.txt auf dem Rechner eines Opfers. Die Shellcode-Dateien sind entweder an Windows XP oder an andere Windows-Versionen angepasst. Sie legen die ausführbare Datei Taskmgr.exe, die in Scode.dll eingebettet ist, in einem Temp-Ordner ab und laden eine weitere Datei namens Explorer.exe herunter, die wiederum als IAStorIcon.exe im Autostart-Ordner abgelegt wird. Ab diesem Zeitpunkt ist der Rechner infiziert und bleibt es auch nach einem Neustart.

Bot entdeckt

Hier stießen die Forscher auf Links zu zwei Debug-Dateien. Die Dateien seien ein Hinweis darauf, dass es sich um experimentelle Malware handele, schreiben die Sicherheitsexperten.

Die umbenannte Explorer.exe ist mit einem gültigen Zertifikat signiert, mit dem bereits andere Malware signiert ist. Sophos' Antivirensoftware erkennt diese unter dem Namen Troj/FSBSpy-B. IAStorIcon.exe entpuppte sich als Bot, der sich mit einem Command-and-Control-Server in den Niederlanden verbindet.

Der Bot hat drei grundlegende Funktionen: Er liest Systeminformationen aus und kann aus der Ferne gesteuert werden, um Screenshots aufzunehmen und herunterzuladen sowie weiteren Schadcode zu beziehen und auszuführen. Die Kommunikation mit dem Command-and-Control-Server erfolgt verschlüsselt nach AES. Der Schlüssel ist in der Datei IAStorIcon.exe eingebettet. Der Bot überträgt Auskünfte über die CPU, den Arbeitsspeicher, den Festplattenspeicher sowie eine Liste installierter Software.

Verschlüsselte Übertragung

Der heruntergeladene Schadcode werde aber nicht auf der Festplatte gespeichert, sondern im Arbeitsspeicher zu einer ausführbaren Datei zusammengestellt und ausgeführt. Die Datei IAStorIcon.exe übernehme dabei Funktionsimporte, Speicherzuordnungen oder Ähnliches, etwa wie es ein Betriebssystem ebenfalls mache, schreiben die Sicherheitsexperten. Sobald der Schadcode im Speicher ist, werde er gestartet - ohne eigenen Prozess oder Thread. Das sei nicht nur ungewöhnlich, so die Experten, sondern erschwere auch die Erkennung der Malware.

Noch ist die Malware aber mit Debug-Nachrichten versehen. Wenn die Datei IAStorIcon.exe über den Systemprozess mit der ID 4 gestartet werde, sei sie ziemlich mitteilsam, schreiben die Forscher.


Endwickler 17. Feb 2013

Nein. Kenne Windowsnutzer, die auch Ubuntu hernahmen und das hatte ihnen einfach nicht...

DylanD09 15. Feb 2013

@EvilShepp: Eben, nichts anderes schrieb ich ja, die IAStorIcon.exe muss anhand ihrer...

DylanD09 15. Feb 2013

Genau das meinte ich. Wäre ein gutes Feature (aus der Sicht der Kriminellen). Es kann...

Endwickler 15. Feb 2013

Soweit ich das erkennen kann, ist diese von dir gemeinte Kasperskymeldung schon fast ein...

ck2k 15. Feb 2013

Steam fragt mich vorher.

Kommentieren



Anzeige

  1. Moodle-Administrator (m/w)
    Fachhochschule Südwestfalen, Hagen
  2. ERP-Basis Administrator (m/w)
    Kendrion (Villingen) GmbH, Villingen-Schwenningen
  3. Call Center Mitarbeiter (m/w) Service Center Technik
    Deutsche Telekom Kundenservice GmbH, Nürnberg
  4. Support Engineer (m/w)
    inatec Solutions GmbH, Frankfurt am Main

Detailsuche


Top-Angebote
  1. NUR BIS MONTAG 9 UHR: Saturn Online Only Offers
    (alle Angebote versandkostenfrei, u. a. SanDisk Ultra 64-GB-SDXC 15,00€, Wolfenstein: The New...
  2. Wolfenstein: The New Order Xbox 360 USK 18
    9,99€ inkl. Versand (solange der Vorrat reicht)
  3. Age of Empires 3 Gold Edition
    5,00€ inkl. Versand (solange der Vorrat reicht)

Weitere Angebote


Folgen Sie uns
       


  1. Austauschprogramm

    Apples USB-Typ-C-Kabel macht Probleme

  2. Apples iOS

    Datumsfehler macht iPhone kaputt

  3. Darpa

    Schnelle Drohnen fliegen durch Häuser

  4. Mattel und 3Doodler

    3D-Druck für Kinder

  5. Adobe Creative Cloud

    Adobe-Update löscht Daten auf dem Mac

  6. Verschlüsselung

    Thüringens Verfassungsschutzchef Kramer verlangt Hintertüren

  7. Xeon D-1571

    Intel veröffentlicht sparsamen Server-Chip mit 16 Kernen

  8. Die Woche im Video

    Sensationen und Skandale

  9. Micron

    Von 1Y-/1Z-DRAM-, 3D-Flash- und 3D-Xpoint-Plänen

  10. Hochbahn

    Hamburger Nahverkehr bekommt bald kostenloses WLAN



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Galaxy View im Test: Samsungs Riesentablet scheitert als Fernseher-Alternative
Galaxy View im Test
Samsungs Riesentablet scheitert als Fernseher-Alternative
  1. Lehrer IT-Ausstattung an Schulen weiterhin nicht gut
  2. Huawei Mediapad M2 10.0 Gut ausgestattetes 10-Zoll-Tablet mit Stylus für 500 Euro
  3. Oberschule Weiter zu wenig Computer an den Schulen

Staatliche Überwachung: Die Regierung liest jeden Post
Staatliche Überwachung
Die Regierung liest jeden Post
  1. ÖPNV in San Francisco Die meisten Überwachungskameras sind nur Attrappen
  2. Videoüberwachung Innenministerkonferenz will Body-Cams für alle Polizisten
  3. Schnüffelgesetz Vodafone warnt vor Backdoors im Mobilfunknetz

Unravel im Test: Feinwollig schön und frustig schwer
Unravel im Test
Feinwollig schön und frustig schwer
  1. The Witness im Test Die Insel der tausend Labyrinthe
  2. Oxenfree im Test Urlaub auf der Gruselinsel
  3. Amplitude im Test Beats und Groove auf Knopfdruck

  1. "Datumsfehler macht iPhone kaputt"

    deus-ex | 10:54

  2. Re: Kaputt? so ein Quatsch!

    TheSUNSTAR | 10:52

  3. Re: Wenn ich befürchten muss....

    baltasaronmeth | 10:48

  4. Weil nicht sein kann was nicht sein darf

    pre3 | 10:48

  5. Re: ja und 2. Januar 1970....

    Lemo | 10:46


  1. 11:03

  2. 10:13

  3. 14:35

  4. 13:25

  5. 12:46

  6. 11:03

  7. 09:21

  8. 09:03


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel