Rubrik: Virenwarnung/Statistiken

Malware: Gumblar aktuell gefährlicher als Conficker/Kido

Kaspersky Lab veröffentlicht ihre Top-20-Listen der Schadprogramme für den Oktober 2009

(13.11.09) - Kaspersky Lab präsentiert für den Oktober ihre zwei Top-20-Listen der häufigsten Schädlinge. Die mit Hilfe des Kaspersky Security Network (KSN) gewonnenen Daten basieren auf Rückmeldungen der Heimanwender-Programme "Kaspersky Anti-Virus" und "Kaspersky Internet Security". Aufgelistet werden zum einen die am weitesten verbreiteten Schad- und Werbepro-gramme und zum anderen, mit welchen Schadprogrammen die Anwendercomputer am häufigsten infiziert waren.

Die erste Hitliste zeigt die am weitesten verbreiteten Schad- und Werbeprogramme (Malware und Adware):

Der im September erstmals in Erscheinung getretene Net-Worm.Win32.Kido.ir belegt Platz eins und verdrängt damit den Dauerspitzenreiter Kido.ih. Zum "altbekannten" Wurm Autorun.dui gesellt sich nun der ähnlich aufgebaute Autorun.awkp, der direkt auf Platz neun landete. Dahinter verbergen sich ebenfalls schädliche Dateien, die den automatischen Start von Schädlingen auf Wechseldatenträgern initiieren.

Im Oktober kehrten einige bereits bekannte Vertreter in die erste Hitliste zurück: Packed.Win32.Black.a, Packed.Win32.Klone.bj und Trojan.Win32.Swizzor.b. Neben Black.a schaffte es auch eine neue Version des Schädlings, nämlich Black.d, in die Liste der 20 am weitesten verbreiteten Schad- und Werbeprogramme. Zur Familie Packed.Win32.Black gehören Programme, die mit unlizenzierten Versionen legaler Tools zum Schutz ausführbarer Dateien gepackt wurden. In diesem Fall mit dem unter Cyberkriminellen beliebten Progamm ASProtect.

Bei dem Multimedia-Downloader GetCodec.s handelt es sich um einen direkten Verwandten von GetCodec.r.

Die früher sehr populäre Schädlings-Familie Magania wurde im Oktober ebenfalls wieder aktiviert - im Juli gelang dem Trojan-GameThief.Win32.Magania.biht der Sprung in die Top 20 der im Internet am stärksten verbreiteten Schadprogramme. Im Oktober schaffte es jetzt die neue Version - Magania.cbrt - sowie der mit dieser Familie in Verbindung stehende Trojan-Dropper.Win32.Agent.ayqa in die Top 20.

Zwischenfazit: Im Oktober 2009 gab es eine starke Verbreitung von Schadprogrammen mit Hilfe digitaler Wechseldatenträger sowie eine zwar geringe, aber trotzdem spürbare Aktivierung von Game-Trojanern.

Die zweite Hitliste zeigt, mit welchen Schadprogrammen Anwender ihre PCs beim Surfen im Internet am häufigsten infiziert haben:

Wie so oft, gibt es bei der zweiten Hitliste viele Neueinsteiger. Die ersten beiden Plätze belegen neue Versionen des Trojan-Downloaders Gumblar, der bereits im Mai dieses Jahres für Aussehen sorgte. Obwohl diese erst Ende des Monats auftauchten, konnten sie sich direkt auf den Spitzenplätzen positionieren.

Die neuen Gumblar-Versionen verfügen im Vergleich zu ihren Vorgängern über ausgereifte Technologien zur Infizierung von Webseiten. In der ersten Version wurden legale Webseiten direkt mit einem Skript infiziert. Aktuell werden auf gehackten Seiten Links auf schädliche Skripte platziert, die auf anderen legalen infizierten Ressourcen liegen. Dies erschwert die Analyse und Desinfizierung enorm. Das Skript selbst versucht, verschiedene Sicherheitslücken im Adobe Acrobat/Reader, im Adobe Flash Player und in Microsoft Office auszunutzen, um das eigentliche Schadprogramm - Trojan-PSW.Win32.Kates.j - zu laden. Das Skript lädt Kates.j auf den Anwendercomputer herunter und verschiebt es sofort in Autostart-Ordner. Der eigentliche Zweck von Gumblar ist aber der Diebstahl vertraulicher Anwenderdaten, darunter die Zugangsdaten zu den Webseiten von Anwendern, um diese später infizieren zu können.

Die Aufteilung schädlicher Skripte in ihre Einzelteile erfreut sich bei Cyberkriminellen immer größerer Beliebtheit. Im Oktober war ein Viertel der 20 in der zweiten Hitliste vertretenen Schädlinge nach diesem Prinzip aufgebaut, und zwar: Trojan-Downloader.JS.Zapchast.n, Trojan-Downloader.JS.Small.oj, Exploit.JS.Agent.apw, Trojan.JS.Zapchast.an, Trojan-Downloader.JS.Agent.env.

Fazit: Die größte Gefahr ging im Oktober von Gumblar und die dadurch verursachte Massen-infizierung legaler Webseiten aus. (Kaspersky: ma)