- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Sathurbot: Botnet greift WordPress-Seiten an


Trojaner verbreitet sich über File-Sharing-Seiten, auf denen Nutzer Torrents für angeblich kostenlose Filme und Dateien herunterladen
Nutzer, die von Sathurbot betroffen sind, können mit einem Drittanbieter-Dateimanager die bösartige .DLL entlarven, mit dem Taskmanager explorer.exe und/oder rundll32.exe terminieren und die betreffende .DLL löschen

- Anzeigen -





Kostenlose Filme und Software: Damit lockt der Trojaner Sathurbot Nutzer, um ihre Rechner zu infizieren und mit einem wachsenden Botnet WordPress-Webseiten anzugreifen. Der europäische Security-Software-Hersteller Eset hat Sathurbot analysiert und stellt die Ergebnisse in einem ausführlichen Bericht vor.

Sathurbot hat es auf Webseiten abgesehen die das Content Management System WordPress verwenden. Mit mehr als 5.000 grundlegenden generischen Wörtern versucht die Malware, Anmeldeinformationen für WordPress-Webseiten zu erstellen. Verschiedene Bots im Sathurbot-Botnet probieren unterschiedliche Anmeldeinformationen auf der gleichen Website aus. Jeder Bot versucht aber nur einen einzigen Login pro Seite und wechselt danach zur nächsten. Dieses Verhalten stellt sicher, dass ein Bot nicht anhand seiner IP-Adresse erkannt und für zukünftige Versuche gesperrt wird.

Sathurbot verbreitet sich über File-Sharing-Seiten, auf denen Nutzer Torrents für angeblich kostenlose Filme und Dateien herunterladen. Die Torrent-Datei dient Sathurbot als Transfermedium: Sobald ein Nutzer die Datei ausführt, kapert der Trojaner den Rechner und stellt eine Verbindung zu einem Command and Control (C&C)-Server her, sodass der Computer in das Botnet integriert wird.

So schützen sich Nutzer gegen Sathurbot
Nutzer, die von Sathurbot betroffen sind, können mit einem Drittanbieter-Dateimanager die bösartige .DLL entlarven, mit dem Taskmanager explorer.exe und/oder rundll32.exe terminieren und die betreffende .DLL löschen. Danach muss der Computer neu gestartet werden. Um einer Infektion des Rechners mit Sathurbot vorzubeugen, sollten Nutzer keine Dateien ausführen, deren Ursprung nicht einwandfrei geklärt ist. Außerdem sollten sie keine Software von File-Sharing-Seiten beziehen. (Eset: ra)

eingetragen: 18.04.17
Home & Newsletterlauf: 24.04.17


Eset: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Lua: Flexibilität durch Modularität

    Eset hat eine neue Malware-Familie entdeckt, die es auf GNU/Linux-Systeme abgesehen hat. Ähnlich wie andere Malware nutzt Linux/Shishiga zur Verbreitung schwache Telnet- und SSH-Anmeldeinformationen aus. Neu ist allerdings die Verwendung des BitTorrent-Protokolls sowie der Skriptsprache Lua. Die Malware verwendet Lua wegen ihrer Flexibilität durch Modularität sowie vier verschiedene Protokolle: SSH, Telnet, HTTP und BitTorrent. Letzteres wurde bereits vergangenes Jahr im vom Mirai-Botnet inspirierten Wurm Hajime genutzt. Die Forscher von Eset gehen davon aus, dass BitTorrent sich in Zukunft zunehmender Beliebtheit bei Malware-Entwicklern erfreuen wird.

  • Botfrei warnt vor Phishing-SMS

    Zahlreiche Nutzer in Deutschland erhielten im April gefälschte SMS. Diese gaben vor, vom Freemailing-Anbieter GMX zu stammen. Doch tatsächlich verbreiteten Cyberkriminelle massiv diese Kurznachrichten mit dem Ziel, Nutzernamen und Passwörter für das E-Mail-Konto der Kunden auszuspionieren. Einen Hinweis darauf, dass hier Cyberkriminelle am Werk sind, lieferten unter anderem die Rechtschreibfehler im SMS-Text: "Ihr Konto wurde im Prüfungsprozess nicht freigegeben. Um die Aussetzung zu vermeiden melden Sie sich bitte bei Ihrem Konto an: hxxp://anmelden.gmx-dc.com/"

  • ATMitch-Fall vervollständigt das Bild

    Als Bankangestellte einen ausgeraubten Geldautomaten vorfanden, ohne erkennbare Spuren physischer Gewaltanwendung oder Malware, standen sie vor einem Rätsel. Die Experten von Kaspersky Lab konnten jetzt in einer zeitaufwendigen Untersuchung die Vorgehensweise der Cyberkriminellen aufdecken: nach einem "fileless" Einbruch ins Banknetzwerk lassen sich mit der Malware ATMitch Geldautomaten in sekundenschnelle und ohne wirklich nachzuverfolgende Spuren ausrauben. Kaspersky Lab veröffentlichte im Februar 2017 einen Bericht über mysteriöse Attacken gegen Banken, die "fileless" beziehungsweise dateilos durchgeführt wurden. Dabei griffen Cyberkriminelle Netzwerke von Banken mit im Speicher versteckter Malware an. Es stellte sich damals die Frage nach dem wahren Grund der Attacken. Der ATMitch-Fall vervollständigt nun das Bild.

  • Turla-Malware wird stetig weiterentwickelt

    Seit geraumer Zeit attackiert die Cyberspionage-Gruppe, die hinter der Turla-Kampagne steckt, immer wieder hochrangige Institutionen in Europa und den USA. Malware Forscher von Eset haben jetzt eine neue Version der Backdoor Carbon entdeckt, die zur Grundausrüstung der Turla-Gruppe gehört. Die Ergebnisse der Analyse präsentiert Eset in einem ausführlichen Bericht. Die Turla-Gruppe entwickelt ihre Malware konstant weiter: In den drei Jahren Entwicklungszeit von Carbon konnten Eset Forscher bis dato acht aktive Versionen identifizieren. Zudem geht die Gruppe bei ihren Angriffen sehr umsichtig vor. Zunächst werden die Systeme potenzieller Opfer ausspioniert, bevor ausgefeilte Tools wie Carbon zum Einsatz kommen.

  • Keine harmlose Erweiterungen im Google Web Store

    Eset beobachtet eine zunehmende Bedrohung durch Malware, die den Webbrowser Chrome kompromittiert. Die Malware leitet den Browser des Benutzers auf eine Webseite um, die schädliche Inhalte enthält. Eset erkennt die Malware als JS/Chromex.Submelius und informiert über die Funktionsweise ausführlich in einem Blogpost. Die Security-Experten von Eset haben die Malware unter anderem auf Webseiten entdeckt, über die Filme online gestreamt werden können. Beim Klick auf eine Wiedergabe-Option öffnet sich fast unbemerkt ein neues Fenster im Browser. Das Pop-Up ist jedoch nicht einfach nur Werbung, sondern blendet einen Warnhinweis ein, der dafür sorgt, dass der Nutzer das Fenster nicht schließen kann. Er wird gezwungen, auf "akzeptieren" zu klicken und wird damit in den Chrome Web Store weitergeleitet. Hier werden dem Nutzer scheinbar harmlose Chrome Erweiterungen wie "Video Downloader Plus" oder "Cursor Bubble" angeboten. Fügt er diese Erweiterung jedoch zu Chrome hinzu, wird sein Browser kompromittiert.