Vorgebliches Windows-Update enthält Malware

[Christoph]

Derzeit werden Spam-Mails verbreitet, die vorgeblich von Microsoft kommen und zum Download einer vermeintlichen Sicherheitsaktualisierung für Windows auffordern. Zu diesem Zweck ist ein Link enthalten, der jedoch nur scheinbar zur Microsoft-Website zeigt. Vielmehr wird beim Anklicken Malware auf den Rechner geladen.

Vorgebliche Windows-Updates sind seit etlichen Jahren ein beliebter Köder zur Verbreitung von Schädlingen. Im Malware City Blog des Antivirusherstellers Bitdefender berichtet Loredana Botezatu über die jüngste Variante dieser Malware-Falle. Die Mails kommen mit einem Betreff wie "Critical security patch released" und einem gefälschten Microsoft-Absender.

Teile des Textes in der Mail sind 1:1 von Microsofts Website kopiert und wirken daher authentischer als die oft vor Fehlern strotzenden, selbst verfassten Texte der Malware-Verbreiter, deren Muttersprache meist weder Englisch noch Deutsch ist.

Statt wie früher den Schädling gleich als Anhang mitzuschicken, der heutzutage oft durch Mail-Filter aussortiert würde, schicken die Online-Kriminellen nur einen Link mit. Die herunter geladene EXE-Datei ist ein mehrfach mit UPX komprimiertes, selbstentpackendes RAR-Archiv. Es legt drei Dateien im System32-Verzeichnis von Windows ab.

Die Programmbibliothek termsrv.dll ersetzt eine vorhandene Originaldatei gleichen Namens. Die VBScript-Datei core.vbs nimmt etliche Registry-Manipulationen vor, entnimmt deren Werte der dritten Datei, java.reg. Der von Bitdefender als "Trojan.Agent.ARVQ" erkannte Schädling nimmt Verbindung zu einem gehackten Web-Server auf, dem er die IP-Adresse des infizierten Rechners meldet. Er legt auf dem verseuchten PC neue Benutzer an und teilt diese der Gruppe der Administratoren zu. Diese Manipulationen am System bewirken, dass die Angreifer nach Belieben mehrere parallele Fernsteuerungsverbindungen zum verseuchten Rechner aufbauen können.

Bitdefender empfiehlt Sicherheits-Updates für Windows vorzugsweise per automatischem Windows Update herunter zu laden. Wer sie lieber manuell aus dem Web herunter lädt, sollte die digitalen Signaturen der Dateien vor der Installation überprüfen, um sicher zu stellen, dass die Dateien nicht manipuliert sind.

Der nächste offizielle Microsoft Patch Day ist am kommenden Dienstag.

Quelle: http://www.pc-magazin.de/news/vorgeb...e-1157380.html