Erpresser-Malware vorgeblich vom Bundeskriminalamt

[Christoph]

Erdbebenkatastrophe und ihre Folgen, um Spendengelder einzukassieren und Malware zu verbreiten. Ein in diesem Zuge eingesetzter Schädling fällt besonders auf. Es handelt sich um ein Trojanisches Pferd, das den PC lahm legt und Lösegeld fordert - vorgeblich im Namen der Bundespolizei.

Nicolas Brulez berichtet im Blog des Antivirusherstellers Kaspersky Lab über Spammer und andere Online-Kriminelle, die sich als Trittbrettfahrer des Erdbebens in Japan betätigen. Unter den Fundstücken der im Zuge dessen verbreiteten Malware ist auch ein deutschsprachiger Vertreter der Kategorie "Ransomware" (Erpresser-Malware). Er wird von Kaspersky als "Trojan-Ransom.Win32.PornoBlocker.jtg" bezeichnet.

Der Schädling blockiert den Rechner und zeigt ein vorgebliche Warnung des Bundeskriminalamts an, dessen angedachte (und wieder verworfene) Zusammenlegung mit der Bundespolizei er schon mal vorweg nimmt. Laut dieser auf dem blockierten Desktop angezeigten HTML-Seite wurde auf dem PC ein "Vertoss festegestellt" - es sollen Seiten mit Kinderpornografie und Sodomie aufgerufen worden sein. Auch entsprechende Videos seien gefunden worden, ferner seien "Emails, in Form von Spam, mit terroristischen Hintergründen" verschickt worden - die ganze Palette also.

Der Rechner würde daher gesperrt, um "Ihre illegalen Aktivitaten zu unterbinden". Um die Sperre aufzuheben, sei der Benutzer "verflichtet, eine Strafe von 100 Euro zu zahlen" (alle Fehler sind original). Sollte dies nicht innerhalb 24 Stunden erfolgen, würde die "Festplatte unwiderruflich formatiert(gelöscht)". Die Zahlung soll - wie bei den falschen Abmahnungen - per Ukash-Coupon erfolgen. Den Coupon-Code sollen die Erpressten in ein HTML-Formular eingeben, das per Javascript an einen bereits nicht erreichbaren Server geschickt werden soll.

Der Schädling registriert sich als Windows-Shell und beendet dann alle Prozesse des Windows Explorer, dem diese Rolle normalerweise obliegt. Außerdem prüft er alle 100 Millisekunden, ob der Explorer oder der Taskmanager gestartet wird und beendet deren Prozesse gegebenenfalls. Der Aufruf eines Programms ist nicht mehr möglich. Was bleibt, ist der Start des Rechners von einer Reparatur-CD oder -DVD, um die Registry zu bereinigen und den Schädling zu entfernen.

Quelle: http://www.magnus.de/news/erpresser-...t-1106113.html

Wird für uns in A wahrscheinlich nicht so tragisch sein.