Vorsicht Falle: Trojaner tarnt sich als offizielle Mitteilung des Bundeskriminalamtes

Die Sicherheitsexperten von AV-Test Magdeburg haben gestern ein deutschsprachiges Trojanisches Pferd entdeckt, welches unter Windows XP, Vista und Windows 7 läuft und folgende Eigenschaften aufweist, die AV-Test zum ersten Mal in dieser Art und Weise beobachten konnten: Nach dem Download gibt das Trojanische Pferd vor, eine offizielle Mitteilung des Bundeskriminalamtes einzublenden und warnt, dass illegale Aktivitäten auf dem Rechner entdeckt wurden (u. a. Kinderpornographie, Mails mit terroristischen Hintergründen). Aus diesen Gründen müsste der Rechner deshalb gesperrt werden. Bei der Einblendung werden die offiziellen Logos der Bundespolizei, des BKAs, aber auch der Antiviren-Hersteller McAfee, Symantec, Kaspersky und Microsoft verwendet. Der Rechner würde erst nach der Zahlung einer Strafe von EUR 100,- (per UKash-Code) wieder freigeschaltet, wenn keine Zahlung erfolgt, würden sämtliche Daten von der Festplatte gelöscht werden. Der Trojaner blockiert in der Tat sämtliche Zugriffe auf das System (er verlinkt sich u. a. in der Windows-Registry an mehr als 30 Stellen, damit er immer direkt nach dem Systemstart ausgeführt wird; außerdem verhindert er den Zugriff auf die Registry Tools und den Task Manager). Zusätzlich werden für den Internet Explorer sogenannte "Browser Helper Objects" (BHO) installiert und die Standard-Suchseite geändert.

Die Erkennung des Schadprogramms durch gängige Virenscanner ist derzeit noch gering (nur 15 von 32 getesteten AV-Produkten erkennen einen Schädling, aber AV-Test hat allen Herstellern eine Kopie des Trojanisches Pferdes zukommen lassen, sodass bald mit entsprechenden Updates zu rechnen sind.

Der Betrugsversuch wird laut AV-Test an den typischen Merkmalen erkannt: Es sind diverse Rechtschreibfehler in der Mitteilung zu finden (inkl. Wörter mit fehlenden Umlauten). Es werden keine offiziellen Kontaktdaten verwendet, sondern nur eine Mailadresse von einem Free-Mail-Account (hier: Yahoo) angegeben. Es soll ein anonymes Bezahlverfahren verwendet werden, um sich von einer "Strafe" für ein eigentlich schweres Vergehen freizukaufen und seinen Rechner wieder benutzen zu können.

AV-Test empfiehlt, einen Virenscanner bzw. eine Internet Security Suite einzusetzen und regelmäßig zu aktualisieren. Weiterhin sollte man alle (Sicherheits-)Updates für Windows, Office und häufig benutzte Programme zeitnah einspielen.

Da das System nach einer Infektion nicht mehr benutzt werden kann, empfiehlt AV-Test den Einsatz einer Rettungs-CD wie sie von den meisten Herstellern von Schutzsoftware angeboten wird. Diese kann etwa auf einem zweiten PC gebrannt werden. In einigen Fällen ist auch die Installations-CD der Schutzprogramme bootfähig und kann zur Bereinigung eingesetzt werden.