Aktuelle IT-Bedrohungen, Trends 1. Quartal 2006

Aktuelle IT- Bedrohungen, Trends 1. Quartal 2006 Alexander Gostev, Denis Nazarov, Alisa Shevchenko Viren-Analytiker bei Kaspersky Lab Immer gefährlicher wird für den Anwender die Nutzung des Internets. Auch das neue Jahr ist dabei keine Ausnahme. Die Erpressung von Anwendern und die sich sehr schnell entwickelnden verschiedenen Arten des Internet-Verbrechens verlangen nach effektiven Schutzmitteln und Aufklärung der Internet-Anwender. Unser erster Quartalsbericht für 2006 enthält 4 wichtige Themen: 1. Modernes „Cryptoonomicon“ – Neue Fronten stehen sich gegenüber 2. Zielscheibe MacOSX 3. Die Zukunft der Viren 4. Mobile News Erstmalig wurde er von einer Autorengruppe verfasst: Alle drei Autoren - Alexander Gostev, Denis Nazarov und Alisa Shevchenko - sind Viren-Analytiker bei Kaspersky Lab. 1. Modernes „Cryptonomicon“ – Neue Fronten stehen sich gegenüber Wir haben bereits mehrfach über Fälle geschrieben, in denen Übeltäter von der Praxis der getarnten Nutzung eines infizierten PCs (zum Diebstahl von Daten, für die Verwendung innerhalb eines Zombie-Netzes usw.) abwichen und zur direkten Geld- Erpressung bei den Opfern übergingen. Fälle dieser Art wurden erstmalig bereits im Jahre 1989 vermerkt, und nun – 17Jahre später - gibt es sie erneut. Derzeit wird diese Methode über zwei Wege realisiert: - über die Verschlüsselung von Daten - über die Zerstörung von System-Dateien Der Eigentümer eines attackierten Computers wird in beiden Fällen darüber informiert, dass mit seinen Daten etwas passiert ist, im Anschluss wird ihm angeboten, eine bestimmte Geldsumme über ein Zahlungssystem (EGold, WebMoney, etc.) auf das Hacker-Konto zu überweisen. Die geforderten Summen variieren erheblich, je nachdem wie wohlhabend das Opfer für die Hacker erscheint. Uns sind Fälle bekannt, in denen die Übeltäter sowohl 50 als auch über 200 US-Dollar verlangten. Im letzten Jahr gab es zwei bedeutende Beispiele für diese Art des Cyber-Verbrechens: Die Trojaner GpCode und Krotten. Erstgenannter gehört zum Typ der „Daten- Verschlüsseler“, der Zweite begnügt sich mit dem Eintrag einer Reihe Veränderungen in die System-Registry des Computers, was wiederum die Arbeitsunfähigkeit des Systems zur Folge hat. (Krotten) Aktiver war aber der Autor von GpCode: Im vergangenen Jahr entdeckten wir über zwei Dutzend verschiedener Verschlüsselungsarten von Dateien. Er wechselte ständig die Verschlüsselungs-Algorithmen, jedoch gelang es uns in allen Fällen, diese nicht nur zu knacken, sondern auch die Entdeckung und Entschlüsselung der Dateien direkt in den Antivirus-Datenbanken zu verankern, ohne dafür extra Utilities zu erstellen. Mit Beginn des Jahres 2006 versuchten die Autoren dieser Art Programme große Veränderungen der Verschlüsselungs-Methoden der Daten, um den Antivirus- Unternehmen die Entschlüsselung maximal zu erschweren. Im Januar erschien eine neue Modifikation von GpCode, der den Namenszusatz .ac erhielt. Der wichtigste Unterschied war, dass in diesem GpCode erstmalig einer der bekanntesten und sichersten Verschlüsselungs-Algorithmen – RSA – verwendet wurde. Früher schränkte sich der Autor durch selbst erstellte Algorithmen ein, nun aber setzt er seine „schwere Artillerie“ in Gang. Aber zum Glück lag der Erfolg wieder auf unserer Seite. Es gelang uns sogar, die Datei des Trojaners zu finden, welche die Verschlüsselung durchführte. In der überwiegenden Mehrheit der Fälle hatten wir zuvor diese Möglichkeit nicht, denn ein solcher Trojaner entfernt sich nach Beendigung seiner Tätigkeit selbst aus dem System. Mehrere Stunden Code-Analyse im Disassembler führten uns zum Schlüssel, durch den die Daten verschlüsselt waren. Um RSA zu knacken, muss man aber auch noch den Entschlüsselungs-Code kennen, und der war im Trojaner natürlich nicht enthalten. Der Trojaner-Autor machte aber einen wichtigen Fehler: Er nutzte einen zu kurzen Schlüssel – mit einer Länge von 56 Bit. Diesen zu erstellen, mit Kenntnis des Arbeitsalgorithmus von RSA und der vorhandenen Knack-Methoden, kostete unsere Experten nur wenige Minuten! Und wieder wurden also die Dateien unmittelbar in den Antivirus-Datenbanken entschlüsselt, ohne die Erstellung eines zusätzlichen Utilities. Jedoch gaben die Hacker nicht auf. Die traurige Erfahrung ihrer Vorgänger berücksichtigend, entließ jemand (vielleicht war es der GpCode-Autor sogar selbst) im März 2006 einen neuen Vertreter der Klasse „RansomWare“ in die Freiheit. Diese Bezeichnung erhielten ähnliche Trojaner in einigen Artikeln von Antivirus-Unternehmen und unabhängigen Forschern (http://en.wikipedia.org/wiki/Ransomware, http://www.halfbakery.com/idea/Computer_20ransomware). Die Übeltäter wandten sich nun von den Verschlüsselungs-Algorithmen ab, und zwar voll und ganz. Der Trojaner Cryzip nutzte weder RSA, noch AES, noch PGP, sondern suchte im attackierten System nach Dokumenten entsprechend einer großen Liste von Datei-Erweiterungen – unter anderem MS-Office-Dokumente, PDFs, Archive und Bilder. Jede aufgefundene Datei packte er in ein gesondertes ZIP-Archiv mit Passwort. In jedem Verzeichnis hinterließ der Trojaner einen Hinweis für den Anwender in Form einer Datei AUTO_ZIP_REPORT.TXT , in der mitgeteilt wurde, dass die Daten nach Zahlung von 300 US-Dollar auf eines von verschiedenen Konten im Zahlungs-System E-Gold wiederhergestellt werden können. Der Trojaner-Autor teilt freundlich mit, dass als Passwort für die Archive ein Wort mit einer Länge von 10 Symbolen genutzt wurde und somit alle Versuche, es herauszufinden, unsinnig wären. Tatsächlich können existierende Programme für das Zusammenstellen von Passwörtern zu ZIP-Archiven aber nur Passwörter mit einer Länge von 5 Symbolen innerhalb von 5 bis 10 Minuten erstellen, wird das Passwort allerdings bereits auf 6 bis 7 Symbole verlängert, wird dies zu einer langfristigen Aufgabe. Wie sich nachfolgend herausstellte, beschäftigten sich mit dem Passwort-Problem gleichzeitig mehrere Antivirus-Unternehmen. Einigen von ihnen gelang es, die Trojaner- Datei zu finden und über ihre Analyse konnten sie feststellen, welches Passwort für die Archivierung der Dateien verwendet wurde. Wir gingen aber anders an die Sache heran (da wir die Trojaner-Datei nicht hatten) und versuchten dennoch, ein Passwort zu finden, indem wir verschiedene Arten bekannter Crypto-Attacken auf ZIP-Archive dafür nutzten. Wir konnten die Zeit des Bruteforce wesentlich reduzieren. Ich werde hier nicht alle Feinheiten des Prozesses aufdecken, uns gelang es jedenfalls an nur einem Abend das passwortgeschützte Archiv zu knacken. Der Autor nutzte als Passwort den Pfad zum Verzeichnis: «C:\Program Files\Microsoft Visual Studio\VC98» Er dachte wohl, dass selbst wenn sein Trojaner in die Hände der Antivirus- Unternehmen gelangt, die Analytiker diese Zeile als typisch für Dateien, die mit Visual C++ geschrieben sind, betrachten, und nicht als das zu ermittelnde Passwort. Wie auch immer, die Aufgabe der Wiederherstellung der Anwenderdaten wurde durch uns ein weiteres Mal erfolgreich gelöst. Leider gelang es uns nicht, die Wiederherstellung der Daten direkt aus dem Antivirus-Programm zu realisieren. Da aber das Passwort bekannt war, konnte das Problem durch jeden Anwender selbstständig gelöst werden. Noch ein drittes Schadprogramm mit ähnlichem Verhalten sollte an dieser Stelle erwähnt werden: Skowor.b. Im Unterschied zu seiner ersten Modifikation, einem E-Mail- Wurm, verbreitet er sich nicht über E-Mail. Er versucht jedoch, sich über die durch ihn selbst erstellten erweiterten Ressourcen zu verbreiten. Mit GpCode und Cryzip verbindet ihn die Tatsache, dass er nach seinem Start eine Mitteilung für den Anwender anzeigt, in der behauptet wird, dass man, um das Passwort für die Beseitigung des Wurms zu erhalten, den Computer fünfmal neu starten muss. Tut man das nicht, würde der Wurm eine Reihe wichtiger Dateien verschlüsseln und die Administrator- und Anwender-Passwörter auf dem infizierten Computer ändern. Zum Glück enthält der Wurm-Code viele Fehler und nur ein kleiner Teil der Funktionen arbeitet normal. All diese Fakten aus dem ersten Quartal 2006 lassen uns zu folgender Schlussfolgerung kommen: Die „Eroberung von Anwenderdaten durch Erpressung“ ist eine der gefährlichsten und sich sehr schnell entwickelnden Arten des Internet- Verbrechens. In diesem Zusammenhang sollte man Backups von Daten größte Aufmerksamkeit schenken, denn die Gefahr, dass bald bessere Algorithmen zur Verschlüsselung und Archivierung der Daten benutzt werden, ist sehr hoch. Es sollte auch nicht vergessen werden, dass die Trojaner selbst nicht im System erscheinen. Sie können auf dem Computer installiert werden – entweder über im System schon vorhandene Malware oder sie dringen über Browser-Schwachstellen ein. Einziger Schutz ist die Prophylaxe – regelmäßige Antivirus-Überprüfung des Systems und der herunter geladenen Dateien, Installation der Updates für Betriebssystem und Browser, und Backups der wichtigsten Daten. Doch was tun, wenn die Daten schon verschlüsselt sind? Wie man an den genannten Beispielen sieht, sind die Antivirus-Unternehmen in der Lage, dieses Problem zu lösen - und zwar in kürzester Zeit. Deshalb sollten Sie niemals auf die Forderungen der Erpresser eingehen. Überwiesene Gelder bestätigen die Cyber-Verbrecher und so erstellen sie immer wieder neue Modifikationen ihres Schadprogramms. 2. Zielscheibe MacOSX Das Unternehmen Apple ist zweifelsohne eines der wichtigsten der IT-Welt. Die sensationelle Nachricht über die neuen MacOS-Versionen auf Intel-Prozessoren, änderte viele Ansichten über die Zukunft der traditionellen PCs. Bislang waren sie Kampffeld zwischen Windows- und Linux-basierten Plattformen, die Möglichkeit der Nutzung von MacOS ist aber für viele Anwender interessant.