Trojan-Downloader.OSX.Flashfake

Hauptgruppierung: TrojWare

Trojaner sind schädliche Programme, die Aktionen ausführen, die vom Benutzer nicht autorisiert sind: Sie löschen, blockieren, ändern oder kopieren Daten und stören die Leistung von Computern oder Computernetzwerken. Im Gegensatz zu Viren und Würmern können die Bedrohungen, die in diese Kategorie fallen, keine Kopien von sich selbst erstellen oder sich selbst replizieren.

Trojaner werden nach ihrer Aktion auf einem infizierten Computer klassifiziert.

Kategorie: Trojan-Downloader

Als Trojan-Downloader klassifizierte Programme laden neue Versionen von Schadprogrammen, einschließlich Trojanern und AdWare, auf die Opfercomputer herunter und installieren sie. Nach dem Herunterladen aus dem Internet werden die Programme gestartet oder in eine Liste von Programmen aufgenommen, die beim Hochfahren des Betriebssystems automatisch ausgeführt werden.

Informationen über die Namen und Standorte der heruntergeladenen Programme befinden sich im Trojaner-Code oder werden vom Trojaner aus einer Internet-Ressource (normalerweise einer Webseite) heruntergeladen.

Diese Art von bösartigem Programm wird häufig bei der Erstinfektion von Besuchern von Websites verwendet, die Exploits enthalten.

Mehr Informationen

Plattform: OSX

No platform description

Beschreibung

Technische Details

Eine Malware-Familie für Mac OS X. Die ersten Versionen dieser Art von Bedrohung wurden im September 2011 entdeckt. Im März 2012 wurden weltweit über 600.000 Computer von Flashback infiziert. Die infizierten Computer wurden in einem Botnetz zusammengefasst, das es Cyberkriminellen ermöglichte, nach Belieben zusätzliche bösartige Module zu installieren. Eines der Module ist dafür bekannt, falsche Suchmaschinenergebnisse zu generieren, die falsche Ergebnisse für Nutzer anzeigen und durch "Klickbetrug" Gewinne für Cyberkriminelle generieren. Es ist durchaus möglich, dass Cyberkriminelle nicht nur den Suchmaschinenverkehr abfangen, sondern auch andere bösartige Module auf infizierte Computer hochladen können - beispielsweise für Datendiebstahl oder Spam-Verbreitung.

Ein Trojaner-Programm, das andere schädliche Programme aus dem Internet herunterlädt und sie ohne Wissen des Benutzers auf einem Opfercomputer startet. Das Programm ist eine Mac OS X (Mach-o) -Anwendung. Es ist zwischen 19.384 und 200.876 Bytes groß. Es ist in C ++ geschrieben.

Nutzlast

Nach dem Start versucht der Trojaner, weitere schädliche Module hochzuladen. Alle 24 Stunden versucht der Trojaner, sich mit 30 Standorten zu verbinden, wobei 5 Domänennamen generiert werden, während weitere 25 im Schadcode selbst enthalten sind. Eine dieser zufällig ausgewählten Websites hostet den C & C-Server des Botnets, der von Cyberkriminellen eingesetzt wird. Die Domains haben Namen wie:

jobijoolkfip4oasdkf.comithfmmcoo400dmsddditofdl.comutu9nnmkrogjfldoritvz.com999rjjfnvmvciwepoqwejdsadkf.comighrueokdhfcnnsjwwqqllxz.comitgii5fmmjmsppperujvmsdkkff.comjtierodoxzwerkolun.comiruifjckdlfqwexzcnvdkffd.comall-nachtmexicansoftstore.comcallmetonight911.comoversellingresourcestoday.comfasttrackanddeliverytoyourdoors.comtrustedoftappstore.comfantastischappstore.commegastoreapps.comcatholicapstorecloud.combestcatholicianappstoretoday.comonlinesoftstoreofweekend.comknockoutpricesappstoreeveryday.comsvupsvc.comajovgdekxrmw.comggatocowtonwpn.comwxsrnrskapelhy.comouspjintgjsrw.com 

Der Trojaner speichert die heruntergeladenen Module in den folgenden Anwendungsordnern:

/Applikationen/Safari.app//Anwendungen/Firefox.app/etc.

Die heruntergeladenen Dateien können mit der UUID der Opfermaschine verschlüsselt werden. Wenn der Trojaner erfolgreich geladen wurde, sendet er eine Benachrichtigung an seine Besitzer:

http://adobesoftwareupdate.com/counter/http://78.46.139.211/jcounter/    etc.

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com