Trojaner Coreflood Wandert selbstständig durchs Netzwerk

Den Köpfen hinter dem Coreflood Trojaner ist es gelungen, ihr Tool äußert effektiv zu gestalten. Zwar muss eine gehörige Portion Geduld beim Einsatz des Schadcodes mitgebracht werden, aber das Ergebnis kann sich sehen lassen. Besonders auf die Zugangsdaten von Onlinebanking-Konten hat es der Schädling abgesehen. Insgesamt konnten die Entwickler knapp 400.000 Rechner mit ihren Produkten infizieren. Ein Trend, der sicherlich auch in Zukunft nicht abreißen und vermutlich noch weitere sechs Jahren herumspuken wird.

Auf das stolze Ergebnis von mehreren hunderttausend infizierten Rechnern können die Entwickler zurückblicken. Alleine 14.000 Computer einer Hotelkette befinden sich in den Fängen von Coreflood und seinen Hintermännern. Hat er sich erst einmal auf einem System eingenistet, kann es allerdings eine Weile dauern, bis er wirklich in vollem Umfang zu Wüten beginnt. Dazu ist das Eingreifen des Systemadministrators erforderlich. Meldet sich dieser an einem befallenen Rechner an, steht Coreflood bereits in den Startlöchern und wartet nur darauf bis ein bestimmtes Administrations-Tool ausgeführt wird. Für das Netzwerk hat dies katastrophale Folgen. Denn Coreflood wurde so entwickelt, dass er sich den Weg durch das Netzwerk und letzten Endes auf alle sich darin befindenden Rechner selbst ebnet.

Im Laufe der Zeit hat sich durch die ausgiebigen Beutezüge eine Datenbank mit der beachtlichen Größe von 50-Gigabyte gestohlenen Daten angesammelt. Darin befinden sich vorwiegend die sensiblen Zugangsdaten zu Onlinebanking-Systemen. Coreflood bedient sich einer Technik, die heutzutage äußerst selten geworden ist. Nur sehr wenige Trojaner besitzen aktuell die Fähigkeit komplette Netzwerke auf eigene Faust zu infizieren. Seit dem Windows-XP Servicepack 2, mit den verbesserten Sicherheitsfeatures, gestaltet es sich für die Hacker mehr als kompliziert ihre Werke durch das Netzwerk zu jagen. Würmer und Viren, die sich selbst durch das Netzwerk kämpfen, sind quasi zur Rarität geworden. "PsExec" stellt bei Coreflood den Schlüssel zum Erfolg dar. Eigentlich dient das von Microsoft entwickelte Werkzeug zum Ausführen von Programmen über das Netzwerk.

Sobald das Tool den Login des Administrators bemerkt, versucht es PsExec zu starten. Anstatt irgendwelche sinnvollen Programme über das Netz zu starten, installiert sich das Programm auf allen Systemen im Netzwerk. Die Firma SecureWorks beobachtet das Geschehen über einen längeren Zeitraum und hat festgestellt, dass sich Coreflood besonders gerne bei Finanzdienstleistern, Krankenhäusern, Universitäten und Anwaltskanzleien einnistet. Experten gehen davon aus, dass insgesamt mehr Daten geklaut wurden, als die Entwickler jemals benutzen könnten. Dem SANS Internet Storm Center zufolge hat sich der Trojaner in einem Netzwerk von 3000 Computern über 600-mal selbstständig installiert. Coreflood ist nicht der einzige Schädling, der sich der Technologie von PsExec bedient. Seit über fünf Jahren kommt das Programm gekoppelt mit Schadcode zum Einsatz.

Solche Dimensionen sind sogar dem Softwareentwickler Mark Russinovich fremd: "PsExec bietet nichts, was sich ein Entwickler nicht auch selbst zusammenbauen könnte." Neben der Bezeichnung Coreflood ist der Schädling auch unter dem Namen AFcore Trojan bekannt. Sein Unwesen treibt er bereits seit über sechs Jahren. Hinsichtlich seiner Ambitionen hat es in der Vergangenheit einen Wandel gegeben. In den Anfangsjahren wurde dieser hauptsächlich für Denial-of-Service (DoS) Angriffe verwendet. Aktuell ist es offensichtlich interessanter, Zugangsdaten zu entwenden.

(via inforworld.com, thx!)

• 22 Kommentare zum Artikel

Zitat: Zitat von Theo-Koll  Ich wäre auch gerne so ein cooler Hacker. Dann würde ich einen Haufen Kohle machen und mich auf die Bahamas absetzen. danke das ist ja ganz einfach! als hacker verdient man selten mehr als ein m^normaler angestellter auser man zieht das richtig grosse los doch dann wird man meistens festgenommen.

snagon am 12.07.2008 12:27

Zitat: Zitat von ausgechillt  du bist süß, msn futsch bitte helft mir und dann dein msn kontakt aufgeschrieben du bist so süß alter vergiss msn und hör auf auf msn wichtige daten zu haben das is gestört

snagon am 12.07.2008 12:30

Zitat: Zitat von SubData  Er möchte, dass du diesen MSN Kontakt hackst und ihm dann das Passwort gibst... alter steht hier bimbo oder was??

snagon am 12.07.2008 12:32

so geil seit 6jahren voll gerissen tja..... so kann's nicht weitergehen die leute müssen mal ausfindig gemacht werden. ach ja und wegen deinem msn ich guck mal nach.....

snagon am 12.07.2008 12:36

[...] Diskussion lesen oder Artikel kommentieren