Sharing is caring!

Teamviewer win-mainwindow
Quelle: TeamViewer.com

Backdoor-Trojaner für TeamViewer nutzt neue Features, um Windows-Endgeräte zu befallen

Nutzer, die TeamViewer verwenden, sollten zukünftig ganz besondere Vorsicht walten lassen. Denn die Sicherheitsanalysten von Doctor Web haben vor kurzem einen neuen Trojaner entdeckt, der sich über die Fernwartungssoftware verbreitet. BackDoor.TeamViewer.49 tarnt sich dabei als Update für Adobe Flash Player und installiert gleichzeitig einen weiteren Trojaner mit der Bezeichnung Trojan.MulDrop6.39120. Im Fokus stehen dabei Endgeräte, die unter dem Betriebssystem Windows laufen. Sobald die Installationsdatei ausgeführt wird, öffnet sich ein täuschend echt aussehendes Fenster mit dem gewohnten Layout von Adobe, während sich im Hintergrund die Bibliothek avicap32.dll in den Hauptspeicher des Rechners schreibt. Sobald der TeamViewer gestartet wird, aktiviert sich automatisch auch der Trojaner: Er löscht dann die Desktop-Verknüpfung aus dem Systemtray von Windows und unterdrückt gleichzeitig etwaige Fehlermeldungen. Daneben unterbindet er ein wiederholtes Starten des Programms auf dem infizierten PC. BackDoor.TeamViewer.49 schreibt sich in das Autostart-Menü und versucht, für sein Installationsverzeichnis die Attribute „System“ und „verdeckt“ zu setzen. Sollte aber keines der beiden Attribute gesetzt werden können, so löscht die Malware alle Schlüssel aus der Registry, die zu TeamViewer gehören. Im verschlüsselten System-Verzeichnis auf der Festplatte befinden sich die ausführbare Systemdatei (*.exe), die Konfigurationsdatei und eine Bibliothek. In der Konfigurationsdatei werden alle Informationen abgelegt, die die Malware für ihre reibungslose Funktionalität benötigt. Die Bibliothek dient als Speicherort für die Namen von Verwaltungsservern, von denen der Trojaner verschiedene Befehle erhalten kann. Der komplette Datenaustausch mit dem Verwaltungsserver erfolgt dabei stets verschlüsselt. Bisher nutzen Trojaner TeamViewer nur dazu, um einen unerlaubten Zugang zum infizierten Rechner zu erhalten. BackDoor.TeamViewer.49 ist in der Lage, verschiedene Befehle auszuführen, wie z.B.:
  •     Disconnect – willkürlicher Abbruch der Verbindung;
  •     Idle – Aufrechterhalten der Verbindung, auch gegen den Willen des Benutzers;
  •     Updips – selbständiges Update der auth_ip Liste;
  •     Connect – Kontaktaufnahme mit dem Verwaltungsserver.
Das bedeutet, dass der Trojaner beispielsweise in der Lage ist, eine Verbindung mit einem Remote-Server (inkl. Autorisierung) aufzubauen. Danach leitet er den Traffic über den infizierten Rechner an eine vordefinierte Adresse weiter. Dadurch können Cyber-Kriminelle ihre Spuren verwischen und eine Verbindung zu Remote-Befehlszentren über einen infizierten PC als Proxy-Server herstellen. Doctor Web dankt dem Suchmaschinenanbieter Yandex für die Bereitstellung des Schädlingsmusters. [Quelle: it-sicherheit.de]

Kommentar verfassen