(PM) 60327 Frankfurt, 06.04.2017 - Der für Linux entdeckte Schädling Linux.DDoS.117 lädt andere Trojaner auf das Zielgerät herunter, stellt eine Verbindung zum Proxy-Server her und führt DDoS-Angriffe durch. Linux.DDoS.117 besitzt dafür entsprechende Versionen für Intel x86, M68K, MIPS, MIPSEL, SPARC, SH4, Power PC und ARM.

Nach dem Start von Linux.DDoS.117, stellt der Trojaner eine Internetverbindung her und sendet dann die Daten an die Hacker. Der Trojaner ist zudem in der Lage, Befehle zu empfangen und diese mittels des sh-Interpretators auszuführen. So können Cyber-Kriminelle steuern, wie lange welcher Rechner angegriffen werden soll.

Werbemodul in beliebter Android-App entdeckt

Bei der App TouchPal handelt es sich um ein virtuelles Keyboard, welches mobile Nutzer anstatt der Standardtastatur verwenden können. Das von Doctor Web entdeckte Werbe-Modul klassifizierten die Virenexperten als Adware.Cootek.1.origin. Dieses Plug-In kann verschiedene Arten von Werbung anzeigen. Es erstellt unter anderem Widgets, die auf dem Homescreen eingebettet und nicht gelöscht werden können. Zudem integriert Adware.Cootek.1.origin Werbung in den Sperrbildschirm und zeigt Banner nach dem Entsperren des Gerätes an.

Bereits über 50.000.000 Nutzer haben die App über den Google Play Store heruntergeladen. Da das Plug-in in TouchPal integriert ist, kann es nur zusammen mit der App deinstalliert werden. Doctor Web empfiehlt die Deinstallation der App.

Verschlüsselungstrojaner (Encoder)

Meist verbreitete Encoder im März 2017:

- Trojan.Encoder.858: 26,71 % Anfragen
- Trojan.Encoder.3953: 5,89 % Anfragen
- Trojan.Encoder.10144: 2,83 % Anfragen
- Trojan.Encoder.761: 2,60 % Anfragen
- Trojan.Encoder.567: 2,09 % Anfragen

Anfang März postete ein Benutzer auf bleepingcomputer.com einen Link mit einer Liste an Schlüsseln, die durch den Verschlüsselungstrojaner Dharma verwendet werden. Der Schädling wurde von Doctor Web als Trojan.Encoder.3953 klassifiziert. Dies ist schon der zweite Fall eines Schlüsseldiebstahls. Die durch den Schädling verschlüsselten Dateien erhalten Erweiterungen wie .xtbl, .CrySiS, .crypted, .crypt oder .lock und eine Email-Adresse des Verbrechers. Dadurch konnten die Sicherheitsspezialisten von Doctor Web eine Entschlüsselungsmethode für Dateien entwickeln, die durch Trojan.Encoder.3953 verschlüsselt wurden.

Die Virenanalysten von Doctor Web haben außerdem einen Algorithmus zur Entschlüsselung von Daten entwickelt, die durch Trojan.Encoder.10465 verschlüsselt wurden. Der Schädling ist in Delphi geschrieben und ergänzt verschlüsselte Dateien mit der Erweiterung .crptxxx.

Gefährliche Webseiten

Im März 2017 wurden 223.173 Internetadressen in die Datenbank von nicht empfohlenen Webseiten aufgenommen.
- Februar 2017: +134.063
- März 2017: +223.173
- Wachstum: -66,46%

Die Sicherheitsanalysten von Doctor Web haben im März über 500 böswillige Webseiten entdeckt, die auf Besitzer von Webseiten und Administratoren abzielten. Viele davon haben ein vermeintliches SEO-Angebot vom Suchmaschinenanbieter Yandex erhalten. Die E-Mail enthielt einen Link, mit welchem man den SEO-Service bezahlen sollte. Dieses Angebot erwies sich jedoch als Betrug: Nach der Zahlung erhielt das Opfer nicht, was ihm versprochen wurde. Cyber-Kriminelle haben über 500 derartiger Webseiten erstellt und platzierten diese auf mehreren gemieteten Marktplätzen im Internet.