Anfällig ist aber jede Software für Internettelefonie. "Trojan.Peskyspy" greift über Windows-APIs auf Audiostreams zu und verschickt sie als MP3 an Webserver. Die Ansteckung erfolgt klassisch per Mail oder als Drive-by-Download.
Gerry Egan von Symantec (Bild: Joris Evers/CNET)
Symantec[1] berichtet in einem Blogeintrag[2] von einem neuen Trojaner, der VoIP-Kommunikation aufzeichnet, insbesondere Skype[3]-Gespräche. Laut Gerry Egan ist der Trojan.Peskyspy getaufte Schädling dazu in der Lage, "sich über einige Windows-APIs in Audiostreams einzuhängen und sie in MP3-Dateien umzuwandeln", die dann an einen Lausch-Server irgendwo im Web weitergeleitet werden.
Eine Ansteckung erfolgt über die üblichen Malware-Channel: Trojan.Peskyspy gibt es als ausführbare Datei im E-Mail-Anhang und als Drive-by-Download[4], der automatisch ausgelöst wird, wenn ein Nutzer eine manipulierte Webseite besucht. Vor allem aber sieht Egan "einen Trend zu Angriffen mit einem Schuss Social Engineering[5], beispielsweise eine falsche Videosite".
Entdecker des Codes ist Egan zufolge ein Schweizer Forscher. Karthik Selvaraj von Symantec habe die Malware analysiert. Sie beruhe nicht auf einer spezifischen Skype-Schwäche, sondern Skype sei vermutlich aufgrund seiner Verbreitung das primäre Ziel. Jede Software für Internettelefonie könnte mit dem Code abgehört werden. "Wir haben noch keine bösartigen Angriffe damit gesehen, aber im Kopf eines Hackers eröffnen sich mit einer solchen Lausch-Software endlose Möglichkeiten."
Anders als bei der meisten Malware erwartet Symantec hier keine Massenangriffe. Selbst wenn sich in massenhaft aufgezeichneten Gesprächen interessante Informationen fänden, wären sie so schwer zu finden wie die Nadel im Heuhaufen. Sinnvoller seien zielgerichtete Angriffe.
Als Schutz empfiehlt Symantec - neben seinen Produkten - wie üblich, Patches insbesondere für den Browser[6] und das Betriebssystem[7] immer möglichst sofort aufzuspielen, um eine Ansteckung von vornherein zu vermeiden.
URLs in diesem Artikel:[1] = http:/
[2] = http:/
[3] = http:/
[4] = http:/
[5] = http:/
[6] = http:/
[7] = http:/