Symantec entdeckt erneut gegen den Iran gerichtete Malware

Symantec hat eine weitere Schadsoftware gefunden, die offenbar speziell dafür entwickelt wurde, Ziele im Iran anzugreifen. Wie Computerworld mitteilt, ist die als „W32.Narilam“ bezeichnete Malware in der Lage, SQL-Datenbanken zu kompromittieren und darin enthalte Daten zu verändern oder zu löschen.

In einem Blogeintrag stuft Symantec-Mitarbeiter Shunichi Imano das generelle Risiko einer Infektion mit Narilam als gering ein. Der größte Teil der mit dem Wurm befallenen Rechner befinde sich im Iran. Es seien aber auch Computer in Großbritannien und den USA betroffen. Die Verbreitung erfolge, ähnlich wie bei Stuxnet, über USB-Sticks und Netzwerkfreigaben.

Der Wurm Narilam hat Symantec zufolge vor allem Rechner im Iran infiziert (Bild: Symantec).

Ungewöhnlich sei, dass Narilam SQL-Datenbanken aktualisieren könne, die über die Microsoft-Programmierschnittstelle OLEDB (Objekt Linking and Embedding Database) zugänglich seien, so Imano weiter. Anschließend suche der Schädling nach bestimmten persischen Wörtern, um sie durch beliebige Zeichenfolgen zu ersetzen oder bestimmte Datenbankfelder zu löschen. Dazu gehörten die Worte „hesabjari“, „pasandaz“ und „asnad“, die Symantec zufolge „aktuelles Konto“, „Einsparungen“ und „Finanzanleihe“ bedeuten.

„Die Malware besitzt keine Funktionen, um Informationen zu stehlen“, schreibt Imano im Symantec-Blog. „Sie ist offenbar programmiert worden, um die Daten in bestimmten Datenbanken zu beschädigen. Angesichts der Objekte, nach denen gesucht wird, geht es um Datenbanken für Aufträge und Kundenmanagementsysteme, die zu großen Unternehmen gehören.“

Imano vermutet, dass Narilam bei betroffenen Firmen zu erheblichen Störungen und wahrscheinlich auch zu finanziellen Verlusten führt. „Ohne entsprechende Backups wird es schwer werden, die befallenen Datenbanken wiederherzustellen.“ Home-User seien aufgrund der Ausrichtung des Wurms auf SQL-Datenbanken wahrscheinlich nicht betroffen.

2010 hatte der Wurm Stuxnet für Aufsehen gesorgt. Nach heutigem Kenntnisstand handelt es sich bei dem Schädling um einen Cyberangriff der USA gegen das Atomforschungsprogramm des Iran. Später aufgetauchte Nachahmer und Abwandlungen wie Duqu und Flame weisen laut Computerworld auf eine langfristig angelegte Spionage- und Sabotage-Kampagne hin.