Präparierter BitTorrent-Client: Hacker infizieren Hunderttausende Windows-Rechner mit Malware

Unbekannte kompromittieren den Update-Server des BitTorrent-Clients MediaGet. Dessen manipulierte Installationsdatei schleust den Trojaner Dofoil ein. Der wiederum installiert in wenigen Stunden auf mehr als 400.000 Rechnern einen Krypto-Miner.

Unbekannte haben offenbar einen Update-Server des BitTorrent-Clients MediaGet kompromittiert und eine mit einer Hintertür versehene Kopie der Anwendung eingeschleust. Sie führte in der vergangenen Woche dazu, dass innerhalb weniger Stunden mehr als 400.000 Windows-PCs mit der Malware Dofoil infiziert wurden. Wie Microsoft berichtet, sind in erster Linie Systeme in Russland, der Türkei und der Ukraine betroffen.

Malware (Bild: Maksim Kabakou/Shutterstock)Microsoft stuft MediaGet als eine potenziell unerwünschte Anwendung ein. Obwohl File-Sharing-Apps generell für die Verbreitung von Malware benutzt werden können, stellten Forscher des Unternehmens aus Redmond fest, dass in dem Fall die Schadsoftware nicht über Torrent-Downloads verbreitet wurde, sondern über den Prozess „mediaget.exe“.

Den Malware-Angriff an sich bezeichneten die Forscher als „sorgfältig geplant“. Schon zwei Wochen vorher hätten die unbekannten Täter die manipulierte Installationsdatei auf dem Server des russischen Entwicklers von MediaGet abgelegt. Die signierte „mediaget.exe“ vom offiziellen Update-Server lade die ebenfalls signierte Datei „update.exe“ herunter, die wiederum eine neue, nicht signierte „mediate.exe“ installiere, die wie die Original-Datei funktioniere und zusätzlich über eine Backdoor verfüge.

Die Forscher vermuten, dass die update.exe mit einem gestohlenen Zertifikat signiert wurde, da die legitime mediaget.exe eine signierte Datei update.exe voraussetze. Die gefälschte Datei mediate.exe sei zudem zu 98 Prozent identisch mit der legitimen MediaGet-Datei. Um einer Erkennung durch Sicherheitsanwendungen zu entgehen, schleuse sie ihren Schadcode in die legitime Explorer.exe ein.

Der Trojaner Dofoil, der auch als Smoke Loader bekannt ist, kann unterschiedliche Schadprogramme ausliefern. Im von Microsoft untersuchten Fall installierte er einen Krypto-Miner für die Electroneum-Währung. Der Ausbruch begann demnach am 6. März. Die mehr als 400.000 infizierten Rechner entdeckte Microsofts Sicherheitsanwendungen Defender in einem Zeitraum von rund 12 Stunden. Microsoft weist darauf hin, dass Dofoil nicht nur für die Verbreitung des vergleichsweise harmlosen Krypto-Miners benutzt werden kann, sondern auch zum Einschleusen von Ransomware.

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Themenseiten: Malware, Microsoft, Security, Sicherheit, Torrent

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Präparierter BitTorrent-Client: Hacker infizieren Hunderttausende Windows-Rechner mit Malware

Kommentar hinzufügen
  • Am 16. März 2018 um 19:52 von Andreas

    Wer sich diesen Torrent-Client herunterlädt ist doch selber Schuld. Der Server steht zwar in den Niederlanden, aber auf der Startseite ist keinerlei Information über die Firma, obwohl ein Impressum existiert, das keines ist.
    Jeder sollte sich einfach die Frage stellen, womit sie Geld verdienen, oder sind sie ein Wohltätigkeitsverein.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *