Präparierter BitTorrent-Client: Hacker infizieren Hunderttausende Windows-Rechner mit Malware

Unbekannte haben offenbar einen Update-Server des BitTorrent-Clients MediaGet kompromittiert und eine mit einer Hintertür versehene Kopie der Anwendung eingeschleust. Sie führte in der vergangenen Woche dazu, dass innerhalb weniger Stunden mehr als 400.000 Windows-PCs mit der Malware Dofoil infiziert wurden. Wie Microsoft berichtet, sind in erster Linie Systeme in Russland, der Türkei und der Ukraine betroffen.

Microsoft stuft MediaGet als eine potenziell unerwünschte Anwendung ein. Obwohl File-Sharing-Apps generell für die Verbreitung von Malware benutzt werden können, stellten Forscher des Unternehmens aus Redmond fest, dass in dem Fall die Schadsoftware nicht über Torrent-Downloads verbreitet wurde, sondern über den Prozess „mediaget.exe“.

Den Malware-Angriff an sich bezeichneten die Forscher als „sorgfältig geplant“. Schon zwei Wochen vorher hätten die unbekannten Täter die manipulierte Installationsdatei auf dem Server des russischen Entwicklers von MediaGet abgelegt. Die signierte „mediaget.exe“ vom offiziellen Update-Server lade die ebenfalls signierte Datei „update.exe“ herunter, die wiederum eine neue, nicht signierte „mediate.exe“ installiere, die wie die Original-Datei funktioniere und zusätzlich über eine Backdoor verfüge.

Die Forscher vermuten, dass die update.exe mit einem gestohlenen Zertifikat signiert wurde, da die legitime mediaget.exe eine signierte Datei update.exe voraussetze. Die gefälschte Datei mediate.exe sei zudem zu 98 Prozent identisch mit der legitimen MediaGet-Datei. Um einer Erkennung durch Sicherheitsanwendungen zu entgehen, schleuse sie ihren Schadcode in die legitime Explorer.exe ein.

Der Trojaner Dofoil, der auch als Smoke Loader bekannt ist, kann unterschiedliche Schadprogramme ausliefern. Im von Microsoft untersuchten Fall installierte er einen Krypto-Miner für die Electroneum-Währung. Der Ausbruch begann demnach am 6. März. Die mehr als 400.000 infizierten Rechner entdeckte Microsofts Sicherheitsanwendungen Defender in einem Zeitraum von rund 12 Stunden. Microsoft weist darauf hin, dass Dofoil nicht nur für die Verbreitung des vergleichsweise harmlosen Krypto-Miners benutzt werden kann, sondern auch zum Einschleusen von Ransomware.

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.