Categories: SicherheitVirus

Hacker kontrollieren Windows-Trojaner per Telegram-Channel

Sicherheitsforscher haben einen neuen Remote Access Trojan (RAT) für Windows namens T-RAT entdeckt, der in russischsprachigen Hackerforen für 45 Dollar zum Verkauf angeboten wird. Sein Alleinstellungsmerkmal ist die Möglichkeit, die Schadsoftware über einen Telegram-Channel statt einer webbasierten Administratoroberfläche zu steuern.

Der Entwickler behauptet, dass Käufer auf diese Art einen schnelleren und einfacheren Zugriff auf infizierte Computer erhalten. Das soll es ihnen erlauben, die Funktionen zum Diebstahl von Daten bereits unmittelbar nach einer Infektion zu aktivieren – und damit vor einer möglichen Erkennung der Malware durch das Opfer.

Der Telegram-Channel des Trojaners soll 98 Befehle unterstützen, die über das Chat-Fenster eingegeben werden. Die Schadsoftware stiehlt anschließend Passwörter und Cookies aus Browsern, durchsucht das Dateisystem eines infizierten Rechners und sucht nach vertraulichen Informationen oder installiert einen Keylogger. Darüber hinaus kann T-RAT das Mikrofon aktivieren und Audioaufzeichnungen starten, Screenshots anfertigen, mit einer Webcam Fotos aufnehmen und Inhalte aus der Zwischenablage abrufen.

Bestimmte Inhalte der Zwischenablage kann der Trojaner zudem manipulieren. Die Hintermänner nutzen diese Funktion, um Strings von Adressen von Kryptowährungen zu verändern, um Transaktionen mit digitalen Währungen umzuleiten. Betroffen sind Bezahllösungen wie Qiwi, WMR, WMZ, WME, WMX, Yandex Money, Payerr, CC, BTC, BTCG, Ripple, Dogecoin und Tron.

T-RAT ist außerdem in der Lage, per Befehlszeile den Zugang zu bestimmten Websites zu blockieren, um Nutzer beispielsweise daran zu hindern, Support-Seiten aufzurufen. Der Trojaner beendet bei Bedarf aber auch Prozesse von Sicherheitsanwendungen oder deaktiviert die Taskleiste und den Taskmanager. Als sekundärer Kommunikationskanal stehen zudem RDP oder VNC zur Verfügung.

Analysiert wurde der Trojaner vom Sicherheitsforscher Karsten Hahn vom Bochumer Softwarehaus G Data. Im Gespräch mit ZDNet.com betonte er, dass T-RAT nicht der erste Remote Access Trojan sei, der Telegram als Kommunikationskanal nutze. Weitere Beispiele sind demnach RATAttack aus dem Jahr 2017, HeroRAT, der Android-Geräte ins Visier nimmt, sowie RAT-via-Telegram und Telegram-RAT, die beide auf GitHub erhältlich und auf Windows ausgerichtet seien.

Bisher ist die Verbreitung von T-RAT der Analyse zufolge noch gering. Hahn geht jedoch davon aus, dass der Trojaner künftig mehr Opfer finden wird. Regelmäßig würde neue Muster von T-RAT beispielsweise auf VirusTotal hochgeladen. „Ich gehe davon aus, dass er aktiv verbreitet wird, habe aber keine weiteren Belege dafür“, so der Forscher.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Bericht: US-Justiz bereitet vier Kartellklagen gegen Google und Facebook vor

Sie sollen bis Ende Januar eingereicht werden. Es geht jeweils um einen möglichen Missbrauch einer…

2 Stunden ago

Forscher warnen vor Abhängigkeiten von DNS-Anbietern

Unter den führenden 100.000 Websites sind 84,8 Prozent von einem einzigen externen DNS-Anbieter abhängig. Selbst…

3 Stunden ago

Project Latte: Microsoft entwickelt Android-Subsystem für Windows 10

Es folgt dem Beispiel des Windows Subsystem for Linux. Android-Apps sollen mit wenigen Handgriffen als…

18 Stunden ago

Großbritannien verbietet ab September 2021 Einbau von 5G-Ausrüstung von Huawei

Produkte von Hochrisikoanbietern sollen bis 2027 auf den Netzen verschwinden. Künftig setzt Großbritannien auf ein…

20 Stunden ago

Cyber Monday: Kopfhörer von Soundcore im Angebot

Für einige Modelle hat die Anker-Tochter Soundcore den Preis um bis zu 31 Prozent reduziert.…

21 Stunden ago

Netzwerkausrüster Belden meldet Hackerangriff

Unbekannte dringen in das Netzwerk des US-Unternehmens ein. Sie haben Zugriff auf wenige Dateiserver. Dort…

22 Stunden ago