Kaspersky Lab Top 20 der Schadprogramme, November 2009

Moskau/Ingolstadt, 07. Dezember 2009 – Kaspersky Lab präsentiert für den November seine zwei Top-20-Listen der häufigsten Schädlinge. Die mit Hilfe des Kaspersky Security Network (KSN) gewonnenen Daten basieren auf Rückmeldungen der Heimanwender-Programme Kaspersky Anti-Virus und Kaspersky Internet Security [1]. Aufgelistet werden zum einen die am weitesten verbreiteten Schad- und Werbeprogramme. Zum anderen zeigt die Aufstellung, mit welchen Schadprogrammen die Anwendercomputer am häufigsten infiziert waren.

Die erste Hitliste zeigt die am weitesten verbreiteten Schad- und Werbeprogramme (Malware und Adware), die auf den Computern der Anwender entdeckt und entfernt wurden:

Insgesamt gab es in der ersten Hitliste im Vergleich zum Vormonat nur wenige Veränderungen, einige davon sind aber durchaus erwähnenswert.

So landete der Neueinsteiger Kido.iq direkt auf dem zweiten Platz. Dieses Schadprogramm funktioniert ähnlich wie der Erstplatzierte der vergangenen Monate, Kido.ir, der bereits im September den Sprung in die Hitliste schaffte (http://www.viruslist.com/de/analysis?pubid=200883664).

Auch das Vorrücken des Multimedia-Downloaders GetCodec.s von Platz 17 auf acht ist überaus interessant, denn die Zahl der Computer, auf denen GetCodec entdeckt wurde, hat sich damit mehr als verdoppelt. GetCodec.s verbreitet sich in Verbindung mit dem Wurm P2P-Worm.Win32.Nugg, analog zu der Version GetCodec.r, über die Kaspersky Lab bereits im Dezember des vergangenen Jahres berichtet hat (http://www.viruslist.com/de/analysis?pubid=200883638). Offensichtlich versuchen die Cyberkriminellen wieder einmal, den Wurm P2P-Worm.Win32.Nugg über das Filesharing-Netzwerk Gnutella (in diesem Fall über die populäre Anwendung LimeWire) zu verbreiten.

Ein weiterer erwähnenswerter Neuling ist Packed.Win32.Krap.ag, ein spezieller Packer von Schadprogrammen: Die Schädlinge sind gefälschte Antivirus-Programme, denen Kaspersky Lab kürzlich eine eigene Analyse gewidmet hat (http://www.viruslist.com/de/analysis?pubid=200883672).

Die zweite Hitliste zeigt, mit welchen Schadprogrammen Anwender ihre PCs beim Surfen im Internet am häufigsten infiziert haben. Sie spiegelt also die Schädlingssituation im Internet wider:

Gumblar ist nach wie vor sehr aktiv.  Er führt die zweite Hitliste der Internetschädlinge mit weitem Abstand an; die Anzahl der Versuche, dieses Schadprogramm auf Anwendercomputer zu laden, hat sich fast vervierfacht.

Gumblar-Attacken, über die wir schon vor einem Monat berichteten (http://www.viruslist.com/de/analysis?pubid=200883670), haben sich im November fortgesetzt. Doch im Gegensatz zu dem Angriff vor einem halben Jahr (http://www.viruslist.com/de/analysis?pubid=200883654) wurden alle Angriffskomponenten im Laufe des Monats regelmäßig modifiziert.

Auch in unserer zweiten Hitliste tauchen gefälschte Antiviren-Programme auf. Sie werden unter anderem durch den Download von Webseiten auf Anwendercomputer verbreitet. Im November hat Kaspersky Lab die beliebtesten Webseiten, von denen gefälschte Antiviren-Software geladen wurde, als Trojan.HTML.Fraud.r und Trojan-Downloader.HTML.FraudLoad.b klassifiziert. Von diesen Seiten wurde unter anderem auch der bereits erwähnte Packed.Win32.Krap.ag auf die Anwendercomputer geladen, daher taucht dieser auch in der zweiten Hitliste auf.

Fazit

Das Bild des Monats November ist im Großen und Ganzen dasselbe wie in den Vormonaten. Aktuell werden die Schädlinge meist nach zwei Schemata verbreitet, und zwar:

• „schädliches Skript + Exploit + ausführbare Datei“
• „schädliches Skript + ausführbare Datei“

Auf diese Art wird Malware verbreitet, die vertrauliche Daten oder direkt Geld von den Anwendern stiehlt. Die besten Beispiele hierfür sind Trojan-PSW.Win32.Kates, dessen Download vor allem eine Gumblar-Attacke initiiert, oder Trojan-Spy.Win32.Zbot, ein weit verbreiteter Trojaner, der sich mittels Skript-Downloadern und verschiedenen Spam-Aktivitäten aktiv ausbreitet. Auch viele gefälschte Antiviren-Programme passen in dieses Verbreitungsschema.

Eine weitere Tendenz der vergangenen Monate, die sich auch im November fortgesetzt hat, ist die Verbreitung gefälschter Antiviren-Software unter Verwendung von Webseiten-Schablonen.

Die Cyberkriminellen haben im vergangenen Monat auch verstärkt (zumeist polymorphe) Packer eingesetzt, in der Hoffnung, ihre Schädlinge in gepackter Form vor Entdeckung zu schützen, ohne deren Funktionalität wesentlich verändern zu müssen.

Zum Schluss noch eine Grafik der Länder, in denen die meisten Versuche gestartet wurden, Anwender über das Web zu infizieren:

[1] Ab sofort fließen auch die Ergebnisse von Kaspersky Internet Security 2010 und Kaspersky Anti-Virus 2010 in die Wertung mit ein.

Quelle: Kaspersky