Kompromittierte Websites: Spambot "StealRat" aufspüren und beseitigen

Trend Micro analysiert neue Spambot-Tarntechniken in Forschungspapier und gibt Tipps zur Abwehr

(PresseBox) - Trend Micro hat den Spambot "StealRat" in einem aktuellen Forschungspapier analysiert und dabei insbesondere dessen ausgeklügelte Tarntechniken untersucht. Da die Verbindung zwischen den befallenen Websites und den Servern der Cyberkriminellen trickreich verschleiert wird und legitime Mail-Server für den Spam-Versand genutzt werden, fällt es den meisten Administratoren schwer, die Infektion der eigenen Website zu entdecken. Trend Micro gibt Tipps, wie sie den Schädling dennoch aufspüren können.
Der Spambot "StealRat" ist an sich nicht neu und treibt wahrscheinlich bereits seit 2010 sein Unwesen. Doch erst Ende 2012 gelang es den ersten Website-Betreibern zu entdecken, dass von ihren Sites aus Spam-Nachrichten verschickt wurden. Diese führen in den meisten Fällen direkt zu Porno-Seiten, enthalten manchmal aber auch kurze Auszüge aus der Science-Fiction-Serie "The Stainless Steel Rat" von Harry Harrison und verdeckten damit den Bezug zu Porno- oder Potenzpillenangeboten - zumindest vorläufig. Die Nachrichten selbst werden in verschiedenen Sprachen wie Portugiesisch, Spanisch, Litauisch und Deutsch versendet.
Die für den Versand benötigten Spam-Daten wie Empfänger-Adresse, Name des Absenders, Vorlage der Spam-Nachricht und Backup-Mail-Server werden nicht direkt von der infizierten Website bei den Servern der Cyberkriminellen angefragt, sondern über infizierte Rechner, deren Anwender zuvor die kompromittierte Website besucht haben.
Website-Administratoren können die Infektion an den bösartigen PHP-Dateien erkennen, mit denen ihre Seiten infiziert wurden - und zwar über nicht geschlossene Sicherheitslücken in den verwendeten Content-Management-Systemen. Als besonders angreifbare und von "StealRat" infizierte CMS-Systeme sind hier nicht aktualisierte und gepatchte Versionen von "WordPress", "Joomla" und "Drupal" zu nennen.
Bösartigen Code aufspüren
Prinzipiell gibt es zwei Möglichkeiten für die Website-Administratoren, die Infektion zu erkennen. Erstens können sie gezielt nach den bösartigen PHP-Dateien suchen, die in der Regel die Namen "sm13e.php" und "sm14e.php" aufweisen. Bei der letzteren handelt es sich um die aktuellste Version des Schädlings.


Da die PHP-Datei aber auch andere Bezeichnungen tragen kann, empfiehlt es sich, nach allen unbekannten und verdächtigen PHP-Dateien Ausschau zu halten und diese zu löschen. Um ganz sicher zu gehen, sollte aber auch nach den folgenden bösartigen Code-Elementen gefahndet werden:
die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321)
die(PHP_OS.chr(49).chr(49).chr(43).md5(0987654321)
Nach diesen Strings lässt sich unter Linux mit Hilfe des grep-Befehls grep "die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321" /path/to/www/folder/ suchen, während unter Windows der Suchbegriff content:"die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321" lautet.
Forschungspapier zu StealRat
Trend Micro hat vor kurzem ein Forschungspapier zu dem Spambot "StealRat" veröffentlicht, das online abrufbar ist und die Funktionsweise sowie Einzelkomponenten dieser Bedrohung detailliert untersucht.
Weitere Informationen zu "StealRat" finden sich auch im deutschen Trend Micro-Blog.

Trend Micro, der international führende Anbieter für [url=http://www.trendmicro.de/technologie-innovationen/cloud/index.html]Cloud-Security[/url], ermöglicht Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des [url=http://www.trendmicro.de/technologie-innovationen/technologie/smart-protection-network/index.html]Trend Micro Smart Protection Network[/url] basierenden Technologien, Lösungen und Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: im Internet. Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an.

Unternehmensinformation / Kurzprofil:
Bereitgestellt von Benutzer: PresseBox
Datum: 12.08.2013 - 14:21 Uhr
Sprache: Deutsch
News-ID 925306
Anzahl Zeichen: 4824

Kontakt-Informationen:
Stadt:

Hallbergmoos

Kategorie:

New Media & Software

Diese Pressemitteilung wurde bisher 421 mal aufgerufen.

Fortschrittliche IT-Sicherheitstechnologien können Abhängigkeit von menschlicher Expertise im Kampf gegen Cyber-Angriffe reduzieren ...
Hallbergmoos, 23. Mai 2017 - Laut einer aktuellen Studie von Trend Micro, einem der weltweit führenden Anbieter von IT-Sicherheitslösungen, gehen drei Viertel der Unternehmen (76 Prozent) davon aus, dass fortschrittliche IT-Sicherheitstechniken sie zunehmend im weltweiten Kampf gegen Cyber-Bedrohu

Trend Micro weist gezielte Cyber-Angriffe auf deutsche und französische Politik nach ...
Hallbergmoos, 25. April 2017 - Trend Micro stellt heute einen neuen Report vor, der die Vorgehensweise der Hacker-Gruppe Pawn Storm analysiert und ihre Ziele verdeutlicht. Trend Micro beschreibt darin aktuelle Cyber-Angriffe auf die CDU-nahe Konrad-Adenauer-Stiftung und die Friedrich-Ebert-Stiftung,

Trend Micro weist gezielte Cyber-Angriffe auf deutsche und französische Politik nach ...
Trend Micro stellt heute einen neuen Report vor, der die Vorgehensweise der Hacker-Gruppe Pawn Storm analysiert und ihre Ziele verdeutlicht. Trend Micro beschreibt darin aktuelle Cyber-Angriffe auf die CDU-nahe Konrad-Adenauer-Stiftung und die Friedrich-Ebert-Stiftung, die der SPD nahe steht, sowie

Weitere Mitteilungen von TREND MICRO Deutschland GmbH

Zimmerantenne mit LTE-Filter ...
Wer über Antenne fern sieht oder Radio hört, hat leider oft mit Störungen zu kämpfen. Ursache für Ton- und Signalunterbrechungen oder Pixelfehler in Bildern sind häufig Mobilfunksignale. Sie beeinträchtigen den Empfang von DVB-T verderben den Spaß daran gewaltig. Der integrierte LTE

Einfach zweifach - Die Fernbedienung für alle ...
In vielen Wohnzimmern liegen für Fernseher und SAT-Receiver zwei getrennte Fernbedienungen auf dem Couchtisch. Eines ist in solchen Fällen ganz sicher: Man greift erst mal immer zur falschen. Abhilfe schafft eine 2in1-Fernbedienung, mit der beide Geräte gesteuert werden. Oft sind solche Modelle

Kofax kauft Kapow Technologies, einen führenden Anbieter von Datenintegrationssoftware ...
Kofax plc (LSE: KFX), ein führender Anbieter von Smart-Process-Anwendungen für die kritische First Mile?, um die Kommunikation der Unternehmen mit ihren Kunden zu optimieren, gab heute die Übernahme von Kapow Technologies, Inc. bekannt, einem führenden Anbieter von Datenintegrationssoftware. K

Across Systems ist auf der Brand2Global Marketing-Konferenz ...
Karlsbad, 12. August 2013. Die Across Systems GmbH, Hersteller eines führenden Translation-Management-Systems beteiligt sich als Aussteller an der ersten Brand2Global Conference (mehr Infos unter: http://www.brand2global.com/ ) vom 16. bis 18. September in London. Die Fachveranstaltung für Führun