Kompromittierte Websites: Spambot "StealRat" aufspüren und beseitigen
ID: 925306
Trend Micro analysiert neue Spambot-Tarntechniken in Forschungspapier und gibt Tipps zur Abwehr
Der Spambot "StealRat" ist an sich nicht neu und treibt wahrscheinlich bereits seit 2010 sein Unwesen. Doch erst Ende 2012 gelang es den ersten Website-Betreibern zu entdecken, dass von ihren Sites aus Spam-Nachrichten verschickt wurden. Diese führen in den meisten Fällen direkt zu Porno-Seiten, enthalten manchmal aber auch kurze Auszüge aus der Science-Fiction-Serie "The Stainless Steel Rat" von Harry Harrison und verdeckten damit den Bezug zu Porno- oder Potenzpillenangeboten - zumindest vorläufig. Die Nachrichten selbst werden in verschiedenen Sprachen wie Portugiesisch, Spanisch, Litauisch und Deutsch versendet.
Die für den Versand benötigten Spam-Daten wie Empfänger-Adresse, Name des Absenders, Vorlage der Spam-Nachricht und Backup-Mail-Server werden nicht direkt von der infizierten Website bei den Servern der Cyberkriminellen angefragt, sondern über infizierte Rechner, deren Anwender zuvor die kompromittierte Website besucht haben.
Website-Administratoren können die Infektion an den bösartigen PHP-Dateien erkennen, mit denen ihre Seiten infiziert wurden - und zwar über nicht geschlossene Sicherheitslücken in den verwendeten Content-Management-Systemen. Als besonders angreifbare und von "StealRat" infizierte CMS-Systeme sind hier nicht aktualisierte und gepatchte Versionen von "WordPress", "Joomla" und "Drupal" zu nennen.
Bösartigen Code aufspüren
Prinzipiell gibt es zwei Möglichkeiten für die Website-Administratoren, die Infektion zu erkennen. Erstens können sie gezielt nach den bösartigen PHP-Dateien suchen, die in der Regel die Namen "sm13e.php" und "sm14e.php" aufweisen. Bei der letzteren handelt es sich um die aktuellste Version des Schädlings.
Da die PHP-Datei aber auch andere Bezeichnungen tragen kann, empfiehlt es sich, nach allen unbekannten und verdächtigen PHP-Dateien Ausschau zu halten und diese zu löschen. Um ganz sicher zu gehen, sollte aber auch nach den folgenden bösartigen Code-Elementen gefahndet werden:
die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321)
die(PHP_OS.chr(49).chr(49).chr(43).md5(0987654321)
Nach diesen Strings lässt sich unter Linux mit Hilfe des grep-Befehls grep "die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321" /path/to/www/folder/ suchen, während unter Windows der Suchbegriff content:"die(PHP_OS.chr(49).chr(48).chr(43).md5(0987654321" lautet.
Forschungspapier zu StealRat
Trend Micro hat vor kurzem ein Forschungspapier zu dem Spambot "StealRat" veröffentlicht, das online abrufbar ist und die Funktionsweise sowie Einzelkomponenten dieser Bedrohung detailliert untersucht.
Weitere Informationen zu "StealRat" finden sich auch im deutschen Trend Micro-Blog.
Trend Micro, der international führende Anbieter für [url=http://www.trendmicro.de/technologie-innovationen/cloud/index.html]Cloud-Security[/url], ermöglicht Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des [url=http://www.trendmicro.de/technologie-innovationen/technologie/smart-protection-network/index.html]Trend Micro Smart Protection Network[/url] basierenden Technologien, Lösungen und Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: im Internet. Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an.
Unternehmensinformation / Kurzprofil:
Trend Micro, der international führende Anbieter für [url=http://www.trendmicro.de/technologie-innovationen/cloud/index.html]Cloud-Security[/url], ermöglicht Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des [url=http://www.trendmicro.de/technologie-innovationen/technologie/smart-protection-network/index.html]Trend Micro Smart Protection Network[/url] basierenden Technologien, Lösungen und Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: im Internet. Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an.
Datum: 12.08.2013 - 14:21 Uhr
Sprache: Deutsch
News-ID 925306
Anzahl Zeichen: 4824
Kontakt-Informationen:
Stadt:
Hallbergmoos
Kategorie:
New Media & Software
Diese Pressemitteilung wurde bisher 361 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"Kompromittierte Websites: Spambot "StealRat" aufspüren und beseitigen"
steht unter der journalistisch-redaktionellen Verantwortung von
TREND MICRO Deutschland GmbH (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).
