AV-Firma vermutet größere Verbreitung des Mac-Trojaners "Flashback" Update

Mehr als eine halbe Million Mac-OS-X-Maschinen könnten nach Einschätzung des russischen Antiviren-Spezialisten Doctor Web mit Varianten der Malware "Flashback" infiziert sein. Der Trojaner verbreitet sich seit kurzem über eine Java-Lücke, die Apple erst in dieser Woche gepatcht hat. [Update:] Für Lion steht mittlerweile ein zweites Java-Update bereit. [/Update] Dabei reicht es zur Infektion aus, mit eingeschaltetem Java eine präparierte Website zu besuchen. Doctor Web schätzt, dass mittlerweile 550.000 Maschinen zu einem Botnetz zusammengefasst sind, das Kriminelle fernsteuern können.

Die Infektion mit dem Trojaner soll sich laut Doctor Web innerhalb weniger Tage massenhaft ausgebreitet haben. "Unserer Untersuchung nach sind bis dato weltweit über 550.000 Mac-Computer im Botnet mit dem Trojaner infiziert", sagte Pierre Curien, Geschäftsführer von Doctor Web Deutschland gegenüber der Nachrichtenagentur dpa. Vor allem seien Rechner in den USA, Kanada und Großbritannien betroffen. In Deutschland liege der Anteil der Infektionen dagegen bei nur 0,4 Prozent. Doctor Web ermittelte die Zahl mit der sogenannten Sinkhole-Methode, bei der Botnet-Daten auf eigene Server umgeleitet wurden, über die sich die Identifikationsnummer eines infizierten Rechners auslesen ließ. Daraus wurde der Wert dann hochgerechnet.

Der "Flashback"-Trojaner ist schon länger bekannt. Die Schadsoftware versucht Nutzer zum Herunterladen einer Software zu bewegen, indem sie sich als Flash-Player im Internet ausgibt. Laut einem Advisory des Sicherheitsunternehmens F-Secure verlangt die Malware an einem bestimmten Punkt des Installationsprozesses die Eingabe eines Administrator-Passworts, versucht sich aber auf anderem Weg auch zu installieren, wenn der Nutzer dies verweigert. Zuvor waren in früheren "Flashback"-Varianten andere Lücken ausgenutzt worden, allerdings waren diese bislang nie ungepatcht.

F-Secure nennt in seinem Advisory Schritte, mit denen sich eine potenzielle Infektion im Mac-OSX-Terminal feststellen lässt. Wenn die Befehle

defaults read /Applications/Safari.app/Contents/Info LSEnvironment

und

defaults read ~/.MacOSX/environment DYLD_INSERT_LIBRARIES

jeweils die Fehlermeldung "The domain/default pair of (...) does not exist" ausgeben, soll man sich die Malware nicht eingefangen haben. (Für Betroffene bietet F-Secure im gleichen Advisory außerdem eine manuelle Entfernungsanleitung.)

[Update:] Eine Infektion von Firefox lässt sich über folgendes Kommando ausschließen:

defaults read /Applications/Firefox.app/Contents/Info LSEnvironment

Darüber hinaus stehen mittlerweile einfache Werkzeuge zur Überprüfung des Macs bereit. [/Update]

Nutzer sollten darüber hinaus baldmöglichst Apples Java-Update einspielen, das für Lion und Snow Leopard angeboten wird. Zusätzlich lässt sich Java auch über das Hilfsprogramm "Java-Einstellungen" vollständig abdrehen. (mit Material von dpa) / (bsc)