Russischer Trojaner-Server offline

Ein russischer Server, von dem aus geknackte Webserver in den vergangen Tagen einen Trojaner nachgeladen und verbreitet haben, ist nach internationalen Medienberichten abgeschaltet worden. Damit ist die aktuelle Gefahr durch diese Angriffswelle vorerst gebannt.

Das US-CERT und das Internet Storm Center (ISC) hatten gestern eine erhöhte Zahl von Einbrüchen in Webserver, auf denen Microsofts Internet Information Server (IIS) läuft, gemeldet. Die Einbrecher manipulieren die Server derart, dass sie an die ausgelieferten Seiten spezielle JavaScripte anhängen. Die HMTL-Dokumente selbst werden nicht manipuliert. Die Scripte nutzen nach derzeitigen Erkenntnissen zwei bekannte, aber noch nicht gestopfte Sicherheitslücken im Internet Explorer aus, um den Besucher schon beim Besuch der Seite mit dem Trojaner RAT zu infizieren. RAT liest unter anderem die Tastatureingaben mit und sendet sie an Server ins Internet und öffnet zusätzlich eine Backdoor.

Nachdem der Server von dem aus der Trojaner nachgeladen wurde, gestoppt ist, ist die Gefahr durch diese Sicherheitslücke allerdings keineswegs dauerhaft gebannt. Die Erfahrung zeigt, dass einmal bekannt Löcher immer wieder ausgenutzt werden. Selbst Teile des c't-Browserchecks finden sich immer wieder auf Web-Seiten, die via IE Trojaner installieren. (wst)