Das Computer Emergency Readiness Team (US-CERT) der US-Regierung und das privatwirtschaftlich betriebene Internet Storm Center (ISC) schlagen unisono Alarm. Unbekannte Hacker sind in zahlreiche Webserver eingebrochen. Dabei werden die betroffenen Server so manipuliert, dass sie an jede abgerufene Webseite ein spezielles JavaScript anhängen. Werden diese Seiten angesurft, wird das JavaScript im PC des arglosen Surfers gestartet, sofern er den Internet Explorer nutzt. Anschließend wird ein Trojaner nachgeladen. Sicherheitsexperten vermuten die Hacker in Spammerkreisen. Spuren führen auch nach Russland.
Trojaner „RAT“ wird nachgeladen
Der Hackerangriff wird übereinstimmend sowohl vom US-CERT als auch vom Internet Storm Center und mittlerweile auch vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet. Betroffen sind nur Webserver, die mit Microsofts Internet Information Server (IIS) betrieben werden. Webseiten, die von diesen Servern ausgegeben werden, enthalten ein JavaScript, das im PC des Surfers automatisch gestartet wird, sofern er in den Sicherheitseinstellungen des Internet Explorers ActiveScripting aktiviert hat. Das Script nutzt zwei bekannte, aber noch nicht gepatchte Schwachstellen des Internet Explorers aus, um ein Schadprogramm nachzuladen. Es handelt sich dabei um ein Trojanisches Pferd namens RAT (msits.exe). Dieser Schädling ist in der Lage, sämtliche Tastatureingaben des Users mitzulesen, zu speichern und an seine Auftraggeber zu senden. Außerdem öffnet der Trojaner eine Systemhintertür, über die ein Nachladen weiterer Schadprogramme möglich ist. Laut BSI sei nicht auszuschließen, dass der eingeschleuste Trojaner noch weitere, bisher unbekannte Schadfunktionen enthalte. Soweit ersichtlich erkennen aktuelle Virenscanner diesen Schädling und schlagen Alarm.
Stehen russische Spammerkreise hinter dem Angriff?
Wer hinter diesem Hackerangriff stehen könnte und welche Absichten damit verfolgt werden, ist derzeit noch nicht erwiesen. Sicherheitsexperten vermuten allerdings, dass es sich um Hacker handeln könnten, die mit Spammern zusammenarbeiten und infizierte PCs kapern wollen, um über sie ferngesteuert ihren Spammüll ins Internet zu pusten. Die Betreiber des Internet Storm Centers haben die Frage aufgeworfen, ob die Hacker möglicherweise aus Russland stammen. Bei der Analyse der attackierten Webserver habe man Hinweise gefunden, die entsprechende Vermutungen zulassen. Es wurde festgestellt, dass der Trojaner von einem russischen Server heruntergeladen wird. Eine endgültige Aussage kann hier allerdings noch nicht gemacht werden.
ActiveScripting deaktivieren
Wie die Hacker in die ISS-Server gelangen, ist derzeit ebenfalls noch nicht geklärt. Auch die Zahl der weltweit betroffenen Server ist noch unbekannt. Ihre Zahl steigt momentan weiter an – der Hackerangriff ist also noch nicht vorüber. Das BSI rät allen „Web-Verantwortlichen“, die ISS-Server betreiben, ihre Systeme auf Manipulationen sowie insbesondere verdächtige JavaScripte hin zu untersuchen. Diese befinden sich immer am Ende eines HTML-Quelltextes und werden durch die Funktion „enable document footer“ dort automatisch angehängt. Surfer, die für ihre Webausflüge den Internet Explorer benutzen, sollten in den Sicherheitseinstellungen ihres Browsers dringend das ActiveScripting deaktivieren – oder sich nach einem alternativen Webseitenbetrachtungsprogramm umsehen…
Zurück zur News-Übersicht
