Wo versteckt sich der Bundestrojaner? Chaos Computer Club: Sicher können wir sagen, daß bei der Infektion zwei Komponenten installiert wurden: eine Windows-DLL im Userland c:\windows\system32\mfc42ul.dll sowie ein Windows-Kernel-Modul namens winsys32.sys.
von Dirk Weckerle
Ist der eigene Rechner vom Kriminalamt inifiziert? Wie findet man den Bundestrojaner auf seinem Rechner? Wühlen die Überwachungsbehörden bereits auf deinem Computer? Der Chaos Computer Club gibt dazu folgende Anweisung:
Sicher können wir sagen, daß bei der Infektion zwei Komponenten installiert wurden: eine Windows-DLL im Userland c:\windows\system32\mfc42ul.dll sowie ein Windows-Kernel-Modul namens winsys32.sys. Das Laden und Ausführen des DLL-Codes wird über den Registry-Key SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs realisiert, das Kernel-Modul wird über einen Windows-Kernel-Modul-Service vom Betriebssystem geladen.
Das Kernel-Modul liegt in Form einer unsignierten 32-bit-Datei vor. Es kann daher in dieser Form nur auf einem 32-bit-Windows funktionieren. Uns liegen keine Erkenntnisse vor, ob es auch eine 64-bit-Version gibt. Dies wäre daher interessant, da 64-bit-Versionen zwangsläufig signiert sein müssen. Über die Signatur könnte man eventuell Rückschlüsse auf den Urheber der Software ziehen.
Wie gelangt der Trojaner auf den Rechner?
CCC: Wir haben keine Erkenntnisse über das Verfahren, wie die Schadsoftware auf dem Zielrechner installiert wurde. Eine naheliegende Vermutung ist, daß die Angreifer dafür physischen Zugriff auf den Rechner hatten. Andere mögliche Verfahren wären ähnliche Angriffe, wie sie von anderer Malware benutzt werden, also E-Mail-Attachments oder Drive-By-Downloads von Webseiten. Es gibt auch kommerzielle Anbieter von sogenannten Infection Proxies, die genau diese Installation für Behörden vornehmen.
Welche Gefahr stellt der Bundestrojaner dar?
Die untersuchten Trojaner können nicht nur höchst intime Daten ausleiten, sondern bieten auch eine Fernsteuerungsfunktion zum Nachladen und Ausführen beliebiger weiterer Schadsoftware. Aufgrund von groben Design- und Implementierungsfehlern entstehen außerdem eklatante Sicherheitslücken in den infiltrierten Rechnern, die auch Dritte ausnutzen können.
Windows Benutzer:
Einfach im eigenen Rechner nach "mfc42ul.dll" und "winsys32.sys" suchen. (Achtung nicht verwechseln mit win32.sys) Viele Computernutzer sind bereits fündig geworden.
Mehr Infos: staatstrojaner-report23.pdf
