Virut lässt Botnet Waledac wieder auferstehen
Ein neuer Schädling nutzt offenbar auch die Infrastruktur eines bereits unschädlich gemachten Vorgängers. Mehrere Milliarden Spam-Nachrichten täglich könne das neue Virut-Botnet versenden, warnt ein Sicherheitshersteller.
Symantec hat neue Informationen zum Botnetz Virut veröffentlicht. Es hat beobachtet, dass mit der Malware W32.Virut infizierte Systeme auch W32.Waledac.D herunterluden – das Schadprogramm, das für das als Waledac oder auch Kelihos bekannt gewordene Botnetz verantwortlich war. Waledac galt nach Gegenmaßnahmen als tot, wird aber auf diese Weise offenbar wiederbelebt.
Ein von Symantec beobachtetes infiziertes System verschickte 2000 Spambotschaften pro Stunde. Der Sicherheitsbotschafter rechnet nun mit mehreren Milliarden unerwünschten Werbemails pro Tag, wenn von etwa 308.000 mit Virut infizierten Systemen auch nur ein Viertel den Waledac-Client nachinstalliert. Die von Symantec vorgelegten Modellrechnungen gehen genauer gesagt von 1,2 bis 3,6 Milliarden Spambotschaften pro Tag aus.
Der bisher beobachtete Spamversand über das wiederauferstandene Waledac-Botznetz traf am stärksten die USA. In Europa ist Frankreich am stärksten betroffen. Es handelte sich größtenteils um bekannte Werbebotschaften – etwa für eine kanadische Online-Apotheke und für leistungssteigernde Medikamente. Insgesamt wurden 16 verschiedene Betreffzeilen und 13 Variationen des Mail-Inhalts beobachtet.
Symantec wertet die Koexistenz von Virut und Waledac auf einem Computer als Zeichen verstärkter Zusammenarbeit von Cyberkriminellen. Außerdem zeige der Fall, dass sich solche Botnetz-Clients nicht gegenseitig behindern müssen.
An der Schließung von Waledac 2010 und von dessen Nachfolger Kelihos 2011 hatte Microsoft großen Anteil. Im Lauf seiner Ermittlungen, deren Ergebnisse es dem FBI zur Verfügung stellte, identifizierte es unter anderem den mutmaßlichen Autor von Kelihos. Außerdem beantragte es richterliche Verfügungen, um Kommandoserver des Botnetzes abschalten zu lassen und so zu verhindern, dass neue Module auf den Bots eingespielt werden können.
[mit Material von Tom Brewster, TechWeekEurope.co.uk]
Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
