Trojan

Alles über Trojaner

Hüte dich vor Griechen mit Geschenken

In dem von Vergil verfassten Epos Aeneis dachte sich ein kluger griechischer Kriegsstratege mit dem Namen Odysseus einen Plan aus, um seine Männer unbemerkt in die von hohen Mauern umgebene Stadt Troja zu schmuggeln. Statt die Stadtmauern einzureißen oder durch Klettern zu überwinden, sah Odysseus einen anderen Weg in die Stadt: durch List. Und so beobachteten die trojanischen Soldaten, wie die Griechen anscheinend wieder davonsegelten und als Zeichen ihrer Niederlage nur ein gigantisches Holzpferd zurückließen. Siegestrunken brachten die Trojaner das Pferd in die Stadt, nur um dann festzustellen, dass sich Odysseus und seine Männer die gesamte Zeit über in dem Pferd verborgen hatten.

Wie bei dem trojanischen Pferd aus der Mythologie, nutzen auch Angriffe, die man als trojanische Pferde oder kurz Trojaner bezeichnet, Betrug und Social Engineering, um ahnungslose Benutzer dazu zu bringen, anscheinend nützliche und legitime Computerprogramme herunterzuladen und auszuführen. Allerdings müssen die Benutzer dann schon bald feststellen, dass sich darin Schadsoftware verbirgt, deren Autoren ganz andere Motive verfolgen.

Was kennzeichnet einen Trojaner?

Viele Benutzer denken bei einem Trojaner an einen Virus oder einen Wurm, tatsächlich jedoch handelt es sich um keines von beiden. Ein Virus ist ein Dateiinfektor, der sich selbst replizieren kann und sich verbreitet, indem er sich an ein anderes Programm anhängt. Würmer sind eine ähnliche Schadsoftware wie Viren. Für ihre Verbreitung ist es allerdings nicht erforderlich, dass sie an ein anderes Programm angehängt werden. Die Mehrzahl der Viren gilt heute als veraltete Bedrohung. Würmer sind mittlerweile ebenfalls selten geworden, obwohl sich von Zeit zu Zeit immer noch der eine oder andere blicken lässt. 

Am besten fassen Sie die Bezeichnung Trojaner einfach als übergeordneten Begriff für die Verbreitung von Schadsoftware auf, denn es gibt verschiedene Arten von Trojanern. Je nach Absicht des kriminellen Programmierers kann ein Trojaner das Schweizer Armeemesser für Hackerangriffe sein - denn er kann sowohl als eigenständige Schadsoftware als auch als Tool für andere Aktivitäten eingesetzt werden, so z. B. um zukünftige Payloads zu verbreiten, zu einem späteren Zeitpunkt mit dem Hacker zu kommunizieren oder das befallene System für weitere Angriffe zu öffnen - eben genauso wie es bei den griechischen Soldaten im Inneren der trojanischen Festung der Fall war.

Anders gesagt: Ein Trojaner ist eine Strategie, die Hacker nutzen, um eine beliebige Anzahl von Bedrohungen zu verbreiten - von Ransomware, bei der sofort Lösegeld gefordert wird, bis hin zu Spyware, die sich verbirgt und gleichzeitig wertvolle Informationen wie persönliche und Finanzdaten stiehlt.

Denken Sie immer daran, dass auch Adware oder PUP (potenziell unerwünschte Programme) mit Trojanern verwechselt werden können, weil die Verbreitungsmethode ähnlich ist. So kann es beispielsweise sein, dass sich Adware als Teil eines Software-Pakets auf Ihren Computer schleicht. Sie glauben, dass Sie nur ein Software-Programm herunterladen, tatsächlich aber sind es zwei oder drei. Die Autoren dieser Programme betten Adware in der Regel aus Gründen des Marketings in ihre Produkte ein, damit sie ihren Installer durch das Einblenden von Werbeangeboten rentabel machen können - was in der Regel aber deutlich gekennzeichnet ist. Solche Adware-Bundler sind normalerweise weniger bösartig als Trojaner. Sie tarnen sich auch nicht so, wie es bei Trojanern der Fall ist. Doch da der Adware-Verbreitungsvektor dem eines Trojaners ähnelt, kann es zu Verwirrung kommen.

Infektionsmethoden durch Trojaner

Trojaner können wie alle anderen Apps aussehen - das kann von kostenloser Software und Musikdateien über Browser-Werbung bis hin zu anscheinend legitimen Apps reichen. Jedes unkluge Benutzerverhalten kann zu einer Infektion durch einen Trojaner führen. Hier ein paar Beispiele:

• Herunterladen von gecrackten Anwendungen. Die Aussicht auf eine illegale, kostenlose Kopie einer Software mag zwar verlockend sein, aber hinter der gecrackten Software oder dem Generator für Aktivierungsschlüssel kann sich ein Angriff durch einen Trojaner verbergen.
• Herunterladen von unbekannten, kostenlosen Programmen. Was wie ein kostenloses Spiel oder ein Bildschirmschoner aussieht, könnte in Wirklichkeit ein Trojaner sein - insbesondere, wenn Sie das Spiel oder den Bildschirmschoner auf einer nicht vertrauenswürdigen Website gefunden haben.
• Öffnen von infizierten Anhängen. Sie erhalten eine seltsame E-Mail mit einem wichtig aussehenden Anhang - vielleicht so etwas wie eine Rechnung oder einen Lieferschein. Tatsächlich jedoch wird ein Trojaner gestartet, sobald Sie auf den Anhang klicken.
• Besuch zweifelhafter Websites. Einige Websites benötigen nur einen Moment, um Ihren Computer zu infizieren. Andere nutzen Tricks und geben z. B. vor, einen beliebten Film zu streamen - allerdings nur, wenn Sie einen bestimmten Video-Codec herunterladen, bei dem es sich in Wirklichkeit um den Trojaner handelt.
• Jede andere Social-Engineering-Taktik, die sich verschleiert, indem sie die neuesten Trends nutzt. So stellte sich beispielsweise im Dezember 2017 heraus, dass eine immense Zahl installierter Intel-Prozessoren aufgrund von Hardware-Problemen für Angriffe anfällig war. Die Hacker nutzten die darauffolgende Panik und brachten einen gefälschten Patch mit der Bezeichnung Smoke Loader heraus, durch den ein Trojaner installiert wurde.

Aktuelles zu Trojanern

Trojaner: Was steckt dahinter?

Schadsoftware-Analyse: Dekodierung von Emotet, Teil 1

Schadsoftware-Analyse: Dekodierung von Emotet, Teil 2

Geschichte der Trojaner

Spaß und Spiele

Ein Programm mit dem Namen ANIMAL, das 1975 herauskam, gilt allgemein als das weltweit erste Beispiel für einen Trojanerangriff. Der Trojaner war als einfaches Spiel getarnt, bei dem dem Spieler 20 Fragen gestellt wurden. Im Hintergrund jedoch kopierte sich das Spiel gleichzeitig in alle freigegebenen Verzeichnisse, wo es von anderen Benutzern gefunden werden konnte. Auf diese Weise konnte sich das Spiel über ganze Computernetzwerke ausbreiten. Im Grunde handelte es sich dabei jedoch noch um einen recht harmlosen Streich.

Doch schon im Dezember 1989 waren Trojaner-Angriffe alles andere als harmlos und bei Weitem keine Streiche mehr. Mehrere Tausend Disketten, die den Trojaner AIDS enthielten (die erste bekannte Ransomware), wurden an die Abonnenten des Magazins PC Business World und an AIDS-Forscher geschickt, die für eine AIDS-Konferenz auf der Mailing-Liste der Weltgesundheitsorganisation standen. Dieser DOS-Trojaner blieb bis zum 90. Start des Computers scheinbar inaktiv und änderte nach dem 90. Start plötzlich sein Verhalten: Er verschlüsselte alle Dateinamen auf dem System und zeigte dann eine Meldung an, in der der Benutzer aufgefordert wurde, 189 US $ per Post an ein Postfach in Panama zu senden, um ein Entschlüsselungsprogramm zu erhalten.

In den 1990er-Jahren machte ein anderer berüchtigter Trojaner von sich reden. Er kam in Form eines einfachen Geschicklichkeitsspiels (Whack a Mole) daher. In dem Programm verbarg sich eine Version von NetBus. Mit diesem Programm lässt sich ein Microsoft-Windows-Computersystem remote über ein Netzwerk steuern. Durch den Remote-Zugriff konnte der Angreifer eine ganze Reihe von Dingen auf einem Computer ausführen und sogar das CD-Laufwerk öffnen.

Liebe und Geld

Im Jahr 2000 erwies sich ein Trojaner mit dem Namen ILOVEYOU als der bis dato destruktivste Cyberangriff in der Geschichte. Die Schäden, die durch diesen Trojaner verursacht wurden, werden auf bis zu 8,7 Mrd. US$ geschätzt. Die Empfänger erhielten eine E-Mail mit einem scheinbaren Textanhang, der den Titel ILOVEYOU trug. Wenn sie neugierig genug waren, um den Anhang zu öffnen, startete das Programm ein Skript, das die Dateien der Benutzer überschrieb und sich selbst an jeden Empfänger in der Kontaktliste des Benutzers verschickte. Aus technischer Perspektive war dieser Wurm sehr schlau konzipiert - geradezu genial aber war die Art, wie hier Social Engineering genutzt wurde.

Während der 2000er-Jahre haben sich Trojaner-Angriffe immer weiterentwickelt, genauso wie die Bedrohungen, die sich in ihnen verbergen. Statt auf die Neugier der Menschen abzuzielen, nutzen Trojaner jetzt die gestiegene Zahl der illegalen Downloads und tarnen sich als Musikdateien, Filme oder Video-Codecs. 2002 kam ein Windows-basierter Backdoor-Trojaner mit dem Namen Beast auf. Er war in der Lage, praktisch alle Versionen von Windows zu infizieren. Ende 2005 wurde Zlob, ein anderer Backdoor-Trojaner, verbreitet. Er war als erforderlicher Video-Codec in Form von ActiveX getarnt.

In den 2000er-Jahren stieg die Zahl der Mac-Benutzer und die Internetkriminellen folgten auf dem Fuße. 2006 wurde die allererste Schadsoftware für Mac OS X überhaupt entdeckt. Es handelte sich um ein trojanisches Pferd von geringer Bedrohung, das als OSX/Leap-A oder OSX/Oompa-A angekündigt wurde.

Etwa um dieselbe Zeit änderte sich die Motivation, die hinter den Trojaner-Angriffen stand. Bei vielen der früheren Cyberangriffe standen das Streben nach Macht, der Wunsch nach Kontrolle oder einfach Zerstörungswut im Vordergrund. In den 2000er-Jahren dagegen waren immer mehr Angriffe durch simple Gier motiviert. 2007 griff ein Trojaner namens Zeus gezielt Microsoft Windows an, um mithilfe eines Keyloggers Bankdaten zu stehlen. 2008 setzten Hacker Torpig frei, der auch unter den Namen Sinowal und Mebroot bekannt wurde. Torpig schaltete Antiviruslösungen aus, sodass Fremde auf den Computer zugreifen, Daten verändern und vertrauliche Informationen wie Passwörter und andere sensible Daten stehlen konnten.

Größer und böser

Als die Internetkriminalität die 2010er-Jahre erreichte, war Gier noch immer eine Hauptmotivation. Doch jetzt dachten die Hacker im großen Stil. Das Aufkommen von nicht rückverfolgbaren Kryptowährungen wie Bitcoin führte zu einer Zunahme der Ransomware-Angriffe. 2013 wurde das trojanische Pferd Cryptolocker entdeckt. Cryptolocker verschlüsselt die Dateien auf der Festplatte eines Benutzers und verlangt, dass ein Lösegeld an den Entwickler gezahlt wird, um den entsprechenden Schlüssel zum Entschlüsseln der Dateien zu erhalten. Später im selben Jahr wurde eine Reihe von Ransomware-Trojanern entdeckt, die Cryptolocker nachahmten.

In den 2010er-Jahren ist es auch zu einer Veränderung in der Art und Weise gekommen, wie die Opfer ausgewählt werden. Zwar nutzen viele Trojaner noch immer einen pauschalen Ansatz und versuchen, so viele Benutzer wie möglich zu infizieren, aber es scheint sich mittlerweile eine Tendenz zu wesentlich gezielteren Angriffen abzuzeichnen. Viele der Trojaner, von denen wir heute hören, wurden entwickelt, um ein bestimmtes Unternehmen, eine Organisation oder sogar eine Regierung anzugreifen. 2010 wurde Stuxnet, ein Windows-Trojaner, entdeckt. Es handelte sich um den ersten Wurm, der computerisierte Steuerungssysteme angriff, und Gerüchten zufolge wurde er konzipiert, um Nukleareinrichtungen im Iran anzugreifen. 2016 machte der Trojaner Tiny Banker (Tinba) Schlagzeilen. Seit seiner Entdeckung konnte man feststellen, dass mehr als zwei Dutzend der größten Bankinstitute in den USA damit infiziert wurden. So u. a. TD Bank, Chase, HSBC, Wells Fargo, PNC und die Bank of America.

Da es sich um eine der ältesten und herkömmlichsten Methoden zur Verbreitung von Schadsoftware handelt, geht die Geschichte der Trojaner mit der Geschichte der Internetkriminalität Hand in Hand. Was als Streich unter Freunden begann, hat sich zu einer Möglichkeit entwickelt, ganze Netzwerke zu zerstören, Daten zu stehlen, sich zu bereichern und Macht über andere zu erlangen. Die Zeiten der harmlosen Streiche sind lange vorbei. Stattdessen handelt es sich um Werkzeuge, mit denen Internetkriminelle schwere Verbrechen begehen und Daten stehlen, andere ausspionieren sowie Distributed Denial of Service (DDoS)-Angriffe durchführen.

Arten von Trojanern

Trojaner sind ausgesprochen vielseitig und sehr beliebt, weshalb es schwierig ist, jede Art genau zu charakterisieren. Die meisten Trojaner sind darauf ausgelegt, die Kontrolle über den Computer eines Benutzers zu übernehmen, Daten zu stehlen, andere auszuspionieren oder immer noch mehr Schadsoftware auf dem Computer eines Opfers zu installieren. Nachfolgend möchten wir Ihnen einige Bedrohungen erläutern, die durch Trojaner-Angriffe entstehen:

• Backdoors: Durch Backdoors wird der Remote-Zugriff auf Ihr System möglich. Diese Art von Schadsoftware ändert Ihre Sicherheitseinstellungen und erlaubt einem Hacker, die Kontrolle über das Gerät zu übernehmen, Ihre Daten zu stehlen oder noch mehr Schadsoftware auf Ihr System zu laden.
• Spyware: Spyware spioniert Sie aus, während Sie auf Online-Konten zugreifen oder Ihre Kreditkartendaten eingeben. Dann überträgt sie Ihre Passwörter oder andere Daten, durch die Sie identifiziert werden können, an den Hacker.
• Zombifying-Trojaner: Trojaner, die die Kontrolle über Ihren Computer übernehmen und ihn zu einem Sklaven in einem Netzwerk machen, das der Kontrolle des Hackers unterliegt, bezeichnet man als Zombifying-Trojaner, weil sie Ihren Computer praktisch in einen Zombie verwandeln. Das ist übrigens der erste Schritt, um ein Botnet zu erzeugen [der Begriff ist eine Zusammensetzung aus Robot (Roboter) + Network (Netzwerk)]. Botnets werden oft verwendet, um einen DDoS-Angriff (Distributed Denial-of-Service) durchzuführen. Ein solcher Angriff zielt darauf ab, ein Netzwerk lahmzulegen, indem er es mit Verkehr überflutet.
• Downloader-Trojaner: Diese Trojaner laden andere bösartige Module wie Ransomware oder Keylogger herunter und implementieren sie.
• Dialer-Trojaner: Sie scheinen ein Anachronismus zu sein, da wir keine Einwählmodems mehr verwenden. Aber mehr dazu im nächsten Abschnitt.

Von Trojanern befallene Apps auf Android-Smartphones

Trojaner sind kein Problem, das sich allein auf Laptops und Desktops beschränkt. Sie greifen Mobilgeräte gleichermaßen an, was durchaus Sinn macht, wenn man an die Milliarden von Mobiltelefonen denkt, die heute in Benutzung sind und damit ein verlockendes Ziel darstellen.

Wie bei Computern kommen auch bei den Mobilgeräten Trojaner als legitimes Programm daher, obwohl es sich in Wirklichkeit natürlich um eine gefälschte Version der angeblich legitimen App handelt, die voller Schadsoftware steckt.

Solche Trojaner lauern normalerweise auf den Märkten für Raubkopien von Apps (Software-Piraterie) und verlocken Benutzer dazu, sie herunterzuladen. Und dann lassen die Trojaner eine ganze Palette an Unheil vom Stapel und infizieren das Telefon mit Adware und Keyloggern, die Daten stehlen können. Dialer-Trojaner können sogar für Umsätze sorgen, indem sie Premium-SMS-Texte versenden.    

Android-Benutzer sind sogar durch Google Play zu Opfern von mit Trojanern befallenen Apps geworden - und das, obwohl Google Play Apps kontinuierlich scannt und befallene Apps verbannt werden (meistens nach Entdeckung des Trojaners). Add-ons für Browsererweiterungen können ebenfalls als Trojaner agieren, da es sich um eine Payload handelt, die einen eingebetteten Schadcode mitführen kann.

Zwar kann Google Browser Add-ons von Computern entfernen, aber auf Telefonen können die Trojaner transparente Symbole auf dem Bildschirm ablegen. Das Symbol ist somit für den Benutzer unsichtbar, reagiert aber trotzdem auf eine Berührung mit dem Finger, um die Schadsoftware zu starten.

Doch es gibt nicht nur für iPhone-Benutzer gute Nachrichten: Die restriktiven Richtlinien von Apple, was den Zugang zu seinem App Store, iOS und anderen Apps auf dem Telefon anbelangt, leisten gute Arbeit und verhindern das Eindringen von Trojanern. Hiervon ausgenommen sind lediglich Benutzer, die auf ihren Telefonen die Sicherheitsstrukturen mittels Jailbreak ausschalten, um kostenlose Programme von anderen Websites herunterzuladen, bei denen es sich nicht um den App Store handelt. Wenn Sie risikoreiche Apps installieren, ohne dabei die Apple-Sicherheitseinstellungen zu nutzen, werden Sie für Trojaner anfällig.

Wie entferne ich einen Trojaner?

Sobald ein Trojaner Ihr Gerät infiziert hat, besteht die herkömmlichste Methode zur Bereinigung und Wiederherstellung Ihres Systems darin, ein automatisiertes Antischadsoftware-Tool von guter Qualität zu nutzen und einen vollständigen Scan des Systems durchzuführen.

Es gibt zahlreiche kostenlose Antischadsoftware-Programme - darunter unsere eigenen Produkte für Windows, Android und Mac -, die Adware und Schadsoftware erkennen und entfernen. Tatsächlich erkennt Malwarebytes alle bekannten Trojaner und mehr, da 80 % der Erkennung von Trojanern durch eine heuristische Analyse erfolgt. Wir helfen Ihnen sogar dabei, die Ausbreitung der Infektion einzudämmen, indem wir die Kommunikation zwischen der eingeschleusten Schadsoftware und ihrem Backend-Server unterbrechen, wodurch der Trojaner isoliert wird. Die einzige Ausnahme ist der Schutz gegen Ransomware - hierfür benötigen Sie unser Premium-Produkt.

Wie vermeide ich Trojaner?

Trojaner basieren darauf, dass wir uns in die Irre führen lassen und ihnen so Zutritt zu unserem Computer gewähren. Deshalb lassen sich die meisten Infektionen allein schon dadurch vermeiden, dass Sie einfach wachsam bleiben und sich umsichtig verhalten. Begegnen Sie Websites, die kostenlose Filme oder Spiele anbieten, mit einer gesunden Skepsis, und laden Sie kostenlose Programme lieber direkt von der Website des Herstellers herunter statt bei nicht autorisierten Spiegel-Servern.

Eine weitere Vorsichtsmaßnahme, die Sie in Betracht ziehen sollten: Ändern Sie die Standardeinstellungen von Windows, sodass die tatsächlichen Endungen von Anwendungen immer sichtbar sind. Auf diese Weise vermeiden Sie, durch ein unschuldig aussehendes Symbol ausgetrickst zu werden.

Weitere gute Vorgehensweisen sind - neben der Installation von Malwarebytes for Windows, Malwarebytes for Android und Malwarebytes for Mac - unter anderem:

• Führen Sie regelmäßige Diagnosescans durch.
• Richten Sie für Ihre Betriebssystemsoftware automatische Updates ein, und stellen Sie so sicher, dass Sie immer über die neuesten Sicherheits-Updates verfügen.
• Halten Sie Ihre Anwendungen immer auf dem neuesten Stand, und stellen Sie sicher, dass Schwachstellen gepatcht werden.
• Vermeiden Sie unsichere oder verdächtige Websites.
• Seien Sie skeptisch, wenn Sie nicht verifizierte Anhänge und Links mit E-Mails von Unbekannten erhalten.
• Verwenden Sie komplexe Passwörter.
• Bleiben Sie hinter der Firewall.

So werden Sie durch Malwarebytes Premium geschützt

Bei Malwarebytes nehmen wir die Prävention von Infektionen sehr ernst. Aus diesem Grund gehen wir mit aller Schärfe gegen Websites und Werbung vor, die wir als betrügerisch oder verdächtig einstufen, und blockieren sie. So blockieren wir beispielsweise Torrent-Sites wie The Pirate Bay. Obwohl viele versierte Benutzer solche Sites schon ohne Probleme besucht haben, handelt es sich doch bei einigen der dort zum Download angebotenen Dateien um Trojaner. Aus ähnlichen Gründen blockieren wir das Cryptomining durch Browser. Aber auf Wunsch kann der Benutzer die Blockade ausschalten und die Verbindung herstellen.

Unsere Begründung lautet, dass es einfach besser ist, auf Nummer sicher zu gehen. Wenn Sie das Risiko eingehen möchten, können Sie eine Site ganz einfach auf eine Whitelist setzen. Aber selbst technisch versierte Benutzer können einem überzeugenden Trojaner in die Fänge gehen.

Werfen Sie einen Blick auf den Malwarebytes Labs Blog, wenn Sie mehr über Trojaner, Schadsoftware und andere Cyberbedrohungen erfahren möchten. Was Sie dort lernen, kann Ihnen möglicherweise helfen, eine Infektion zu vermeiden.