Kaspersky Lab veröffentlicht den Artikel „Gefahren für IM-Clients“

Kaspersky Lab setzt auf das Fachwissen von Experten wie Denis Maslennikov und Boris Yampolsky. Sie beleuchten im Artikel „Gefahren für IM-Clients“, welchen Risken die Anwender von Instant-Messaging-Programmen wie ICQ, MSN oder Skype ausgesetzt sind .

Programme zum Austausch von Sofortmitteilungen sind für Cyberkriminelle unterschiedlichster Couleur sehr interessant. Wer potenzielle Schädlinge und wirksame Schutzmethoden kennt, kann vielen Unannehmlichkeiten bei der Kommunikation im Netz vorbeugen. Am Beispiel des Chat-Client ICQ analysiert der Artikel die am meisten verbreiteten IM-Angriffsarten, die Cyberkriminelle auch bei anderen Clients anwenden können.

Diebstahl von Passwörtern

Jeder ICQ-Nutzer meldet sich mit einer eindeutigen Identifizierungsnummer oder UIN am Server an. Dabei handelt es sich größtenteils um neunstellige Nummern. Allerdings wollen viele Nutzer, dass UIN mit der Nummer ihres Handys übereinstimmt oder zumindest ähnliche Ziffernfolgen enthält. Solche UINs lassen sich gut merken und sind für manchen Anwender auch prestigeträchtig. Besonders beliebt sind „schöne“ ICQ-Nummern, also fünf- bis siebenstellige UINs, die sich zum Beispiel nur aus zwei Ziffern zusammensetzen.

Schöne Nummern werden zum Verkauf angeboten und ihr Preis ist in der Regel ziemlich hoch. Viele Webseiten haben sich deshalb auf Nummernbestellung spezialisiert. Übeltäter setzen verschiedenste Methoden ein, um an die gewünschten UINs zu kommen. Die Betreiber von Internet-Shops, die mit den begehrten Nummern handeln, verstehen sich oftmals gut auf Accountdiebstahl. Eine dabei eingesetzte Methode ist es, über die per E-Mail verschickte ICQ-Anmeldebestätigung an das Passwort des Anwenders zu gelangen.

Besonders populär ist jedoch der Diebstahl von ICQ-Nummern mit verschiedenen Malware-Tools. Dabei ist die Schädlings-Familie Trojan-PSW.Win32.LdPinch seit mehreren Jahren unangefochtener Spitzenreiter. LdPinch stiehlt nicht nur Passwörter für IM-Clients wie ICQ oder Miranda, sondern spioniert unter anderem auch die Zugangsdaten von E-Mail-Accounts, FTP-Clients oder Online-Spielen aus. Mit Hilfe spezieller Konstruktionsprogramme lassen sich solche Trojaner sehr einfach herstellen.

Verbreitung von Malware

ICQ-Schädlinge lassen sich hauptsächlich in drei Gruppen einteilen: Zum einen IM-Würmer, die sich mit Hilfe infizierter Clients verbreiten. Des Weiteren Trojaner, also auf Diebstahl von Kennwörtern ausgerichtete Schädlinge wie Trojan-PSW.Win32.LdPinch. Zur dritten Kategorie gehören sämtliche anderen Schadprogramme, die Kaspersky Lab als Hoax.Win32.*.* klassifiziert. In diese Kategorie gehört auch Schadsoftware, mit deren Hilfe Geld gestohlen wird.

Die Verbreitung von IM-Würmern erfolgt fast immer ohne Mitwirkung des Anwenders. Viele Schädlinge verbreiten sich über die ICQ-Kontaktliste eines infizierten Rechners, indem sie einen Download-Link auf die Malware selbst verschicken. Sollen Malware-Angriffe erfolgreich verlaufen, braucht es dazu aber fast immer die Mitarbeit der Anwender: So werden sie in Mitteilungen dazu aufgefordert, auf darin enthaltene Weblinks zu klicken. Verbirgt sich dahinter ein Schadprogramm, sollen die Anwender auch gleich die Datei öffnen. Um ihr Ziel zu erreichen, setzen die Übeltäter ganz auf Social-Engineering-Methoden.

IM-Nachrichten mit Links können auch auf legale, aber geknackte oder speziell von den Cyberkriminellen erstellte Webseiten verweisen, auf denen Trojan-Downloader installiert sind. Um Malware mithilfe von schädlichem Webseiten-Code auf PCs zu übertragen, werden oft Fehler oder Schwachstellen von Webbrowsern ausgenutzt. Davon ist hauptsächlich der Internet Explorer betroffen. Doch auch die IM-Programme selbst können Schwachstellen enthalten, die Cyberkriminelle für Angriffe ausnutzen. Über einen solchen Exploit lässt sich zum Beispiel ein Pufferüberlauf starten, fremder Code im System ausführen oder ohne Kenntnis und Einverständnis seines Besitzers Zugang zu anderen Computern aufnehmen. Kann sich das Schadprogramm selbstständig verbreiten, so landet es innerhalb kurzer Zeit auf zahlreichen anderen PCs, auf denen ebenfalls die betroffene Anwendung läuft, und kann eine richtige Epidemie verursachen.

Spam im ICQ

Fast alle Spam-Mitteilungen kommen von ICQ-Nummern, die nicht auf der User-Kontaktliste stehen. Die Häufigkeit, mit der ein Anwender solche Werbung erhält, hängt von dessen ICQ-Nummer ab. An eine sechsstellige ICQ-Ziffernfolge gehen durchschnittlich 15 bis 20 Spam-Mitteilungen pro Stunde. Viele davon enthalten einen Link auf den Schädling Trojan-PSW.Win32.LdPinch. Neunstellige Nummern erhalten nur zehn bis 14 solcher Mitteilungen am Tag, besonders„schöne“ Zahlenkombinationen jedoch zwei- bis 2,5mal mehr.

Die thematische Zusammensetzung von ICQ-Spam unterscheidet sich deutlich von der E-Mail-Reklame. Während etwa 90 Prozent aller Spam-Mails Waren und Dienstleistungen bewerben, sind es in ICQ weniger als 13 Prozent. Mit 8,17 Prozent bezieht sich ein ziemlich hoher Prozentsatz von Spam-Mitteilungen direkt auf den ICQ-Client. Werbung für illegale Dienstleistungen kommt mit 5,45 Prozent ebenfalls auf einen großen Anteil.

Anders als bei E-Mail-Kontakten können sich ICQ-Nutzer mit gleichen Interessen leicht anhand ihrer Profilinformationen finden. Diese Methode nutzen auch Spammer, um ihre Werbung an die richtige Zielgruppe zu schicken. Etwa 50 Prozent des ICQ-Spams hat „jugendlichen“ Charakter. Die User sind meistens junge Leute, die den Chat-Client normalerweise nicht beruflich einsetzen. Mit einem Anteil von 18,47 Prozent nimmt Werbung für Unterhaltungswebseiten den ersten Platz im Rating ein. Die Rubrik „Spam für Erwachsene“ erreicht mit 17,9 Prozent den zweiten Platz. Auch Spam aus anderen Kategorien richtet sich deutlich an eine jugendliche Zielgruppe.

Wenn Hacker IM-Clients attackieren, geschieht das meistens aus folgenden Motiven:

1. Verkauf von gestohlenen und meistens neunstelligen ICQ-Nummern. „Schöne“ Nummern mit besonders einprägsamen Ziffernfolgen sind begehrt und erzielen höhere Verkaufspreise.
2. Erstellen von ICQ-Nummernlisten. Abnehmer sind einerseits Spammer und andererseits Cyberkriminelle, die schädliche Programme massenhaft verbreiten wollen.
3. Die Kontakte eines bestohlenen ICQ-Nutzers werden in dessen Namen um eine Geldspende gebeten.
4. Platzieren einer schädlichen Software über Exploits.
5. Modifizieren von Web-Seiten über gestohlene FTP-Passwörter, um schädliche Software auf die Computer der Surfer zu laden.
6. Aufbau oder Erweiterung eines Botnetzes.
7. Sonstige schädliche Tätigkeit.

Spezielle Schutzmaßnahmen für IM-Clients gibt es derzeit zwar nicht. Die wirksamste Methode gegen IM-Spam und -Schädlinge sind aber der gesunde Menschenverstand sowie ein mit Antiviren-Programm und Firewall abgesicherter Rechner.

Den vollständigen Artikel finden Sie auf dem Informationsportal www.viruslist.de.