Microsoft vs. Fake Antivirus
Weitere betrügerische Sicherheitsprogramme im Visier
Microsoft setzt seinen Feldzug gegen falsche Schutzprogramme fort, den es im November begonnen hat. Das aktualisierte Anti-Malware-Tool nimmt zwei weiter RogueWare-Familien aufs Korn, die ein halbe Million Rechner verseucht haben.
Bereits im November hat Microsofts Anti-Malware-Tool, das jeden Monat beim Patch Day aktualisiert wird, den Kampf gegen betrügerische Antivirusprogramme, so genannte RogueWare aufgenommen. Erstes Ziel war eine RogueWare-Familie, die Microsoft "Win32/FakeSecSen" nennt. Im Dezember hat Microsoft zwei weitere Schädlingsfamilie aus dieser Sparte ins Visier genommen: "Win32/FakeXPA" und "Win32/Yektel". Bei zusammen haben allerdings nur halb so viele Rechner verseucht wie FakeSecSen - immerhin aber auch mindestens eine halbe Million.
Wie Microsofts Malware-Forscher im Blog des Malware Protection Center berichten, hat das "Tool zum Entfernen bösartiger Software" in der ersten Woche nach dem Patch Day etwa 500.000 PCs von falschen Schutzprogrammen dieser beiden Familien befreit. Im gleichen Zeitraum sind nur noch etwa 62.000 Exemplare von FakeSecSen entfernt worden - offenbar ist diese Spezies auf dem Rückzug und durch neue RogueWare ersetzt worden.
Auf den ersten Blick scheint es, dass FakeXPA weniger verbreitet ist als es FakeSecSen im November war. Doch beide Schädlinge bestehen aus mehreren Komponenten, darunter eine EXE-Datei und ein Systemsteuerungs-Applet (.cpl), das die EXE-Komponente startet. Schaut man auf die Zahl der entfernten EXE-Dateien, die einer der beiden RogueWare-Familien zugerechnet werden, ergibt sich ein anderes Bild. Dann liegen beide etwa gleich auf bei 200.000, mit leichtem Vorsprung für FakeXPA.
Im Unterschied zu anderen Malware-Kategorien sind die betrügerischen Schutzprogramme meist recht leicht zu finden und zu entfernen. So muss man zum Beispiel nur der Spur der Desktop-Verknüpfung folgen, die den Titel "Antivirus 2009" trägt, um die die FakeXPA gehörenden EXE-Datei zu finden. RogueWare ist nicht getarnt wie ein Bot sondern völlig offensichtlich, hat eine grafische Bedienoberfläche und nervt ständig mit falschen Warnungen vor angeblich vorhandener Adware oder Malware. Damit sollen die Anwender dazu gebracht werden, die Vollversionen der RogueWare zu kaufen - für Preise, die oft sogar über denen von echter Antivirus-Software liegen. Rogueware wird oft von anderer Malware installiert, vermutlich um Installationsprämien zu kassieren.
