Malware wird olympisch

Die Olympischen Spiele in Peking (Beijing) rücken näher und auch die Malware-Szene nimmt sich dieses Themas an. In der letzten Woche wurden bereits zwei Websites gehackt und mit Malware verseucht, die sich mit der Situation in Tibet befassen. Nun ist eine Flash-Animation aufgetaucht, die Bilder zu Olympia und Tibet anzeigt, während sie im Hintergrund ein Rootkit installiert. Es zeichnet Tastatureingaben auf und sendet diese an einen Server in China.

Patrick Comiotto berichtet im McAfee Avert Blog über eine als ausführbare Datei namens "RaceForTibet.exe" verbreitete Flash-Animation mit dem Titel "MiniFlashPlayer 2.6". Sie zeigt zunächst eine Animation einer chinesischen Turnerin, die für ihre Darbietung schlechte Noten von der Jury erhält. Außerdem gibt es Fotos aus China und Tibet zu sehen, die die aktuelle Lage in Tibet illustrieren sollen.

Währenddessen installiert das Programm heimlich ein Rootkit. Eine Anti-Rootkit-Software wie McAfee Rootkit Detective zeigt, dass dabei eine Reihe von versteckten Dateien angelegt werden. Darunter ist eine Treiberdatei namens "dopydwi.sys", die in Windows\system32\drivers landet. Ein neu angelegtes Gerät namens "ServiceDll" dient dazu diesen Treiber zu laden.

Eine Programmbibliothek mit dem Dateinamen "dopydwi.dll" wird in Windows\system32 abgelegt. Das ist der eigentliche Key-Logger. Er protokolliert Tastatureingaben und speichert sie in einer versteckten Datei "dopydwi.log". Diese sendet er an einen Server, dessen IP-Adresse darauf hin weist, dass er in China steht.

Da die Malware-Szene schon seit Jahren immer wieder aktuelle Themen und Ereignisse ausnutzt, um Schädlinge zu verbreiten, sind bis zum Sommer zweifellos noch etliche weitere Malware-Kampagnen zu erwarten, mit denen Trittbrettfahrer den Themenkomplex Olympia und Tibet für ihre Zwecke nutzen werden.