{"id":196004,"date":"2017-11-03T00:11:00","date_gmt":"2017-11-02T23:11:00","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=196004"},"modified":"2020-06-24T15:38:16","modified_gmt":"2020-06-24T13:38:16","slug":"in-python-geschriebener-backdoor-trojaner","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/11\/03\/in-python-geschriebener-backdoor-trojaner\/","title":{"rendered":"In Python geschriebener Backdoor-Trojaner"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" \/>Die Meldung stammt von Ende Oktober, ist aber weiterhin aktuell. Es wurde ein Backdoor-Trojaner entdeckt, der auf Basis von Phyton geschrieben ist. Hier einige Informationen.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/53ebb017297f4e64b31f365d2f1d0e54\" alt=\"\" width=\"1\" height=\"1\" \/>Als Backdoor bezeichnet man gemeinhin Schadsoftware, die Befehle von Cyber-Kriminellen erh\u00e4lt und diesen einen unerlaubten Zugang zum infizierten Ger\u00e4t erm\u00f6glicht. Die in Python geschriebene Backdoor wurde von Sicherheitsexperten von Doctor Web entdeckt. Die analysierte Backdoor ist in der Lage, Passw\u00f6rter und eingegebene Daten auszulesen sowie Befehle per Fernzugriff auszuf\u00fchren. Der Sch\u00e4dling wurde unter dem Namen Python.BackDoor.33 in die Dr.Web Virendefinitionsdatei aufgenommen. <b><\/b><\/p>\n<p>Python.BackDoor.33 speichert ihre Kopie auf der Festplatte, passt die Registry von Windows an und f\u00fchrt b\u00f6swillige Funktionen nach dem Neustart des Rechners aus. So erstellt sie ein verstecktes Verzeichnis, speichert dort eine Kopie ihrer ausf\u00fchrbaren Datei ab und erstellt einen Link &lt;volume name&gt;.lnk, der zu einer b\u00f6swilligen Datei weiterleitet.<\/p>\n<p>Daraufhin versucht die Backdoor, eine IP-Adresse sowie einen Port des Verwaltungsservers zu identifizieren, indem sie Anfragen an Services wie pastebin.com, docs.google.com und notes.io versendet (Screenshot im Anhang).<\/p>\n<p>Nachdem die Backdoor die IP-Adresse und den Port identifiziert hat, versendet sie eine Anfrage an einen Verwaltungsserver. Anschlie\u00dfend l\u00e4dt sie das auf Python geschriebene Programm vom Verwaltungsserver herunter, um Passw\u00f6rter und eingegebene Daten abzugreifen und Befehle per Fernzugriff auszuf\u00fchren.<\/p>\n<p>Der Trojaner kann au\u00dferdem verbundene Datentr\u00e4ger pr\u00fcfen und diese infizieren. Python.BackDoor.35 erm\u00f6glicht somit Folgendes:<\/p>\n<ul>\n<li>Daten aus Browsern Chrome, Opera, Yandex, Amigo, Torch, Spark stehlen<\/li>\n<li>Tastatureingaben und Bildschirmaufnahmen auslesen<\/li>\n<li>Zus\u00e4tzliche Module herunterladen und ausf\u00fchren<\/li>\n<li>Dateien herunterladen und diese auf dem infizierten Ger\u00e4t abspeichern<\/li>\n<li>Inhalte aus einem Verzeichnis abrufen<\/li>\n<li>Sich \u00fcber verschiedene Verzeichnisse verbreiten<\/li>\n<li>Informationen zum System anfordern<\/li>\n<\/ul>\n<p>Zudem verf\u00fcgt Python.BackDoor.35 \u00fcber eine Selbstaktualisierungsfunktion. Signaturen f\u00fcr alle erw\u00e4hnten b\u00f6swilligen Programme wurden in die <a href=\"http:\/\/www.drweb-av.de\/\" target=\"_blank\" rel=\"noopener noreferrer\">Dr.Web<\/a> Virendefinitionsdatei eingetragen. Die entdeckte Malware stellt f\u00fcr Dr.Web Nutzer somit keine Gefahr dar. Mehr zum Trojaner finden Sie <a href=\"https:\/\/vms.drweb-av.de\/virus\/?i=15822968\" target=\"_blank\" rel=\"noopener noreferrer\">hier.<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die Meldung stammt von Ende Oktober, ist aber weiterhin aktuell. Es wurde ein Backdoor-Trojaner entdeckt, der auf Basis von Phyton geschrieben ist. Hier einige Informationen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328,1107],"class_list":["post-196004","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit","tag-trojaner"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/196004","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=196004"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/196004\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=196004"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=196004"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=196004"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}