AVAST Software: Jede achte Malware-Attacke startet von USB-Geräten
3. November 2010 - [i]AVAST Software, Hersteller der vielfach ausgezeichneten Security-Software avast! Antivirus, registriert eine deutliche Steigerung von Malware-Attacken, die in Kombination der AutoRun-Funktion von Windows und angeschlossenen USB-Geräten ihren Ursprung haben. Die Analysten stellten fest, dass allein in der letzten Oktoberwoche von gesamt 700.000 dem avast! CommunityIQ gemeldeten Attacken jeder achte Angriff – also 13,5% - von USB-Geräten aus initiiert wurde.
Der Hauptangriffspunkt der Malware ist dabei die AutoRun-Funktion in Microsoft Windows-Betriebssystemen (OS). AutoRun informiert Computeranwender wenn neue Geräte wie zum Beispiel Speichersticks angeschlossen wurden, und unterstützt die User bei der Auswahl der passenden Applikation für die darauf gespeicherten Dateien.
“AutoRun ist einerseits ein praktisches Tool, aber andererseits auch die Quelle von mehr als zwei Drittel der aktuell verbreiteten Schadprogramme. Die Bedrohung durch via USB verbreitete Malware ist deutlich höher als etwa die kürzlich erfolgten Stuxnet-Attacken auf Unternehmensnetzwerke – welche ebenfalls über Speichersticks erfolgte.” so der Analyst des AVAST Virus Lab, Jan Sirmer. “Cyber-Kriminelle nutzen dabei die Tendenz der Anwender, ihre Dateien mit Freunden zu teilen und dabei auch die laufend wachsenden Speicherkapazitäten von USB-Sticks zu nutzen. Verbindet man diese zwei Faktoren, so kommt man zu einem heiklen Szenario.”
Einen aktuellen Missbrauchsfall des AutoRun-Features findet man bei Anschluss von USB-Geräten, die mit “INF:AutoRun-gen2 [Wrm]”, avast!’s Suchdefinition für diesen Wurm-Typ, infiziert sind. Das infizierte Gerät – üblicherweise ein Speicherstick, aber potenziell auch jeder andere mobile Massenspeicher wie etwa eine PSP, digitale Kameras, Mobiltelefone oder MP3-Player – startet eine ausführbare Datei, welche im Anschluss eine Reihe weiterer schädlicher Programme auf den Computer lädt. Die so eingedrungene Malware kopiert sich selbst in den Kern des Windows-Betriebssystems und repliziert sich bei jedem Neustart des Computers.
Im gewählten Zeitraum wurden 84% aller Attacken von AutoRun-gen2 durch die Echtzeitprüfung des avast! System Shield abgewehrt. Hier wurde das Schadprogramm bereits zu dem Zeitpunkt erkannt, als das infizierte USB-Gerät erstmals angeschlossen wurde. Die verbleibenden 16% wurden bei der Komplettprüfung der Festplatten der infizierten Rechner entdeckt.
Die CommunityIQ bildet sich aus einer umfassenden Gruppe von avast! Anwendern, welche automatisch Daten über aufgetauchte Malware an das Virus Lab sendet. Als Querschnitt des weltweit 130 Millionen User umfassenden Pools repräsentiert die CommunityIQ ein statistisch signifikantes Rahmenbild des aktuellen Gefahrenstatus durch schädliche Software (Malware). Die so übertragenen Daten werden analysiert und anschließend in die avast! Protective Shields (Schutzkomponenten) sowie in die Antiviren-Datenbank eingespielt und allen Anwendern zur Verfügung gestellt.
Die niedrigen Kosten von USB-Speichersticks erleichtern den Austausch großer Datenmengen zwischen Freunden und Arbeitskollegen – und bilden dadurch zugleich ein leichtes Ziel für Cyber-Kriminelle. “In einem Unternehmen kursieren oft USB-Sticks von Mitarbeitern, um Daten zu transportieren.” fügt Jan Sirmer hinzu, “Damit werden aber Malware-Scanner auf dem Gateway umgangen und die einzige Kontrollmöglichkeit obliegt dann der Antivirus-Software auf den lokalen Rechnern.”
Das Auffinden von AutoRun-gen2 wird erschwert durch die wachsende Anzahl an USB-Tools sowie durch immer komplexere Technologien. “Die Komplettprüfung eines Geräts mit einem Terabyte Speicher kann über eine Stunde dauern, sodass viele User diesen umgehen und sich auf die Echtzeit-Prüfung verlassen,” so Jan Sirmer weiter. Dieses Gefahrenpotenzial verschärft sich weiter mit der Einführung des neuen USB 3-Standards. Parallel zu diesen technologischen Fortschritten entwickeln die Autoren von AutoRun-Malware auch laufend neuen Code und verbessern die Methoden, Ihre Arbeit zu verschleiern. “Einmal fand ich die provokante Zeile ‘y0u c4nt st0p us’ mitten in einem Code eingebettet.” merkt Sirmer an,“ Sie wissen also, dass sie uns voraus sind.”[/i]
USB Sicherheitshinweise
- Bewusstsein schaffen. Um die 60% aller Schadprogramme können per USB-Geräte übertragen werden - eine weithin unterschätzte Gefahr für Heim- und Firmencomputer.
- Ohne USB starten. Einen PC mit angeschlossenem USB-Gerät zu starten kann dazu führen, dass sich die Malware in das System ladet - noch bevor die Antivirus-Software aktiv ist.
- Erst prüfen, dann schauen. Sich vergewissern, dass die Echtzeitprüfung des verwendeten Antivirus-Programms immer aktiv ist.