Dipl.-Inform. Carsten Eilers

Zeus wird immer wieder an neue Entwicklungen angepasst. Aktuell z.B. an
den Einsatz von SMS-TAN im Rahmen einer
Zwei-Faktor-Authentifizierung:
Nach der Installation auf den Rechner eines
Opfers versucht der Schädling, auch dessen Smartphone mit einer mobilen
Variante zu infizieren. Die steht für Symbian und Blackberry
zur Verfügung,
die aktuellste Angriffswelle mit der für Symbian als
ZeusMitmo
bezeichneten Mobil-Variante fand im Februar 2011 in
Polen
statt, Ziel war die ING Bank Slaski (Polnische ING Bank). ZeusMitmo
überwacht dann einkommende SMS und sendet sie an die Cyberkriminellen
weiter, wenn sie eine SMS-TAN enthalten.

Im Dezember 2009 begannen die Cyberkriminellen, Cloud-Dienste für ihre
Zwecke zu nutzen: Die
Zeus-Botnets
wurden teilweise über Amazons EC2-Service
gesteuert.
Die
Auslagerung
der Command&Control-Server bzw. genauer -Funktionen in die
Cloud hat für die Cyberkriminellen den Vorteil, dass der betroffene
Netzwerkverkehr nicht einfach blockiert werden kann, da darunter auch die
normalen Nutzer der entsprechenden Angebote leiden würden. Allerdings
lassen sich diese Kommunikationskanäle leicht entdecken und danach
lahm legen, was Amazon auch regelmäßig zügig
getan hat.


Zuvor wurden bereits Web-2.0-Angebote wie Twitter oder Facebook als Kanal
für die Steuerbefehle verwendet, die Cyberkriminellen sind also nicht
mehr nur auf direkte Kommunikationsverbindungen angewiesen.

Eine im Frühjahr 2010
aufgetauchte
und allgemein als
“Version 2.0”
eingestufte
neue Version
des Schädlingsbaukastens brachte eine Vielzahl von Verbesserungen
mit, z.B.

• Zeus 2.0 kann Informationen aus verschiedenen Browsern
  einschließlich Firefox ausspähen und den Phishing-Schutz des IE
  ausschalten, außerdem ist er an neue Systeme, namentlich Windows 7,
  angepasst.

• Zeus 2.0 schützt sich mit neuen Verschlüsselungstechniken
  vor der Entdeckung durch Virenscanner.

• Die Binärdateien werden in Verzeichnissen und Programmen mit
  zufälligen Namen unterhalb von %APPDATA% versteckt,
  Version 1.x nutzte feste Dateinamen und das Verzeichnis
  %WINDIR%\System32.

• Zeus 2.0 infiziert nur den lokalen Nutzer statt den gesamten Rechner.
  Auch das erschwert seine Entdeckung, dafür richtet er auf Rechnern mit
  mehreren Benutzern weniger Schaden an.

• Mehrere Versionen von Zeus 2.0 können parallel laufen, ein
  Rechner kann dadurch gleichzeitig in den
  Botnets
  verschiedener Cyberkrimineller hängen.

Auch ein USB-Kartenleser schützt beim Online-Banking nicht zwingend
vor einem erfolgreichen Angriff: Zeus
ist in der Lage,
die Banken-Seite so zu manipulieren, dass das Opfer unbemerkt Geld auf ein
Konto der Cyberkriminellen überweist.

Zeus besitzt übrigens auch einen Kopierschutz: Im März 2010 wurde
berichtet,
dass die aktuelle Version durch ein Hardware-basiertes
Lizenzierungssystem geschützt ist. Beim ersten Start wird ein Fingerprint des
speziellen Rechners erstellt, für den die Entwickler dann einen genau
angepassten Schlüssel erstellen. Diese Kopierschutz erschwert auch die
Analyse
des Schädlings. Was nun der Hauptgrund für die neue Funktion ist, die
Prüfung von Lizenzen oder die Abwehr von Analyseversuchen, ist natürlich nicht
bekannt. Andere Versionen wehren Analyseversuche
ebenfalls ab,
nutzen aber andere Taktiken.

Und wenn die Cyberkriminellen von zu vielen für sie unwichtigen
Informationen überrollt zu werden drohen, können Sie Zeus mit Hilfe der
Konfigurationsoption “Enable No-Shit reports”
anweisen,
nur sehr spezifische Informationen und nur auf bestimmten Bank-Websites
eingegebene Daten zu sammeln. Bei soviel Komfort ist es wohl nicht
verwunderlich, das Zeus bei den Cyberkriminellen so beliebt ist.

“Bot vs. Bot”

Im Oktober 2009 bekam Zeus erstmals Ärger mit einem
KonkurrentenMitbewerber: Der Trojaner Bredo
deaktivierte
auf einem infizierten Rechner vorhandene Zeus-Schädlinge, indem er deren
Dateien verschob. Diese Aktion hatte keine besonders bemerkenswerten
Folgen, aber im Februar 2010 wurde es dann ernst im “Kampf der Botnets”
oder
Bot War:
Die Entwickler des Schädlingsbaukastens
SpyEye
erweiterten ihre Schädlinge um die
Funktion,
auf einem infizierten Rechner vorhandene Zeus-Schädlinge zu übernehmen
und/oder zu deinstallieren. Das
funktionierte
aber nur mit einem Teil der Zeus-Varianten. Wie ein erfolgreiches Löschen
abläuft, hat Symantec in einem
Video
gezeigt.

Brian Krebs beschrieb diese
Rivalität
ausführlich. Zumindest anfangs waren die “Übernahmeversuche” von SpyEye
nicht besonders erfolgreich,
die Rivalität endete aber damit, dass der Zeus-Code an den SpyEye-Entwickler
übergeben wurde.
Das Ergebnis soll wahrscheinlich ein neuer
“Super-Trojaner”
(oder eher Super-Schädlingsbaukasten oder Superschädlings-Baukasten)
werden. Anfang Februar 2011 berichtete Brian Krebs dann, dass der Zeus-Quellcode
zum Kauf angeboten wird.
Was genau da hinter den Kulissen abläuft, weiss natürlich niemand, man
kann nur spekulieren, wie es z.B. auch Francois Paget von McAfee im
November 2010
getan hat.
Fakt ist, dass Zeus, sowohl als Schädling als auch als Baukasten dafür
sowie als Botnet daraus immer noch im Einsatz ist und auch neue Tricks
lernt. Entweder, da entwickelt jemand das Toolkit weiter, oder einzelne
Cyberkriminelle erweitern ihre eigene Version um für sie notwendige
Funktionen.

Ausführlich untersuchter Schädling

Zeus ist ein sehr gut untersuchter Schädling. Ebensoviel Interesse wie Zeus
bekam wohl nur Stuxnet. Die folgende Liste ist bei weitem nicht
vollständig und stellt nur eine willkürliche Auswahl dar:

• Sourcefire:
  “VRT Labs – Zeus Trojan Analysis”
  (ohne Datum)

• Schweizerische Melde- und Analysestelle Informationssicherung
  (MELANI):
  “Halbjahresbericht 2008/1”,
  Anhang 10.1: “Professionalisierung der Internetkriminalität am
  Beispiel ZeuS”

• ThreatExpert Blog:
  “Time to Revisit Zeus Almighty”
  (September 2009)

• Fortinet:
  “Zeus: God of DIY Botnets”
  (Oktober 2009)

• Symantec: “Zeus: King of the Bots” (November 2009)
  (PDF)

• Dell SecureWorks:
  “ZeuS Banking Trojan Report”
  (März 2010)

• Trend Micro: “ZeuS: A Persistent Criminal Enterprise”
  (März 2010)
  (PDF)

• Trend Micro: “File-Patching ZBOT Variants: ZeuS 2.0 Levels
  Up” (Oktober 2010)
  (PDF)

• Insbesondere über die finanziellen Auswirkungen der Angriffe
  berichtet Brian Krebs regelmäßig in seinem Blog
  Krebs on Security
  (Suche nach
  Zeus
  darin)

Update 12.5.2011:

Inzwischen ist der Zeus-Sourcecode im Internet aufgetaucht. Mehr darüber erfahren Sie in der
nächsten Folge!

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware – Der Spion in Ihrem Computer

Viren – Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer – Schadsoftware, die sich selbst verbreitet

Trojaner – Der Feind im harmlosen Programm

Zeus

Zeus – Trojaner, Botnet, Schädlingsbaukasten, …

Zeus – Die Entwicklung eines Dauerbrenners

Zeus-Sourcecode im Internet aufgetaucht

Zeus wird mobil – jetzt auch auf Android

Exploit-Kits – Die Grundlage für Drive-by-Infektionen

Rootkits – Schadsoftware im System

Remote Administration Toolkits – Fernwartung in der Grauzone

Botnets – Zombie-Plagen im Internet

Schadsoftware – Infektionen verhindern

Schadsoftware im Überblick