Dipl.-Inform. Carsten Eilers

Ein Trojaner ist ein (evtl. nur angeblich) nützliches Programm, dass
zusätzlich undokumentierte Schadfunktionen enthält, die i.A. ohne
Wissen des Benutzers, immer aber ohne dessen Zustimmung ausgeführt
werden.

Trojaner, die eigentlich Griechen wären

Trojaner ist die Verkürzung des ursprünglichen Begriffs “Trojanisches
Pferd”, der auf das bekannte Trojanische Pferd
aus der griechischen Mythologie
zurückzuführen ist. Rein formal müsste man die Trojaner
also eigentlich Griechen nennen, da die ja im Trojanischen Pferd steckten.
Die Trojaner der Mythologie waren damals sozusagen die Benutzer, die das
angeblich nützliche Trojanische Pferd in ihre Stadt zogen, wo dann die
Griechen mit ihren schädlichen Aktionen begannen.

Würde man es ganz genau nehmen, könnte man das gesamte Programm
als trojanisches Pferd bezeichnen, und die Schadfunktionen als Griechen.


Das ist verwirrend? Dann vergessen Sie es einfach und merken sich nur, dass
in der IT Trojaner das gleiche wie trojanische Pferde sind und Programme
mit versteckten Schadfunktionen bezeichnen.

Arten von Trojanern

Es gibt viele Arten von Trojanern:

• Reine Schadprogramme, die sich nur durch den Dateinamen eines
  harmlosen Programms tarnen

• Schadprogramme, die vorgeblich nützliche Funktionen erfüllen, diese
  aber gar nicht (das Programm stürzt angeblich ab oder zeigt keinerlei
  Funktion, hat dann aber den Schadcode bereits ausgeführt) oder nur zur
  Tarnung ausführen

• Normale Programme, die zusätzlich undokumentierte Funktionen enthalten
  (das müssen nicht zwangsweise Schadfunktionen sein, definitionsgemäß ist
  jedes Programm, dass vor dem Anwender verborgene Funktionen enthält, ein
  Trojaner)

• Kombinierte Programme, die aus einem beliebigen Programm und
  einem damit verknüpften Schadprogramm bestehen (auf diese Weise wird
  oft
  Spyware
  verbreitet)

• Andere Dateien, die tatsächlich ein Programm sind (ein
  aktuelles
  Beispiel sind erstmals im
  September 2010
  gesichtete
  angebliche
  neue Sicherheitszertifikate
  für Smartphones, die tatsächlich
  Programme
  sind, die mTANS ausspähen sollen)

• Plugins oder allgemein Erweiterungen für andere Programme (besonders
  beliebt sind dabei Browser-Plugins, da die völlig unauffällig mit den
  Servern der Cyberkriminellen kommunizieren können – welche Firewall hält
  schon den Netzwerkverkehr des Browsers auf?)

• …

Spezialfall “transitive Trojanische Pferde”

Ein Spezialfall sind
“transitive Trojanische Pferde”:
Statt direkt das Ziel anzugreifen, schleust der Angreifer Schadcode in
eine Entwicklungsumgebung ein. Die damit erzeugten Programme enthalten
dann weiteren Schadcode für den eigentlichen Angriff. Ein erstes Beispiel
dafür war in gewisser Weise der im Sommer 2009 aufgetauchte
“Delphi-Virus” Induc,
der Versionen der Delphi-Entwicklungsumgebung infizierte. Alle danach
damit kompilierten Programme sind ebenfalls infiziert.

Funktionsweise von Trojanern

Manche Trojaner enthalten eine Installationsroutine (oder bestehen sogar
nur aus einer solchen, die dann weiteren Schadcode nachlädt), die den
Schadcode so im System installiert, dass er unabhängig vom
eigentlichen Programm läuft und beim Systemstart automatisch gestartet
wird. Andere führen die Schadfunktionen nur so lange aus, wie das sie
tarnende Programm läuft. Außerdem gibt es Kombinationen beider
Funktionsweisen: Ein Teil der Schadfunktionen läuft nur so lange, wie
das tarnende Programm läuft, außerdem werden weitere Komponenten
installiert, die im Hintergrund laufen und bei jedem Systemstart mit
gestartet werden. Die Cyberkriminellen sind dabei völlig flexibel,
sie können die Variante wählen, die ihren Zwecken am besten
dient.

Verbreitung von Trojanern

Trojaner können auf jeden Weg auf einen Rechner gelangen, auf dem auch
normale Dateien auf ihn gelangen können, denn als solche kommen sie ja
daher. Jede von einem Server oder aus einer Tauschbörse
heruntergeladene Datei, jede per E-Mail empfangene Datei, jede von einem
mobilen Massenspeicher kopierte Datei kann ein Trojaner sein.

Teilweise verwischen die Grenzen zwischen den verschiedenen
Schadprogramm-Kategorien. So sind E-Mail-Würmer in gewisser Hinsicht
auch Trojaner, und auch der erste
Wurm,
der die später von Conficker ausgenutzte RPC-Schwachstelle ausnutzte,
war eigentlich ein “Netzwerkfähiger Trojaner”.

Tarnen, täuschen und gestartet werden

Außer sich als nützliches Programm zu tarnen, nutzen Trojaner
verschiedene andere Arten zur Tarnung. Unter Windows nutzen sie aus, dass
ausführbare Programme an ihrer Dateiendung erkannt werden und die
meisten Benutzer nicht alle entsprechenden Endungen kennen. Hinzu kommt,
das Windows die bekannten Dateiendungen in der Standardkonfiguration gar
nicht anzeigt und den Dateien beliebige Icon zugewiesen werden können.
Eine Datei mit dem Icon eines Bilds und dem angezeigten Dateinamen
harmlos.gif kann tatsächliche eine Programmdatei mit dem
Namen harmlos.gif.exe sein.

Über E-Mails verbreitete Trojaner enthalten oft eine große
Anzahl Leerzeichen zwischen vorgetäuschter Endung und
tatsächlicher Endung, z.B.
harmlos.gif                 .exe,
so dass nicht sofort erkennbar ist, dass es sich eigentlich nicht um ein
Bild, sondern um ein Programm handelt.

Trojaner, die sich selbst oder weiteren Code im System installieren,
verwenden dafür i.A. Namen, die denen bekannter Systemdateien ähneln.

In der
nächsten Folge
lernen Sie die Geschichte der Trojaner kennen.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware – Der Spion in Ihrem Computer

Viren – Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer – Schadsoftware, die sich selbst verbreitet

Trojaner

Trojaner – Der Feind im harmlosen Programm

Trojaner – Die Geschichte digitaler Holzpferde

Zeus – Trojaner, Botnet, Schädlingsbaukasten, …

Exploit-Kits – Die Grundlage für Drive-by-Infektionen

Rootkits – Schadsoftware im System

Remote Administration Toolkits – Fernwartung in der Grauzone

Botnets – Zombie-Plagen im Internet

Schadsoftware – Infektionen verhindern

Schadsoftware im Überblick