Dipl.-Inform. Carsten Eilers

Die ersten Schädlinge aus der Zeus-Familie wurden schon im Jahr 2006 entdeckt. Erstmals allgemein aufgefallen ist eine Zeus-Variante 2007, als damit Daten des U.S. Department of Transportation und einiger US-Unternehmen ausgespäht wurden. Im Laufe der Zeit entwickelte sich Zeus zum beliebtesten Schädlingsbaukasten ("Crimeware Toolkit"). Symantec hat dessen Funktionen 2009 in einem Video zusammengefasst.

Eine weitere ausführliche Beschreibung wurde im Blog von McAfee veröffentlicht.

Infektionswege

Zeus kann auf vielen Wegen auf einen Rechner gelangen. Z.B. verschicken von Zeus aufgebaute Botnets Mails mit einer Trojaner-Variante des Schädlings, die sich z.B. als Mails von verschiedenen Behörden, Paketdiensten, Social Networks oder Banken tarnen, auf ein peinliches Foto des Empfängers hinweisen oder ein Tool zur Reparatur der Mailbox sein sollen oder eine bunte Mischung von Subject-Zeilen (noch mehr) verwenden. Mindestens einmal wurden auch Mails als Köder verwendet, in denen vor Zeus gewarnt wurde.

Kompromittierte Server, in der Vergangenheit z.B. Adserver, die Website der Communist Party Of Britain und Server von TechCrunch Europe (weitere Informationen), haben Zeus-Varianten im Rahmen von Drive-by-Infektionen verbreitet. Mitunter wird Zeus aber auch einfach zum Download angeboten, z.B. als angebliches MySpace Update Tool als Ergänzung zu einem Phishing-Angriff, oder von Fake-Virenscannern nachgeladen.

Eine Trojaner-Variante will die auch von Stuxnet ausgenutzte Shortcut-Lücke ausnutzen, geht dabei aber sehr merkwürdige Wege. Und auch von Dateiinfektionen wie ein herkömmlicher Virus macht Zeus Gebrauch. Der eingefügte Code lädt eine Datei von einem im Code enthaltenen URL und führt erst die heruntergeladene Datei und dann den Originalcode der befallenen Programmdatei aus. Der Vorteil für Zeus dabei: Selbst wenn ein Virenscanner den Trojaner (d.h. die heruntergeladene Datei) entdeckt und löscht, bleibt die infizierte Datei (hoffentlich) unentdeckt und führt bei ihrem Aufruf durch den Benutzer zu einer erneuten Infektion des Systems.

Mit anderen Worten: Es gibt kaum einen Weg, auf dem Zeus nicht versucht, auf einen neuen Rechner zu gelangen. Nur auf die Nutzung der AutoRun-Funktion für USB-Sticks haben die Entwickler zumindest bisher verzichtet.

Die Schadfunktionen

Zeus enthält mehrere Schadfunktionen: Wie oben schon erwähnt besteht die Hauptaufgabe des Schädlings im Ausspähen von Informationen, vor allem Zugangsdaten zum Onlinebanking. Dabei ist nichts vor seinem Zugriff sicher, wenn er sich erst mal auf einen Rechner eingenistet hat: In Webformulare eingegebene Daten werden als Man-in-the-Middle (bzw. -Browser) ausgespäht, im Rahmen eines Phishing-Angriffs können statt einer angesurften Seite eine gefälschte Seite von einem Server der Cyberkriminellen angezeigt oder in die vorhandene Seite zusätzliche Felder eingefügt werden, und ein Keylogger protokolliert Tastendrücke. Außerdem werden der Inhalt des Clipboards und Screenshots ebenso an die Cyberkriminellen geschickt wie der Inhalt des Windows Protected Storage, auf dem Rechner vorhandene Zertifikate und die Zugangsdaten für POP3- und FTP-Verbindungen.

Die Konfiguration des Trojaners erfolgt über eine nachgeladene Datei, über die die Cyberkriminellen sowohl festlegen können, wohin die Daten geschickt werden als auch, welche Daten überhaupt gesammelt werden sollen. Außerdem kann der Schädling auf diesem Wege auch mit einer neuen Version von sich selbst versorgt werden.

Außerdem wird eine Backdoor installiert und der Rechner in ein Botnet integriert, so dass der Rechner dann z.B. zum Versand von Mails zum Verbreiten des Schädlings eingesetzt werden kann.

Zeus - nicht ein Botnet, sondern viele

Da es nicht "den" Zeus-Schädling gibt, gibt es auch nicht "das" Zeus-Botnet. Stattdessen gibt es eine große Anzahl mehr oder weniger großer separater Botnets. Und deren Anzahl schwankt mitunter stark, z.B. wenn ein Provider für Command&Control-Server vom Internet abgeschnitten wird. Und auch die Aufnahme von Zbot in Microsofts Malicious Software Removal Tool im Oktober 2010 kostete die Botnets etliche Mitglieder. Das ist natürlich manchmal verwirrend, und wenn man dann so einem Botnet einen neuen Namen gibt, z.B. 'Kneber', dann kann das in den Medien schon mal zu Meldungen wie "Broad New Hacking Attack Detected" führen. Auch, wenn eigentlich die einfache Regel “Kneber” = Zeus gilt, wie Kevin Haley von Symantec es treffend auf den Punkt brachte - Kneber ist nur ein Zeus-Botnet unter vielen. Brian Krebs hat den Medien-Hype um dieses 'Kneber'-Botnet sehr passend zusammengefasst und kommentiert: ZeuS: ‘A Virus Known as Botnet’.

Die Command&Control-Server der Zeus-Botnets werden übrigens vom ZeuS Tracker auf abuse.ch erfasst.

In der nächsten Folge geht es um die weitere Entwicklung von Zeus.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware - Der Spion in Ihrem Computer

Viren - Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer - Schadsoftware, die sich selbst verbreitet

Trojaner - Der Feind im harmlosen Programm

Zeus

Zeus - Trojaner, Botnet, Schädlingsbaukasten, ...

Zeus - Die Entwicklung eines Dauerbrenners

Zeus-Sourcecode im Internet aufgetaucht

Zeus wird mobil - jetzt auch auf Android

Exploit-Kits - Die Grundlage für Drive-by-Infektionen

Rootkits - Schadsoftware im System

Remote Administration Toolkits - Fernwartung in der Grauzone

Botnets - Zombie-Plagen im Internet

Schadsoftware - Infektionen verhindern

Schadsoftware im Überblick