Trojaner überlebt Windows Systemwiederherstellung

Chun Feng, Virenspezialist bei Microsoft, hat auf der Malware-Konferenz Virus Bulletin in Genf über den Trojaner Dogrobot berichtet. Dieser verursachte durch das Ausspähen von Login-Daten für Online-Spiele in chinesischen Internet-Cafes einen Schaden von rund 1,2 Milliarden US-Dollar.

Dazu nutzt der Trojaner eine Art Hintertür in der Windows Systemwiederherstellung und kombiniert diese mit einer Schwachstelle in den "Hard Disk Recovery Cards", die in vielen chinesischen Internet-Cafes zum Einsatz kommen. Diese verhindern das Schreiben auf die Festplatte bzw. ermöglichen das Wiederherstellen des alten Zustands.


Dogrobot, der mittlerweile in der fünften Generation kursiert, nutzt diverse Rootkit-Techniken um sich zu verstecken. Anfangs nutzt er lediglich den Windows Volume Management Layer, inzwischen nistet er sich aber auch im Windows IDE/ATAPI Port Driver Layer ein, um nicht entdeckt zu werden.

Der Trojaner nutzt Lücken im Browser aus, um auf die Festplatte zu gelangen. Findet er dort ein Netzwerk vor, so versucht er über ARP-Cache-Poisoning weitere Windows-PCs im Umfeld zu infizieren. Auch über USB-Sticks kann er auf einen Rechner gelangen.