Flashback: Infektionszahl scheinbar nicht rückläufig

Geht es um die Infektionszahl im Zusammenhang mit dem Mac-Trojaner Flashback, so liegen ganz unterschiedliche Einschätzungen von den Sicherheitsdienstleistern vor. Kaspersky spricht beispielsweise von 30.000 infizierten Systemen. Die ersten Meldungen über das bisher größte Mac-Botnetz wurden Anfang dieses Monats veröffentlicht. Damals zählte man mehr als 550.000 übernommene Systeme. Den Höhepunkt im Hinblick auf die Verbreitung des Schadcodes erreichte man einige Tage später mit über 670.000 Infektionen. Infektionszahl laut Kaspersky Nachdem Apple verspätet ein Java-Update veröffentlichte und auf diese Weise zugleich die Systeme von Flashback bereinigte, kam es scheinbar zu einem markanten Einbruch bei der Infektionszahl. Anders als bei den Ausführungen für Windows und Linux kümmern sich die Entwickler aus Cupertino bei den Aktualisierungen für Java selbst um die Veröffentlichung von Updates.

In dieser Woche meldeten sich die Experten von Symantec zu Wort, die selbst ein eigenes Sinkhole eingerichtet haben, um die Kontrolle über das Botnetz übernehmen zu können. Nach wie vor sollen 140.000 Systeme mit dem Trojaner Flashback infiziert sein, hieß es. Kaspersky geht hingegen von 30.000 übernommenen Mac-Systemen aus, wie auf dem zugehörigen Screenshot zu sehen ist. Beobachtungen von Dr. Web Bei 'Dr. Web' geht man nach wie vor von einer sehr großen Zahl infizierter Mac-Systeme aus. Folglich stellte man sich die Frage, wie es zu einem großen Unterschied bei den Beobachtungen kommen kann und beschäftigte sich mit der Analyse. Um das Botnetz mit der bekannten Sinkhole-Methode übernehmen zu können, mussten die Mitarbeiter von Dr. Web diverse Domains registrieren, die Flashback in Zukunft kontaktieren wird. Natürlich war es zunächst erforderlich, den relevanten Algorithmus zu knacken, um an die Domainnamen kommen zu können. Flashback berücksichtigt hierbei verschiedene Faktoren. Dazu gehören unter anderem direkt in die Malware integrierte Funktionen und das jeweilige Datum.

Im Zuge der Analyse stellte Dr. Web später fest, dass die Malware nicht nur die eigenen Server kontaktierte, sondern auch eine IP-Adresse im Adressbereich des US-amerikanischen Hosters Linode.com. Da die aufgebaute TCP-Verbindung nicht geschlossen wird, schalten sich die Bots in eine Art Standby-Modus und melden sich nicht mehr bei den Sinkhole-Systemen der anderen Sicherheitsdienstleister. Unter dem Strich kam es dadurch vermutlich zu den unterschiedlichen Berichterstattungen.

Wer sich einen detaillierten Überblick über die Machenschaften von Flashback verschaffen möchte, sollte einen Blick auf die umfassende Analyse von 'Kaspersky' werfen.