Bundeskriminalamt-Trojaner erpresst Nutzer

Der Trojaner gibt vor, vom BKA zu sein.

Dreiste Abzocke mit neuem Trojaner: Es ist glatte Erpressung, die unter Missbrauch des Namens des Bundeskriminalamtes von Kriminellen durchgezogen wird. Der Schädling sperrt das Betriebssystem und behauptet in einer Warnmeldung, "ein Vorgang illegaler Aktivitäten" sei erkannt worden – dem Anwender werden der Besitz von Kinderpornographie und terroristische Aktivitäten vorgeworfen. Sollte das Opfer eine Strafzahlung verweigern, werde die Festplatte gelöscht.

Bisher hilft lediglich eine Rettungs-CD gegen den Schädling: Avira AntiVir Rescue System

Auf Computern, die von dem Trojaner befallen sind, erscheint eine Warnmeldung, die angeblich vom Bundeskriminalamt stammt und
in holprigem Deutsch erklärt: "Das Betriebssystem wurde im Zusammenhang mit Verstossen gegen die Gesetze der Bundesrepublik Deutschland gesperrt." Angeblich seien auf dem Computer illegale Inhalte wie Kinderpornographie entdeckt worden. Zudem seien bei der Überprüfung des PC auch E-Mails mit "terroristischen Hintergründen" festgestellt worden. Gleichzeitig wird der PC komplett gesperrt, Taskleiste und Desktop ausgeblendet. Wer seinen Computer wieder nutzbar machen will, soll 100 Euro Strafe zahlen. Die Meldung warnt weiter, dass die Festplatte unwiderruflich formatiert und damit gelöscht werde, wenn der Nutzer den Betrag nicht binnen 24 Stunden überweist.
Eine Behörde benutzt kein Ukash. Dass hier etwas nicht mit rechten Dingen zugehen kann, wird sofort klar, denn der Nutzer soll die 100 Euro Strafe über den anonymen Internet-Zahlungsservice Ukash zahlen. Der Nutzer soll dazu einen Ukash-Coupon im Wert von 100 Euro erwerben und den Coupon-Code an die E-Mail-Adresse bundeskriminalamt(at)yahoo.com senden. Spätestens diese E-Mail-Adresse entlarvt den Betrug. Denn die E-Mail-Adressen der Polizeibehörde enden auf @bka.de und nicht auf @yahoo.com. Außerdem würde eine Bundespolizeibehörde niemals einen derartigen Zahlungsweg nutzen und erst recht nicht auf diesem Wege Zahlungen erwirken. Weiterhin fallen auf den zweiten Blick Rechtschreibefehler wie "Verstossen" statt "Verstößen" oder die wechselnde Schreibweise von Kinderpornographie auf.

Der Trojaner kommt unbemerkt beim Surfen auf den Rechner. Die Kriminellen nutzen dabei die Methode der so genannten Drive-by-Downloads. Besucht ein Surfer eine manipulierte Internet-Seite, löst diese einen "unsichtbaren" Download des Schädlings aus und startet diesen vom Nutzer ebenfalls unbemerkt. Oft sind es Seiten mit Gratis-Wallpapern von Prominenten oder obskure Gratis-Porno-Seiten, die dem Besucher Trojaner unterjubeln. Der Schädling nistet sich an über 30 Stellen im System ein. Damit stellen die Online-Kriminellen sicher, dass der Trojaner bei jedem Systemstart gestartet wird und nur sehr schwer entfernt werden kann. Der Trojaner blockiert den Zugriff auf den Computer, auf verschiedene Systemtools und auch auf den Task Manager. Die Hersteller von Antivirensoftware haben teilweise bereits reagiert und liefern mit Updates ein Gegenmittel gegen den Trojaner aus, um den Befall des Computers zu verhindern. Dort, wo sich der Trojaner bereits eingenistet hat, hilft derzeit laut AV-Test nur eine Rettungs-CD, beispielsweise Avira AntiVir Rescue System, mit der das System wieder hergestellt werden kann.


Quelle: t-online.de


Update 23.04.2011

Ein Kunde hatte sich den BKA-Trojaner eingefangen. Nach dem Start des Rechners erschien über den ganzen Bildschirm das oben gezeigte Bild. Ein Zugriff auf den Rechner war nicht möglich. Auch ein Aufruf des Task-Managers blieb erfolglos. Der Kunde hatte bereits mit der Polizei Kontakt aufgenommen und Anzeige erstattet.

Ich habe mir also über einen anderen PC die .iso-Datei der Avira AntiVir Rescue System - CD geladen und mittels Nero auf eine CD gebrannt. Die CD in das Laufwerk eingelegt und über das Bootmenü (hier war es F11) den Start von der CD veranlasst. Das Menü des Avira Rettungssystems wurde gestartet. Nun brauchte ich nur noch ein Update aufrufen, die Netzwerkverbindung trennen und anschließend den Scanner starten.

Nach etwa einer halben Stunde waren 9 Funde angezeigt, die auch vernichtet wurden. Ich habe die CD entfernt und den Rechner neu gestartet. Der Rechner war wieder einsatzbereit und mein Kunde froh, dass der Trojaner so schnell entfernt werden konnte.

Ein großes Lob und fettes Danke an dieser Stelle an die Entwickler bei Avira. Die Rettungs-CD funktioniert hervorragend.