Was ist der Infektionsmechanismus von Trojan-Spy.Win32.ZBot.a?
- Benutzer, die auf Links in E-Mails klicken, die zu infizierten Webseiten führen ( Social Engineering ).
- Benutzer, die eine infizierte Website besuchen ( Drive-by-Download ).
Technische Details
PRÄVENTION UND VERMEIDUNG
Mit den folgenden Maßnahmen können Sie das Risiko dieser Bedrohung vermeiden oder minimieren.
Benutzerverhalten und Vorsichtsmaßnahmen
Trojan.Zbot ist stark auf Social Engineering angewiesen, um Computer zu infizieren. Die von Angreifern verwendeten Spam-E-Mail-Kampagnen versuchen, den Benutzer zu täuschen, indem sie auf die neuesten Nachrichten verweisen und Ängste vorspielen, deren vertrauliche Informationen gestohlen wurden, was darauf hindeutet, dass kompromittierende Fotos von ihnen oder einer Reihe anderer Schwachstellen aufgenommen wurden.
Benutzer sollten beim Klicken auf Links in solchen E-Mails vorsichtig sein. Grundlegende Überprüfungen wie das Bewegen mit dem Mauszeiger über jedem Link zeigen normalerweise, wohin der Link führt. Benutzer können auch Online-Website-Bewertungsdienste wie safeweb.norton.com überprüfen, um festzustellen, ob die Website als sicher eingestuft wird.
Patch-Betriebssystem und Software
Es ist bekannt, dass die Angreifer hinter dieser Bedrohung Exploit-Packs einsetzen, um Webseiten zu erstellen, die verwundbare Computer ausnutzen und mit Trojan.Zbot infizieren.
Seit dem 24. Februar 2010 wurde Trojan.Zbot mit den folgenden Sicherheitsanfälligkeiten gesehen:
- AOL Radio AmpX ActiveX Control - Sicherheitsanfälligkeit im Pufferüberlauf durch ConvertFile () (BID 35028)
- Sicherheitsanfälligkeit in Microsoft Active Template Library Header bezüglich Remotecodeausführung (BID 35558)
- Fehler bei der Installation von Microsoft Internet Explorer-ADODB.Stream-Objektdateien (BID 10514)
- Snapshot Viewer für Sicherheitsanfälligkeit beim Download von ActiveX-Steuerelementen in Microsoft Access (BID 30114)
- Sicherheitsanfälligkeit bezüglich Pufferüberlaufs beim JavaScript-Funktionsstapel durch JavaScript (BID 30035)
- 'Acrobat und Reader Collab' getIcon () 'Sicherheitsanfälligkeit in JavaScript bezüglich Remotecodeausführung (BID 34169)
- Adobe Reader und Acrobat (CVE-2009-2994) Sicherheitsanfälligkeit durch Pufferüberlauf in U3D 'CLODMeshDeclaration' (BID 36689)
- Adobe Acrobat und Reader - Sicherheitsanfälligkeit durch mehrfachen willkürlichen Code (BID 27641)
Benutzern wird empfohlen, sicherzustellen, dass das Betriebssystem und die installierte Software vollständig gepatcht sind und dass die Antiviren- und Firewall-Software auf dem neuesten Stand und betriebsbereit ist. Benutzer sollten automatische Updates aktivieren, sofern verfügbar, damit ihre Computer die neuesten Patches und Updates erhalten können, sobald sie verfügbar sind.
...
INFEKTIONSMETHODE
Es ist bekannt, dass diese Bedrohung Computer mit einer Reihe von Methoden infiziert. Wir werden jede dieser Methoden genauer untersuchen.
Spam-E-Mails
Die Angreifer hinter Trojan.Zbot haben sich bemüht, ihre Bedrohung mithilfe von Spam-Kampagnen zu verbreiten. Das Material variiert von Kampagne zu Kampagne, konzentriert sich jedoch häufig auf aktuelle Ereignisse oder versucht, den Benutzer mit E-Mails aus bekannten Institutionen wie FDIC, IRS, MySpace, Facebook oder Microsoft zu täuschen.
Drive-by-Downloads
Die Autoren von Trojan.Zbot haben ebenfalls Zeuge von Exploit-Packs, um die Bedrohung durch Drive-by-Download-Angriffe zu verbreiten. Wenn ein ahnungsloser Benutzer eine dieser Websites besucht, wird ein anfälliger Computer mit der Bedrohung infiziert.
Die zur Ausbreitung der Bedrohung verwendeten speziellen Exploits variieren stark und hängen weitgehend von der Verbreitung und Benutzerfreundlichkeit der Exploits ab, die zum Zeitpunkt der Verbreitung des Trojaners in freier Wildbahn verfügbar waren.
Seit dem 24. Februar 2010 wurde Trojan.Zbot mit den folgenden Sicherheitsanfälligkeiten gesehen:
- AOL Radio AmpX ActiveX Control - Sicherheitsanfälligkeit im Pufferüberlauf durch ConvertFile () (BID 35028)
- Sicherheitsanfälligkeit in Microsoft Active Template Library Header bezüglich Remotecodeausführung (BID 35558)
- Fehler bei der Installation von Microsoft Internet Explorer-ADODB.Stream-Objektdateien (BID 10514)
- Snapshot Viewer für Sicherheitsanfälligkeit beim Download von ActiveX-Steuerelementen in Microsoft Access (BID 30114)
- Sicherheitsanfälligkeit bezüglich Pufferüberlaufs beim JavaScript-Funktionsstapel durch JavaScript (BID 30035)
- 'Acrobat und Reader Collab' getIcon () 'Sicherheitsanfälligkeit in JavaScript bezüglich Remotecodeausführung (BID 34169)
- Adobe Reader und Acrobat (CVE-2009-2994) Sicherheitsanfälligkeit durch Pufferüberlauf in U3D 'CLODMeshDeclaration' (BID 36689)
- Adobe Acrobat und Reader - Sicherheitsanfälligkeit durch mehrfachen willkürlichen Code (BID 27641)
Quelle Trojan.Zbot Technische Daten