"DNS Changer"-Trojaner

Der Schnellcheck für Ihren PC
Trojaner-Alarm vom Bundesamt für Sicherheit in der Informationstechnik: Jeder sollte unbedingt prüfen, ob der Trojaner "DNS-Changer" seinen Computer manipuliert hat. Der Check ist kinderleicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Internetnutzern die Prüfung ihrer Rechner auf eine Schadsoftware namens "DNS-Changer" empfohlen. Hackern sei es gelungen, Netzwerkeinstellungen bei Windows- und Mac-Systemen zu manipulieren, teilte das Bundesamt mit.

Über die gemeinsam vom BSI, dem Bundeskriminalamt und der Deutschen Telekom betriebene Internetseite www.dns-ok.de könnten Rechner nun getestet werden. Bei einer Infizierung mit dem Trojaner erscheinen auf der Seite eine Warnmeldung sowie Empfehlungen, wie der Trojaner entfernt und die korrekten Systemeinstellungen wieder hergestellt werden können.

Das Domain Name System (DNS) gehört zu den Grundpfeilern des Internet. Es wandelt eine gut lesbare Adresse wie www.stern.de in die für die Kommunikation zwischen Computern im Netzwerk benötigte IP-Adresse um. Im Fall von stern.de ist das 194.12.192.65. Normalerweise werden DNS-Server von Internanbietern betrieben, auf die ihre Kunden beim Surfen automatisch zugreifen.

Umleitung auf böse DNS-Server
Die Schadsoftware DNS Changer verändert die PC-Einstellungen so, dass auf DNS-Server zugegriffen wird, die von Kriminellen aufgebaut wurden. Die US-Bundespolizei FBI hatte im vergangenen November bei einer Razzia gegen Computerkriminelle in New York mehr als hundert Server beschlagnahmt, über die ein sogenanntes Botnet von manipulierten PCs in aller Welt gesteuert wurde. Auch Computer in Deutschland waren betroffen.

Wenn der Rechner also mit der Software befallen ist, könne der Browser Internetnutzer beim Besuch häufig genutzter Seiten auf manipulierte Websites umleiten, erklärt das BSI. Dort fänden etwa die Verbreitung angeblicher Antivirensoftware und illegaler Verkauf von Medikamenten statt. Zudem sei es den Hackern gelungen, manipulierte Werbeeinblendungen an infizierte Rechner zu senden, Suchergebnisse zu manipulieren und weitere Schadsoftware nachzuladen.

Damit nicht auf einen Schlag Millionen Rechner in aller Welt ausfallen, richteten die US-Behörden nach der Festnahme der Computerkriminellen zwar ungefährliche Ersatzserver ein. Die Schadsoftware auf den Computern der Nutzer blieb aber - und wenn die provisorischen Server jetzt im März wegfallen, wird der Internetverkehr von den infizierten Rechnern ins Leere gehen. Aus Deutschland greifen nach Angaben des FBI derzeit bis zu 33.000 Computer täglich auf die Server zu.

Hier kommen Sie zum Schnelltest: www.dns-ok.de

Virenbefall
Bundesbehörde rät allen Internetnutzern zum Selbsttest

Sind Tausende deutsche Web-Surfer ab März offline? Ein Schadprogramm hat zahlreiche Rechner infiziert. Das Bundesamt für Sicherheit in der Informationstechnik rät Internetnutzern zum PC-Schnelltest. Auf einer Website kann man jetzt prüfen, ob der eigene Datenverkehr umgeleitet wird.

Hamburg - Die Situation ist kurios: Die US-Bundespolizei FBI betreibt derzeit Server, über die Kriminelle zuvor den Datenverkehr von Millionen Rechnern umgeleitet haben. Als Fahnder des FBI im November in New York mehr als hundert Server sicherstellten, über die eine Truppe von Cyber-Gangstern ein Netzwerk infizierter Rechner manipuliert hatte, standen die Ermittler vor einem Problem: Hätten sie einfach alle Steuerungscomputer der Kriminellen abgeschaltet, wären wohl Millionen Computer auf der ganzen Welt schlagartig vom Internet abgeschnitten gewesen.

Also betreibt das FBI einige der Steuerungscomputer bis heute weiter. Im März jedoch sollen die Steuerungscomputer abgeschaltet werden. Deshalb rät das Bundesamt für Sicherheit in der Informationstechnik (BSI) jetzt allen Internetnutzern zur Überprüfung ihrer Computer. Laut FBI rufen derzeit bis zu 33.000 Computer am Tag aus Deutschland die von der Behörde übernommenen Steuerungsrechner des Zombie-Netzwerks auf, nun können Nutzer testen, ob der eigene PC betroffen ist.

Ob ein Rechner von der Schadsoftware DNS-Changer befallen ist, kann man mit dem Aufruf der von BSI und Deutscher Telekom betriebenen Website www.dns-ok.de überprüfen. Im Browser sieht man, ob der eigene Rechner befallen ist und wie man gegebenenfalls das Schadprogramm loswird. Letzteres allerdings könnte sich nach Informationen von SPIEGEL ONLINE schwierig gestalten: Die kriminellen Betreiber des DNS-Changer-Netzwerks installierten demnach sogenannte Rootkits auf den Rechnern ihrer Opfer. Das sind Schädlinge, die tief im Betriebssystem des Computers wurzeln und schwer wieder zu entfernen sind. Auf der Warnseite gibt es Tipps und weiterführende Links, um Betroffenen zu helfen. Wenn sich das machen lässt, raten Fachleute im Fall einer Rootkit-Infektion allerdings zum radikalen Schritt: das System komplett neu aufzusetzen. Was ein Grund ist, warum jedem Computernutzer regelmäßige Back-up-Kopien seines Datenbestands dringend anzuraten sind.

Wenn Ihr Rechner nicht vom DNS-Changer betroffen ist, Sie aber die Informationen auf der Warnseite trotzdem sehen wollen, finden sie die Seite hier. Wichtig ist: Wenn Sie die Seite über diesen Link erreichen, sehen sie zwangsläufig die Warnmeldung, was aber nicht bedeutet, dass Ihr Rechner betroffen ist! Zum Selbsttest nutzen Sie bitte www.dns-ok.de. Wichtig ist: Die Seite führt keinen Virenscan durch. Sie überprüft nur, ob der eigene Rechner über einen der ehemals kriminell betriebenen DNS-Server gleitet wird.

Eine Prüfung lohnt sich. Wenn die infizierten Rechner bis zum 8. März nicht von dem Schadprogramm befreit sind, kann man mit ihnen nach Abschaltung der Steuerungsrechner in den USA zunächst nicht mehr aufs Internet zugreifen.

Der Grund dafür: Die Kriminellen hatten die Rechner unter anderem mit der Schadsoftware namens DNS-Changer infiziert, welche die DNS-Einstellungen der Rechner manipulierte. Das DNS-System wird im Internet dazu benutzt, benutzerfreundliche Web-Adressen, sogenannte URLs (wie www.spiegel.de) in computertaugliche Netzwerkadressen oder IP-Nummern (195.71.11.67) zu übersetzen. Indem sie die DNS-Abfragen der betroffenen Rechner auf manipulierte DNS-Server umleiteten, konnten die Kriminellen gezielt Werbeeinblendungen an die Rechner senden, Suchergebnisse manipulieren oder weitere Schadsoftware nachladen lassen. Schaltet das FBI die manipulierten DNS-Server ab, können die infizierten Rechner nicht mehr nachschlagen, welche Netzwerkadressen zu welchen Web-Adressen gehören.

Ausgenutzt haben die Täter diese Möglichkeiten dem FBI zufolge zum Beispiel so: Anwender, die Apples offizielle iTunes-Seite aufrufen wollten, seien zum Angebot eines Unternehmens umgeleitet worden, das mit Apple in keinerlei Beziehung stehe und vorgab, Apple-Software zu verkaufen.