Moskau/Hilversum/Den Haag – In den vergangenen Tagen hat ein Computervirus namens „Dorifel“ die Niederlande hart getroffen. Der Schädling, der unter anderem Office-Dokumente verschlüsselt, hat sogar Gemeinden lahmgelegt. Das Unternehmen Digital Investigations http://digital-investigation.eu hat zudem gemeldet, dass die Bankdaten mehrerer hundert Personen den Cyberkriminellen in die Hände gefallen sind, vornehmlich Kunden der ING. Der Großbank zufolge sind ihre Server allerdings nicht direkt infiziert. Dem Nationaal Cyber Security Center https://ncsc.nl nach wurden inzwischen Domains, die zur Kontrollinfrastruktur des Schädlings zählten, ausgeschaltet.
Die Hintermänner scheinen mit Dorifel speziell eine Region, eben die Niederlande, ins Visier genommen zu haben – eine Taktik, die in Zukunft häufiger zum Einsatz kommen dürfte. „Geografisch eingegrenzte Attacken sind für Cyberkriminelle effektiver als herkömmliche“, erklärt Yuri Namestnikov, Senior Malware Analyst bei Kaspersky Lab http://kaspersky.com , gegenüber pressetext. „Dann können sie Social-Engineering-Tricks in der Landessprache nutzen und die weltweit geringe Verteilung der Malware hilft, länger unbemerkt zu bleiben.“ Vereinzelt hat Dorifel auch Systeme in anderen Ländern, darunter Deutschland, befallen.
Datentod und Datenklau
„So weit wir es bisher beurteilen können, haben die Dorifel-Hintermänner Links zu Webseiten mit Exploits verschickt“, sagt Namestnikov. Der alte Trick sei effektiv, da E-Mails im Social-Media-Zeitalter vor allem offizieller und geschäftlicher Korrespondenz dienen und User Links in offiziell aussehenden E-Mails wahrscheinlich blind vertrauen. Ist Dorifel so auf ein System gelangt, schaden der Virus beziehungsweise nach der Erstinfektion nachgeladene Malware dieses laut Kaspersky-Analyse auf mehrere Arten.
Zunächst werden verschiedene Office-Dokumente sowie EXE-Dateien verschlüsselt und damit unbrauchbar gemacht – und das auch auf Netzwerk-Laufwerken. Dazu kommen Komponenten, die auf den Diebstahl von Finanzdaten ausgelegt sind, wie eben Daten von Bankkunden. Kaspersky hat auf Kontrollservern des Schädlings aber auch Kredikartendaten gefunden. Auf Servern werden ferner Hintertüren (Backdoor-Trojaner) installiert.
Hohe Wellen in Holland
Der primär auf die Niederlande fokussierte Schädling war dort mit tausenden infizierten Computern durchaus erfolgreich und hatte auch gröbere Auswirkungen. Niederländischen Medienberichten zufolge wurden seit vergangenem Dienstag über 30 Gemeinden, Unternehmen und Universitäten im Land teils schwer getroffen. Die Stadt Weert in der Provinz Limburg musste ihr Netzwerk sogar komplett abschalten und hat erst am Sonntag mit dem Neustart ihrer Online-Angebote begonnen, der heute, Montag, schrittweise fortgesetzt wird.
Kaspersky Lab bestätigt gegenüber pressetext, dass eine Kontroll-Domain zu Dorifel mittlerweile effektiv ausgeschaltet wurde. „Auf Dorifel-infizierten Computern ist meist weitere Malware installiert, die neue Versionen von Schadprogrammen herunterladen kann“, warnt aber Namestnikov.
pressetext.redaktionAnsprechpartner: Thomas Pichler
Datenklau: Niederländischer Virus schlägt Wellen (Foto: flickr.com/Hankin)