Trojan.CobaltStrike.GT

Trojan.CobaltStrike.GT ist ein Windows-Trojaner mit einer Gefährdungsstufe von 8 von 10. Laut den Daten installiert er sich unbemerkt und läuft unauffällig im Hintergrund. Der Name lässt auf eine Verbindung zu Cobalt Strike schließen, einem Tool, das häufig von Angreifern missbraucht wird. Da die Daten nicht beschreiben, wie dieser Trojaner in der Praxis eingesetzt wird, basieren die folgenden Ausführungen auf typischem Trojanerverhalten.

Was die Bedrohung bewirkt

Die Beschreibung besagt, dass der Trojaner unbemerkt im Hintergrund läuft und schädliche Aktionen ausführt. Er kann Hackern die vollständige Kontrolle über ein infiziertes System ermöglichen. Laut Beschreibung kann er auch heimlich Dateien löschen, der Textabschnitt bricht jedoch danach ab, sodass die vollständige Liste der Aktionen unbekannt ist.

Die analysierte Probe weist folgende technische Merkmale auf:

• Eine native 64-Bit-Windows-DLL, die Funktionen exportiert (keine .NET-Anwendung).
• Als Konsolensubsystemdatei erstellt und nicht gepackt.
• Keine digitale Signatur, keine Debug-Informationen und keine Standortinformationen.
• Ruft direkt Systemfunktionen auf niedriger Ebene in ntdll.dll auf, darunter Funktionen zum Schreiben von Dateien, zum Abfragen und Freigeben des virtuellen Speichers und zum Abfragen von Prozessinformationen.

Die direkte Verwendung von Systemaufrufen auf niedriger Ebene ist häufig in Software zu beobachten, die Überwachungstools umgehen will, obwohl der Zweck hier nicht angegeben wird. Von 16 analysierten Codeblöcken wurden 11 als potenziell schädlich gekennzeichnet und 5 auf die Whitelist gesetzt. Keiner war unbekannt.

Wie es üblicherweise auf Computer gelangt

Laut dem Feed gelangt dieser Trojaner am häufigsten auf eine der folgenden Arten ins Land:

• Durch Ausnutzung von Systemschwachstellen und Sicherheitslücken.
• Durch Software-Downloads von schädlichen Webseiten.
• Durch E-Mail-Anhänge aus nicht vertrauenswürdigen Quellen, in der Regel .exe-, .pif-, .avi- und sogar .jpg-Dateien.

Eine gängige Masche ist es, eine schädliche Datei als Bild oder Video zu tarnen, um die Leute dazu zu bringen, sie zu öffnen.

Risiken für den Nutzer

Die größte Gefahr besteht im Kontrollverlust über den Computer. Erlangt ein Angreifer vollen Zugriff, sind typische Folgen solcher Trojaner:

• Diebstahl von persönlichen Daten, Passwörtern und Finanzinformationen.
• Löschung oder Manipulation von Dateien.
• Installation weiterer Schadsoftware.
• Nutzung des PCs als Ausgangspunkt für Angriffe auf andere Geräte im selben Netzwerk.

Diese Ergebnisse sind typisch für Fernzugriffsbedrohungen und wurden für dieses spezielle Beispiel nicht bestätigt, abgesehen von der in der Beschreibung erwähnten Kontrolle und Dateilöschung.

Anzeichen einer Infektion

Der Trojaner ist so konzipiert, dass er unentdeckt bleibt, daher treten möglicherweise keine offensichtlichen Symptome auf. Typische Warnzeichen für diese Art von Bedrohung sind:

• Unerklärliche Verlangsamungen oder hohe CPU- oder Netzwerkaktivität.
• Dateien, die ohne Erklärung verschwinden oder sich verändern.
• Unbekannte Prozesse oder DLL-Dateien werden ausgeführt.
• Die Sicherheitseinstellungen wurden ohne Ihr Zutun geändert.
• Unerwartete ausgehende Verbindungen.

Da Symptome oft fehlen, ist ein vollständiger Scan mit einem aktuellen, seriösen Anti-Malware-Tool die zuverlässigste Methode zur Überprüfung.

Wie man sich schützt

1. Halten Sie Windows und alle installierten Softwareprogramme auf dem neuesten Stand, da der Trojaner bekannte Sicherheitslücken ausnutzen kann.
2. Laden Sie Software nur von offiziellen Quellen herunter und meiden Sie unbekannte Websites.

Bei Verdacht auf eine Infektion trennen Sie den Computer vom Internet, führen Sie einen vollständigen Scan durch und ändern Sie Ihre wichtigen Passwörter von einem sauberen Gerät aus. Befinden sich sensible Daten auf dem PC, sollten Sie professionelle Hilfe in Anspruch nehmen, da ein Angreifer möglicherweise die vollständige Fernsteuerung erlangt hat.