Domain-Engel: Der trojanische Helfer

Tatsächlich besteht ein Unterschied zwischen "k.exe" und "help.exe", auch wenn beide Programme ähnliche Aufgaben erfüllen. Die Analyse der ESET-Spezialisten ergab, dass Programmcode und Funktion von "help.exe" und Vorgänger "k2.exe" identisch sind. Michael Neitzel, Senior Virus Researcher bei ESET, erklärt die Funktionsweise der Software so: "Das Programm kontaktiert ständig 13 Server, die allesamt auf die Firma Universal Boards GmbH & Co. KG registriert sind." Deren Geschäftsführer heißt Mario Dolzer.

	Anzeige

Verschlüsselte Informationen

Nach Erkenntnis der Experten lädt das Programm bei jedem Serverkontakt eine verschlüsselte Datei, die eine Vielzahl von Domainnamen enthält. Die Spezialisten von ESET konnten die Datei für onlinekosten.de entschlüsseln. Sie enthält Informationen, wann eine Adresse zuletzt abgerufen wurde und ein festes Datum, an dem der jeweilige Rechner die Domain wieder abfragen soll. Mit den empfangenen Domain-Namen werden Abfragen zu 26 Whois-Servern gestartet, um den Status der Domains zu überprüfen.

Zusammen mit den periodischen Downloads verursachte das Verfahren in einem Testnetzwerk mit 25 Rechnern etwa ein Megabyte Datenverkehr pro Stunde und Client. Nach Ansicht der Experten stellt das eine hohe Belastung dar, die kleine Netze lahm legen könne. Hinzu kommt, dass der Nutzer das Programm nicht selbst stoppen kann. Bei einem volumenbegrenzten Internetzugang kann die "Domain-Hilfe" also schnell zum teuren Vergnügen werden.


Surf-Protokoll

Darüber hinaus zeigte die Analyse, dass das Tool auf dem jeweiligen Wirtsrechner aufgerufene Domains protokolliert und diese an Dolzers Server sendet. Die Anzahl der überwachten Domains nimmt so immer weiter zu: unsere Experten stellten fest, dass auf jedem der 25 Testrechner eine andere Domainliste lag. Unter anderem enthalten diese Listen renommierte Websites wie "rtl.de", auch "onlinekosten.de" hält der Domain-Engel offenbar für eine attraktive Adresse.


Soweit macht Dolzers Tool nicht mehr, als er auf seiner Website vorgibt. Dennoch halten die Sicherheitsspezialisten bei ESET Dolzers Spielzeug für "hochgradig gefährlich". Die offizielle Bezeichnung der Virenschützer für das "Sozial-Tool": "W32/Domangle trojan".