Trojaner in Windows-Media-Dateien

[Frank62]

Der Hersteller von Antivirenprodukten Panda Software weist auf zwei Trojaner hin, die sich der neuen DRM-Technik (Digital Rights Management) im Windows Media Player 10 unter XP mit Service Pack 2 bedienen, um Systeme zu infizieren. Bereits Anfang Januar gab es erste Hinweise, dass bestimmte WMV-Dateien beim Abspielen Ad- und Spyware installieren.







Ist eine Mediadatei lizenzgeschützt und eine Lizenz lokal nicht vorhanden, so versucht der Player, diese aus dem Netz nachzuladen. Dazu öffnet er ein Browserfenster, meist den Internet Explorer, und ruft die Seite des jeweiligen Herausgebers auf. Allerdings kam es bei Dateien, die vom Software-Dienstleister Overpeer stammen, dazu, dass Anwender beim Abspielen mit ungewünschten Werbe-Pop-ups überhäuft wurden.

Nach Angaben von Panda Software enthalten die über P2P-Netze verteilten Dateien von Overpeer zusätzlich den Trojaner Trj/WmvDownloader.A. Beim Öffnen im Media Player täuscht die Datei vor, eine Lizenz laden zu wollen. Stattdessen lenkt sie den Browser auf eine weitere Web-Seite um, die versucht, auf dem PC Adware, Spyware, Dialer und andere Viren per automatischem Download zu installieren. Auch die vom Dienstleister Protectmedia herausgegebenen Dateien sollen einen ähnlichen Schädling enthalten (Trj/WmvDownloader.B).

Ein Sprecher von Overpeer erklärte, man habe nichts mit derlei Malware zu tun. Die von ihnen verbreiteten Dateien würden nur auf legale Online-Musik-Shops führen. Overpeer ist unter anderem von Herstellern damit beauftragt, falsche Musikstücke (Decoy Files) als Köder in Filesharing-Netzen zu verteilen. Wer die trojanisierten Mediadateien in Umlauf gebracht habe, wisse man bei Overpeer auch nicht.

Medienberichten zufolge erklärte Microsoft, dass automatische Downloads unter Windows XP mit Service Pack 2 in den Voreinstellungen blockiert würden. In älteren Versionen könne man sich durch das Setzen der Sicherheitseinstellungen auf "Hoch" schützen. Es gebe auch keinen Weg, den Anwender zum Ausführen solcher Downloads zu zwingen. Zudem sei das Problem weder auf Fehler im Media Player noch auf eine Schwachstelle im DRM zurückzuführen.

Allerdings sind in der Vergangenheit mehrfach Sicherheitslücken im Internet Explorer bekannt geworden, bei der allein der Besuch einer Webseite ausreicht, um Trojaner und Dialer untergeschoben zu bekommen. Erst beim letzten Patch-Day veröffentlichte Microsoft ein Sicherheits-Update, um genau solch eine Lücke in allen IE6-Versionen zu schließen.

Microsoft will das Problem jedenfalls weiter verfolgen. Man sei besorgt, wie die DRM-Funktion nun mißbraucht werde. Die Redmonder planen ein Update für den Windows Media Player herauszugeben, das das automatische Öffnen von Web-Seiten verhindern soll.