Als UPS-Lieferschein getarnte „XP Antispyware 2010“ blockiert Rechner

Virenscanner übersehen gefälschte Antispyware

Gesundes Misstrauen ist im Einzelfall verlässlicher als ein aktueller Virenscanner. Zu diesem Ergebnis gelangte SearchSecurity beim Durchgehen des aktuellen Posteingangs. Darin befand sich am gestrigen Donnerstag auch ein Schreiben, das angeblich vom Paketdienstleister UPS stammte. Die Nachricht mit dem Betreff „UPS Delivery Problem NR.9444“ täuscht akuten Handlungsbedarf vor: Eine retournierte Sendung müsse mit dem beigefügten Beleg abgeholt werden.

Bei dem Dokument handelt es sich verdächtigerweise um eine gepackte ZIP-Datei namens „UPS_invoice_5341.zip“. Diese beherbergt wiederum ein File, das sich mit dem Icon eines Word-Dokumentes schmückt. Das Einblenden der Dateierweiterung entlarvt die Datei allerdings als ausführbares Exe-Programm.

Testlauf in virtueller Testumgebung

Neugierig geworden haben wir den Code in einer virtualisierten Testumgebung ausgeführt. Dort öffnete sich jedoch kein Rücklieferschein, sondern das vermeintliche Sicherheitspaket „XP Antispyware 2010“. Das bescheinigte unserem frisch aufgesetzten Windows-System auch gleich, von 33 Viren befallen zu sein.

Abhilfe schaffe die kostenpflichtige Vollversion des Tools. Den mit knapp 50 US-Dollar angegebenen Einstiegspreis könnte man freilich als Schutzgeld betrachten. Das Programm nervt nämlich nicht nur mit etlichen Warnungen, sondern blockiert auch gleich noch den Internetzugang nach eigenem Gusto.

Blinder Virenscanner

Wir haben die Dateien mit dem Schutzpaket Bitdefender Internet Security 2010 für Netbooks untersucht. Trotz aktueller Signaturen fand das Produkt nichts Verdächtiges, obwohl sich im Internet Berichte über den Schädling häufen. Wir fragten beim Hersteller nach, wie das sein könne.

Dort nahm Jens Zurheide vom technischen Support unseren Hinweis dankbar auf und entschuldigte sich zugleich: „Zaubern können wir auch nicht“. Trotz eigens zum Virenfang aufgesetzter Honeypots gebe es keine 100-prozentige Sicherheit, jede Malware zu entdecken.

SMTP-Server schlägt Alarm

Zur endgültigen Klärung wollten wir das Programm an Bitdefender weiterleiten und erhielten endlich die erste Warnung. Allerdings nicht von einem lokalen Virenscanner, sondern vom E-Mail -Server des Hosters 1&1. Der verweigerte die Zusammenarbeit mit der lapidaren Meldung: „virus infected mail rejected (Trojan.Sasfis)“.

Diesen Befund bestätigte uns ein wenig später auch Bitdefender. Mit dem nächsten Update des eigenen Virenscanners werde auch der Schädling „Trojan.Agent.AOTJ“ erkannt. Das klappte jedoch auch am späten Abend und nach über sechs Stunden Reaktionszeit noch nicht (Engine 7.30626). Die am Freitag morgen aktuelle Engine 7.30633 entlarvte den Trojaner schließlich.

Jeder zweite Scanner scheitert

Mit diesem Ausrutscher steht der Hersteller jedoch nicht allein da. Wir haben die fraglichen Dateien beim Online-Dienst VirusTotal hochgeladen. Von 42 Virenscannern erkannten gerade einmal 19 den Schädling.

Was bleibt sind die gebetsmühlenartig wiederholten Hinweise: Bleiben Sie vorsichtig, hinterfragen Sie, woher unaufgefordert zugesandte Dateien stammen könnten und lassen Sie sich nicht von bunten Icons täuschen.