Windows-Malware Shamoon überschreibt Dateien

Sicherheitsforscher melden eine neue Schadsoftware für Windows. McAfee nennt sie Disttrack, Symantec aber Shamoon – letzterer Begriff findet sich als String in einem der Malware-Ordner. Die Firmen vermuten, dass es der Schädling vor allem auf Unternehmen in der Energiebranche abgesehen hat.

Die Malware löscht Dateien wie Dokumente, Bilder und Videos von betroffenen Rechnern, indem sie sie mit einem Bild überschreibt. Gleiches führt sie anschließend für den Master Boot Record aus – also das Inhaltsverzeichnis des Speichermediums und somit eine systemrelevante Datei. Danach ist es nicht mehr möglich, den betroffenen Rechner zu starten.

Eine weitere Besonderheit: Shamoon macht keinen Hehl aus seiner Existenz; es gibt keine Tarnung. Dennoch versucht auch Shamoon, Informationen an einen Server zu übermitteln, darunter die IP-Adresse, der Domainname und die Anzahl der gelöschten Dateien.

McAfee und Symantec zufolge wurde Shamoon/Disttrack bisher nur vereinzelt gesichtet. Wie er sich weiterverbreitet, ist noch nicht abschließend geklärt.

„Bedrohungen mit einem derartig destruktiven Payload sind selten und in gerichteten Attacken sehr ungewöhnlich“, teilt Symantec in einem Blogeintrag mit. Einen Rechner, der von Shamoon betroffen war, wieder bootfähig zu machen, ist den Experten zufolge kein leichtes Unterfangen. Man muss entweder den Master Boot Record austauschen oder die Festplatte mit einem anderen Rechner verbinden, um wieder auf sie zugreifen zu können.

Mit diesem Bild überschreibt der Disttrack oder Shamoon genannte Schädling Dateien auf angegriffenen Rechnern (Quelle: Symantec).

[mit Material von Martin Schindler, silicon.de]