RealMedia-Dateien schleusen Trojaner ein

Dass Mediendateien wie Videos oder Musikstücke zum Einschleusen von Schadcode dienen können, ist nicht neu. Allerdings werden Virenbastler immer kreativer. Jetzt hat McAfee einen Schädling entdeckt, der über präparierte RealMedia-Dateien ins System eindringt, sich in ihm verankert und weitere Real-Videos infiziert. Der Antivirenhersteller hat den Wurm W32/Realor.worm getauft.

Beim Betrachten einer derartig präparierten RealMedia-Datei (*.rmvb) versucht diese, eine Webseite im Standardbrowser zu öffnen. Diese Webseite wiederum versucht eine Sicherheitslücke in den Microsoft Data Access Components (MDAC) auszunutzen, die Microsoft mit dem Patch zum Security Bulletin MS06-014 bereits geschlossen hat. Der daraufhin installierte Wurm Realor sucht nach weiteren RealMedia-Dateien und versucht, in ihnen ebenfalls einen Link auf die Webseite einzubauen. Dazu installiert der Wurm reguläre Kommandozeilenwerkzeuge des Real Helix Producers, um die rmvb-Dateien auf dem Rechner zu modifizieren.

Währenddessen meldet F-Secure in seinem Blog, dass die Virenforscher des Unternehmens bei pornographischem Material aus dem Internet häufig auf DRM-geschützte Dateien stoßen, deren Lizenz die Installation eines Codecs verlangen. Hinter diesen Codecs verstecken sich allerdings Varianten des Trojan-Downloaders Zlob.

Die Verbreitung von Realor stuft McAfee noch als gering ein. Anwender sollten dennoch nicht nur bei ausführbaren Dateien, sondern auch bei Multimediadateien vorsichtig sein. Insbesondere pornographisches Material aus Tauschbörsen oder von Internetseiten dient den Virenbastlern als Vehikel, da hier bei vielen Nutzern scheinbar alle Hemmungen fallen, fremde Software zu installieren.

Siehe dazu auch:

• W32/Realor.worm, Virenbeschreibung von McAfee
• Codec No. 107, Bericht über Zlob-Varianten von F-Secure

(dmk)