Scareware wird handgreiflich

Eine besonders hartnäckige Form von Scareware hat das Microsoft Malware Protection Center (MMPC) in seinem Blog beschrieben. Sie gibt sich zu allem Übel in Anlehung an Microsoft Security Essentials als "Security Essentials 2010" aus.

Die von den Redmondern als Fakeinit bezeichnete Scareware nervt den Anwender nicht nur mit Falschmeldungen über Dutzende von Infektionen des PCs mit Viren und Trojanern, sondern wird quasi auch noch handgreiflich. Sie versucht nicht nur diverse andere Programme zu beenden, weil sie angeblich infiziert seien, sie lädt zudem noch das Rootkit Alureon auf den Windows-PC und installiert es.

Darüber hinaus klinkt sich die Scareware als Komponente "Layered Service Provider" (LSP) in die Netzwerkverbindung und überwacht, ob der Anwender bestimmte Seiten aufruft. Bei Versuchen, populäre Webseiten wie amazon.com, ebay.com und twitter.com aufzurufen, blockiert Fakeinit den Aufruf und blendet stattdessen den Hinweis im Browser ein, der PC sei infiziert – man solle eine Antivirensoftware installieren.

Zudem tauscht die Scareware den Bildschirmhintergrund des Desktops gegen eine Warnung "Your System is infected" aus. Schließlich versucht sie den Anwender durch stetige Aufrufe der Seite buy-security-essentials.com zum Kauf einer 50 Euro teuren Vollversion der "Security Essentials 2010" zu bewegen. Die Seite ist mittlerweile vom Netz genommen.

Microsoft warnt zwar vor Fakeinit und weist darauf hin, dass die echten Microsoft Security Essentials die Scareware erkennen würde. Im Blog des MMPC gibt es jedoch keine konkrete Anleitung, wie sich Anwender verhalten sollten, die bereits betroffen sind. Einschlägige Foren zu dem Thema wie trojaner-board.de und xp-vista.com halten jedoch diverse Anleitungen vor. In Anbetracht der Installation des Alureon-Rootkits sollten Anwender jedoch eine Neuinstallation des Systems erwägen. Zuletzt machte Alureon von sich reden, weil es nach der Installation des Sicherheits-Updates MS010-015 unter Windows XP Bluescreens verursachte.

News-Meldung vom 01.03.2010 12:30