Trojans

Trojans (Trojaner, Trojanische Pferde; Trojan Horse) sind Schadprogramme, die sich als legitime Software tarnen oder Benutzer auf andere Weise täuschen, damit diese sie ausführen oder ihnen Zugriff auf das System gewähren. Nach der Ausführung kann ein Trojaner unbemerkt verschiedene Aktionen durchführen: Daten stehlen, weitere Schadsoftware installieren, Fernzugriff auf das Gerät ermöglichen oder Systemeinstellungen verändern.

Die Bezeichnung geht auf das Trojanische Pferd aus der griechischen Mythologie zurück: Eine gefährliche Komponente gelangt als scheinbar harmloses oder nützliches Objekt in ein System.

Im Gegensatz zu Computerviren und Würmern werden Trojaner nicht durch die Fähigkeit definiert, selbstständig Kopien von sich zu erstellen und sich zu verbreiten. Ihr wesentliches Merkmal ist die Täuschung des Benutzers oder die Tarnung ihrer schädlichen Funktion.

Wie funktioniert ein Trojaner?

Das konkrete Verhalten hängt von der Art des Trojaners ab. Ein typischer Ablauf sieht folgendermaßen aus:

• Der Benutzer erhält eine Datei oder ein Programm, das harmlos erscheint.
• Er führt die Datei selbst aus oder der Schadcode wird im Rahmen eines anderen Angriffs aktiviert.
• Der Trojaner wird mit den ihm zur Verfügung stehenden Berechtigungen ausgeführt.
• Die Schadsoftware kann versuchen, sich dauerhaft im System einzurichten.
• Anschließend werden die vom Angreifer vorgesehenen Aktionen ausgeführt.

Beispielsweise kann ein als Rechnung getarntes Dokument beim Öffnen ein Makro ausführen, das im Hintergrund eine weitere Schadkomponente nachlädt.

Ein Programm kann beispielsweise wie ein nützliches Dienstprogramm, ein Dokument, ein Installationsprogramm oder ein Update aussehen, nach dem Start jedoch zusätzlich eine schädliche Komponente installieren.

Einige Trojaner führen ihre Hauptfunktion selbst aus, andere dienen dazu, zusätzliche Schadmodule auf das System zu bringen.

Arten von Trojanern

Trojaner können anhand ihrer Funktionen in verschiedene Typen unterteilt werden.

• Backdoor-Trojaner erstellen einen versteckten Kanal für den Fernzugriff auf ein infiziertes Gerät. Angreifer können diesen für weitere Aktionen im System nutzen.
• Downloader-Trojaner dienen dazu, zusätzliche Schadsoftware herunterzuladen.
• Dropper-Trojaner enthalten oder übertragen weitere schädliche Dateien und installieren diese im System.
• Banking-Trojaner sind auf den Diebstahl von Finanzinformationen, Zugangsdaten und anderen mit Bankdienstleistungen verbundenen Daten ausgerichtet.
• Infostealer-Trojaner sammeln vertrauliche Informationen, beispielsweise gespeicherte Zugangsdaten und Daten aus Anwendungen.
• RAT (Remote Access Trojan) ermöglicht die Fernsteuerung eines infizierten Geräts. Die Abkürzung RAT kann allerdings auch für ein legitimes Remote Administration Tool stehen, weshalb ihre Bedeutung vom jeweiligen Kontext abhängt.

Beispielsweise kann ein Dropper zunächst einen Banking-Trojaner installieren und anschließend eine Backdoor einrichten, über die der Angreifer dauerhaft Zugriff behält.

Ein Schadprogramm kann gleichzeitig die Funktionen mehrerer dieser Typen besitzen. Die Kategorien schließen sich daher nicht grundsätzlich gegenseitig aus.

Trojaner und Virus: Was ist der Unterschied?

Trojaner und Computerviren (Computer Viruses) sind unterschiedliche Arten von Schadsoftware.

Der wesentliche Unterschied liegt im Verbreitungsmechanismus.

Trojaner tarnen sich als harmlose Objekte oder nutzen andere Täuschungsmethoden, um auf ein System zu gelangen und ausgeführt zu werden.

Viren können ihren Code in andere Dateien oder Objekte einfügen und sich durch deren Infektion vermehren.

Der umgangssprachliche Ausdruck „Trojaner-Virus“ wird zwar verwendet, aus technischer Sicht bezeichnen Trojaner und Viren jedoch unterschiedliche Kategorien von Malware.

Trojaner und Worm

Ein Worm (Computerwurm) zeichnet sich dadurch aus, dass er sich selbstständig zwischen Geräten oder Systemen verbreiten kann, beispielsweise über Netzwerkmechanismen oder durch die Ausnutzung von Sicherheitslücken.

Die selbstständige Verbreitung ist dagegen kein charakteristisches Merkmal eines Trojaners. Für dessen Übertragung kann eine Benutzeraktion, eine andere Schadsoftware oder ein bereits vorhandener Zugriff des Angreifers erforderlich sein.

Ein Angriff kann jedoch mehrere Mechanismen kombinieren. Beispielsweise kann sich eine Schadsoftware selbstständig verbreiten und anschließend auf den infizierten Geräten eine Trojaner-Komponente installieren.

Trojaner und Spyware

Spyware wird in erster Linie anhand ihres Zwecks definiert – der heimlichen Sammlung von Informationen über einen Benutzer oder ein System.

Ein Trojaner wird dagegen durch seine Art der Tarnung oder des Eindringens charakterisiert: Das Schadprogramm gibt sich als harmlos aus oder verbirgt seinen tatsächlichen Zweck.

Daher kann ein Programm gleichzeitig Trojaner und Spyware sein. Eine schädliche Anwendung kann sich beispielsweise als nützliche Software tarnen und nach ihrer Ausführung Zugangsdaten stehlen.

Trojaner und Backdoor

Eine Backdoor (Hintertür) ist ein Mechanismus, der einen versteckten oder außerhalb des regulären Zugriffsprozesses liegenden Zugang zu einem System ermöglicht.

Ein Trojaner kann eine Backdoor installieren, die beiden Begriffe sind jedoch keine Synonyme. Ein Trojaner bezeichnet eine bestimmte Art von Schadsoftware, während eine Backdoor einen Zugriffsmechanismus beschreibt.

Ein Remote Access Trojan kann beispielsweise einen Fernzugriff ermöglichen, der faktisch die Funktion einer Backdoor erfüllt.

Was ist bei der Erkennung eines Trojaners zu tun?

Wenn eine Sicherheitslösung einen Trojaner erkennt, sollte berücksichtigt werden, dass das Löschen einer einzelnen Datei nicht immer sämtliche Folgen der Infektion beseitigt.

Es muss festgestellt werden, welche Aktionen die Schadsoftware bereits ausgeführt hat und ob zusätzliche Komponenten im System installiert wurden. In Unternehmensumgebungen kann ein solcher Vorfall die Isolierung des betroffenen Geräts, die Analyse von Protokollen und Netzwerkaktivitäten sowie die Überprüfung von Benutzerkonten und anderen Systemen erfordern, mit denen der infizierte Computer kommuniziert hat.

Besteht die Möglichkeit, dass Zugangsdaten kompromittiert wurden, sollten diese als potenziell offengelegt betrachtet und entsprechende Sicherheitsmaßnahmen ergriffen werden.

FAQ

🠔 Zurück zum Glossar