gamescom 2017: Black Hats stören den Spielespaß

Heute wird die gamescom 2017 von der Bundeskanzlerin Angela Merkel eröffnet. Zunächst ist nur die Fachpresse zugelassen - ab morgen können auch die Gamer die gamescom 2017 erobern.

Pünktlich zum Start der weltweit größten Spielemesse entdeckten ESET-Forscher eine neue hinterhältige Malware namens Joao, die Gamer weltweit bedroht. Die Malware wird durch gecrackte Aeria Games verteilt, die auf inoffiziellen Webseiten angeboten werden. Die modulare Schadsoftware ist in der Lage, jeden beliebigen weiteren Schadcode herunterzuladen und virtuell auf dem PC des Opfers zu installieren.

Die Malware-Entwickler hinter Joao missbrauchten Massively-Multiplayer Online Role-Playing Games (MMORPGs), die original von Aeria Games veröffentlicht wurden. Zum Zeitpunkt der Erstellung dieses Artikels wurde der Joao Downloader durch das Anime MMORPG Grand Fantasia verteilt, das auf gf.ignitgames[.]to. zum Download bereitstand.

Die ESET-Untersuchungen zeigen, dass man auch einige andere Aeria Games auf gleiche Weise in der Vergangenheit zweckentfremdete. Allerdings gingen die inoffiziellen Webseiten bereits offline oder die bösartigen Downloads sind bereits entfernt.

ESET blockt die Webseite, welche die Joao Malware derzeit verteilen will. Des Weiteren wurde Aeria Games über die Entdeckung informiert.

Abbildung 1: kompromittierte Version von Grand Fantasia wie sie via gf.ignitgames[.]to verteilt wird

Wie funktioniert die Joao Malware?

Die betreffenden Games wurden so modifiziert, dass sie Joaos Hauptkomponenten ausführen können – die schädliche Programmbibliothek mskdbe.dll. Diese erkennt ESET als Win32/Joao.A. Starten User den Gamer Launcher, wird parallel auch Joao aufgerufen.

Mit dem Starten sendet der Joao Downloader zunächst grundlegende Informationen des Computers, wie Gerätename, Version des Betriebssystems und eingeräumte User-Rechte, zum Server des Angreifers. Die Malware achtet darauf, möglichst unentdeckt zu operieren. Solange das Game wie erwartet funktioniert, wird der Spieler auch kein Verdacht schöpfen.

Im Vergleich zum Download einer offiziellen Version eines Aeria Games, liegt der einzige Unterschied in einer zusätzlichen .dll-Datei im Installationsordner des Spiels.

Abbildung 2: Joao Downloader als .dll im Installationsordner des Spiels

Nach dem die Serverkommunikation zustande gekommen ist, entscheidet eine serverseitige Logik, welche zusätzlichen Komponenten auf den kompromittierten PC geladen werden. Die Joao-Komponenten, welche von ESET während der Untersuchungen aufgedeckt wurden, weisen eine Backdoor auf sowie Späh- und DDoS-Optionen.

Ist mein PC davon betroffen? Wie kann ich meinen PC von Joao befreien?

Wer viele Spiele von unterschiedlichen Quellen herunterlädt, muss aufpassen. Folgender Quick-Check bietet sich an: Im Windows-Explorer gibt man im Suchfeld oben rechts “mskdbe.dll“ ein. Beim Erhalt eines Suchergebnisses besteht höchstwahrscheinlich die Gefahr, die Malware Joao heruntergeladen zu haben. Aber selbst wenn die Suchanfrage ergebnislos blieb, könnten die Malware-Entwickler die schädliche Programmbibliothek einfach umbenannt haben.

In dieser Situation ist eine verlässliche Antivirus-Sicherheitslösung auf dem PC wieder einmal das Beste. Sie entdeckt die Bedrohung und entfernt sie automatisch. Wir empfehlen, den kostenlosen ESET Online Scanner auszuprobieren.

Wie bleibe ich sicher?

Mit dem Beginn der gamescom Messe 2017 möchten wir darüber aufklären, wie die Gamer ihre Spiele genießen können und Bedrohungen aus dem Weg gehen:

Wann immer möglich, offizielle Quellen bevorzugen. Die kompromittierten MMORPGs zeigen bloß einen Bruchteil dessen, was sich hinter Downloadlinks auf den vielen tausenden inoffiziellen Webseiten verbergen kann.
Spiele immer auf dem neusten Stand halten. Selbst Games sind nicht vor Schwachstellen gefeit, die von bösartigen Angreifern ausgenutzt werden. Wir empfehlen, auf Nummer sicher zu gehen und alle Sicherheitspatches für die Spiele zu installieren.
Verwendung einer verlässlichen Antivirus-Sicherheitslösung – auch während des Spielens. Viele Antivirus-Sicherheitslösungen bieten einen Gaming-Modus an. Der Spieler muss keine Unterbrechungen befürchten und bleibt trotzdem vor Bedrohungen und Malware geschützt.
Auch andere Bedrohungen haben es auf Gamer abgesehen. Ausführliche Informationen im Artikel „Sicherheitstipps für Gamer“(englisch).