Trojaner

Als Trojanisches Pferd, auch kurz Trojaner genannt, bezeichnet man ein Programm, das als nützliche Anwendung getarnt ist, im Hintergrund aber ohne Wissen des Anwenders eine andere Funktion erfüllt.

Ein Trojanisches Pferd zählt zur Familie unerwünschter bzw. schädlicher Programme, der so genannten Malware. Es wird umgangssprachlich häufig mit Computerviren synonym verwendet, sowie als Oberbegriff für Backdoors und Rootkits gebraucht, ist davon aber klar abzugrenzen.

Der Name ist vom Trojanischen Pferd der Mythologie abgeleitet, das dem Angreifer ebenfalls den Zugang zu einem geschützten System verschaffte, in dem es durch Tarnung als etwas Nützliches den Angegriffenen selbst dazu veranlasste, in den geschützten Bereich gebracht zu werden.

Durch die gebräuchliche Kurzform „Trojaner“ wird die mythologische Herkunft des Begriffes verkehrt, da die Griechen die Angreifer waren, welche das Pferd bauten und benutzten, die Trojaner (also die Bewohner Trojas) hingegen die Angegriffenen.

Trojanische Pferde sind Programme, die manchmal gezielt auf fremde Computer eingeschleust werden, aber auch zufällig dorthin gelangen können, und dem Anwender nicht genannte Funktionen ausführen. Sie sind als nützliche Programme getarnt, indem sie beispielsweise den Dateinamen einer nützlichen Datei benutzen, oder neben ihrer versteckten Funktion tatsächlich eine nützliche Funktionalität aufweisen, und führen vom Anwender unbemerkt heimliche Aktionen auf dem Computer aus. Es besteht auch die Möglichkeit, dass ein Programmierer unbewusst ein Trojanisches Pferd entwickelt, indem er dem Programm eine Funktionalität hinzufügt, die mit dem offensichtlichen Teil des Programms nichts zu tun hat. Wird die Funktion dem Anwender nicht genannt, so handelt es sich definitionsgemäß um ein Trojanisches Pferd. Dies gilt selbst dann, wenn dieser Teil des Programms keinen Schaden verursacht.

Viele Trojanische Pferde werden dazu verwendet, um auf dem Computer heimlich ein Schadprogramm zu installieren, während sie ausgeführt werden. Diese Schadprogramme laufen dann eigenständig auf dem Computer, was bedeutet, dass sie sich nicht deaktivieren lassen, indem das Trojanerprogramm beendet oder gar gelöscht wird. Die tatsächliche Funktion der installierten Datei kann beliebiger Art sein. So können u. a. eigenständige Spionageprogramme auf den Rechner gelangen (z. B. Sniffer oder Komponenten, die Tastatureingaben aufzeichnen, sogenannte Keylogger). Auch die heimliche Installation eines Backdoorprogramms ist möglich, welches es gestattet, den Computer über ein Netzwerk (z. B. das Internet) fernzusteuern, ohne dass der Anwender dies kontrollieren kann.

Weil Trojanische Pferde häufig solche schädlichen Programme installieren, besteht das Missverständnis, dass erst die Funktionen der installierten Programme ein Trojanisches Pferd ausmachen. Durch Trojanische Pferde heimlich installierte Schadprogramme gehören jedoch nur selten selbst zur Familie der Trojanischen Pferde, denn gemäß der Definition müssten sie dem Anwender erst eine andere Funktionalität vortäuschen, um selbst als Trojanisches Pferd klassifiziert werden zu können.

Zahlreiche Trojanische Pferde entstehen durch den Verbund zweier eigenständiger Programme zu einer einzelnen Programmdatei. Dabei heftet ein Linker (auch Binder oder Joiner genannt) das zweite Programm an eine beliebige ausführbare Wirtdatei, ohne dass dieser Vorgang einen Einfluss auf die Funktionalität beider Programme hat. Durch den Start des ersten Programms wird so das zweite Programm, welches im ersten Programm versteckt ist, unbemerkt mitgestartet. Der Autor des Trojanischen Pferdes kann mithilfe eines entsprechenden Dienstprogrammes jede beliebige ausführbare Datei als Wirtprogramm missbrauchen, ohne Programmierkenntnisse besitzen zu müssen.

Es gibt Trojanische Pferde, die heimlich eine Installationsroutine starten. Diese Trojanerart wird häufig dafür eingesetzt, um unbemerkt Malware auf ein System zu installieren, sobald das Trojanische Pferd ausgeführt wird. Daher nennt man sie „Dropper“ (vom englischen to drop – etwas im System „ablegen“). Ein Autostartmechanismus sorgt in der Regel dafür, dass die Malware auch nach einem Neustart des Rechners automatisch geladen wird. Für den Start der Malware ist das Trojanische Pferd auf diesem System nicht mehr erforderlich.

Demgegenüber gibt es auch Trojanische Pferde, welche die geheimen Funktionen in sich selbst bergen. Wird das Trojanische Pferd beendet oder gar gelöscht, so stehen auch die heimlichen Funktionen nicht mehr zur Verfügung. Ein Beispiel dafür sind zahlreiche Plugins. Bei einem Plugin handelt es sich um eine Art Erweiterungsbaustein für ein bestimmtes Programm, mit dem weitere Funktionen hinzugefügt werden. So kann ein als nützliches Browser-Plugin getarntes Trojanisches Pferd auf einem Internetbrowser laufen, um beispielsweise über den Browser mit dem Internet zu kommunizieren, wodurch es auf einfache Weise eine Firewall umginge.

Allgemein ist es auch möglich, dass ein Trojanisches Pferd sich die externe Schnittstelle eines Programms zunutze macht. Ähnlich wie ein Plugin-Trojaner benötigt auch diese Trojanerart ein bereits vorhandenes Programm des Anwenders, um einen Teil seiner geheimen Funktionen durchführen zu können. Oft nutzt es dabei auch die Möglichkeiten des Betriebssystems, um das Programm in seiner Arbeit zu beeinflussen. So kann ein solches Trojanisches Pferd mithilfe des Browsers ein verstecktes Fenster öffnen, darüber eine Verbindung mit dem Internet aufbauen, um z. B. mitprotokollierte Tastatureingaben und Passwörter an den Angreifer zu schicken. Eine Firewall kann auch hier den heimlichen Verbindungsaufbau nicht verhindern, wenn die Verbindung zum Internet für den Browser erlaubt wurde. Der Vorteil dieser Methode gegenüber einem Plugin-Trojaner ist der, dass ein solches Trojanisches Pferd von sich aus jederzeit eine Internetverbindung aufbauen kann (wobei es von vornherein in der Lage ist, Einfluss auf die Darstellung der Fenster zu nehmen), während der Plugin-Trojaner erst dann aktiv wird, wenn der Internetbrowser mit dem installierten Plugin gestartet wurde.

Trojanische Pferde können entweder über Datenträger auf Computer gelangen oder im Internet, z. B. in Tauschbörsen, an beliebige Teilnehmer verteilt werden. Die Verbreitung des Trojanischen Pferdes erfolgt somit oft durch den Anwender eines Computers selbst. Je nach Bedeutsamkeit des Scheinprogramms steigt die Wahrscheinlichkeit, dass der Anwender das Programm an weitere Anwender weitergibt.

Ein alternativer Weg der Verbreitung von Trojanischen Pferden ist der Versand im Anhang von E-Mails. Dafür wird meistens ein Computerwurm verwendet, der das Trojanische Pferd transportiert. Der Trojaner selbst wird dadurch, dass er sich augenscheinlich verbreitet, jedoch nicht zu einem Virus. Vielmehr kommen hier zwei Schädlinge in Kombination zum Einsatz: Der Wurm, welcher im Anhang das Trojanische Pferd transportiert.

Im Jahr 2006 waren 55,6 Prozent der vom Informationsverbund des Bundes registrierten Schadprogramme Trojanische Pferde, nur 9,9 Prozent hingegen Viren. Schwachstellen in Browsern und Büroanwendungen werden mitunter schon am Tag des Bekanntwerdens ausgenutzt. Moderne Trojaner sind von Virenscannern nur noch schwer erkennbar.

zurück