Wacatac ist ein Erkennungsname von Microsoft Defender Antivirus; die Erkennung Trojan:Script/Wacatac gilt als breite heuristische Bezeichnung und ist kein einzelner Virus, sondern eine Verhaltenssignatur, die gelegentlich zu Fehlalarmen führen kann, bei denen legitime Software markiert wird.
Auf einen Blick
Die Erkennung Trojan:Win32/Wacatac.B!ml bezeichnet kein einzelnes Programm, sondern eine Sammlung verwandter Malware-Stämme mit gemeinsamem Ziel und gemeinsamer Struktur.
Die Malware hinter Trojan:Win32/Wacatac.B!ml kann Anmeldedaten aus Browsern abgreifen, weitere Schadsoftware nachladen und Sicherheitswerkzeuge deaktivieren.
Die Malware hinter Trojan:Win32/Wacatac.B!ml kann etwa über gecrackte Software, Raubkopien oder als Geschäftsnachrichten getarnte Phishing-E-Mails auf einen Rechner gelangen.
Was ist Wacatac?
Eine Wacatac-Meldung nennt den Namen einer Erkennung und kein einzelnes Schadprogramm. Die Beschreibung der Erkennung Trojan:Win32/Wacatac.B!ml spricht von einer Sammlung verwandter Malware-Stämme, die ein gemeinsames Ziel und eine gemeinsame Struktur teilen. Microsoft benennt erkannte Schadsoftware nach dem CARO-Schema (Computer Antivirus Research Organization); der Namensbestandteil Familie gruppiert Malware nach gemeinsamen Merkmalen. Trojan:Script/Wacatac wird als breite heuristische Bezeichnung eingestuft, die eine Reihe bösartiger Aktivitäten modularer Malware-Familien erfasst: Es handelt sich nicht um einen einzelnen Virus, sondern um eine Verhaltenssignatur, die etwa durch unbefugte Registry-Änderungen, die Ausführung von Code im Arbeitsspeicher oder den Missbrauch vertrauenswürdiger Systemprozesse ausgelöst werden kann. Ein Fehlalarm ist dagegen eine Datei, ein Prozess oder eine andere Entität, die fälschlich als bösartig eingestuft wird.
Meldet Microsoft Defender auf einem Rechner eines Versicherers die Erkennung Trojan:Win32/Wacatac.B!ml, bezeichnet der Name kein einzelnes Programm, sondern eine Sammlung verwandter Malware-Stämme mit gemeinsamem Ziel und gemeinsamer Struktur. Die heuristische Natur der Erkennung Trojan:Script/Wacatac kann gelegentlich zu Fehlalarmen führen, bei denen legitime Software markiert wird. Generell können Fehlalarme bei jeder Schutzlösung auftreten.
Wie funktioniert Wacatac?
Die Malware hinter der Erkennung Trojan:Win32/Wacatac.B!ml wirkt in erster Linie als Trojaner und dient Angreifern als vielseitiges Werkzeug, um Informationen zu stehlen, weitere Schadsoftware nachzuladen oder eine Hintertür für Ransomware einzurichten. Als Informationsdieb kann sie mit Keyloggern oder Form-Grabbing Anmeldedaten und Bankdaten aus Browsern abgreifen. Die Schadsoftware kann Registry-Schlüssel verändern, Windows-Dateien manipulieren und sogar Gruppenrichtlinien ändern, um Sicherheitswerkzeuge zu deaktivieren und einen Neustart zu überstehen. Ein prägendes Merkmal dieser Malware-Stämme ist der Einsatz eigener Packer und Cryptor.
Angreifer können die Malware hinter Trojan:Win32/Wacatac.B!ml mit gecrackter Software und Raubkopien bündeln oder über Phishing-E-Mails, die als gewöhnliche Geschäftsnachrichten getarnt sind, verteilen. Seit dem deutlichen Aktivitätsanstieg um 2020 setzt diese Bedrohung beim ersten Zugriff stark auf Social Engineering. Die Erkennung Trojan:Script/Wacatac ist dagegen als breite heuristische Bezeichnung eingestuft; ihre Beschreibung nennt unter anderem einen JavaScript-basierten Informationsdieb, der über AutoIt-Skripte arbeiten kann, und als typischen Verbreitungsweg Social Engineering, etwa Raubkopien oder Phishing-Kampagnen.
Welche Anzeichen begleiten eine Wacatac-Meldung?
| Signal | Woran erkennbar |
|---|---|
| Meldung mit dem Namen Wacatac | Der Name steht für eine Erkennung. Trojan:Win32/Wacatac.B!ml bezeichnet kein einzelnes Programm, sondern eine Sammlung verwandter Malware-Stämme. Trojan:Script/Wacatac ist als breite heuristische Bezeichnung eingestuft und kein einzelner Virus. |
| Microsoft Defender ist deaktiviert und zeigt Fehlermeldungen | Als Anzeichen bei Trojan:Win32/Wacatac.B!ml genannt. |
| Neue Dateien mit zufälligen Namen | Als mögliches Anzeichen bei Trojan:Win32/Wacatac.B!ml genannt; solche Dateien können in Ordnern wie AppData oder Temp auftauchen. |
| Mögliche Fehlmeldung bei legitimer Software | Bei der heuristischen Erkennung Trojan:Script/Wacatac kann legitime Software gelegentlich fälschlich markiert werden. Ob ein Fehlalarm vorliegt, klärt die IT-Sicherheit; sie führt auch die folgenden Schritte aus. Für eine fälschlich markierte Datei nennt die Beschreibung dieser Erkennung das Befehlszeilenwerkzeug von Microsoft Defender, um den Cache zu leeren und Signaturen zu aktualisieren. Ist Microsoft Defender Antivirus im aktiven Modus, lässt sich ein Fehlalarm beim Einreichungsportal von Microsoft Security Intelligence einreichen. |
Schutz im Ernstfall
Vorbeugen
- Den Zugriff auf Seiten mit gecrackter Software, Keygens und Raubkopien auf Firmengeräten sperren oder untersagen; sie sind laut der Beschreibung der Erkennung Trojan:Win32/Wacatac.B!ml die Hauptverbreitungswege dieser Malware.
- Den Manipulationsschutz (Tamper Protection) in der Windows-Sicherheit auf allen Geräten aktivieren; die Einstellung soll verhindern, dass Malware versucht, den Virenschutz zu deaktivieren.
- Multi-Faktor-Authentifizierung für alle wichtigen Konten verlangen, besonders für E-Mail und Online-Banking.
- Unerwartete E-Mail-Anhänge und Links nicht ungeprüft öffnen, auch bei bekannten Absendern; die Malware hinter Trojan:Win32/Wacatac.B!ml kann unter anderem über Phishing-E-Mails, die als gewöhnliche Geschäftsnachrichten getarnt sind, auf Rechner gelangen.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen, also vom Internet und vom lokalen Netz.
- Die Meldung sofort der IT-Sicherheit melden, bevor etwas selbst deinstalliert oder bereinigt wird.
- Zugangsdaten, die auf dem betroffenen Gerät verwendet wurden, sofort und von einem nicht betroffenen Gerät aus ändern, da die Malware hinter Trojan:Win32/Wacatac.B!ml Anmeldedaten aus Browsern abgreifen kann.
- Das Gerät durch die IT-Sicherheit prüfen lassen: zuerst mit Microsoft Defender Offline, das vor dem Laden der Windows-Systemdateien scannt, danach mit dem Microsoft Safety Scanner; bleibt das Gerät instabil, ist laut der Beschreibung der Erkennung Trojan:Win32/Wacatac.B!ml eine saubere Neuinstallation von Windows der sicherste Weg.
Beispiele aus der Praxis
- Ein Setup-Paket aus gecrackter Software oder eine Phishing-E-Mail, die als gewöhnliche Geschäftsnachricht getarnt ist, ist ein möglicher Weg, auf dem die Malware hinter Trojan:Win32/Wacatac.B!ml auf einen Rechner gelangt.
- Die Beschreibung der Erkennung Trojan:Script/Wacatac nennt unter anderem einen JavaScript-basierten Informationsdieb, der über AutoIt-Skripte arbeiten kann; die Erkennung selbst ist als breite heuristische Bezeichnung eingestuft.
- Meldet Microsoft Defender auf einem Rechner in einem Versicherungsunternehmen die Erkennung Trojan:Win32/Wacatac.B!ml, bezeichnet der Name kein einzelnes Programm, sondern eine Sammlung verwandter Malware-Stämme mit gemeinsamem Ziel und gemeinsamer Struktur.
