VERANSTALTUNGEN

abas Global Conference
20.09.18 - 21.09.18
In Karlsruhe

EASY World 2018
20.09.18 - 20.09.18
In Mülheim an der Ruhr

it-sa 2018
09.10.18 - 11.10.18
In Nürnberg

plentymarkets Omni-Channel Day 2018
12.10.18 - 12.10.18
In Kassel

Digital Marketing 4Heroes Conference
16.10.18 - 16.10.18
In Wien und München

TrojanerEin neuer Bankentrojaner bedroht Nutzer von Microsoft Windows. Die Virenanalysten von Doctor Web erforschen den Schädling bereits.

Bankentrojaner versuchen das Geld von den Konten der Kreditinstitute zu klauen und stellen somit für Banken und Kunden gleichermaßen eine Gefahr dar. Der neue Schädling basiert auf dem Quellcode des Trojaners Zeus (Trojan.PWS.Panda) und nennt sich Trojan.PWS.Sphinx.2. Dieser führt Web-Injects aus, indem er fremde Inhalte (u.a. gefälschte Formulare mit Benutzernamen und Passwort) in Webseiten einbettet und geklaute Daten an Cyber-Kriminelle weiterleitet. Da die URL in der Adresszeile des Browsers und das Websitelayout dem Original sehr ähnlich sind, geschieht dies unbemerkt für die Opfer. Die Malware kann so das Geld der Kunden aus mehreren Banken entwenden.

Wenn der Benutzer eine Webseite aufruft, die in der Konfiguration des Trojaners enthalten ist, werden fremde Inhalte in die Webseite eingebaut. Ein Beispiel dafür liefert Trojan.PWS.Sphinx.2, der auf bankofamerica.com fremde Inhalte unterschiebt:

Bankentrojaner

So funktioniert der Bankentrojaner

Trojan.PWS.Sphinx.2 bettet sich beim Booten in den Prozess explorer.exe ein und entschlüsselt einen Konfigurationsblock. Auf diesem sind die Adresse des Verwaltungsservers und der Schlüssel für ein- und ausgehende Daten gespeichert. Trojan.PWS.Sphinx.2 verfügt dabei über eine Modul-Architektur: Der Trojaner lädt auf Anforderung der Cyber-Kriminellen zusätzliche Plug-ins herunter. Zwei Module sind zum Starten in 32- und 64-Bit-Versionen von Windows vorgesehen, zwei weitere zum Starten auf dem infizierten Rechner des VNC-Servers. Über diesen Server stellen die Cyber-Kriminellen dann eine Verbindung zum infizierten PC her.

Trojan.PWS.Sphinx.2 lädt zudem eine Reihe von Tools zur Installation eines digitalen Zertifikats herunter und speichert diese auf dem infizierten PC. Das Zertifikat wird von Cyber-Kriminellen für Angriffe nach der Man-in-the-Middle-Methode verwendet. Der Trojaner verfügt zudem über einen Grabber, der Daten des Benutzers abfängt und an einen Remote-Server der Cyber-Kriminellen weiterleitet.

Besonders interessant ist die Methode zum Starten des Trojaners auf dem infizierten Rechner: Dafür wird ein Szenario in der PHP-Sprache sowie ein Interpretator verwendet. Das Szenario wird durch eine Verbindung im Autostart-Verzeichnis ausgeführt. Alle Informationen werden verschlüsselt im Windows-Registry gespeichert, die Module in einer verschlüsselten Datei mit zufälliger Erweiterung.

Dr.Web Antivirus spürt Trojan.PWS.Sphinx.2 problemlos auf, weshalb der Trojaner für Dr.Web Nutzer keine Gefahr darstellt.
 

GRID LIST
Hacker

Anstieg des CEO-Frauds beobachtet

Das Volumen von Phising-Nachrichten mit CEO-Fraud-Inhalt, die gemeldet wurden, hat sich…
Hacker Kamera

Zero‑Day‑Schwachstelle in Videoüberwachungs‑Software entdeckt

Mit der „Peekaboo” getauften Schwachstelle können Cyberkriminelle die Aufnahmen…
Hacker

Kryptomining-Malware in Kodi Add-ons enttarnt

Die Benutzer von Kodi sollten sich ihre installierten Zusatzprogramme nochmal ganz genau…
Hacker

Hacker-Gruppe LuckyMouse signiert Malware mit legitimem Zertifikat

Die Experten von Kaspersky Lab (GReAT) haben mehrere Infektionen eines bisher unbekannten…
Trojaner

Verbreitung von Mining-Trojanern für Windows und Linux

Im vergangenen Monat gerieten erneut Mining-Trojaner in das Visier der Virenanalysten von…
Schloss

Wie lassen sich falsche Webzertifikate ausstellen?

Ein Forscherteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in…
Smarte News aus der IT-Welt