Lokalisierte Malware auf dem Vormarsch

Keine Rechtschreibfehler, lokale Unternehmen, passende Logos: Auch Kriminelle müssen sich und ihre Malware-Kampagnen professionalisieren, wenn sie im harten globalen Wettbewerb bestehen wollen. [...]

Immer häufiger infizieren die Angreifer ihre Ziele darüber hinaus nicht selbst, sondern greifen auf die Dienstleistungen anderer Cyberkrimineller zurück, die bereits Tausende von Computern unbemerkt infiziert haben und den Zugriff darauf nun meistbietend verkaufen. Auch der Einsatz so genannter „Money Mules“, (Geld-Maultiere) kommt vermehrt vor. Ein Beispiel: Ein Cyberkrimineller von irgendwo auf der Welt hat Banking Malware auf Computern in Deutschland installiert. Um an das Geld der ahnungslosen Opfer zu kommen, nutzt er nun vor Ort seine Money Mules, also Leute, die er angeheuert hat, um an deutschen Geldautomaten mit gefälschten Karten Geld abzuheben. Gefälschte Karten wohlgemerkt, die mithilfe von Kartendaten und PIN-Nummern produziert wurden, die zuvor durch die Schadsoftware gestohlen wurden.

ALTER WEIN IN NEUEN SCHLÄUCHEN

Die Schadsoftware-Stämme, die von den Cyberkriminellen für ihre lokalen Angriffe genutzt werden sind indes allesamt keine Unbekannten: Interessante Ergebnisse konnten die Sophos-Forscher aus der Analyse verschiedener Ransomware-Stämme ziehen, die jeweils lokalisiert Ziele in unterschiedlichen Ländern attackieren. So zielen lokalisierte Versionen von Cryptowall beispielsweise überwiegend auf Opfer in den USA, Großbritannien, Kanada, Australien, Deutschland und Frankreich. TorrentLocker-Variationen bedrohen in erster Linie Großbritannien, Italien, Australien und Spanien und TeslaCrypt attackiert maßgeschneidert vor allem Großbritannien, die USA, Kanada, Singapur und Thailand.

Weiterhin wird durch die Analyse der Sophos-Forscher deutlich, welche regional zugeschnittenen Trojaner verwendet werden, um Banken und Finanzinstitute in verschiedenen Ländern zu infiltrieren. Für die deutschsprachigen Regionen sind dies maßgeblich drei: Trustezeb spricht ausdrücklich Deutsch, durch diese Schadware wird vor allem die DACH-Region attackiert. Dridex ist vorherrschend in Deutschland und in den USA und Zbot ist zwar weltweit verbreitet, wird aber vor allem in Deutschland, den USA, Großbritannien, Kanada, Australien, Italien, Spanien und Japan genutzt.

Mit Schadsoftware-Varianten ist es nicht getan, wie die Studie außerdem zeigt. „Sogar Geldwäsche scheint lokalisiert lukrativer zu sein“, sagt Chester Wisniewski. „Die Nutzung von Kreditkarten ist für Kriminelle naturgemäß riskant – also haben sie sich darauf verlegt, die erpressten Zahlungen von Ransomware-Opfern über anonyme Internet-Zahlungsmethoden abzuwickeln.“ Vor allem in den USA und im Vereinigten Königreich konnten die Sophos-Forscher dieses Vorgehen nachverfolgen. Es ist nur eine Frage der Zeit, bis sich dieser Trend auch hierzulande deutlich zeigt. (pi/rnf)