Die Analysten von Kaspersky Lab haben eine neue Schadsoftware entdeckt, die Online-Banking-Systeme und deren Kunden weltweit angreift. Der Trojaner wurde als Trojan-Banker.Win32.Chthonic oder kurz „Chthonic“ identifiziert und ist eine Weiterentwicklung des berüchtigten ZeuS-Trojaners. Bisher sind hauptsächlich Finanzinstitute in Großbritannien, Spanien, den USA, Russland, Japan und Italien von Chthonic betroffen. [...]
Chthonic bedient sich Computerfunktionen wie Webkamera und Tastatur, um Online-Banking-Anmeldeinformationen wie zum Beispiel gespeicherte Passwörter zu stehlen. Die Angreifer können auch eine Remote-Verbindung mit dem infizierten Computer herstellen, um über ihn Transaktionen durchzuführen. Die Hauptfunktion von Chthonic besteht allerdings aus so genannten Web-Injektoren. Diese ermöglichen dem Trojaner, seinen eigenen Code sowie Bilder in die über den Browser abgerufenen Bankseiten zu laden, so dass sich die Angreifer die Telefonnummer des Opfers, Einmal-Passwörter und PINs sowie beliebige Login- und Passwortdaten, die vom Nutzer eingegeben werden, beschaffen können.
Die Opfer von Chthonic werden über Web-Links oder E-Mail-Anhänge mit der Dateierweiterung „.DOC“ infiziert, die dann eine Backdoor für den Schadcode einrichten. Der Anhang enthält ein speziell gestaltetes RTF-Dokument, das die CVA-2014-1761-Lücke in Microsoft Office-Produkten gezielt ausnutzt. Sobald der Schadcode, der eine verschlüsselte Konfigurationsdatei enthält, einmal heruntergeladen wurde, lädt er sich in die msiexec.exe-Datei von Windows und in der Folge werden eine Reihe von bösartigen Modulen auf dem betroffenen Rechner installiert.
Bislang hat Kaspersky Lab Module entdeckt, die Systeminformationen sammeln, gespeicherte Passwörter stehlen, Tastaturanschläge aufzeichnen, den Remote-Zugriff aktivieren sowie – sofern vorhanden – Video- und Soundaufnahmen über die Webkamera und das Mikrofon des Computers machen.
Chthonic zeigt Ähnlichkeiten mit anderen Trojanern. Er verwendet denselben Verschlüsselungsmechanismus und Downloader wie Andromeda-Bots, dasselbe Verschlüsselungsschema wie Zeus AES und Zeus V2-Trojaner sowie eine Virtual Machine, die ähnlich zu derer in der ZeusVM und KINS-Schadsoftware ist. „Die Entdeckung von Chthonic zeigt, dass der ZeuS-Trojaner sich immer noch aktiv weiter entwickelt. Die Malware-Autoren bedienen sich der neuesten Technologien, wozu der Leak des ZeuS-Quellcode wesentlich beiträgt. Chthonic ist die nächste Phase in der Evolution von ZeuS. Wir gehen davon aus, dass wir auch zukünftig weitere neue Varianten von ZeuS sehen werden. Die Veröffentlichung der Sourcecodes von ZeuS oder auch Carberp im letzten Jahr geben anderen Malware-Autoren frischen Input, der gerne angenommen wird und zu vielen weiteren Arten von Bankentrojanern führt“, sagt Christian Funk, Leiter des deutschen Forschungs- und Analyseteams bei Kaspersky Lab.
Die Experten von Kaspersky Lab empfehlen Endanwendern, die Anhänge von E-Mails unbekannter Absender sowie unseriöse Weblinks nicht zu öffnen. Außerdem sollte jegliche Software auf einem Rechner, mit dem sensible Banktransaktionen durchgeführt werden, immer auf dem aktuellsten Stand gehalten werden sowie eine verlässliche Sicherheitslösung besitzen.(pi)
Be the first to comment