- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Doctor Web erforscht neuen Bankentrojaner


Der Bankentrojaner Trojan.PWS.Sphinx.2 bettet sich beim Booten in den Prozess explorer.exe ein und entschlüsselt einen Konfigurationsblock
Trojan.PWS.Sphinx.2 lädt zudem eine Reihe von Tools zur Installation eines digitalen Zertifikats herunter und speichert diese auf dem infizierten PC

- Anzeigen -





Ein neuer Bankentrojaner bedroht Nutzer von Microsoft Windows. Die Virenanalysten von Doctor Web erforschen den Schädling bereits. Bankentrojaner versuchen das Geld von den Konten der Kreditinstitute zu klauen und stellen somit für Banken und Kunden gleichermaßen eine Gefahr dar. Der neue Schädling basiert auf dem Quellcode des Trojaners Zeus (Trojan.PWS.Panda) und nennt sich Trojan.PWS.Sphinx.2. Dieser führt Web-Injects aus, indem er fremde Inhalte (u.a. gefälschte Formulare mit Benutzernamen und Passwort) in Webseiten einbettet und geklaute Daten an Cyber-Kriminelle weiterleitet. Da die URL in der Adresszeile des Browsers und das Websitelayout dem Original sehr ähnlich sind, geschieht dies unbemerkt für die Opfer. Die Malware kann so das Geld der Kunden aus mehreren Banken entwenden.

Wenn der Benutzer eine Webseite aufruft, die in der Konfiguration des Trojaners enthalten ist, werden fremde Inhalte in die Webseite eingebaut. Ein Beispiel dafür liefert Trojan.PWS.Sphinx.2, der auf bankofamerica.com fremde Inhalte unterschiebt:

So funktioniert der Bankentrojaner
Trojan.PWS.Sphinx.2 bettet sich beim Booten in den Prozess explorer.exe ein und entschlüsselt einen Konfigurationsblock. Auf diesem sind die Adresse des Verwaltungsservers und der Schlüssel für ein- und ausgehende Daten gespeichert. Trojan.PWS.Sphinx.2 verfügt dabei über eine Modul-Architektur: Der Trojaner lädt auf Anforderung der Cyber-Kriminellen zusätzliche Plug-ins herunter. Zwei Module sind zum Starten in 32- und 64-Bit-Versionen von Windows vorgesehen, zwei weitere zum Starten auf dem infizierten Rechner des VNC-Servers. Über diesen Server stellen die Cyber-Kriminellen dann eine Verbindung zum infizierten PC her.

Trojan.PWS.Sphinx.2 lädt zudem eine Reihe von Tools zur Installation eines digitalen Zertifikats herunter und speichert diese auf dem infizierten PC. Das Zertifikat wird von Cyber-Kriminellen für Angriffe nach der Man-in-the-Middle-Methode verwendet. Der Trojaner verfügt zudem über einen Grabber, der Daten des Benutzers abfängt und an einen Remote-Server der Cyber-Kriminellen weiterleitet.

Besonders interessant ist die Methode zum Starten des Trojaners auf dem infizierten Rechner: Dafür wird ein Szenario in der PHP-Sprache sowie ein Interpretator verwendet. Das Szenario wird durch eine Verbindung im Autostart-Verzeichnis ausgeführt. Alle Informationen werden verschlüsselt im Windows-Registry gespeichert, die Module in einer verschlüsselten Datei mit zufälliger Erweiterung. (Doctor Web: ra)

eingetragen: 14.03.17
Home & Newsletterlauf: 18.04.17


Doctor Web: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Russischsprachiges Ransomware-Ökosystem

    75 Prozent der im vergangenen Jahr neu aufgetauchten Ransomware-Familien entstammt dem russischsprachigen Cyberuntergrund. So wurden mindestens 47 von insgesamt 62 neu entdeckten Krypto-Ransomware-Familien der Verschlüsselungsprogramme von russischsprachigen Cyberkriminellen entwickelt. Das geht aus einer aktuellen Untersuchung von Kaspersky Lab über das russischsprachige Ransomware-Ökosystem hervor. Die Analyse zeigt zudem, dass sich vormals kleinere Gruppen mit eingeschränkten Fähigkeiten zu großen kriminellen Organisationen entwickelt haben, die über Ressourcen und Wissen verfügen, um private und geschäftliche Ziele auf der ganzen Welt anzugreifen.

  • RAMNIT 2.0: Gefährlicher denn je

    Das Internet vergisst nichts. Diese Erfahrung müssen leider auch Sicherheitsanbieter und Ermittlungsbehörden immer wieder machen. Zwar werden die Schlagzeilen von den neuesten Bedrohungen und Abwehrtechniken beherrscht, doch sollte man nicht den Fehler machen, "alte" Bedrohungen und Taktiken von Cyberkriminellen zu unterschätzen. Der totgeglaubte Bankentrojaner RAMNIT, der 2016 ein wahres Comeback gefeiert hat, ist ein perfektes Beispiel dafür. RAMNIT ist ein Banken-Trojaner, der seit 2010 sein Unwesen treibt und vertrauliche Informationen wie Kontodaten stiehlt. Europol wollte dem Treiben Einhalt gebieten und nahm im Februar 2015 einige Befehls- und Kontrollserver vom Netz, von denen aus der Trojaner auf den infizierten Rechnern der Anwender gesteuert wurde. Zu diesem Zeitpunkt gingen die Behörden von 3,2 Millionen erfolgreichen Infektionen aus.

  • Unklar, wer hinter den Angriffen steckt

    Die Experten von Kaspersky Lab haben eine Reihe zielgerichteter und nahezu unsichtbarer Attacken entdeckt, die ausschließlich mittels legitimer Software durchgeführt wurden. Die Angreifer nutzen weitverbreitete Tools für Penetrationstests und Administratoren sowie das PowerShell-Framework zur Aufgabenautomatisierung unter Windows. Es werden keine Malware-Dateien auf der Festplatte hinterlassen, sondern lediglich kurzeitig im Speicher versteckt. Der Ansatz verhindert eine Entdeckung durch Whitelisting-Technologien und hinterlässt Forensikern kaum analysierbare Spuren oder Malware-Muster. Die Angreifer verbleiben nur im System, solange sie Informationen sammeln. Mit dem nächsten Systemneustart sind alle Spuren beseitigt. Die Angreifer sind noch aktiv.

  • Gefährlicher Code frei verfügbar

    Erneut wurde der Google Play Store zum Einfallstor für Cyberkriminelle: Nachdem der europäische Security-Software-Hersteller Eset bereits im Sommer 2016 mehrere gefälschte Pokémon-Apps entdeckt hat, enttarnte das Unternehmen jetzt zwei als Wetter-Apps getarnte Android-Trojaner. Die Trojaner verbreiteten ein Botnet, das nach einem Tipp von Eset ausgeschaltet werden konnte. Die beiden scheinbar harmlosen Wetter-Apps "Good Weather" und "World Weather" waren mehrere Tage lang im Google Play Store verfügbar, bevor sie von Eset entdeckt und vom Google Sicherheitsteam gelöscht wurden. Sie bildeten ein Botnet, das es auf die Anmeldeinformationen von Banken abgesehen hat. Außerdem konnte es Android-Smartphones ferngesteuert sperren und SMS-Nachrichten mitlesen.

  • Gut dokumentierte Infektionskette

    Forscher von Proofpoint haben eine neue Angriffsmethode entdeckt, die versucht, Google Chrome-Nutzer zum Herunterladen von Malware zu veranlassen. Erreicht werden soll dies durch selektive Injektionen in Websites, die das Auftreten von Problemen zusammen mit dem Angebot von gefälschten Lösungen vortäuschen. Benutzer in vielen verschiedenen Regionen sind betroffen. Die Infektionsmethode kombiniert kompromittierte Websites, Browser-Targeting und Social-Engineering, um Nutzer zu täuschen. Dieser neue Infektionsweg ist die letzte Entwicklung in der ElTest-Kette, einer gut dokumentierten Infektionskette, die kompromittierte Webseiten nutzt, um die betroffenen User auf EK-Landing-Seiten zu verweisen.