Weltweiter Angriff auf Online-Banking-Systeme durch ZeuS-Nachfolger

Trojaner „Chthonic“ ermöglicht Zugriff auf Telefonnummern, Einmal-Passwörter und PINs sowie Login- und Passwortdaten

[datensicherheit.de, 18.12.2014] Die Analysten von KASPERSKY lab haben nach eigenen Angaben eine bedeutende neue Schadsoftware entdeckt – den Trojaner „Trojan-Banker.Win32.Chthonic“ oder kurz „Chthonic“. Diese Weiterentwicklung des berüchtigten „ZeuS“-Trojaners greift demnach weltweit Online-Banking-Systeme an. Bisher seien hauptsächlich Finanzinstitute in Großbritannien, Spanien, den USA, Russland, Japan und Italien von „Chthonic“ betroffen.

Abfangen von Telefonnummern, Passwörtern und PINs

„Chthonic“ soll sich Computerfunktionen wie Webkamera und Tastatur bedienen, um Online-Banking-Anmeldeinformationen wie zum Beispiel gespeicherte Passwörter zu stehlen. Die Angreifer könnten auch eine Remote-Verbindung mit dem infizierten Computer herstellen, um über ihn Transaktionen durchzuführen.
Die Hauptfunktion von „Chthonic“ besteht laut KASPERSKY lab allerdings aus sogenannten „Web-Injektoren“. Diese ermöglichten dem Trojaner, seinen eigenen Code sowie Bilder in die über den Browser abgerufenen Bankseiten zu laden, so dass sich die Angreifer die Telefonnummer des Opfers, Einmal-Passwörter und PINs sowie beliebige Login- und Passwortdaten, die vom Nutzer eingegeben werden, beschaffen könnten.

Web-Links oder E-Mail-Anhänge als Infektionsquellen

Die Opfer von „Chthonic“ werden über Web-Links oder E-Mail-Anhänge mit der Dateierweiterung „.doc“ infiziert, die dann eine Backdoor für den Schadcode einrichten, so KASPERSKY lab. Der Anhang enthalte ein speziell gestaltetes rtf-Dokument, das die „CVA-2014-1761-Lücke“ in Microsofts Office-Produkten gezielt ausnutze. Sobald der Schadcode, der eine verschlüsselte Konfigurationsdatei enthalte, einmal heruntergeladen wurde, lade er sich in die „msiexec.exe“-Datei von „Windows“ – und in der Folge würden eine Reihe von bösartigen Modulen auf dem betroffenen Rechner installiert.
Bislang habe man Module entdeckt, die Systeminformationen sammeln, gespeicherte Passwörter stehlen, Tastaturanschläge aufzeichnen, den Remote-Zugriff aktivieren sowie – sofern vorhanden – Video- und Soundaufnahmen über die Webkamera und das Mikrofon des Computers machen könnten.

„Chthonic“ nächste Phase in der Evolution von „ZeuS“

„Chthonic“ zeige Ähnlichkeiten mit anderen Trojanern. Er verwende denselben Verschlüsselungsmechanismus und Downloader wie „Andromeda“-Bots, dasselbe Verschlüsselungsschema wie „Zeus AES“- und „Zeus V2“-Trojaner sowie eine „Virtual Machine“, die ähnlich zu der in der „ZeusVM“- und „KINS“-Schadsoftware sei.
Die Entdeckung von „Chthonic“ zeige, dass der „ZeuS“-Trojaner sich immer noch aktiv weiterentwickle. Die Malware-Autoren bedienten sich der neuesten Technologien, wozu der Leak des „ZeuS“-Quellcode wesentlich beitrage. „Chthonic“ sei die nächste Phase in der Evolution von „ZeuS“.
Man geht davon aus, auch zukünftig weitere neue Varianten von „ZeuS“ zu sehen. Die Veröffentlichung der Sourcecodes von „ZeuS“ oder auch „Carberp“ im Jahr 2013 gebe anderen Malware-Autoren frischen Input, der gerne angenommen werde und zu vielen weiteren Arten von Bankentrojanern führe, erklärt Christian Funk, Leiter des deutschen Forschungs- und Analyseteams bei KASPERSKY lab.

E-Mails unbekannter Absender sowie unseriöse Weblinks nicht öffnen!

Die Experten von KASPERSKY lab empfehlen Endanwendern, die Anhänge von E-Mails unbekannter Absender sowie unseriöse Weblinks nicht zu öffnen. Außerdem sollte jegliche Software auf einem Rechner, mit dem sensible Banktransaktionen durchgeführt werden, immer auf dem aktuellsten Stand gehalten werden sowie eine verlässliche Sicherheitslösung besitzen.

Weitere Informationen zum Thema:

SECURELIST, 18.12.2014
Chthonic: a New Modification of ZeuS

datensicherheit.de, 16.05.2014
G Data: ZeuS-Trojaner für mehr als die Hälfte aller Online-Banküberfälle verantwortlich