- Anzeigen -


Sie sind hier: Home » Virenwarnung » Hintergrund

Doctor Web erforscht neuen Bankentrojaner


Der Bankentrojaner Trojan.PWS.Sphinx.2 bettet sich beim Booten in den Prozess explorer.exe ein und entschlüsselt einen Konfigurationsblock
Trojan.PWS.Sphinx.2 lädt zudem eine Reihe von Tools zur Installation eines digitalen Zertifikats herunter und speichert diese auf dem infizierten PC

- Anzeigen -





Ein neuer Bankentrojaner bedroht Nutzer von Microsoft Windows. Die Virenanalysten von Doctor Web erforschen den Schädling bereits. Bankentrojaner versuchen das Geld von den Konten der Kreditinstitute zu klauen und stellen somit für Banken und Kunden gleichermaßen eine Gefahr dar. Der neue Schädling basiert auf dem Quellcode des Trojaners Zeus (Trojan.PWS.Panda) und nennt sich Trojan.PWS.Sphinx.2. Dieser führt Web-Injects aus, indem er fremde Inhalte (u.a. gefälschte Formulare mit Benutzernamen und Passwort) in Webseiten einbettet und geklaute Daten an Cyber-Kriminelle weiterleitet. Da die URL in der Adresszeile des Browsers und das Websitelayout dem Original sehr ähnlich sind, geschieht dies unbemerkt für die Opfer. Die Malware kann so das Geld der Kunden aus mehreren Banken entwenden.

Wenn der Benutzer eine Webseite aufruft, die in der Konfiguration des Trojaners enthalten ist, werden fremde Inhalte in die Webseite eingebaut. Ein Beispiel dafür liefert Trojan.PWS.Sphinx.2, der auf bankofamerica.com fremde Inhalte unterschiebt:

So funktioniert der Bankentrojaner
Trojan.PWS.Sphinx.2 bettet sich beim Booten in den Prozess explorer.exe ein und entschlüsselt einen Konfigurationsblock. Auf diesem sind die Adresse des Verwaltungsservers und der Schlüssel für ein- und ausgehende Daten gespeichert. Trojan.PWS.Sphinx.2 verfügt dabei über eine Modul-Architektur: Der Trojaner lädt auf Anforderung der Cyber-Kriminellen zusätzliche Plug-ins herunter. Zwei Module sind zum Starten in 32- und 64-Bit-Versionen von Windows vorgesehen, zwei weitere zum Starten auf dem infizierten Rechner des VNC-Servers. Über diesen Server stellen die Cyber-Kriminellen dann eine Verbindung zum infizierten PC her.

Trojan.PWS.Sphinx.2 lädt zudem eine Reihe von Tools zur Installation eines digitalen Zertifikats herunter und speichert diese auf dem infizierten PC. Das Zertifikat wird von Cyber-Kriminellen für Angriffe nach der Man-in-the-Middle-Methode verwendet. Der Trojaner verfügt zudem über einen Grabber, der Daten des Benutzers abfängt und an einen Remote-Server der Cyber-Kriminellen weiterleitet.

Besonders interessant ist die Methode zum Starten des Trojaners auf dem infizierten Rechner: Dafür wird ein Szenario in der PHP-Sprache sowie ein Interpretator verwendet. Das Szenario wird durch eine Verbindung im Autostart-Verzeichnis ausgeführt. Alle Informationen werden verschlüsselt im Windows-Registry gespeichert, die Module in einer verschlüsselten Datei mit zufälliger Erweiterung. (Doctor Web: ra)

eingetragen: 14.03.17
Home & Newsletterlauf: 18.04.17


Doctor Web: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Techniken gegen virtuelle Maschinen

    Nach Angaben von IT-Sicherheitsunternehmen ist eine neue Variante des IoT/Linux Botnets Tsunami aufgetaucht. "Amnesia" richtet sich gegen nicht gepatchte Schwachstellen bei der Remote-Code-Ausführung in DVR-Geräten von TVT Digital. Geräte, die von mehr als 70 verschiedenen Hersteller weltweit unter deren Marke vertrieben werden. Betroffen sind rund 227.000 Geräte weltweit vornehmlich in Taiwan, den USA, Israel, der Türkei und Indien. Sicherheitsforscher gehen davon aus, dass dies eine der ersten Malware-Varianten ist, die fortgeschrittene Techniken gegen virtuelle Maschinen richtet, um die Malware-Analyse in Sandboxing-Umgebungen auszuhebeln. Wenn die Malware eine virtuelle Maschine findet, löscht sie das virtualisierte Linux-System indem sie alle Dateien im System vernichtet.

  • Instagram-Optik weckt Vertrauen

    Wieder einmal wurde der Google Play Store zum Einfallstor für Hacker: Forscher von Eset haben insgesamt 13 Fake-Apps entdeckt, welche vorgaben, Tools für das Erhöhen oder Steuern von Instagram-Follower-Zahlen zu sein. Ziel der Angreifer waren Anmeldedaten der beliebten Social-Media-Plattform. Google hat bereits reagiert und nach dem Hinweis der Eset Forscher sämtliche betroffene Apps aus dem Google Play Store entfernt. Lohnendes Geschäftsmodell: Zum ersten Mal kamen die Programme - beispielsweise "Instagram Followers", "Followers Insta" oder "Fast Followers for Instagram" - in der Türkei auf. Einige davon nutzen eine englische Lokalisierung, um Instagram-Nutzer weltweit zu erreichen. Insgesamt wurden die verschiedenen Apps 1,5 Millionen Mal heruntergeladen. Um Nutzer zum Download zu verleiten, versprachen sie ihnen einen rapiden Anstieg von Followern, Likes und Kommentaren für ihre Instagram-Accounts. Ironischerweise wurden die gehackten Accounts dazu genutzt, die Follower-Zahlen anderer Nutzer zu steigern: Die Remote-Server, an welche die Anmeldedaten gesendet wurden, betreiben Webseiten, auf denen Usern verschiedene Pakete für Beliebtheits-Booster auf Instagram angeboten werden. Für die Betreiber ist das ein lohnendes "Geschäftsmodell".

  • Sathurbot: Botnet greift WordPress-Seiten an

    Kostenlose Filme und Software: Damit lockt der Trojaner Sathurbot Nutzer, um ihre Rechner zu infizieren und mit einem wachsenden Botnet WordPress-Webseiten anzugreifen. Der europäische Security-Software-Hersteller Eset hat Sathurbot analysiert und stellt die Ergebnisse in einem ausführlichen Bericht vor. Sathurbot hat es auf Webseiten abgesehen die das Content Management System WordPress verwenden. Mit mehr als 5.000 grundlegenden generischen Wörtern versucht die Malware, Anmeldeinformationen für WordPress-Webseiten zu erstellen. Verschiedene Bots im Sathurbot-Botnet probieren unterschiedliche Anmeldeinformationen auf der gleichen Website aus.

  • Aktivitäten der Hackergruppe Callisto

    Einem Bericht der F-Secure Labs zufolge hat eine bis dato noch unbekannte Hackergruppe in den letzten Jahren aktiv nachrichtendienstliche Informationen über die Außen- und Sicherheitspolitik in Osteuropa und dem südlichen Kaukasus gesammelt. Der Bericht beschreibt die Callisto Gruppe als hoch motivierte und ressourcenstarke Hacker und ernst zu nehmende Bedrohung, die seit mindestens 2015 Cyberattacken auf Militärpersonal, Regierungsangestellte, Journalisten und Think Tanks durchgeführt hat.

  • Malware-Scanner umgehen

    Panda Security hat einen neuen Trojaner namens RDPPatcher entdeckt. Das Ungewöhnliche an dieser Ransomware ist, dass sie nicht dazu genutzt wird, Anmeldedaten zu stehlen. Stattdessen sammelt sie so viele Daten wie möglich. Der Trojaner wurde offenbar speziell dafür entwickelt, die infizierten Systeme zu inventarisieren und insbesondere nach POS-, ATM- und Online-Glücksspielsoftware zu suchen. Ziel dieser Hacker-Methode ist es, den Zugriff auf die Geräte an spezialisierte Gruppen von Cyberkriminellen zu verkaufen. In jüngster Zeit verzeichnen die PandaLabs, Panda Securitys Anti-Malware-Labor, einen starken Aufwärtstrend bei Malware, die mithilfe eines Remote Desktop Protokolls (RDP) installiert wird. Jeden Tag registrieren die PandaLabs-Experten inzwischen Tausende von Infektionsversuchen, die eine Sache gemeinsam haben: Den Zugriff auf infizierte Systeme über RDP, nachdem man mittels Brute-Force-Methode in den Besitz der Anmeldedaten gelangt ist.