Neuer Trojaner spioniert beim Online-Banking

Der kalifornische Security-Spezialist Finjan Software http://www.finjan.com warnt vor einem neuen Trojaner der Online-Banking-Informationen ausspioniert. “WebMoney” installiert sich unbemerkt bei Nutzung des Internet Explorers und kann via Keylogging Verfüger- und PIN-Nummern ermitteln.

Durch ein Pop-up-Fenster der Website www4.yesadvertising.com wird der Nutzer automatisch auf eine gefährliche Website geleitet. Diese Seite nutzt eine bekannte Schwachstelle des Internet Explorer aus, indem eine .chm-Datei geladen wird. Die .chm-Datei ändert ihren Namen und installiert eine BHO-Datei (Browser Helper Object).

Ein BHO kann quasi uneingeschränkt Operationen ausführen. Ruft ein User nun eine vordefinierte Liste von Banking-Websites auf und bedient sich dabei einer HTTPS-Verbindung, kann das BHO die Tastenkombinationen mitverfolgen und den User ausspionieren. Das Keylogging wird durchgeführt, bevor die Daten SSL-kodiert wurden, also während sie noch ungeschützt sind. Die gestohlenen Informationen werden anschließend mittels Perl-Skripts weiterverarbeitet und unbemerkt versendet.

Laut Finjan kann WebMoney eine signaturbasierte Anti-Virus-Lösung über die Nutzung von UPX umgehen. Finjan empfiehlt deshalb den Einsatz eines IT-Sicherheitskonzeptes, dass das Verhalten schädlicher Codes analysiert, bevor er zur Ausführung kommt.