Trojanisches Pferd stiehlt Kontozugangsdaten

Trojanisches Pferd nutzt Sicherheitslücke im Internet Explorer

Wie das Internet Storm Center berichtet, entdeckten sie ein neues Trojanisches Pferd, das sich mit Hilfe von Pop-Up-Fenstern sowie durch Ausnutzung einer Sicherheitslücke im Internet Explorer auf fremden Systemen einnistet. Das Trojanische Pferd liest dann gezielt Zugangsdaten zu Bankkonten der Sparkasse, der Deutschen Bank und der Citibank aus.

Auf einem befallenen System werden die Anmeldeinformationen mehrerer Banken beim Online-Banking abgefangen. In Deutschland sind davon unter anderem die Kunden der Deutschen Bank, der Sparkasse, der Citibank sowie der Landesbank Baden-Württemberg und des Deutschen Investment-Trusts betroffen. Das Trojanische Pferd fängt Post- und Get-Befehle ab, bevor diese vom Internet Explorer per SSL verschlüsselt und an die Bankenwebseiten gesendet werden. So erlangt das Trojanische Pferd alle Daten, um sich per Online-Banking in fremden Konten austoben zu können.

Das Trojanische Pferd gelangt über Pop-Up-Werbung auf fremde Systeme und macht sich eine bekannte Sicherheitslücke im Internet Explorer bei der Ausführung von chm-Dateien zu Nutze. Auf einem von dem Trojanischen Pferd befallenen System findet man die Datei img1big.gif, die sich als Grafikdatei tarnt. Tatsächlich verbirgt sich darin aber eine ausführbare Windows-Datei, welche vermutlich über das oben genannte Sicherheitsleck im Internet Explorer gestartet wird. In der vermeintlichen Grafikdatei steckt zudem eine dll-Datei, die sich unter zufällig gewähltem Namen im Verzeichnis C:\Windows\System32\ als "Browser Helper Object" (BHO) ablegt.

Über ein "Browser Helper Object" lässt sich der Internet Explorer anpassen und steuern, wobei BHOs bei jedem Browserstart geladen und ausgeführt werden. Derartige BHOs haben dann Zugriff auf alle Ereignisse einer aktuellen Browser-Session, so dass das Trojanische Pferd die Anmeldeinformationen der Geldinstitute abfangen und protokollieren kann.

Die Einspielung des Trojanischen Pferdes kann über die Abschaltung von ActiveScripting im Internet Explorer verhindert werden. Alternativ empfiehlt sich der Einsatz eines anderen Browsers wie Mozilla, Firefox oder Opera, die allesamt nicht so eng mit dem Betriebssystem verknüpft sind wie der Internet Explorer und daher weniger bei derartigen Attacken gefährdet sind.

Das Internet Storm Center empfiehlt, mit der Freeware BHODemon den eigenen PC nach installierten BHOs zu durchsuchen und diese bei Bedarf zu deaktivieren. Das Tool findet aber auch unkritische BHOs, die keinen Schaden am System anrichten, so dass Vorsicht beim Umgang mit dem BHODemon geboten ist.