Original-URL des Artikels: https://www.golem.de/news/relieve-stress-paint-tool-mal-malware-kopiert-facebook-zugangsdaten-1804-133940.html    Veröffentlicht: 19.04.2018 12:05    Kurz-URL: https://glm.io/133940

Relieve Stress Paint Tool

Mal-Malware kopiert Facebook-Zugangsdaten

Eine Malware tarnt sich mit gefälschten Unicode-Domains und sucht gezielt nach Facebook-Zugangsdaten. Nutzern wird hingegen ein Anti-Stress-Malprogramm versprochen.

Eine Malware mit dem Namen Stresspaint hat nach Angaben der Sicherheitsfirma Radware mindestens 40.000 PCs infiziert. Das Schadprogramm gibt sich als Entspannungssoftware aus, die das Gehirn beruhigen soll und kopiert Zugangsdaten für Facebook, Opfer werden durch fingierte Unicode-Domains auf mit der Malware präparierte Webseiten gelockt. Die meisten Infektionen finden sich in Entwicklungs- und Schwellenländern, aber auch in Deutschland sind Nutzer betroffen.

Die Ansprache erfolgt nach Angaben von Radware vermutlich über Phishing-Mails. In den Mails finden sich legitim aussehende Nachbildungen bekannter Webadressen, etwa aol.net und picc.com. Tatsächlich bieten diese Webseiten das beworbene Tool aber nicht an. Die Domains werden mit einer lange bekannten Methode verschleiert, dem sogenannten Punycode-Phishing. Dabei wird etwa die Adresse xn--80ak6aa92e.com als apple.com angezeigt, ohne dass Nutzer das einfach nachvollziehen können.

Die Malware installiert ein Malprogramm

Wird das Programm installiert, verhält es sich wie ein Zeichenprogramm, nach jedem Klick werden Farben oder Strichstärke geändert. Im Hintergrund lädt die Malware allerdings zahlreiche Module, um zunächst Persistenz auf dem System zu erlangen und Zugangsdaten und Inhalte von Cookies auszulesen. Bei jedem Start des Programms und bei jedem Neustart des Computers werden die Nutzerdaten für Facebook-Accounts ausgelesen und an den C2-Server gesandt. Offenbar passiert dies nur bei Googles Chrome-Browser.

Um sich vor Virenscannern zu verstecken, wird die Malware nur gezielt aktiv. So werden nur Facebook-Zugangsdaten abgefragt, außerdem werden die Zugangsdaten nur über eine Abfrage der Cookies ausgelesen. Der dafür genutzte Prozess ist jeweils nur für eine Minute im System aktiv. Radware gelang es nach eigenen Angaben, auf das Dashboard des C2-Servers zuzugreifen. Dabei konnte das Unternehmen auch zahlreiche betroffene Nutzeraccounts ausfindig machen - die Informationen habe man an Facebooks Sicherheitsteam weitergeleitet.  (hg)


Verwandte Artikel:
Android und iOS: Operas VPN-App wird zum 30. April eingestellt   
(18.04.2018, https://glm.io/133929 )
TLS/GCM: Gefahr durch doppelte Nonces   
(20.05.2016, https://glm.io/121005 )
Smominru: Riesiges Botnetz missbraucht Windows-Server für Kryptomining   
(05.02.2018, https://glm.io/132595 )
Pyeongchang: Olympic Destroyer ist eine lernende Malware   
(14.02.2018, https://glm.io/132772 )
Prozessoren: Facebook entwickelt eigene Chips, nicht nur für KI   
(19.04.2018, https://glm.io/133939 )

© 1997–2019 Golem.de, https://www.golem.de/