nnaw 22040801

Phishing mit Nachschlag
Rock Phish Gang phisht mit Malware
von Frank Ziemann
22.04.2008, 16:13 Uhr
Wer eine Phishing-Website aufruft, seine Daten aber doch nicht eingibt, kann sie trotzdem an Online-Kriminelle verlieren. Denn Phishing-Seiten enthalten neuerdings auch Funktionen zum Einschleusen von Malware.
Die so genannte Rock Phish Gang ist seit etwa vier Jahren bekannt, vor allem durch ihr "Rock Phish Kit", das die Erstellung von Phishing-Websites erleichtert. Die Gruppe, deren Heimat im russischen St. Petersburg vermutet wird, hat ihren Phishing-Baukasten inzwischen um Zweitschlagfähigkeit erweitert. Die damit erstellten Seiten können neben einem gefälschten Anmeldeformular auch eine Funktion für Drive-by Downloads von Malware enthalten.

Uriel Maimon, Forschungsleiter beim Sicherheitsunternehmen RSA, beschreibt im Blog seiner Firma diese neue Erweiterung des Rock Phish Kits. Potenzielle Opfer werden wie bislang auf eine Phishing-Seite gelockt, etwa mit einer Mail, die vorgeblich von einer Bank kommt. Unabhängig davon, ob sie dort nun ihre Daten preisgeben oder nicht, wird der Rechner mit einem Trojanischen Pferd infiziert.
Dazu enthält die Seite Exploit-Code, der Sicherheitslücken im Browser oder Betriebssystem ausnutzt. Nach Angabe von Uriel Maimon sollen dabei auch bislang unbekannte Schwachstellen genutzt werden, gegen die es noch keine Updates der Software-Hersteller gibt. Der Angriffs-Code ist stark verschleiert und wird von einem anderen Server nachgeladen.
Der eingeschleuste Schädling entstammt einem kommerziell vertriebenen Malware-Baukasten namens "Zeus". Er wird im Untergrund für etwa 700 US-Dollar angeboten. Uriel Maimon gibt an, RSA habe in den letzten sechs Monaten 150 verschiedene Inkarnationen des Zeus-Kits entdeckt, von denen jede im Durchschnitt 4000 Rechner infiziert habe.
Der im Zeus-Kit enthaltene Generator für EXE-Dateien erzeuge jedes Mal eine neue Datei, die sich signifikant von den anderen unterscheide, schreibt Maimon weiter. Die Erkennung durch Antivirus-Software sei daher meist gering oder gar nicht vorhanden.
Zu den Funktionen der Zeus-Malware gehört das Abfangen von Formulardaten im Browser, das Anfertigen von Bildschirmfotos und der Diebstahl von Passwörtern aus verschiedenen Programmen. Sie außerdem kann zu bestehenden Websites (etwa von Banken) zusätzliche Seiten (etwa Formulare) erzeugen, im Browser anzeigen und die Eingaben abfangen.
Wer also bislang noch der Meinung ist, er könne den Phishern eins auswischen und falsche Daten in ihre gefälschten Anmeldeformulare eintragen, sollte spätestens jetzt diese ohnehin sinnfreien Kindereien einstellen. Das Risiko seinen Rechner dabei mit Malware zu verseuchen, ist es nicht wert.
ON