DanaBot, ein Trojaner wurde Anfang Jahr in Australien und Polen entdeckt, welcher sich fortwährend durch Plug-ins in seiner Funktionalität und Bösartigkeit erweitert. Besonders gefährlich macht ihn seine modulare Architektur. Er setzt bei den meisten Funktionen auf Plug-ins. Die Schadsoftware mit der mehrstufigen und mehrkomponentigen Architektur wird vorrangig durch schädliche Emails verteilt. Diese geben sich zumeist als Rechnungen verschiedener Unternehmen aus. ESET-Forscher haben einen deutlichen Anstieg der Aktivitäten des Banktrojaners DanaBot festgestellt.
Die Ergebnisse, der von ESET durchgeführten Untersuchung zeigen, dass DanaBot immer noch aktiv genutzt und entwickelt wird, gerade in europäischen Ländern. Derzeit betroffen sind Deutschland, Österreich, Polen, Italien und die Ukraine. Dern Untersuchungen zufolge haben die Angreifer seit den früheren Kampagnen mehrere Änderungen an den DanaBot-Plug-ins vorgenommen. Im deutschsprachigen Raum waren bisher vor allem Nutzer der Mailprovider Outlook.com und Gmail betroffen. ESET-Systeme erkennen und blockieren alle bereits identifizierten DanaBot-Komponenten und Plug-ins. Neben den Mail-Kampagnen zielte DanaBot in Deutschland vor allem auf folgende Bankwebseiten ab:
bv-activebanking.de, commerzbank.de, sparda.de, comdirect.de, deutsche-bank.de, berliner-bank.de, norisbank.de, targobank.de.
So aktiv ist DanaBot
Die zuletzt eingeführten, neuen Funktionen zeigen, dass die Angreifer die modulare Architektur der Malware weiterhin nutzen. Ihre Reichweite und Erfolgsrate werden also immer noch erhöht. Neu hinzugekommen ist Anfang September 2018 ein RDP-Plug-in. Es basiert auf dem Open-Source-Projekt RDPWrap, das Remote-Desktop-Protocol-Verbindungen zu Windows-Computern bereitstellt, die normalerweise nicht unterstützt werden. Dies ist neben dem VNC-Plug-in die zweite Erweiterung, die den Angreifern einen Fernzugriff auf die Rechner der Opfer ermöglicht. Es ist einfach weniger wahrscheinlich, dass das RDP-Protokoll durch Firewalls blockiert wird. Ausserdem ermöglicht RDPWrap mehreren Benutzern, dasselbe Gerät gleichzeitig zu benutzen. So kann der Angreifer Aufklärungsaktionen durchführen, während das ahnungslose Opfer den Computer noch benutzt.
Keine Kommentare:
Kommentar veröffentlichen