Zeus-Malware zielt auf deutsche Banken

Online-Kriminelle nutzen die kommerziell vertriebene Malware der Zbot-Familie (Zeus Bot), um Zugangsdaten für das Online-Banking auszuspionieren. Das Verhalten einer Zbot-Variante wird durch eine Konfigurationsdatei festgelegt, die auf einem Kommando-Server liegt. Die Konfigurationsdateien älterer Zeus-Versionen enthalten stets alle Ziele, also Web-Adressen von Banken und Online-Diensten. Die neuere Zeus-Version 3 arbeitet fokussierter.

Wie Zarestel Ferrer im CA Security Advisor Research Blog berichtet, nutzt Zeus 3 eine Konfigurationsdatei, die sich nicht mehr so leicht von Sicherheitsfachleuten untersuchen lässt. Diese können bei älteren Fassungen dem Server einen Zbot vorgaukeln, um die komplette Konfigurationsdatei auszulesen, die sie dann analysieren. Bei Zeus 3 ist diese Datei durch eingeschränkte Zugriffsrechte besser geschützt. Ein Zbot kann nur noch auf diejenigen Ressourcen zugreifen, die er für seine Aufgabe braucht.

Das bedeutet zum Beispiel, dass nur noch die Web-Adressen von Banken aus den USA, Großbritannien, Deutschland und Spanien verfügbar sind. Diese vier Länder waren im ersten Halbjahr 2010 die Top-Ziele der Zeus-Malware, vor allem Spanien. Die vier Länder werden zudem nur paarweise aufgeführt - USA und Großbritannien sowie Deutschland und Spanien. Ein bestimmter Zbot kann also nur auf Daten für zwei Länder zugreifen.

Zu den deutschen Zeus-Zielen gehören nach Angaben von Ferrer etwa die Commerzbank und die Deutsche Bank sowie die Dienstleister Fuducia und GAD, die für Genossenschaftsbanken wie die Volksbanken tätig sind. Die Kommando-Server für Zeus 3 sind vor allem in Russland angesiedelt.

Online-Kriminelle können zu Preisen von mehreren tausend Euro Zbot-Malware erwerben, deren Eigenschaften sie sich nach Bedarf modular zusammen stellen können. Der Preis hängt von Art und Anzahl der Module ab. (PC-Welt/cvi)