DanaBot durch Plug-ins in Funktionalität und Bösartigkeit erweitert
Eset: Banking-Trojaner weiter sehr aktiv
Seit Kurzem stellt der Sicherheitsspezialist Eset nach eigenen Angaben einen deutlichen Anstieg der Aktivitäten des Banktrojaners DanaBot fest. Der Trojaner selbst wurde Anfang des Jahres in Australien und Polen entdeckt. Besonders gefährlich mache ihn seine modulare Architektur. Er setzt bei den meisten Funktionen auf Plug-ins. Die Schadsoftware mit der mehrstufigen und mehrkomponentigen Architektur verbreitet sich vorrangig durch E-Mails. Diese geben sich zumeist als Rechnungen verschiedener Unternehmen aus.
Die Ergebnisse der von Eset durchgeführten Untersuchung zeigen, dass DanaBot immer noch aktiv genutzt und entwickelt wird, gerade in europäischen Ländern. Derzeit betroffen seien Deutschland, Österreich, Polen, Italien und die Ukraine. "Unseren Untersuchungen zufolge haben die Angreifer seit den früheren Kampagnen mehrere Änderungen an den DanaBot-Plug-ins vorgenommen", sagt Thomas Uhlemann, Security Specialist bei Eset. "Online-Banking Nutzer sollten darauf achten, mit Hilfe passender Antiviren-Software ausreichend geschützt zu sein, die auch schädliche Dateianhänge falscher E-Mails entfernen kann.
Im deutschsprachigen Raum waren vor allem Nutzer der Mail-Provider Outlook.com und Gmail betroffen. Neben den Mail-Kampagnen ziele DanaBot in Deutschland vor allem auf folgende Bankwebseiten ab: bv-activebanking.de, commerzbank.de, sparda.de, comdirect.de, deutsche-bank.de, berliner-bank.de, norisbank.de, targobank.de. Eset-Systeme erkennen und blockieren alle bereits identifizierten DanaBot-Komponenten und Plug-ins, so der Hersteller.
Die die zuletzt eingeführten, neuen Funktionen zeigen laut Eset, dass die Angreifer die modulare Architektur der Malware weiterhin nutzen. Ihre Reichweite und Erfolgsrate werden also immer noch erhöht. Neu hinzugekommen ist Anfang September 2018 ein RDP-Plug-in. Es basiert auf dem Open-Source-Projekt RDPWrap, das Remote-Desktop-Protocol-Verbindungen zu Windows-Computern bereitstellt, die normalerweise nicht unterstützt werden.
Dies ist neben dem VNC-Plugin die zweite Erweiterung, die den Angreifern einen Fernzugriff auf die Rechner der Opfer ermöglicht. Es sei offenbar einfach weniger wahrscheinlich, dass das RDP-Protokoll durch Firewalls blockiert ist. Außerdem ermöglicht RDPWrap mehreren Benutzern, dasselbe Gerät gleichzeitig zu benutzen. So kann der Angreifer Aufklärungsaktionen durchführen, während das ahnungslose Opfer den Computer noch benutzt.
Weitere Informationen zum genauen Vorgehen von DanaBot liefert der Blogbeitrag auf WeLiveSecurity: www.welivesecurity.com/deutsch/2018/09/21/danabot-banken-trojaner-europa/.
Lesen Sie mehr zum Thema
