ein neuer Trojaner

Moinzeit,

da scheint ein Trojaner unterwegs zu sein, der sich nicht so ganz versteckt, sondern die Anmeldeseite imitiert...

Hier die Meldung:

Sehr geehrte Damen und Herren,

aktuell ist ein Schadprogramm im Umlauf, das den Rechner des Kunden manipuliert
sodass dieser nach der Anmeldemaske im InternetBanking eine Aufforderung zur Eingabe von 4 TANs
erhält. Der Trojaner schaltet sich dabei zwischen die Verbindung zum InternetBanking,
sodass der Kunde dies evtl. nicht bemerkt und den Eindruck hat, auf den Seiten seiner Bank zu sein.
Nachdem die 4 TANs und die vorher eingegebene PIN an die Server der Phisher übermittelt wurden
kann der Kunde sein Internetbanking fortsetzen!

Weitere Informationen stehen unter den nachfolgenden Adressen zur Verfügung.

http://www.sophos.de/virusinfo/analyses/trojtorpigu.html
http://www.symantec.com/avcent…ler.b.html

Wie gehabt:

Seit wachsam !

Od

Wow, dem Screenshot nach Find ich das Teil persönlich sehr gelungen, da genau die Punkte vermeintlich korrekt sind, die die meisten Kunden noch in der Lage wären zu kontrollieren:
Vor dem Link ein "https://" und der IE zeigt unten auch brav mit einem Schloss an, dass es sich um eine gesicherte Verbindung handelt.
Also wird das schon stimmen, da streiche ich doch gleich mal vier TAN's von meiner Liste...

Vielleicht ist etwas übereifrig gleich 4 TAN's abzugreifen, noch zu auffällig, aber dennoch endlich mal jemand der's ordentlich macht...

Das es möglich ist einem Browser derart zu manipulieren war mir ja schon bekannt, aber das ist das erste mal, dass ich sowas wirklich auf einem Screenshot sehe... Also, wenn dieser Screenshot echt ist, bleibt leider zu befürchten dass dies nur ein kleiner Vorgeschmack ist, auf die Dinge die da kommen werden.

Ein dreifaches Hoch auf das Browserbanking!

Hallo zusammen,

Was mich wundert ist, dass die URL auf den ersten Blick ok ist. Es wurde ja nur die "bankid" unkenntlich gemacht. Und der Fingerprint des Zertifikates wird es sicher auch ok sein. Sieht mir eher nach einer Cross-Site-Scripting-Lücke in Webbanking der GAD aus. Das Frame-Layout lädt ja gerade dazu ein.

siehe auch http://www.heise.de/security/news/meldung/67698 und http://www.consti.de/?p=37

Was sagt ihr zu diesem Screenshot? Oder eine Manipulation der hosts-Datei? Der Beschreibung von Symantec konnte ich auch nicht entnehmen, dass der Tronjaner Webseiten manipuliert, um wie auf dem Screenshot abgebildet, an TANs zu gelangen. Sehr merkwürdig.

Gruß

Der von Odin hochgeladene Screenshot (siehe oben) paßt doch recht gut zu dem unter http://www.heise.de/newsticker/meldung/68391 abgebildeten. Jedoch ist für solche Cross-Domain-Manipulationen nur der Internet Explorer anfällig.

Als Gegenmaßnahme empfiehlt Heise folgendes:



Wer will, kann das Beispiel mit der GAD unter http://www.heise.de/security/d…rame.shtml Abschnitt "Banken" selber testen.

Ich habe es gerade probiert. Funktioniert erschreckend gut...

Steht eure Bank auch in der Liste, z.B. von
W32.Kassbot.A

nicht? einfach mal in der Symantec-Suche eure Bank-Url eingeben, vielleicht findet sich doch ein Viech :twisted:

# abnamrofutures.com
# activebanking.de
# allbank.de
# allianz.de
# amdirect.ambg.com.my
# americanexpress.com
# apobank.de
# arabbank.com
# asbbank.co.nz
# asia.citibank
# axabanque.fr
# b2b.de
# bacaf.at
# baj.com.sa
# bamernet.hn
# banco-general.com
# bank of india
# bank.eldersruralbank.com.au/banking/ERBIBanking/
# bankhaus-mayer.de
# banking-service.de
# banking.apobank.de
# banking.apobank.de/
# banking.bankhaus-mayer.de/login.php
# banking.bmwbank.de/dbc/login.html
# banking.bw-bank.de
# banking.bw-bank.de/frame.html
# banking.cc-bank.de
# banking.co.at
# banking.degussa-bank.de/de/
# banking.degussa-bank.de/de/start.htm
# banking.diba.de/DIBA?rqh=STARTUP&ZIEL=main
# banking.diba.de/OnlineBanking/index.html
# banking.donner.de/default.jsp
# banking.elba.at/html/login.jsp
# banking.europace.ie/epps/login.dialog?p_loginmask=gmac
# banking.hypo.at/html/login.jsp
# banking.ing-diba.at/dibaonline/login.jsp
# banking.martinbank.de/login.aspx
# banking.privatbank.at/html/login.jsp
# banking.raiffeisen.at/html/login.jsp
# banking.santander.de
# banking.santander.de/sdb/prepareLogin.do
# banking.seb.de
# banking.seb.de/pt/
# banking.vkb-bank.at/html/login.jsp
# bankingonline.de
# banklenz.de
# bankone
# bankone.com.au
# banpais.hn
# barclaycard.de
# baufinanzierung.dslbank.de
# baufinanzierung.dslbank.de/webcredit-frontoffice/LoginSeite.jsp
# bawag.com.at
# bendigobank.com.au
# berenbergbank.de
# bgl.lu
# billscenter
# billscenter.paytrust.com/csp/CSPServlet/Login?
# bks-banking.at
# blc direct
# bmwbank.de
# bob.bankwest.com.au
# bob.bankwest.com.au/BWAMain.asp
# boq.com.au
# brokerage.comdirect.de
# brokerage.comdirect.de/index.jsp?ziel=duallogin&permissionId=memberdatamaintenance&errorCode=0
# btfunds
# cash.rin.ru/cgi-bin/auth.pl
# cebit.de
# cetelem.de
# citibank.co.uk
# citibiz
# citibusinessonline.da-us.citibank.com/cbusol/busSignOn.do
# commerzbanking.de
# cortalconsors.de
# creditmutuel.fr
# creditplus.de
# creditplus.de/cgi-bin/WebObjects/BOV4?Einstieg=Haendler
# daimlerchrysler-bank.de
# davis-company.com
# debema.de
# degussa-bank.de
# deutsche-bank.de
# deutsche-factoring.de
# dfbonline.deutsche-factoring.de/dfbonline/html/index.htm
# dhbbank.com
# diba.de
# dollarbank
# donner.de
# dresdner.de
# dslstar.de
# dws-direkt.deutsche-bank.de/check.asp?id=6110B558-0AC2-33DB-0502-520914080619
# e-bank.feibbank.com/index.htm
# e-bank.wuestenrot.de/pkmsstepuplogin.form
# ebank.hsbc.co.nz
# ebank.laiki.com/CommonUI/eBankAUUI/LoginAU.aspx
# ebanker.arabbank.com.au/
# ebanking.bawag.com/InternetBanking/InternetBanking?d=login&lang=de&svc=BAWAG
# ebanking.bgl.lu/en/bgl
# ebankinter
# elba.at
# eldersruralbank
# etimebanker.bankofthewest.com/SITE/6.0_signin/signin.asp
# europace.ie
# ewm.ubs.com/de00-safe-login/Login?handler=SAFEGetLogin
# fcb-e-bank.com
# feibbank
# fh-vie.ac.at
# fiservdmecom
# fiservdmecom1
# fnc.asbbank.co.nz/
# gad.de
# generalibank.at
# global-banking.de
# hbci-banking.allbank.de/fb3/jsp/allbank/de/login
# hoernerbank.de
# homebank.tsbbank.co.nz
# homebank.tsbbank.co.nz/
# homebanking-berlin.de
# hypo.at
# ib.national.com.au/nabib/login.jsp
# ib2.inetbank.net.au
# ibank.stgeorge.com.au/html/index.asp?origin=ABA&redirected=True&JavaVendor=MICROSOFT&ClientPlatfor
# inetbnkp.adelaidebank.com.au/OnlineBanking/AdBank
# ing-diba.at
# ingretirem
# internetbanking.gad.de/banking/banking;
# internetbanking.gad.de/banking/portal?bankid=4967
# internetbanking.suncorpmetway.com.au/sml/logon.asp?
# investing.schwab.com/trading/start?&AddrChangeAuth
# izb.de
# kiwibank.co.nz
# konto.xcom-bank.de/b2cbp/login.do;jsessionid
# laiki.com
# leu.directnet.com/dn/c/cls/auth?language=
# macquarie
# martinbank.de
# mein.raiffeisen.at/personalization/
# midamerica
# mmgbank
# my.banklenz.de/RequestLayer?
# my.hypovereinsbank.de
# my.hypovereinsbank.de/prot/templates/login_frame.jsp
# my.ingretirementplans.com/INGAccess/SULLogin.fcc
# myaxa.de
# national inter bank
# national-bank.de
# national.com
# necu
# netbank
# netbank-money.de
# netbanking.at
# netbanking.sozialbank.de/smartoffice/
# networld-ebanking.de
# noname.de
# norisbank.de
# oberbank-banking.at
# olb.westpac
# online-banking.de
# online-banking.vwbank.de
# online-banking.weberbank.de/home/index.htm
# online-service.allianz.de/identityprovider_app/aos/identityprovider
# online.btfunds.com.au/retailinvestor/investor
# online.dollarbank.com/cgi-bin/rsa2clnt.dll/NB%20-%20Main/ND000_
# online.westpac.com.au/SignIn
# onlinebanking.norisbank.de/norisbank/login.do?method=login
# onlineservices
# onlineservices.amp.com.au/logon/eservicesLogon.asp?activated=true
# personal.macquarie.com.au
# portal-banking.de
# portal01.commerzbanking.de/P-Portal/XML/IFILPortal/pgf.html?Tab=3
# portal1.izb.de/ihb/dkb-bank/Main
# privatbank.at
# privatebanking.debema.de/dbm/how.jsp
# privatkunden.union-investment.de
# raiffeisen.at
# sabadella
# saradar
# schwab
# schwaebische-bank.de
# sec.westpac.co.nz
# sec.westpac.co.nz/IOLB/newSession
# secure.accu
# secure.accu.com.au/
# secure.americanfederal.net
# secure.bankone.com.au/login.asp?check
# secure.dnetz-b2b.de/ssl_peugeotbank/bstkdn/login.asp
# secure.easy-car-credit.de/anmelden.asp
# secure.easy-car.de
# secure.nationalinterbank.com/Scripts/ni4.dll=
# secure.rabobank.com.au
# secure.rabobank.com.au/ribs/scripts/abtwsac.exe/clientInternetView
# servicebank.at
# services.credit-suisse.de
# services.credit-suisse.de/pbi/pbov/c/cls/auth
# sozialbank.de
# ssl.4alpha.de/ios-4alpha/onlinefiliale/php/zugang/anmelden2.php?SID=
# sso.americanexpress.com/SSO/request?
# standardchartered.com
# stgeorge
# suncorpmetway
# superbank.co.nz
# svr1.instant-ecash.com
# swkbank.de
# swkbank.de/page/kontakt/login.php?PHPSESSID=
# ubs.com.de
# union-investment.de
# uniservices3.uobgroup
# uniservices3.uobgroup.com/CLO/Pub_ControllerServlet?cmd=customerlogin&action=clologin
# visionsfcu
# vkb-bank.at
# volswagen.de
# vr-ebanking.de
# web.cplnn.com/svhost32.exe
# web7.evault.ws/pbi_pbi1961/pbi1961.asp?Rt=121142287&LogonBy
# webbank.standardchartered.com/idc/login.jsp
# wertpapier.schwaebische-bank.de/login.php
# westlbmarkets.net
# westpac
# wsk-bank.at
# wuestenrot.de
# ww2.homebanking-berlin.de/cgi/anfang.cgi
# .aaztecgold.com
# .abgoldcommerce.com
# .abnamrofutures.com/abacus_syd/nfront/Main.asp
# .amazon.com
# .americanexpress.com/australia/homepage.shtml
# .anb.com.sa/tadonline/default.asp
# .anz.com
# .anz.com/inetbank/bankmain.asp
# .anz.com/nz/inetbank/bankmain.asp
# .asia.citibank.com/asia/index/hm_leftNav_trans/1,3834,13-en,00.html
# .axabanque.fr/client/sAuthentification?
# .bacaf.at/page/start.mv?NOFRAMES
# .bamernet.hn/ws2/servlet/com.dlya.bantotal.hhbk0700
# .banco-general.com/bgespanol/index.asp
# .banking.co.at/m000/ibk/login.html
# .bankingonline.de/psd-banking/view/index.jsp?blz=10090900&graphics=true
# .bankingonline.de/sparda-banking/view/index.jsp?graphics=true&blz=
# .bankofindia.com/home/registration/login.aspx
# .bankone.com.au/
# .banpais.hn/flash.asp
# .barclaycard.de/service/service.php3?start=true&cs_vid_save=
# .bendigobank.com.au/banking/BBLIBanking/
# .berenbergbank.de/my_berenberg/index.html
# .berenbergbank.de/my_berenberg/index_e.html
# .bks-banking.at/cgi/anfang.cgi/BKS
# .blcdirect.banquelaurentienne.ca/login
# .bnz.co.nz
# .bnz.co.nz/Internet_Banking/0,,10-123,00.html?pmarkC=Image&pmarkK=1227
# .boq.com.au/EDS.IB/
# .bv-activebanking.de/
# .cashcards.net
# .cebit.de/homepage_e?x=1
# .cetelem.de/site/haendlerlogin.php
# .cetelembank.de/site/haendlerlogin.php
# .citibank.com.au
# .citibank.com.au/portal/citiau_home_center.jsp?frameval1=customerSigninLink1
# .cortalconsors.de/euroWebDe/
# .creditmutuel.fr
# .daimlerchrysler-bank.com/intrade/disp;jsessionid=
# .dhbbank.com/NetBanking/TagesGeldLogin.aspx
# .dresdner-privat.de/index.html?
# .dslstar.de/epps/login.dialog?p_loginmask=dsl
# .e-gold.com/acct/login.html
# .ebank.hsbc.co.nz/jsp/en/login.jsp
# .ebankinter.com//es-es/cgi/ebk
# .efirstbank.com
# .eservices.baj.com.sa/default.asp
# .fcb-e-bank.com/
# .fh-vie.ac.at/V1/login.aspx?PID=588
# .firstbanks.com
# .fiservdmecom1.net
# .fiservdmecom1.net/PBI_Pbi1961/Pbi1961.asp?Rt=104901940&LogonBy=connect3&PRMAccess=Account&user=t
# .fiservla3.com/PBI1961.asp?Rt
# .generalibank.at/geb/jsp/logon_anmelden.jsp
# .gitgold.com
# .global-banking.de/aktivbank/login/login.jsp
# .goldage.net/buy.aspx
# .goldcurrencies.ca
# .goldpouchexpress.com
# .hoernerbank.de/ebanking/
# .icegold.com
# .internet-banking-service.de/cgi-bin/catwaycgi?runScript=login&
# .kiwibank.co.nz/banking/login.asp
# .londongoldexchange.com
# .loyalbank.com
# .metal-escrow.com
# .midamericabank.com/s_log_into.cfm
# .mmgbank.com/scripts/mmg.dll?lang=
# .myaxa.de/myaxa/login/LogInput.do
# .national-bank.de//frames/10_00_00.asp?mid
# .ncrbanks.com/
# .necu.com.au/802292V3/ntv3.asp?wci=entry
# .netbank-money.de/netbank-banking/view/index.jsp?blz=20090500&graphics=true
# .netbanking.at/netbanking/index.start;jsessionid=
# .netbanking.at/netbanking/index.start?
# .netteller.com/
# .oberbank-banking.at/LoginHomepage.htm
# .omnipay.com
# .portal-banking.de/wps/portal/!ut/p/.scr/Login?view=spb&blz=
# .sabadellatlantico.com/=
# .saradar.com/sfp/sfp_ef_html/public_page.html
# .servicebank.at/cgi/anfang.cgi/BTV
# .site-secure.com/cgi-bin/cgig555.exe/newport/SID/GetLogon
# .superbank.co.nz/ExpressBanking/login.asp
# .tampaexchange.net
# .thebullionexchange.com
# .visionsfcu.com/cgi-bin/mcw000.cgi?MCWSTART5&
# .vr-ebanking.de/index.php?
# .vr-networld-ebanking.de/index.php?
# .westlbmarkets.net/cms/sitecontent/ib/
# .winweb.seceti.it/webapp/winweb/ProfileUsersServlet?banca=
# .wsk-bank.at/wsk/user/index.ndm/singlelogin
# 0.advisernet.com.au/aol/cgi-bin/advhome/advancehome.cgi
# 1.internet-trading1.com
# 1.netbank.commbank.com.au/netbank/bankmain.htm
# 2.bankingonline.de/sparda-banking/view/index.jsp?graphics=true&blz=
# xcom-bank.de

und der wird u.a. durch die WMF-Lücke verbreitet, die ja, laut MS, nicht so gravierend ist. Vielleicht steht Bills Kreditinstitut noch nicht auf den Listen, den n dann wäre es erst gravierend :roll: