Ein neuer, besonders tückischer Trojaner versteckt sich hinter scheinbar sicheren SSL-Verbindungen, um so an seine Opfer zu gelangen. Die sogenannte Gameover-Banking-Malware benutzt die SSL-Verbindungen ganz gezielt, um so ihrer Entdeckung zu entgehen.

Gehostet von der Zeus-Variante, verteilen die Hacker den Trojaner im ganzen Netz und erhöhen die Anzahl infizierter Websites so stetig.

Am Freitag, den 04.10.2013 veröffentlichten Experten der Firma Dell in einem Blog die aktuellsten Erkenntnisse über die neue Malware. Jenem Blog zufolge verteilen die Entwickler der Attacke einen Dowloader namens „Upatre“ via Spam-Mail. Dieser Downloader findet dann den Trojaner auf infizierten Websites wieder und lädt jede Menge Payload auf den betroffenen Rechner.

Besonders tückisch ist, dass der Trojaner nicht erst von einem „Command-and-Control“- Server aus Instruktionen erhält, sondern die Malware direkt über eine SSL-Verbindung abruft. Gameover benutzt das recht unbekannte Cutwail Botnet.

Nachrichten, welche den Trojaner enthalten, erwecken so den Eindruck, als stammen sie von Finanzinstituten oder Behörden. Der Trojaner nimmt die Tastenschläge infizierter Computer auf und kann so die Login-Informationen von Nutzern stehlen. Da die infizierten Seiten offizieller Natur sind, ist die Gefahr, die von der Malware ausgeht, besonders hoch.

„Der Dowloader Upatre hat eine sehr kleine Dateigröße und ist extrem einfach gestrickt, seine gesamte Funktionalität zu implementieren benötigt nur einen einzigen Schritt“,

sagte der Blog-Post der Dell-Experten.

„Er lädt Dateien von einer hard-coded URL über eine SSL-Verbindung eines bereits beschädigten Web-Servers herunter und verschwindet dann wieder.“

Dem Dell-Blog zufolge sind bereits 20 Websites von dem Angriff geschädigt worden. Dell SecureWorks rät Organisationen dazu, es neben der üblichen Mitarbeiter-Aufklärung bezüglich der Gefahr von Phishing-Attacken in Erwägung zu ziehen, ausführbare Datei-Typen zu blockieren und Lösungen zu implementieren, die eingehende Malware sofort identifizieren.

Artikel von scmagazine.com, 07.10.2013: „Gameover“ trojan hides activity in encrypted SSL connections to defraud victims