Eine weitere neue Variante der ZeuS Malware verwendet nun wohl ein gültiges digitales Zertifikat, um der Aufspürung zu entgehen. Die Malware versteckt sich in einer Webseite mit „Internet Explorer“-Logo. Der verwendete Schlüssel gehört zu einem registrierten Microsoft-Entwickler in der Schweiz. Diese neue Information kommt vom Anti-Virus-Unternehmen Comodo.

Malware, die eine gültige Signatur einer glaubwürdigen Quelle verwendet, ist unglaublich gefährlich, so Adam Kujawa, Chef der Firma Malwarebytes, da ihr bei der Überprüfung vertraut wird. Das betreffende Zertifikat wurde 2010 von VeriSign CA für die isonet AG ausgestellt und ist noch bis Anfang 2016 gültig. Damit wird vorgetäuscht, dass das Zertifikat von diesem Softwarehaus kommt und die Software nach der Veröffentlichung vor Veränderungen geschützt ist.

Hinter dieser hinterlistigen ZeuS-Variante steckt aber eine ziemlich gewöhnliche ZeuS-Version, die Zugangsdaten, Karteninformationen oder andere Anwender-Eingaben in Internetformulare abgreift. Sobald ZeuS heruntergeladen wird, stellt es sich als ein „Internet Explorer“-Dokument dar, das sogar über ein „Internet Explorer“-Symbol verfügt. Sofort nach dem Doppelklick wird der Trojaner ausgeführt und ein Rootkit installiert sich.

Zusätzlich bedeutet eine frühe Ausführung der Malware beim Hochfahren des PCs, dass es sich schnell einnisten und den Trojaner vor dem restlichen Betriebssystem und Anti-Virus-Programmen verstecken kann. Comodo-Recherchen haben ergeben, dass mittlerweile 200 dieser ZeuS-Varianten installiert worden sind.

Der Diebstahl und Missbrauch von digitalen Signaturen ist nichts Neues. Aber Anwender müssten hier vor allem viel aufmerksamer mit Programmausführungs-Anfragen umgehen. Lieber einmal nicht zulassen, dass etwas ausgeführt wird, als einfach ohne Nachdenken durch die Fenster durchklicken.

Artikel von scmagazine.com, 07.04.2014: Zeus variant uses valid digital signature to avoid detection
Artikel von theregister.co.uk, 05.04.2014: Bank-raid ZeuS malware waltzes around web with ‚valid app signature‘