Laut Roel Schouwenberg, Senior Research Engineer bei Kasperksy Lab, der den Angriff analysiert hat, wird das Opfersystem zunächst über einen sich selbst installierenden Trojan-Downloader mit Spionagefunktionalität infiziert. Das Schadprogramm übermittelt daraufhin die vom Nutzer besuchten Web-Sites an einen bösartigen Web-Server. Erkennt der Trojaner an den Web-Server gesendeten HTTPS-Traffic, weist der Server ihn in einem nächsten Schritt an, ein weiteres trojanisches Pferd nachzuladen, das dann seinerseits den HTTPS-Traffic abfängt – dem Experten zufolge handelt es sich dabei in den meisten Fällen um HTTPS-Traffic von Online-Banking-Sites. "Nach einer Weile weist der Server den Trojaner abermals an, eine Datei zu laden, und zwar einen eigens auf die Bank des Users abgestimmten Trojan-Banker", schreibt Schouwenberg im Weblog von Kaspersky Lab.
Die Ausnutzung des HTTPS-Traffic-Loggers ermögliche es Cyberkriminellen, Banken-Trojaner zu entwickeln, die auf bestimmte Geldinstitute spezialisiert seien. "Die Raffinesse dieser Attacke ist beängstigend, denn sie ist auf höchste Effektivität und die Umgehung der Sicherheitsprodukte zugeschnitten", so der Forscher. (kf)
