Tarnung als Windows-Aktivierung

[Reisender]

Der neue, von Symantec beschriebene Kardphisher stellt vermutlich keine große Gefahr dar und wird auch von dem Sicherheitsunternehmen als eher geringes Risiko gewertet.

Doch ein Element dieses Trojaners ist bemerkenswert Der Kardphisher tarnt sich als Lizenz-Aktivierung von Microsoft.

Diese Tarnung ist vor allem deshalb gut gelungen, weil der Trojaner erst nach einem Neustart zum ersten Mal gestartet wird und die Internet-Verbindung deaktiviert. Dann erscheint zunächst ein Fenster mit dem Windows-Logo und der Anwender muss sich dafür entscheiden, das Betriebssystem und das Internet jetzt zu aktivieren, oder dies zu einem späteren Zeitpunkt zu wiederholen.

Schon auf dem zweiten Fenster werden dann persönliche Informationen verlangt, darunter auch die Kreditkartennummer. Alle Daten werden nach "erfolgreicher Aktivierung" an einen Rechner in Russland übertragen.

Auf welchem Weg der etwa 1 MB große Trojaner übertragen wird, gibt Symantec nicht an, doch es wird erwähnt, dass er auf zwei Sites gesichtet wurde. Die Zahl der Infektionen liegt noch unter 50 und entsprechend gering wird bisher die Ausbeute der Phisher sein. Dazu trägt vermutlich auch bei, dass die Urheber des Trojaners nicht nur nach der Nummer der Kreditkarte fragen, sondern - sehr suspekt - auch nach der Geheimzahl für den Geldautomaten.