Kommandoserver eines britischen Banking-Botnetzes geschlossen

Laut einer der britischen Metropolitan Police nahestehenden Quelle ist ein Kommandoserver in Osteuropa vom Netz getrennt worden, der ein Banking-Botnetz in Großbritannien gesteuert hat. Nach Angaben des Sicherheitsunternehmens Trusteer wurden über das Botnetz Kreditkarten- und Kontodaten von britischen Verbrauchern und Unternehmen gesammelt. Trusteer hatte den heimlichen Rechnerverbund im Juli entdeckt.

„Die Anschuldigungen sind uns bekannt“, heißt es in einer Pressemitteilung der Metropolitan Police. „Die Police Central eCrime Unit (PCeU) arbeitet mit der UK Payments Administration und Trusteer zusammen. Die Ermittlungen haben begonnen.“

Laut Trusteer-CEO Mickey Boodaei haben es die Kriminellen nicht nur auf Bankdaten, sondern auf jegliche Art von Informationen abgesehen. „Alle Informationen gelangen in eine Datenbank, die über ein Interface mit Suchfunktion verfügt, ähnlich wie Google.“ Im Rahmen der Untersuchungen sei es seinem Unternehmen gelungen, Zugang zu dem jetzt geschlossenen Kommandoserver zu erhalten. Andere Kommandoserver seinen möglicherweise noch in Betrieb.

98 Prozent der kompromittierten Rechner befänden sich in Großbritannien, so Boodaei. Insgesamt seien zwischen 60 bis 70 GByte Daten gesammelt worden, darunter auch Passwörter und Nutzernamen für kommerzielle Anwendungen und Unternehmensnetzwerke. Die durchsuchbare Datenbank habe es den Kriminellen ermöglicht, Profile von Nutzern für weitere Straftaten anzulegen.

Es seien in erster Linie Drive-by-Downloads verwendet worden, um Rechner mit Zeus 2.0a zu infizieren, einer Variante des Zeus-Trojaners, sagte Boodaei weiter. Die Malware ändere immer, wenn sie neu komprimiert werde, ihre Signatur, um einer Entdeckung durch Antivirensoftware zu entgehen. Zudem könne der Schädling alle Kommunikation, die über einen Browser geführt werde, aufzeichnen. Das gelte auch für verschlüsselte Datenübertragungen per sicherem HTTP (HTTPS). Die Malware sitze im Browser und fange allen ausgehenden Traffic vor der Verschlüsselung sowie eingehenden Datenverkehr nach der Entschlüsselung ab.