Neue Malware stiehlt Passwörter

Ein Keylogger namens Fauxpersky

Die neu entdeckte Malware ist darauf ausgerichtet, Passwörter und andere Eingaben aus einem angegriffenen Rechner an die Inbox eines Angreifers zu schicken, wie zdnet.de, unter Berufung auf die Sicherheitsforscher des IT-Unternehmens Cybereason, berichtete. Die Malware sei laut den Sicherheitsexperten Cybereason zwar recht einfach gestrickt, dafür aber umso erfolgreicher.

Die Benennung des Keyloggers auf den Namen „Fauxpersky“ ist dabei eine Anspielung auf den russischen Antiviren-Hersteller Kaspersky. Der Keylogger besteht aus der populären App AutoHotKey, über die Nutzer kleine Scripte schreiben können, um damit alltägliche Aufgaben zu automatisieren. In diesem Fall wurde das Programm genutzt, um damit den Keylogger zu schreiben und Windows-PCs zu infizieren und sich auch selbst auf den Festplatten eines infizierten PCs weiter zu verbreiten.

Malware nicht fortschrittlich

Laut den Experten Amit Serper und Chris Black, die in einem detaillierten Blog die Malware analysieren ist:

„Diese Malware ist keinesfalls besonders fortschrittlich oder gar stealthy“

Sie sei aber hochgradig effizient beim infizieren von USB-Laufwerken und um aus dem Keylogger die Daten zu extrahieren und über Google an die Inbox des Angreifers zu schicken.

Die Funktionsweise

Sobald die Malware vollständig aufgerufen ist, werden sämtliche Eingaben, die auf dem Rechner getätigt werden mitgeschnitten und in einer Textdatei gespeichert. Neben den Eingaben speichert die Malware auch Metadaten, wie etwa den Namen des Fensters, in dem der Nutzer gerade arbeitet, um dem Angreifer ein besseres Verständnis über den Kontext der Nutzereingaben zu geben.

Diese Kontextinformationen werden aus dem Rechner über Google Form herausgefiltert. Anschließend wird die Datei auf dem Speicher des Rechners gelöscht. Und jeder Response geht direkt in die Inbox des Malware-Autors.

Warum Kaspersky?

Der Autor soll versucht haben, einen Kaspersky-Splash-Screen zu erstellen. Daher auch der Name Fauxpersky. Über einen Shortcut im Start-Menü von Windows-Startup-Directory wird die Malware nach dem Start wieder aufgerufen.