News Passwort-Spion tarnt sich als Firefox-Addon

[Sasan]

Der Sicherheitssoftware-Hersteller BitDefender warnt aktuell vor einer neuen Malware-Angriffswelle, die gezielt Online-Banking-Passwörter ausspioniert. Bei dieser neuen Bedrohung handelt es sich um „Trojan.PWS.Chromelnject.A“, eine Malware-Applikation, die sich im aktuellen Fall als Firefox-Plugin tarnt.

Zur News: Passwort-Spion tarnt sich als Firefox-Addon

 

[Wiesi21]

Tja, einer der Nachteile von Addons, man kann sich nie sicher sein, was der Ersteller eigentlich bezweckt solange man den Source-Code nicht selbst überprüft. Deshalb is mir Opera auch viel lieber. Solche expliziten Malware-Addons sind zwar sicher net häufig bzw. ein aufgeklärter User kann sie vermeiden, aber es sind einfach vermehrt Exploits möglich wenn Addons angeknüpft werden...

 

[Crazy-Chief]

Kann man sich den einfach so einfangen, oder muss man da selber das PlugIn drauf machen/lassen, und wird der Trojaner hinterher von einem Viren Scanner erkannt??

 

[playcom]

na so einfach ist es ja auch nicht wenn man ein addon installiert kommt eine Frage wollen sie das schätze mal das Mozilla Corporation Reagiert


schätze mal alle Antivirus Hersteller wissen von den Trojaner als Antivirus Programm updaten.

 

[Koki_87]

Mich würde auch interessieren, wie man diesen Trojaner "bekommt"

 

[dieschi]

Laut "Winfuture" muss sich auf dem PC erst ein anderer Bösewicht befinden der dann diesen Bösling nachläd ...

Das hat man hier wohl nicht für Wichtig genug gehalten um es zu erwähnen ...

 

[Grantig]

Hab das hier in nem anderen Forum gefunden:

SYMPTOMS:
Presence of the:
"%ProgramFiles%\Mozilla Firefox\plugins\npbasic.dll"
"%ProgramFiles%\Mozilla Firefox\chrome\chrome\content\browser.js"
files in the Mozilla Firefox's plugins and chrome folders.

TECHNICAL DESCRIPTION:
It drops an executable file (which is a Firefox 3 plugin) and a JavaScript file (detected by Bitdefender as: Trojan.PWS.ChromeInject.A) into the Firefox plugins and chrome folders respectively.

It filters the URLs within the Mozilla Firefox browser and whenever encounter the following addresses opened in the Firefox browser it captures the login credentials.

akbank.com
caixasabadell.net
credem.it
areasegura.banif.es
banca.cajaen.es
openbank.es
poste.it
banesto.es
carnet.cajarioja.es
gruposantander.es
intelvia.cajamurcia.es
net.kutxa.net
bancopastor.es
bancamarch.es
caixamanlleu.es
elmonte.es
ibercajadirecto.com
bancopopular.es
bancogallego.es
bancajaproximaempresas.com
caixa*.es
caja*.es
ccm.es
bancoherrero.com
bankoa.es
bbvanetoffice.com
bgnetplus.com
bv-i.bancodevalencia.es
clavenet.net
fibancmediolanum.es
sabadellatlantico.com
arquia.es
banking.*.de
westpac.com.au
adelaidebank.com.au
pncs.com.au
nationet.com
online.hbs.net.au
www.qccu.com.au
boq.com.au
banksa.com
anz.com
suncorpmetway.com.au
quiubi.it
cariparma.it
bancaintesa.it
popso.it
fmbcc.bcc.it
secservizi.it
bancamediolanum.it
csebanking.it
fineco.it
gbw2.it
gruppocarige.it
in-biz.it
isideonline.it
iwbank.it
bancaeuro.it
bancagenerali.it
bcp.it
unibanking.it
uno-e.com
unipolbanca.it
carifvg.com
cariparo.it
carisbo.it
islamic-bank.com
banking.first-direct.com
natwestibanking.com
itibank.co.uk
co-operativebank.co.uk
lloydstsb.co.uk
mybankoffshore.alil.co.im
abbeynational.co.uk
mybusinessbank.co.uk
barclays.com
online.co.uk
my.if.com
anbusiness.com
hsbc.co
anbusiness.com
co-operativebankonline.co.uk
halifax-online.co.uk
ibank.cahoot.com
smile.co.uk
caterallenonline.co.uk
tdcanadatrust.com
schwab.com
wachovia.com
bankofamerica
kfhonline.com
wamu.com
wellsfargo.com
procreditbank.bg
chase.com
53.com
citizensbankonline.com
e-gold.com
paypal.com
usbank.com
suntrust.com
banquepopulaire.fr
onlinebanking.nationalcity.com

It is the first malware that targets Firefox. The filtering is done by a JavaScript file running in Firefox's chrome environment.

Removal instructions:
Close the Firefox browser (if opened).
Please let BitDefender disinfect your files.

ANALYZED BY:
Marusceac Claudiu Florin, virus researcher

Schaut aus, als müsste man nicht extra eine Plugininstallation akzeptieren.
Wird wohl durch nen Dropper installiert.

PS: gibts hier sowas wie Spoiler oder so, weil der Post is bissl lang geworden

 

[Lajiola]

Traue nie einem Addon was du nicht selber geschrieben hast :-)

 

[Livven]

Finde ich gut, dass hier auf CB nun öfter über so etwas geschrieben wird.

Aber ist dieses verseuchte PlugIn auch auf der Mozilla-Seite aufgelistet, oder wie?

 

[Bemtex]

Ich benutze seit Mitte 2004 den Firefox und dachte mir schon 2006 folgendes:
"Es ist nur eine Frage der Zeit, bis der Firefox mal unsicher wird."

Langsam fängts an bröckelig zu werden.

 

[AdoK]

Was ihr hier alle so wg. dem "Firefox-Plugin" und Mozilla habt

Man lese einfach mal Beitrag #6 nebst Link zu WinFuture.

Der Verfasser der News bei CB hat hier eine sehr wichtige Info weggelassen - wieso und warum auch immer?

Zitat WinFuture

Der Schädling wird unter der Bezeichnung ChromeInject geführt, teilte das rumänische Sicherheitsunternehmen BitDefender mit. Dieser wird üblicherweise von anderer Malware, die bereits einen Windows-PC befallen hat, heruntergeladen und installiert.

 

[Crimson II]

Es ist immer wieder interessant was sich die Kriminellen einfallen lassen. Gut zu wissen! Hätte mir bei einer so wichtigen Nachricht auch eine detailliertere Beschreibung gewünscht.

 

[Furble]

Zum Glück verwende ich kein online-banking! Genau das sind die Gründe weshalb ich mich mit so etwas nicht sicher fühlen könnte.

 

[Towatai]

Tja meinetwegen kann der ausspionieren was er will, ohne meinen TAN-Generator in Verbindung mit meiner Bankkarte kann der NICHTS machen.
Somit hättest auch DU, Furble, nichts zu befürchten. einfach mal n bisschen schlaumachen was die materie angeht.

ich hab z.B. das hier bei meiner Volksbank *KLICK*

 

[Tobi47]

Ich abe erst gestern ein Addon von Adblock geladen! Es wurde mir angezeigt das ein Update verfügbar wäre und das man es installieren kann. Das habe ich natürlich gemacht das mein Adblock immer UpToDate ist. Kann ich mich jetzt schon Infiziert haben?!

 

[rockys82]

Ich frag mich was das bringen soll. Ohne TAN kann man bei mir sowieso Null und nichtig absolut Nix machen! Mit passwort höchstens schauen was auf dem Konto ist nur so...

 

[Ungolianth]

Tja, außer bei Paypal.... Die buchen das Geld ohne TAN von deinem Konto ab...

 

[rockys82]

Dann buche ich bei meiner Kasse wieder zurück... geht überall 6 Wochen.

Es bringt garnichts mehr nen Konto Online lehrzuräumen da man alles Rückbuchen kann, selbst wenn das andere Konto im Ausland liegt überzieht es dort! Da das alles abgesichert ist eventuell kostet es dir eine Gebühr, aber mir Tausend mal lieber als wenn die Kohle weg ist.

Wo man Pech hat ist wenn die Karte gestohlen wurde zb aus deiner Tasche und du so schlau warst den Pin drauf zuschreiben. Solche IQ-Bolzen gibt es... denn dann ist das geld direkt quasi bar an den Dieb/Betrüger gegangen.

Alles andere ist mittlerweile zu sicher!

Ich sage bringt nix absolut nix.

 

[bergboss]

Es bringt garnichts mehr nen Konto Online lehrzuräumen da man alles Rückbuchen kann, selbst wenn das andere Konto im Ausland liegt überzieht es dort!

Ich hoffe Du hast Dich darüber gut informiert, denn das kommt mir sehr naiv vor.

IMHO ist eine Rückbuchung nur bei Einzugsermächtigungen möglich. Was Du (oder in diesem Falle jemand anderes) von Deinem Konto aktiv abbuchst ist erstmal weg - und was man so liest ist es oftmals auch endgültig weg.

Trotzdem halte ich das Risiko beim online-banking für niedriger (und i.A. angenehmer) als auf offener Strasse überfallen zu werden - wenn man etwas Vorsicht walten lässt.

 

[noway]

Ich abe erst gestern ein Addon von Adblock geladen! Es wurde mir angezeigt das ein Update verfügbar wäre und das man es installieren kann. Das habe ich natürlich gemacht das mein Adblock immer UpToDate ist. Kann ich mich jetzt schon Infiziert haben?!

Liest du eigentlich Threads, auf die du antwortest?
Es geht um ein ganz bestimmtes als Adon getarntes Schadprogramm, dass <wichtig!> von anderer Malware, die bereits auf dem Rechner sein muss nachgeladen wird </wichtig!> Du findest das also weder auf der Mozilla Seite, noch installierst du es selber.

lg