Der Antivirus-Hersteller Eset warnt vor einem Revival des Banking-Trojaners Bebloh. Dieser ist eigentlich schon seit 2009 bekannt, taucht aber nun wieder häufig in aktualisierten Versionen auf. Erst vor kurzem warnte PandaLabs vor mehr als 250.000 neuen Schädlingen pro Tag.

Zur Verbreitung von Bebloh dienen seriös wirkende E-Mails, die massenhaft verschickt werden. An den Mails hängt ein Attachment, das den Trojaner enthält. Dem Nutzer wird vorgegaukelt, dass sich in dem Dateianhang eine Rechnung oder etwa eine Statusmeldung zu einem Paket enthält.

Wenn er den Dateianhang öffnet und die darin enthaltene Datei auf seinem PC ausführt, infiziert er den Rechner mit Bebloh. Zur Tarnung verwendet Bebloh den alten Trick mit den doppelten Dateiendungen.

So sehen die Dateianhänge aus:

• Ihre Rechnung vom 15.04.2015_als_pdf.zip
• DOC_Bewerbung-Februar_2015.zip
• VodafoneWillkommen_713153127333.zip
• DHL_Paket-907628066996.zip
• DPD_Status Ihres Paketes_04727471384232 _pdf.zip
• Anwendung-april2015-DOC.zip

Die Inhalte der ZIP-Dateien sehen dann so aus:

Es handelt sich also nicht um PDF- oder DOC-Dateien, sondern um EXE-Dateien. Die genannten Dateinamen sind nur Beispiele und ändern sich laufend.

Nach erfolgter Infektion klinkt sich Bebloh in den Browser ein und späht dort unter anderem die Zugangsdaten zum Online-Banking aus. Der Trojaner unterstützt Firefox, den Internet Explorer und Google Chrome, aber auch seltener genutzte Surf-Programme wie Opera, den Avant-Browser und Maxthon.

Ausserdem sucht Bebloh nach den folgenden auf dem PC installierten FTP-Programmen und klaut auch dort die Zugangsdaten:

Wenn Outlook, Outlook Express oder The Bat vorhanden sind, stiehlt Bebloh die dort hinterlegten E-Mail-Adressen und Account-Daten.

Die gesammelten Informationen verschickt der Trojaner dann über das Internet an seine Hintermänner. Bebloh kann sich ausserdem selbst aktualisieren und Screenshots des aktuellen Bildschirminhalts anfertigen.