Een recent ontdekte variant van de Zeus Trojan wijzigt op besmette computers de websites van banken en een beveiligingsbedrijf, zodat slachtoffers uiteindelijk Androidmalware installeren die via sms verstuurde TANcodes kan stelen. De aanval door Zeus begint met de infectie van een Windowscomputer.

Zeus kan zich verspreiden via e-mailbijlagen en drive-by downloads, waarbij beveiligingslekken worden gebruikt die niet door de gebruiker zijn gepatcht. Zodra de besmette computergebruiker gaat internetbankieren, injecteert het Trojaanse paard lokaal op de banksite een melding dat de gebruiker beveiligingssoftware van Trusteer op zijn telefoon moet installeren, zo ontdekte beveiligingsonderzoeker Xylitol.

Melding

Als de gebruiker de link naar de officiële website van Trusteer volgt, wordt de website van het beveiligingsbedrijf ook lokaal op de computer aangepast. Zeus injecteert vervolgens een melding die de gebruiker vraagt om de beveiligingssoftware te installeren. Dit kan door een link via de Androidsmartphone te openen of een kwaadaardige QR-code te scannen. De aangeboden app lijkt op die van Trusteer, maar in werkelijkheid gaat het om een Zitmo (Zeus in the Mobile)-variant.

Deze mobiele malware kan inkomende sms-berichten onderscheppen, waaronder die met mobiele TAN-codes. De aanvallers omzeilen op deze manier de twee-factor authenticatie van banken, aangezien ze zowel de computer als de smartphone hebben geïnfecteerd. Via de onderschepte mobiele TAN-codes is het vervolgens mogelijk om ongeautoriseerde transacties te verrichten. Met name klanten van Duitse en Oostenrijkse banken zijn doelwit van de ontdekte Zeus-variant.