Rootkit berooft Nederlandse Chrome-gebruikers
Een kwaadaardige browserplug-in die het op gebruikers van Google Chrome heeft voorzien en geld van bankrekeningen steelt, is vooral in Nederland actief. Het gaat om de Theola malware, die weer door de Mebroot-rootkit wordt geïnstalleerd. Theola installeert verschillende browserplug-ins om geld van online bankrekeningen te stelen.
De nieuwste Theola-variant heeft het daarbij op Google Chrome voorzien en installeert zich als 'Default Plug-in 1.0'. Zodra slachtoffers op bepaalde banksites komen onderschept de malware inloggegevens en creditcardgegevens en stuurt die terug naar de aanvallers.
Plug-in
Daarnaast kan Theola ook video-opnamen maken, aangezien het over functionaliteit beschikt voor het opslaan van video's in het MPEG formaat. Het Slowaakse anti-virusbedrijf ESET ontdekte dat de malware vooral actief is in Nederland, gevolgd door Noorwegen, Italië, Denemarken en de Tsjechische Republiek.
"Google Chrome is één van de populairste browsers ter wereld en de populariteit groeit ook onder virusschrijvers", zegt Aleksandr Matrosov.
Detectie
Aangezien Theola de kwaadaardige module als Chrome plug-in voordat, is die lastiger te detecteren, omdat de plug-in alleen gedocumenteerde methodes gebruikt om websites mee te besturen en weet zo beveiligingssoftware te omzeilen.
De virusbestrijder laat niet weten op welke banken de malware het heeft voorzien, maar uit de gepubliceerde screenshots wordt duidelijk dat het in ieder geval om de Rabobank gaat.
Update 15:45
ESET laat in een reactie tegenover Security.NL weten dat de Rabobank de enige bank is die hardcoded in de Theola plug-in for Chrome zit. Voor de rest gebruikt Theola zoals het er nu naar uitziet de lijst van Mebroot, die 1541 banken bevat, waaronder de volgende Nederlandse banksites.
- mijn.postbank.nl
- *.ing.nl
- *abnamro.nl
- *.ingbank.nl
- *rabobank.nl
- *snsbank.nl
- *regiobank.nl
- bankieren.triodos.nl
- *bdsonline.nl
- *.bng.nl
- *nibc*.nl
- nibcdirect.nl
- *ohra.nl
- *westlandutrecht.nl
- *asnbank.nl
- *argenta.nl
- *garantibank.nl
- *aegonbank.nl
- *commerzbank.nl
- *frieslandbank.nl
- *crediteurope.nl
Ik ben al een tijdje alleen "zakelijk" gebruiker van windows en weet wat dat betreft niet meer van de hoed en de rand, maar dit is tegenwoordig op windows toch ook een vrij lastig te injecteren/installeren stuk software.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior specialist OSINT
Ben jij enthousiast en leergierig en wil je het cybercrimeteam Oost Nederland verder helpen in de aanpak van digitale criminaliteit? We zijn op zoek naar een junior specialist Open Source Intelligence (OSINT). Weet jij de digitale wereld van buiten naar binnen te halen? Dan is deze functie iets voor jou!
