Een geavanceerd Trojaans paard is erin geslaagd de bankrekeningen van ABN Amro klanten te plunderen, hoewel criminelen ook eenvoudig klanten van andere banken kunnen aanvallen. Sinds gisteren waarschuwt de ABN Amro bank voor het Trojaanse paard dat bij een aantal klanten heeft toegeslagen. Hoe de malware zich op systemen weet te verspreiden is nog niet bekend, maar volgens Roel Schouwenberg, senior anti-virus analist van Kaspersky Lab, is het goed mogelijk dat het om een Internet Explorer exploit gaat.

Eind maart waren de klanten van ABN Amro ook al het doelwit van een aanval, waarbij er een e-mail werd gestuurd met geïnfecteerde bijlage. Uiteindelijk installeerden meer dan 200 mensen de bijlage, die werd voorgesteld als een beveiligingsupdate voor een lek in het SSL protocol.

In het geval van de gisteren ontdekte Trojan gaat het om een multi-stage attack. De eerste trojan is een downloader met spionage functionaliteit, die zichzelf installeert door kernel32.dll en wininet.dll te "trojanizen", laat Schouwenberg tegenover Security.NL weten. De Trojan kijkt naar de URLs die de machine bezoekt en heeft hierover contact met een command & control (C&C) server. Als er HTTPS verkeer wordt gedetecteerd, krijgt de Trojan het commando om een bestand te downloaden.

Dit bestand is een HTTPS traffic logger. Het verkeer wordt naar de C&C server verstuurd. Op deze manier kunnen de aanvallers gemakkelijk een dedicated trojan voor elk bank maken, waarschuwt de expert van Kaspersky Lab. "Ze sturen dan de matchende trojan voor de bank die de gebruiker gebruikt. Dit is dus het andere bestand wat de eerste trojan downloadt."

Computercriminelen hebben voor de aanval een combinatie van oude en nieuwe malware ingezet. "De first-stage trojan lijkt een variant van een bestaande familie, de dedicated banker trojan is nieuw," zegt Schouwenberg.

De onderzoeker is door het verschijnen van de malware onplezierig verrast: "Dit is een nieuwe evolutie op het gebied van banker trojans. Het had net zo goed een andere bank kunnen zijn. Eentje waarvan ik had gehoopt dat die pas volgend jaar zou plaatsvinden. Het wordt een uitdaging voor alle partijen om dit te bestrijden."