Er is een nieuw Trojaans paard ontdekt dat internetbankierders met Windows 64-bit systemen probeert aan te vallen. De Tatanga Trojan beschikt over Man-in-the-browsers functies om banken in Spanje, Groot-Brittannië, Duitsland en Portugal aan te vallen. Het kan bedragen overmaken, katvangers aansturen en het rekeningoverzicht dat het slachtoffer te zien krijgt manipuleren.

Tatanga wordt nog nauwelijks door anti-virusbedrijven herkend, slechts drie virusscanners geven een generiek alarm bij de aanwezigheid van de malware. En dat is een probleem, want de malware is in staat om aanwezige virusscanners op het systeem te blokkeren.

Tatanga is volgens beveiligingsbedrijf S21sec vrij geavanceerd en gebruikt rootkit-technieken om zichzelf te verbergen. Daarbij valt het een groot aantal browsers aan, kan het e-mailadressen stelen en andere banking Trojans zoals Zeus verwijderen. Onder de aangevallen browsers bevinden zich niet alleen Internet Explorer, Google Chrome en Firefox, maar ook Opera, MinefieldMaxthoon, Netscape, Safari en Konqueror.

Windows
Een andere functionaliteit van de Trojan is de ondersteuning van Windows 64-bit systemen. De malware injecteert zichzelf in 32-bit systemen in explorer.exe en wordt op 64-bit systemen als een normaal proces uitgevoerd. Om analyse door anti-virusbedrijven te voorkomen gebruikt het verschillende anti-Virtual Machine en anti-debugging technieken.

"We hebben veel opmerkingen en testfuncties gezien, dus misschien is dit slechts een test om de functionaliteit te verbeteren voordat de malware zich verspreidt", zegt Jozsef Gegeny van S21sec. De analist ontdekte tijdens de analyse dat Tatanga ook het downloaden van de Trusteer Rapport tool probeert te voorkomen. Banken bieden deze plugin aan hun klanten aan als extra beveiliging tijdens het internetbankieren.

Bijlage
Opmerkelijk genoeg waarschuwt ook beveiligingsbedrijf Webroot voor een Zeus-achtige banking Trojan die de Trusteer plugin aanvalt. Deze malware probeert de uitbreiding niet te blokkeren, maar uit te schakelen. Of het Trojaanse paard hier ook in slaagt is niet onderzocht. Wel is bekend dat de naamloze malware banken in Amerika, Australië, Duitsland, Italië, Rusland en Cyprus aanvalt.

De Trojan verspreidt zich via e-mail en doet zich voor als een PDF-bijlage. In werkelijkheid gaat het om een uitvoerbaar .exe-bestand met een Adobe PDF-icoon. Bij het openen van het Trojaanse paard wordt onder andere geprobeerd een rootkit te installeren.