Een kwaadaardige browserplug-in die het op gebruikers van Google Chrome heeft voorzien en geld van bankrekeningen steelt, is vooral in Nederland actief. Het gaat om de Theola malware, die weer door de Mebroot-rootkit wordt geïnstalleerd. Theola installeert verschillende browserplug-ins om geld van online bankrekeningen te stelen.

De nieuwste Theola-variant heeft het daarbij op Google Chrome voorzien en installeert zich als 'Default Plug-in 1.0'. Zodra slachtoffers op bepaalde banksites komen onderschept de malware inloggegevens en creditcardgegevens en stuurt die terug naar de aanvallers.

Plug-in
Daarnaast kan Theola ook video-opnamen maken, aangezien het over functionaliteit beschikt voor het opslaan van video's in het MPEG formaat. Het Slowaakse anti-virusbedrijf ESET ontdekte dat de malware vooral actief is in Nederland, gevolgd door Noorwegen, Italië, Denemarken en de Tsjechische Republiek.

"Google Chrome is één van de populairste browsers ter wereld en de populariteit groeit ook onder virusschrijvers", zegt Aleksandr Matrosov.

Detectie
Aangezien Theola de kwaadaardige module als Chrome plug-in voordat, is die lastiger te detecteren, omdat de plug-in alleen gedocumenteerde methodes gebruikt om websites mee te besturen en weet zo beveiligingssoftware te omzeilen.

De virusbestrijder laat niet weten op welke banken de malware het heeft voorzien, maar uit de gepubliceerde screenshots wordt duidelijk dat het in ieder geval om de Rabobank gaat.

Update 15:45
ESET laat in een reactie tegenover Security.NL weten dat de Rabobank de enige bank is die hardcoded in de Theola plug-in for Chrome zit. Voor de rest gebruikt Theola zoals het er nu naar uitziet de lijst van Mebroot, die 1541 banken bevat, waaronder de volgende Nederlandse banksites.

- mijn.postbank.nl
- *.ing.nl
- *abnamro.nl
- *.ingbank.nl
- *rabobank.nl
- *snsbank.nl
- *regiobank.nl
- bankieren.triodos.nl
- *bdsonline.nl
- *.bng.nl
- *nibc*.nl
- nibcdirect.nl
- *ohra.nl
- *westlandutrecht.nl
- *asnbank.nl
- *argenta.nl
- *garantibank.nl
- *aegonbank.nl
- *commerzbank.nl
- *frieslandbank.nl
- *crediteurope.nl