Een eenvoudige commerciële keylogger die via e-mailbijlagen wordt verspreid heeft kleine en middelgrote bedrijven wereldwijd al miljoenen euro's gekost, zo beweert het Japanse anti-virusbedrijf Trend Micro. Het gaat om de HawkEye keylogger die voor een paar tientjes op internet wordt aangeboden.

Eenmaal actief wordt de keylogger gebruikt voor het stelen van wachtwoorden uit de browser en e-mailclient. Deze gegevens worden via e-mail, FTP en een webpaneel naar de aanvallers gestuurd. Met de gestolen wachtwoorden worden de e-mailaccounts van bedrijfsdirecteuren, zoals de CEO en CFO, overgenomen. Vervolgens wordt er via de gekaapte e-mailaccounts een betaalopdracht naar de financiële administratie gestuurd. Deze scam staat ook bekend als "Business E-mail Compromise" en zou vorig jaar wereldwijd voor een schade van 216 miljoen dollar hebben gezorgd. Volgens de FBI en Secret Service worden steeds meer Amerikaanse bedrijven door de fraude getroffen. Aanleiding voor de opsporingsdiensten om een waarschuwing af te geven.

Voor de verspreiding van de keylogger worden exe- en zip-bestanden verstuurd die zogenaamd een factuur, bestelling of offerte zijn. In sommige gevallen leggen de criminelen eerst contact met de bedrijven. Pas na verschillende e-mailuitwisselingen wordt de keylogger dan gestuurd. Volgens Trend Micro bevinden de meeste slachtoffers van HawkEye zich in India, gevolgd door Egypte en Iran. Het gaat om bedrijven in verschillende sectoren, maar voornamelijk goederen, transport en productie. Verder blijkt dat de meeste bedrijven via het info@ e-mailadres worden benaderd.

Trend Micro maakte een rapport (pdf) over HawkEye waarin ook twee cybercriminelen uit Nigeria worden geanalyseerd die de malware gebruiken. Volgens de onderzoekers lijkt HawkEye een eenvoudige keylogger, maar is het voor gemotiveerde cybercriminelen meer dan voldoende om malware-aanvallen uit te voeren. Ook door andere beveiligingsbedrijven werd HawkEye recentelijk onderzocht, zoals iSight Partners. Uit het onderzoek van dit beveiligingsbedrijf blijkt dat er voor de verspreiding van de keylogger bestanden als invoice.exe, payment slip.exe en purchase order.exe worden gebruikt. Ook iSight stelt dat de meeste slachtoffers zich in India bevinden, maar ziet ook veel infecties in Italië, de Verenigde Staten en Turkije. Verder zijn er ook infecties in Nederland waargenomen.