Een bende cybercriminelen die al jaren bezig is om Zwitserse internetgebruikers met malware te infecteren en zo hun gegevens voor internetbankieren te stelen heeft bij de laatste aanval gebruikgemaakt van een trackingpixel om te bepalen of potentiële slachtoffers macOS of Windows gebruikten.

De bende wordt door het Government Computer Emergency Response Team van de Zwitserse overheid (GovCERT) Retefe genoemd. Om slachtoffers te infecteren maakt de bende voornamelijk gebruik van e-mailbijlagen. Er zijn echter ook gevallen bekend waarbij potentiële slachtoffers uit naam van de Zwitserse Post werden opgebeld en om hun e-mailadres werden gevraagd. Naar het opgegeven adres stuurden de aanvallers vervolgens een Dropbox-link waarmee de malware werd gedownload.

De nieuwste tactiek van de bende werd in april van dit jaar waargenomen. Zwitserse internetgebruikers ontvingen opeens allerlei vreemde e-mails, zo laat GovCERT in een analyse weten. In tegenstelling tot andere spamberichten en kwaadaardige e-mails werd er in de berichten niets van gebruikers gevraagd. De e-mail bevatte geen link of bijlagen om te openen. Wat de e-mail wel bevatte was een trackingpixel. Via html-code werd geprobeerd om een afbeelding van een remote server te downloaden. Daarbij werd niet alleen het e-mailadres van de gebruiker meegestuurd, maar ook met welke browser en besturingssysteem de gebruiker werkte.

Het doel van deze trackingmails was onbekend, totdat Zwitserland met een grote spamcampagne te maken kreeg. De aanvallers hadden de trackingpixel gebruikt om onderscheid tussen Mac- en Windowsgebruikers te maken en daar de bijlage van de e-mail op af te stemmen. Sommige gebruikers ontvingen namelijk een kwaadaardig Word-bestand, terwijl anderen een zip-bestand met kwaadaardige macOS-app toegestuurd kregen. Het bleek om een Mac-variant van de Refete-malware te gaan. Het was de eerste keer dat de bende zich op Mac-gebruikers richtte.

Volgens GovCERT is het aantal met Refete besmette computers niet groot. Het gaat meestal om tussen de 100 en 300 besmette machines, waarvan tussen de 10 en 90 internetbankierensessies worden onderschept. Ondanks deze kleine omvang is het botnet groot genoeg voor de aanvallers om voldoende inkomsten te genereren. "Anders had de campagne het niet meer dan vier jaar kunnen volhouden", aldus GovCERT.