Windows-Trojaner stiehlt Facebook-, Instagram- und Twitter-Konten

Sicherheitsexperten warnen jetzt vor einer neuen Windows-Malware, die es gezielt auf die Login-Daten von sozialen Netzwerken abgesehen hat. Dieser Datendieb namens FFDroider verbreitet sich dabei über Software-Cracks für Programme und Spiele. Das geht aus einer Meldung des Online-Magazins Bleeping Computer hervor. Der FFDroider ist demnach ein Schadprogramm, welches sich auf Windows-PCs einnistet und über die Webbrowser versucht, Konten-Informationen für Netzwerke wie Facebook, Instagram oder Twitter auszuspähen. FFDroider klaut dabei die in den Browsern gespeicherten Anmeldedaten und Cookies, um damit dann die Social-Media-Konten der Opfer zu kapern.

Verbreitung durch Software-Lücken

Interessant ist der Verbreitungsweg der Malware. Wie die Forscher von Zscaler entdeckt haben, kommt der FFDroider Huckepack über diverse Torrent-Webseiten. Wie viele andere Malware wird FFDroider über Software-Cracks, kostenlose Software, Spiele und andere Dateien verbreitet, die von Torrent-Seiten heruntergeladen werden.

Bei der Installation dieser Downloads wird der FFDroider mitinstalliert, allerdings getarnt als die Telegram-Desktop-App. Damit versuchen die Hinterleute der Entdeckung zu entgehen. Sobald die Malware gestartet wird, erstellt sie einen Windows-Registrierungsschlüssel mit dem Namen "FFDroider", was zur Namensgebung der neuen Malware führte. FFDroid zielt auf Cookies und Kontoanmeldeinformationen ab, die in Google Chrome (und Chrome-basierten Browsern), Mozilla Firefox, Internet Explorer und Microsoft Edge gespeichert sind.

Anmeldedaten entschlüsselt

Die Malware liest und analysiert beispielsweise das Chromium-SQLite-Cookie und die SQLite-Anmeldedaten und entschlüsselt die Einträge, indem sie die Windows Crypt API, insbesondere die Funktion CryptUnProtectData, missbraucht. Das Verfahren ist bei den anderen Browsern ähnlich.

Interessant ist dabei: Im Gegensatz zu vielen anderen Trojanern, die Passwörter stehlen, sind die Betreiber von FFDroid nicht an anderen in den Webbrowsern gespeicherten Anmeldedaten interessiert. Sie konzentrieren sich auf den Diebstahl von Zugangsdaten für Social-Media-Konten und E-Commerce-Websites, darunter Facebook, Instagram, Amazon, eBay, Etsy, Twitter und das Portal für die WAX Cloud Wallet.

Siehe auch: