TCLBanker: Neuer Banking-Trojaner wurde mit einem Wurm verpaart

Sicherheitsexperten warnen vor einer neuen, hochentwickelten Schadsoftware namens "TCLBanker". Der Trojaner nimmt über 50 Finanzplattformen ins Visier und nutzt eine raffinierte Tarnung sowie automatisierte Wurm-Funktionen.

Nimmt viele Plattformen ins Visier

Forscher von Elastic Security Labs haben die Bedrohung entdeckt, die eine Weiterentwicklung der älteren Maverick-Malware darstellt. TCLBanker zielt auf insgesamt 59 Plattformen ab, darunter klassische Banking-Anwendungen, Fintech-Dienste und Kryptowährungs-Börsen.

Besonders tückisch ist der Infektionsweg: Die Angreifer nutzen eine manipulierte Installationsdatei des "Logitech AI Prompt Builder". Da die Schadsoftware mittels DLL-Side-Loadings innerhalb des Kontextes der echten Logitech-Anwendung ausgeführt wird, bleiben herkömmliche Sicherheitsprogramme oft stumm.


Was TCLBanker von herkömmlichen Trojanern unterscheidet, ist seine Fähigkeit zur autonomen Ausbreitung. Die Malware enthält Module, die gezielt WhatsApp Web und Microsoft Outlook missbrauchen. Sobald ein System infiziert ist, durchsucht der Trojaner die Kontaktlisten und versendet eigenständig Phishing-Nachrichten oder infizierte Links. So nutzt die Software das Vertrauensverhältnis zwischen Kontakten aus, um neue Opfer zu finden. Code-Artefakte deuten außerdem darauf hin, dass bei der Entwicklung möglicherweise KI-Systeme zum Einsatz kamen.

Sobald TCLBanker aktiv ist, überwacht er im Sekundentakt die Adresszeile des Browsers. Ruft der Nutzer eine der Zielseiten auf, baut die Malware eine Verbindung zu den Hintermännern auf. Diese erhalten dann nahezu die vollständige Kontrolle: Von Live-Streaming des Bildschirms und Keylogging bis hin zur Fernsteuerung von Maus und Tastatur ist alles möglich.

Geschickt und versteckt

Besonders perfide ist ein System aus gefälschten Overlays. Den Opfern werden täuschend echte Eingabemasken für PINs oder Passwörter angezeigt, während im Hintergrund die Konten kompromittiert werden. Um unentdeckt zu bleiben, blockiert der Trojaner sogar den Windows Task-Manager.

Aktuell konzentriert sich TCLBanker primär auf Nutzer in Brasilien. Die Experten warnen jedoch, dass Malware aus dem lateinamerikanischen Raum in der Vergangenheit oft sehr schnell auf globale Ziele angepasst wurde. Durch die hohe Widerstandsfähigkeit gegen Analyse-Tools stellt TCLBanker eine ernstzunehmende Gefahr für die internationale IT-Sicherheit dar, hieß es.


Siehe auch: