Trojaner tarnt sich als Erweiterung für Mozilla Firefox

Nach Angaben der IT-Sicherheitsspezialisten von McAfee ist seit kurzem ein neuer Trojaner im Umlauf, der sich als Firefox-Erweiterung tarnt und persönliche Daten wie Identitätsinformationen und Passwörter sammelt und "nach Hause" sendet. Die Daten werden aus dem aktuellen Verkehr über IMAP oder POP3, sowie ICQ und FTP abgegriffen. Der von dem Unternehmen auf den Namen "FormSpy" getaufte Trojaner enthält einen Keylogger, der Tastatureingaben aufzeichnen kann, sowie einen Sniffer. Sämtliche Informationen werden an eine IP-Adresse gesendet, die fest im Code der Schad-Software verankert ist. Damit er seine Aktionen durchführen kann, muss der Anwender zunächst den Anhang einer gefälschten E-Mail öffnen.

FormSpy tarnt sich als die Firefox-Erweiterung Numberedlinks 0.9, mit der man eigentlich über Tastatureingaben im Internet surfen kann. Der Trojaner verwendet einen Teil des Codes der eigentlichen Extension, um sich in Firefox einzunisten. Dabei wird der sonst beim Installieren einer Erweiterung übliche Bestätigungsdialog nicht angezeigt, so dass der Anwender den Trojaner nicht bemerkt.

Die Existenz von FormSpy kann nur durch das plötzliche Auftauchen der gefälschten Erweiterung Numberedlinks 0.9 in der Extension-Liste nachgewiesen werden. McAfee forderte die Entwickler des Open-Source Browsers auf, mehr Zeit in die Sicherheit der Erweiterungen zu investieren, da man davon ausgeht, dass mit der zunehmenden Verbreitung der Software auch das Interesse der Viren- und Wurmautoren wächst.