Neuer Trojaner liest CAPTCHAs aus und umgeht Schutz

Ein CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist eine Art Sicherheitsabfrage, die dazu dient, zu unterscheiden, ob Mensch oder Maschine sich am Rechner befindet und die Eingaben tätigt. Hauptsächlich wird diese Maßnahme bei Online-Formularen und Registrierungen verwendet, um damit Bots fernzuhalten.

: Typisches CAPTCHA

Bei den typischen CAPTCHAs bekommt der Anwender eine Zeichenfolge angezeigt, die in der Regel verzerrt oder durch den Hintergrund so verwischt werden, dass sie mehr oder weniger schwer zu lesen sind. Ein Computer braucht für diese Zeichenfolgen meist eine sehr aufwendige Mustererkennung.

Websense Security Labs berichten in ihrem Blog über den Trojaner Cridex, einem Banken-Trojaner ähnlich dem Zeus-Bot, der es auf Bankdaten abgesehen hat und unter anderem auch die Zugangsdaten von Paypal, Facebook, Twitter u. Ä. im Visier hat.

Der Trojaner nutzt dabei ein sogenanntes Spamming-Modul, um sich selbst mit Hilfe von Spam-Mails zu verbreiten und die Zahl der infizierten Systeme für das Botnetz zu erhöhen.

Die eigentliche Neuerung bei dieser Variante ist die Möglichkeit, über einen Remote-Server, CAPTCHAs zu brechen und somit selbstständig eine Registrierung für eine E-Mail-Adresse durchzuführen, um mit dieser neu generierten Adresse dann wieder Spam zu verschicken.

Das Webmail-Element des Trojaners füllt in dem Beispiel von Websense Pseudodaten in ein Registrierungsformular von Yahoo ein. Das CAPTCHA, das für die erfolgreiche Erstellung der E-Mail-Adresse notwendig ist, wird per HTTP Post-Request an einen Remote-Server im Internet gesendet, wo dieses versucht wird maschinell zu entschlüsseln. Das Ergebnis wird zurück an das infizierte System geschickt und in der Eingabemaske eingegeben. Sollte das Ergebnis des Remote-Servers falsch sein und nicht zu dem CAPTCHA passen, wird der Vorgang für das nun neu erstellte CAPTCHA wiederholt, bis das Ergebnis mit der Zeichenfolge korrespondiert.

: Die analysierten CAPTCHAs mit den Ergebnissen

In dem oben gezeigten Beispiel brauchte die Malware sechs Versuche um das CAPTCHA zu knacken und einen neuen Account anzulegen. Wenn man diese Erfolgsrate auf die Anzahl der Rechner aus diesem Botnetz hochrechnet, lassen sich innerhalb kürzester Zeit unzählige frische Mailaccounts generieren, von denen aus weiter Malware verteilt werden kann.