Doppel-Phishing
Diebe bestehlen Diebe
Auf einer marokkanischen Website wird ein Phishing-Kit angeboten, das seinen Kunden nicht nur das Ausspionieren ihrer Opfer ermöglicht - es reicht alle Daten auch an den Anbieter des Tools weiter.
Es gibt keine Ehre unter Dieben - diese alte Weisheit findet immer wieder einmal Bestätigung. Im neuesten Fall bieten Malware-Programmierer aus Marokko ein ausdrücklich als Anfänger-tauglich angepriesenes Toolkit für Phishing-Angriffe an. Die Gruppe nennt sich "Mr-Brain" und zielt offenbar auf Neulinge im kriminellen Geschäft, wie das Sicherheitsunternehmen Netcraft meldet. Der Haken an dem angebotenen Tool ist, dass es nicht nur Daten bei den Opfern stiehlt sondern auch die Täter beklaut.
Eine nähere Untersuchung der einfach zu installierenden PHP-Scripte offenbart nämlich, dass die ausspionierten Daten der Opfer auch per Mail an die Programmierer des Phishing-Baukastens geschickt werden. Das Konfigurations-Script nutzt den Umstand aus, dass PHP bei Variablennamen zwischen Groß- und Kleinschreibung unterscheidet. So erscheint die Mail-Adresse von Mr-Brain oberflächlich betrachtet als wesentlicher Bestandteil des Toolkits, aber eben nicht in seiner wirklichen Funktion.
Die eigentliche Adresse steckt verschlüsselt in einer separaten PHP-Datei, die von einer harmlos erscheinenden Variable im Konfigurations-Script ausgelesen und von einem weiteren Script entschlüsselt wird. Die meisten der Kunden von Mr-Brain dürften diese Manipulation nicht bemerken, zumal sie selbst auch eine Kopie der Daten per Mail erhalten.
