Gameover ZeuS

Beschreibung

Gameover ZeuS (GOZ) war eine Weiterentwicklung des ZeuS-Keylogging-Bank-Trojaners mit P2P-Kommandostruktur.
Ab 2011 steuerte es über das Business-Club-Netzwerk Bankdaten nach Russland um und wurde 2014 durch die Operation Tovar international zerschlagen. Es diente auch der Verbreitung der Erpressungssoftware CryptoLocker.

Symptome

Kontobewegungen ohne Zustimmung, Weiterleitung von Zahlungen auf fremde Konten.
Kommunikation mit P2P- und DGA-Servern im Hintergrund.
Systeme mit speziellen GOZ-Sensoren der AV-Hersteller erkennbar.

Schadenspotenzial

Über 100 Millionen US-Dollar Schaden durch Bankraub und Konto-Übernahmen.
Verbreitung von CryptoLocker als Ergänzung zur Erpressung.
Unbestimmte Zahl infizierter Rechner (Hunderttausende).

Entfernung

Spezielle GOZ-Entfernungstools von Microsoft, McAfee und US-CERT nutzen.
Bankzugänge und Passwörter nach Bereinigung ändern.
System vom Netz halten, bis P2P-Prozesse entfernt sind.

Prävention

Webfilter und Anti-Phishing-Schutz für E-Mail einsetzen.
Aktuelle AV-Signaturen plus Netzwerk-Monitoring auf P2P-Verkehr.
Regelmäßige Kennwort- und Kontenprüfung.