Er nimmt Ihre gespeicherten Passwörter, Ihren WLAN-Schlüssel und die Roblox-Sitzung Ihres Kindes
Zwei Punkte auf der Einkaufsliste dieses Diebes fallen auf, weil sich die meisten weder um das eine noch um das andere kümmern: das Passwort Ihres heimischen WLANs und Roblox-Sitzungscookies.
K7 Security Labs hat ein verschachteltes Archiv zerlegt, das in einer Datei mit dem fast rührenden Namen "my new program called 2.rar" steckte, und was darin lag, ist nicht ganz Schadsoftware. Es ist eine Fabrik. Mit TokenGrabberBuilder trägt man eine Discord- oder Telegram-Adresse ein, an die die gestohlenen Daten geliefert werden sollen, drückt eine Taste und erhält ein ganz eigenes Windows-Programm, mit Nuitka oder PyInstaller kompiliert, damit es wie eine ganz gewöhnliche .exe daherkommt.
Das so gebaute Programm arbeitet sich durch 17 Chromium-basierte Browser, Chrome, Edge, Brave und die übrigen, dazu Firefox, und ruft die Datenschutzfunktionen von Windows selbst auf, um die darin gespeicherten Passwörter, Kartendaten, den Verlauf und die Sitzungscookies zu entsiegeln. Danach sammelt es Discord-Token, Roblox-Cookies, die gespeicherten WLAN-Profile samt Schlüsseln und ein Porträt der Maschine bis hin zu Zeitzone und ungefährem Standort. Es sorgt gleich doppelt für seinen Start: ein Registry-Eintrag unter Run namens WindowsUpdate und eine geplante Aufgabe, die bei der Anmeldung ausgelöst wird.
Da jeder Betreiber sein eigenes Exemplar baut, gleicht keine Kopie der anderen, was der ganze Sinn der Sache ist und erklärt, warum der Abgleich von Dateien mit einer Liste bekannter Schädlinge hier so schlecht abschneidet. Alles hängt weiterhin daran, dass jemand ein Archiv öffnet und ausführt, was darin steckt, und solche Archive kursieren als Spiele-Cheats, geknackte Software und, nun ja, das neue Programm von irgendwem. Wenn Sie vermuten, dass so etwas auf Ihrem PC geöffnet wurde, ändern Sie neben allem anderen auch das WLAN-Passwort, und der Netzwerkscan von Tendvane zeigt Ihnen danach, was tatsächlich mit diesem Netzwerk verbunden ist.