ZeusBot befällt tausende "vertrauenswürdige" Webseiten
 

Wird der ZBot auf einem System via Exploit Code Ausführung gestartet sucht er nach temporär gespeicherten ftp login Daten. Wird er fündigt werden diese Daten an einen Server auf den Cayman Inseln übertragen. Von dort aus wird eine Routine gestartet die das infizierte System veranlasst sich in die kompromitierte Webseite einzuloggen und ein schädliches Skript zu injizieren.
Dieses schädliche Skript leitet Besucher der kompromitierten Seite unbemerkt auf eine schädliche Webseite um die das System des Users systematisch auf mehrere Schwachsstellen und anfällige Programme untersucht. Der Internt Browser, Flash-Player, Shockwave-Player, Winamp, AdobeReader und viele weitere Anwendungen gehören zu den Zielen. Wird eine oder mehrere Schwachstellen gefunden wird über diese der anfänglich genannte Exploit Code gestartet wodurch der Rechner dem ZBot-Netz hinzugefügt wird.
Dieser immer wiederkehrende Infektions-Kreis garantiert eine exponentiell ansteigende Zahl an infizierten Maschinen. Letzten Mittwoch zählte PrevX-Research 66.000 gestohlene ftp logins. Diese Zahl stieg bis letzten Freitag auf 74.000 und steigt wahrscheinlich weiter.
Besonders Besorgnis erregend liest sich die Liste kompromitierter Webseiten. Darunter finden sich:
NASA, Cisco, Kaspersky, McAfee, Symantec, Amazon, Bank of America, Oracle, ABC, BusinessWeek, Bloomberg, Disney, Monster, und die Queensland Verwaltung.
Man kann also durchaus sagen, dass es keine "vertrauenswürdigen" Webseiten mehr gibt. Jede Internet Seite ist ein potentielles Risiko für den Besucher.

Schützen kann man sich indem man alle installierten Programme sowie das Betriebssystem regelmäßig updatet und überprüft ob weitere Sicherheitslücken bestehen. Secunia PSI tut dies recht zuverlässig.
Die FireFox Erweiterung NoSkript bewahrt einen ebenfalls vor einer solchen Infektion solange man keine Internetseiten als "vertrauenswürdig" einstuft.

Weiter Informationen in englischer Sprache gibt es unter:
http://www.prevx.com/blog/132/Compromised-FTP-details-being-exploited-by-in-the-wild-malware.html
http://www.thetechherald.com/article.php/200927/3960/ZBot-data-dump-discovered-with-over-74-000-FTP-credentials