Er is nieuwe malware ontdekt die wachtwoorden verzamelt voordat deze door Internet Explorer gecodeerd kunnen worden, zo meldt het SANS Internet Storm Center. De applicatie doet zich voor als een .gif-bestand, maar bestaat in werkelijkheid uit een gecomprimeerd uitvoerbaar bestand. Als dit uitgevoerd wordt, wordt een .dll-bestand geïnstalleerd in de Windows systeemdirectory, waarna het geregistreerd wordt als een Internet Explorer Browser Helper Object (BHO). BHO's zijn oorspronkelijk bedoeld om ontwikkelaars in staat te stellen de Microsoft browser te besturen en aan te passen, en hebben dan ook toegang tot alle gebeurtenissen en eigenschappen van een sessie.
Deze bewuste BHO misbruikt deze eigenschap om toegang tot enkele tientallen bankwebsites in de gaten te houden. Zodra een uitgaande verbinding naar een gemonitorde HTTPS-site wordt bemerkt, slaat de BHO ingevulde data op voordat deze geëncrypteerd wordt. Vervolgens worden de gegevens automatisch verzonden naar een moederwebsite. Er is nog geen oplossing bekend voor het probleem, maar met behulp van de BHODemon kunnen alle geïnstalleerde BHO's weergegeven en indien nodig uitgeschakeld worden.