Kombinierte Attacke auf Mobile Geräte

Transkript

1 Kombinierte Attacke auf Mobile Geräte 1

2 Was haben wir vorbereitet Man in the Middle Attacken gegen SmartPhone - Wie kommen Angreifer auf das Endgerät - Visualisierung der Attacke Via Exploit wird Malware nachgeladen - Browserrechte gehen auf Angreifer über 2

3 Phase 1 Man in the Middle Typische Attacke um Datenverkehr abzufangen Funktioniert nur unter gewissen Voraussetzungen Funktionsweise: Abfangen der Datenverbindung Manipulation der Daten nicht ausgeschlossen 3

4 4

5 Phase 2 Exploit des Browsers 5

6 Link auf den Generator (Trojaner) wird über SMS oder Phishing-Mails vorgeblich von der Bank verschickt cp/server.php Der Trojaner sendet den Zugangscode ab diesem Zeitpunkt an eine Telefonnummer bzw einen Server im Web welche beliebig sein können und in einem xml file im TrojanerCoder mitgeführt werden Transaction wird durch gestohlene SMS bestätigt Download des vermeintlichen TokenGenerator Malware phisht Aktivierungs Code den der User am Endgerät eintippt Malware schickt Bestätigungs- SMS IMEI / IMSI Transaction Bestätigungs SMS Angreifer kann Konto einloggen und TAN anfordern Malware überweisst Geld (PC ist proxy) User Accesses Site Online-Banking Website Wird die App installiert scheint sie wie eine reguläre Bank-App auf Mit Token wir auch Trojaner installiert/aktiv 6

7 Was gilt es für mich zu beachten? Man in the Middle Attacken Nicht verschlüsselte W-LANs meiden VPN verwenden SSL Meldungen ernst nehmen Nicht von fremden PCs einloggen Echtzeit Virenscan 7

8 Guides zum Umgang mit mobiler Hardware Lese ich alle Berechtigungen und weiß was sie bedeuten? Sind die App Bewertungen gut, gibt es schlechte Kommentare? Wie hoch ist die Anzahl der Downloads? Mache ich regelmäßige Updates von Apps und Android? Ist mein Virenscanner aktuell? Habe ich automatische Scanvorgänge aktiviert? Habe ich Premium Nummern bei meinem Provider sperren lassen? Ist das USB-Debugging auf meinem Gerät deaktiviert? Ist mein Gerät nicht gerootet / jailbreaked? Habe ich die Installation von unbekannten Anwendungen verboten? 8

9 Q & A Sebastian Bachmann bachmann.s@ikarus.at 9

10 MitM auf SSL Browser MitM können schnell erkannt werden Rote Adressleiste = Problem mit dem Zertifikat Grüne Adressleiste = Vertrautes und Gültiges Zertifikat Gelbes Ausrufezeichen = Verbindung prinzipell sicher, allerdings Warnung Weitere Informationen im Kontextmenü 10

11 Projektmanagement für Hacker Zieldefinition Welche Daten möchte ich haben? Wie viel Zeit steht mir zur Verfügung? Was sind die technischen Voraussetzungen? Planung erhöht die Chancen auf Erfolg Suchen einer passende Angriffsmethode Effektivitätsrate Hoch: für gezielte Angriffe (zb Spionage) Niedrig: für Massenangriffe (zb Phishing) Informationen über das Opfer suchen Stichwort Social Engineering 11

12 Schutz von Exploits & Zero Days Fast nicht gegeben Beispiel: Java und Flash Exploits Malware verwendet sehr häufig Java und Flash Exploits System aktuell halten Man kann sich nicht vor etwas schützen das man nicht kennt 12

13 Guides zum Umgang mit mobiler Hardware Ein Smartphone ist ein vollwertiger PC Die selben Sicherheitskonzepte können angewendet werden Es treten die selben Probleme auf Allerdings: Anwender sehen Smartphones als Telefon! 13

14 Schutz vor Drive-by Downloads Verwenden meistens JavaScript Automatisches Ausführen von Dateien deaktivieren Standard unter vielen modernen Betriebssystemen Firewall kann helfen Muss allerdings deep-package scanning unterstützen und einen Virenscanner verwenden Anti-Virus Software am PC scannt Downloads 14