Aktuelle Phishingfälle- Sicherheitskontrolle fast immer dabei!

Transkript

1 Aktuelle Phishingfälle- Sicherheitskontrolle fast immer dabei! Eine Auswertung der seit Beginn des Jahres aufgetretenen Phishingfälle, sowie unterschiedliche mediale Beiträge zum Thema Phishing, zeigen einen deutlichen Trend. Nach wie vor werden in der Mehrzahl der Fälle klassische Social Engineering-Methoden verwendet, um missbräuchliche Überweisungen zu generieren. In vielen Fällen wird dies unter dem Aspekt einer angeblichen Sicherheitskontrolle getan. Fälle mit übernommenen Smartphones, Ersatz- SIM-Karten oder direkte Kontaktierung des Kunden per Telefon oder Brief treten weitaus weniger auf. Technischer Hintergrund - wie kommt der Trojaner auf den PC? Auch im Fall der aktuell laufenden Phishingwellen, in denen Mails angeblich im Namen der Telekom, Vodafone oder der Fiducia versendet werden, scheint es hauptsächlich auf klassisches Social Engineering herauszulaufen. Eine eindeutige Zuordnung von Phishingmails hin zu einem Social Engineering-Angriff ist zwar technisch ohne Auswertung des PCs der Betroffenen nicht möglich - dennoch weisen die Kundenangaben vermehrt darauf hin, dass durch das Öffnen des Links in den erwähnten Phishingmails ein Trojaner auf dem PC installiert wurde, der im Kontext einer angeblichen Sicherheitskontrolle agiert. In der Regel wird diese mit der Aufforderung verbunden, eine Demofunktion zu nutzen oder einen Test durchzuführen, um die Sicherheit des Systems zu bestätigen. Kommt der Benutzer dieser Aufforderung nach, wird die missbräuchliche Transaktion durchgeführt. Die zum Infizieren der Rechner verwendeten Phishingmails sind in vielen Fällen auf den ersten Blick von integeren Mails kaum zu unterscheiden. Gerade die nachgemachten angeblichen Rechnungen der Telekommunikationsunternehmen erwecken auch bei sensibilisierten Benutzern kaum Argwohn. Auch Spamfilter haben Probleme, die Phishingmails von gewollten Mails zu unterscheiden. In anderen Fällen, beispielsweise bei den Mails im Namen der Fiducia, nutzen die Betrüger eine andere Social Engineering Methode. Dem Empfänger wird suggeriert, von seinem Konto sei ungewollt Geld abgebucht worden. Die Verunsicherung und die Angst vor dem finanziellen Verlust setzen den Empfänger unter Druck, so dass er meist in einer Kurzschlussreaktion auf den Link in der Mail klickt.

2 Obgleich es so aussieht, als kämen die Mails von diesen Unternehmen (inzwischen wird in vielen Fällen die Absenderadresse gefälscht, beispielsweise auf etc. ), sind die Unternehmen in deren Namen die Mails verschickt werden machtlos gegen diese Spamwellen. Das Protokoll zum Versenden von Mails (SMTP) bietet keinen wirksamen Schutz gegen das Anzeigen einer gefälschten Mailadresse. Lediglich im header, der aber in der Regel standardmäßig nicht angezeigt wird, ist der tatsächliche Absender erkennbar. Da es sich hier aber um gehackte Mailkonten handelt, kann auch an dieser Stelle das Versenden der Mails nicht wirksam unterbunden werden. Klickt nun der Empfänger der Phishingmail auf den in der Mail eingebetteten Link, wird er auf einen Webserver weitergeleitet, welcher den Online-Banking-Trojaner verteilt. Hierbei handelt es sich zumeist um gehackte Webserver bzw. Webserver, auf denen ein gehacktes Content Management System (Anwendung zum Erstellen und Verwalten von Webseiten) läuft. Da die Betrüger den Schadcode auf sehr viele unterschiedliche Webserver verteilen ist es nicht wie in der Vergangenheit möglich, eine Webseite aus dem Internet entfernen zu lassen und damit die Gefahr zu beseitigen.

3 Die uns vorliegenden Daten zeigen, dass vergleichsweise wenige Weiterleitungen auf ein und denselben Webserver mehrfach in Mails verwendet werden. Öffnet der Benutzer nun die Datei, die ihm über den Link angeboten wird, kompromittiert der Online-Banking-Trojaner den PC des Kunden*. Da die Trojaner - genau wie die Phishingmails und die verwendeten Links in den Mails - von den Betrügern fortlaufend leicht modifiziert werden, ist die Erkennungsrate durch Virenscanner schlecht. Der Trojaner lädt anschließend "passende" Module nach, um das vom Anwender verwendete Online-Banking zu modifizieren. Auf diese Weise kann auch ein Trojaner, der ursprünglich über den Link in einer gefälschten Sparkassenmail auf den Rechner geladen wurde, das Online-Banking der VR-Banken befallen. Die Modifizierung findet im Browser des Anwenders statt, in dem der Trojaner zusätzliche Inhalte einfügt. Dies geschieht ausschließlich auf dem PC des Kunden und ist daher im Rechenzentrum nicht als Angriff erkennbar. Zertifikat des Online-Bankings, verschlüsselte Verbindung, URL etc. bleiben im Original erhalten, was es dem Anwender erschwert, den Trojanerangriff zu erkennen. *) Theoretisch ist es auch möglich, dass der PC des Anwenders alleine durch das Besuchen der Webseite verseucht wird ("Drive-By-Download"). Wir konnten jedoch bei unseren bisherigen Analysen keine Webserver erkennen, bei welchen diese Methode angewandt wurde.

4 Die Masche mit der Sicherheit Um nun den Kunden zu einer missbräuchlichen Überweisung zu bewegen, verwenden GEODO und auch andere Trojaner gerne die Social-Engineering-Methode "Sicherheitskontrolle". Dies geschieht mittels einer sogenannten "Browser Injection": Es werden zusätzliche bzw. abgewandelte Inhalte im Browser angezeigt, während im Hintergund das ganz normale Online-Banking läuft. Den Kunden wird suggeriert, dass zur Absicherung des Online-Bankings neue Einstellungen oder andere Verbesserungen vorgenommen wurden und diese nun durch den Kunden zu testen seien. Da der Kunde selber ein erhöhtes Sicherheitsbedürfnis hat, kommt er dieser Aufforderung gerne nach. Die "Sicherheitskontrollen" variieren leicht in ihrem Erscheinungsbild. Zudem gibt es verschiedene Vorwände, unter denen die Überweisung getätigt werden sollen: SEPA-Demoüberweisung Testüberweisung Test-SMS In jedem dieser Fälle generiert der Anwender eine valide Überweisung, durch welche ihm finanzielle Schäden entstehen. Die Methode funktioniert unabhängig vom eingesetzten Verfahren (mobiletan / Sm@rtTAN / Sm@rtTAN plus), da die Verwendung der TAN bewusst durch den Kunden erfolgt.

5 In der Vergangenheit war zudem die Methode der "Rücküberweisung" erfolgreich - diese wurde von uns in den aktuellen Fällen allerdings weniger beobachtet. Wir raten daher die Kunden dahingehend zu sensibilisieren, dass es weder Sicherheitskontrollen auf den Rechnern der Kunden gibt, noch dass eine Bank den Kunden im Online-Banking zu einer Rücküberweisung auffordern würde. Wenn die Kunden mit diesen Aspekten des Online-Bankings vertraut sind, können viele potentielle Schadensfälle vermieden werden. Quelle: Fiducia IT AG Erstellt: :31:16 Uhr. Letzte Änderung: :08:29 Uhr.