Android News & Gerüchte Zeus-Trojaner greift mTAN-Verfahren unter Android an

[TV Pirat]

Zeus-in-the-Mobile spioniert mTAN-SMS aus

Der Antiviren-Hersteller Kaspersky hat Hinweise entdeckt, dass eine neue Angriffswelle mit Hilfe des im Prinzip seit September 2010 bekannten Schädlings Zeus und Zeus-in-the-Mobile (abgekürzt oft als ZitMo bezeichnet) bevor stehen könnte. Nun wurden neue Fassungen für die mobilen Betriebssysteme Android und Blackberry entdeckt. Diese arbeiten zusammen, um Zugangsdaten zu Online-Banking-Portalen bei betroffenen Nutzern auszuspionieren und die zur Autorisierung einer Überweisung nötige mTAN auszulesen.

Beide Komponenten des Angriffs sind stark spezialisiert. Der Windows-Trojaner verändert gezielt bestimmte Banking-Seiten - nach Kaspersky-Angaben zur Zeit nur für Opfer in Deutschland, Italien und Spanien.

Zeus-Trojaner: Schadsoftware im Zusammenspiel

Unter dem Namen Zeus findet sich zunächst der Trojaner für Windows-Systeme. Der Trojaner spioniert die Zugangsdaten zu Online-Banking-Seiten aus, in dem er die angezeigte Banking-Seite dahingehend manipuliert, dass alle Daten zu einem vom Angreifer kontrollierten Server umleitet. Außerdem wird der Nutzer aufgefordert, eine "Sicherheits-Software" auf sein Smartphone zu laden, die angeblich für gesteigerte Sicherheit sorgen soll.

Statt einer Sicherheitssoftware erhält der Nutzer jedoch eine Spionage-App (Zeus-in-the-Mobile, ZitMo), die dafür gedacht ist, eingehende SMS an einen von den Betrügern kontrollierten Server weiterzuleiten - außerdem verschleiert er den Empfang einer mTAN-SMS. Nun meldet sich ein Fenster, das auf die erfolgreiche Installation hinweist und den Aktivierungscode 7725486193 angibt.

Im Hintergrund spioniert die App nun eingehende SMS aus - nach Kaspersky-Angaben werden auf Android-Smartphones sämtliche SMS an eine schwedische Rufnummer weitergeleitet. Den Betrügern ist es nun möglich, Geld vom Konto der Opfer auf andere Konten zu transferieren. Die Sicherheitsmaßnahme mTAN ist erfolgreich ausgehebelt.

Bislang war insbesondere die Android-Fassung des Trojaners eher primitiv und nicht mit allen Funktionen ausgestattet, die die Blackberry-, Symbian- oder Windows-Mobile-Pendants aufwiesen. Mit der nun entdeckten Fassung habe sich dies aber geändert. Der Trojaner sei nun dahingehend erweitert worden, dass er auch Kommandos von den Betrügern entgegen nehmen könne.

Fraglich bleibt nun, ob die gefundenen Hinweise auf eine neue Angriffswelle hindeuten. Kaspersky betont, dass neu aufgefundene Schädlinge nicht unbedingt bedeuten müssen, dass eine solche bevorsteht. Erkennbar sei jedoch, dass an dem Trojaner und seinen Ablegern für mobile Betriebssysteme gearbeitet werde.

Schutz vor Zeus & Co.: mTAN-Verfahren sicher nutzen

Der Trojaner Zeus und Zeus-in-the-Mobile erfordert ein abgestimmtes Verhalten auf zwei unterschiedlichen Geräten. Der erste Angriffspunkt kann leicht dadurch abgesichert werden, indem stets aktuelle Sicherheitsupdates installiert werden. Auch Nutzer alternativer Betriebssysteme wie Mac und Linux haben Sicherheitsvorteile. Grundsätzlich sollte ein aktueller Virenscanner genutzt werden.

Auf einem Android-Smartphone kann die Installation von Software aus fremden Quellen deaktiviert werden. Außerdem sollte stets überprüft werden, ob zu installierende Apps so wenig Berechtigungen wie möglich verlangen.

Wer ganz sicher gehen möchte, kann sich entweder auf alternative TAN-Verfahren verlassen, wie iTAN oder chipTAN - soweit die eigene Bank eines der Verfahren anbietet. Wer auf die mTAN nicht verzichten möchte, könnte ein eigenes Handy dafür nutzen. Dafür reicht ein preisgünstiges Handy der 30-Euro-Klasse aus. Mit einer kostenlosen Prepaid-Karte ist das Handy mit einer eigenen Rufnummer ausgestattet.

Zu guter Letzt sollten auch Nutzer selbst vorsichtig sein. Insbesondere die Aufforderung der Banking-Seite, zusätzliche Software auf dem Smartphone zu installieren, sollte skeptisch beäugt werden. Zumindest ein Erkennungszeichen scheinen die Betrüger jedoch mittlerweile anzugehen: War früher oftmals an schlechter Grammatik ein Betrugsversuch erkennbar (gerade heute im Postfach gelandet: "Wir gesperrt Ihrem Konto für sicherheit"), leisten sich die Zeus-Betrüger keine solche Schwäche. Kaspersky nennt als wesentliche Änderung auf der Blackberry-Plattform: "Virus writers finally fixed grammar mistake in the ‘App Instaled OK’ phrase" (übersetzt: "Die Viren-Entwickler haben nun auch den Rechtschreibfehler 'App instaled OK' ausgebessert.").

Quelle: teltarif.de

 

[TV Pirat]

Gauss-Trojaner späht Bankdaten im Staatsauftrag aus

09.08.2012

Finanztransaktionen im Nahen Osten wurden überwacht

Die IT-Sicherheitsfirma Kaspersky hat eine Schadsoftware entdeckt, die offenbar in staatlichem Auftrag Banküberweisungen im Nahen Osten ausgespäht hat. Bei dem Trojaner handle es sich um eine spezielle Anpassung des Schadprogramms Flame (das an Stuxnet erinnert), sagte Kaspersky-Chefanalyst Magnus Kalkuhl der Nachrichtenagentur dpa. Flame wurde im Mai von Kaspersky entdeckt und nach Informationen der "Washington Post" von den USA und Israel entwickelt. Gauss sei aber kleiner und nicht ganz so komplex und vielfältig einsetzbar wie der im Mai entdeckte Schädling Flame. Seine Entwickler richteten ihr Augenmerk besonders auf die Tarnung des Trojaners.

Der Online-Banking-Trojaner mit der Bezeichnung Gauss leitet im Unterschied zu den bekannten Werkzeugen von kriminellen Internetbetrügern keine Bankgeschäfte zum Schaden der Nutzer ein, sondern späht aus, welche Banktransaktionen vorgenommen werden. Im Libanon seien im Juni und Juli rund 2 500 Infektionen von PCs registriert worden, darunter mehr als 1 600 im Libanon, 480 in Israel und 260 in den palästinensischen Gebieten, sagte Kalkuhl. In der Türkei und Syrien sei es nur vereinzelt Rechner von Gauss befallen gewesen.

Namensgeber ist deutscher Mathematiker Carl Friedrich Gauss

Der Name des deutschen Mathematikers Carl Friedrich Gauss (1777-1855) sei im Code der Hauptkomponente des Trojaners gefunden worden, erklärte Kalkuhl. Die Schadsoftware infiziert nach seinen Angaben Windows-Computer und USB-Sticks und überträgt die ausgespähten Daten zu einem nicht näher bezeichneten Server. Nach 30 Einsätzen zerstört sich Gauss selbst und ist dann nicht mehr sichtbar.

Laut Kaspersky handelt es sich beim Gauss-Trojaner um den ersten Fall eines staatlich eingesetzten Online-Banking-Trojaners. Gauss wurde offenbar im Rahmen weiterer Untersuchungen zu Flame gefunden. Die Architektur und Struktur der Module sowie Code-Basis und Kommunikationsformen sollen in vielen Punkten mit Flame vergleichbar sein. Kaspersky ist momentan im Auftrag der International Telecommunication Union (ITU) damit beschäftigt, die von Cyber-Waffen ausgehenden Risiken zu untersuchen, um so zu einer "friedvollen Ausrichtung" des Internet beizutragen.

Die Gründe für den Einsatz von Gauss seien nicht bekannt, sagte der Kaspersky-Sprecher. "Wir haben nur die Fakten, wir spekulieren nicht über das Warum." Das Kaspersky-Team sei aber überrascht, so bald eine neue Schadsoftware mit staatlichem Hintergrund zu entdecken. Es sei zu befürchten, dass es weitere Kapitel in dieser Geschichte geben werde. "Da sollte etwas getan werden", sagte der Experte. Nötig sei eine internationale Diskussion, vielleicht auf Ebene der Vereinten Nationen. "Das geschieht aber nicht."

Das macht "Gauss" konkret im Nahen Osten

Aus der Untersuchung ergaben sich Hinweise, dass Gauss etwa seit September 2011 aktiv ist, entdeckt wurde die Schadsoftware im Juni 2012. Die Kontakt-Server von Gauss wurden im Juli 2012 kurz nach ihrer Entdeckung deaktiviert. Damit befinden sich die noch im Umlauf befindlichen Schädlinge in einer Art Schlafmodus, da von den Servern keine neuen Anweisungen mehr zu den infizierten Computern durchdringen.

Seit Ende Mai 2012 wurden offenbar mehr als 2 500 Infektionen vom cloud-basierten Sicherheitssystem von Kaspersky aufgezeichnet. Damit könnten die von Gauss infizierten Opfer nach einer Prognose in die Zehntausende gehen. Die Zahl der Infektionen liegt wohl unter jener von Stuxnet, jedoch anscheinend über der Zahl der Attacken durch Flame und Duqu.

Gauss klaut von den infizierten PCs beispielsweise die Browser-Historie, Cookies, Passwörter und Systemeinstellungen. Der Schädling kann auch Zugangsdaten zum Online-Banking sowie zu weiteren Zahlungsarten stehlen.

Der Trojaner Gauss wurde offenbar so programmiert, dass speziell Daten im Zusammenhang mit mehreren libanesischen Banken (darunter Bank of Beirut, EBLF, BlomBank, ByblosBank, FransaBank und Credit Libanais) entwendet werden konnten. Darüber hinaus waren wohl auch Citibank- und PayPal-Kunden Ziel der Attacken.

Quelle: teltarif.de