ChipTAN-Nutzer durch neuen Online-Banking-Trojaner gefährdet

06.09.12  08:30 | Artikel: 954587 | News-Artikel (Red)

ChipTAN-Nutzer durch neuen Online-Banking-Trojaner gefährdetDer von Trusteer entdeckte Trojaner Tatanga versucht aktuell mit einer neuen Masche Online-Banking-Nutzer um Ihr sauer erspartes zu erleichtern. Betroffen sind Nutzer, die das sogenannte chipTAN-comfort-Verfahren nutzen.

Beim recht neuen chipTAN comfort muss für jede Transaktion die Bankkarte in ein Lesegerät gesteckt werden, welches anschließend über ein flackerndes Feld auf dem PC-Bildschirm gehalten wird – den sogenannten Flickercode. Durch diese Blinksignale übermittelt die Bank Informationen über die anstehende Transaktion an das Lesegerät. Dieser generiert dann eine passende Transaktionsnummer (TAN) und gibt diese auf dem Display aus. Mit Eingabe der TAN bestätigt der Bankkunde dann die Transaktion gegenüber dem System.

Die Virenexperten von Trusteer haben aktuell eine neue Tatanga-Version entdeckt. Diese Version fungiert als Man-in-the-Browser, indem sie nach der Anmeldung auf der Bank-Website vorgibt, ein Test des chipTAN-Verfahrens müsse durchgeführt werden. Zur Ausführung des Tests muss der Nutzer das Lesegerät auf einen Flickercode halten und die generierte TAN in ein spezielles Formular eintippen. Wer dies tut, dem fehlt anschließend Geld auf dem Konto: Die generierte Test-TAN wird von den Betrügern für eine echte Überweisung verwendet.

Proteus Solutions News: SmartTAN Plus Card Reader (www.vasco.com)Das Lesegerät generiert einen völlig korrekten Code, der auch vom System so angenommen wird. Allerdings wird der generierte Code für eigene Überweisungen genutzt. Damit dies nicht offensichtlich ist, wird die Website durch den Trojaner derart manipuliert, dass der illegal überwiesene Betrag stillschweigend im Hintergrund verrechnet und der Kontostand angepasst wird.

Zwar werden die Daten zu der betrügerischen Überweisung tatsächlich auch im Display des Readers angezeigt, doch darauf sind die Abzocker vorbereitet: Sie lassen die Daten auch auf dem Bildschirm des Opfers erscheinen und fordern es auf, die Angaben zu der vermeintlichen Test-Überweisung auf PC-Bildschirm und Reader zu vergleichen.

"chipTAN-Systeme gelten als relativ sicher, da die generierte TAN sowohl auf die Überweisungsdetails als auch auf den von der Bank ausgestellten Chip und die Bankkarte ausgelegt ist. Die Attacke veranschaulicht jedoch, dass die chipTAN-Sicherheit mithilfe von Man-in-the-Browser-Techniken und Social-Engineering-Methoden umgangen werden kann. Die Integrität von Zweifaktor-Sicherheitsmaßnahmen wie chipTAN kann ausschließlich durch die Implementierung von Schutzmechanismen gegen hoch entwickelte Malware wie Tatanga, Zeus und andere am Endpunkt gewährleistet werden.", so Trusteer.

Angaben zum Status der SSL-Verbindungen machte Trusteer allerdings nicht.

Lesen Sie auch:
Sicherer Umgang mit Kreditkarten - neue Sicherheitslücken aufgedeckt
iTAN, SmartTan, mTAN: Was ist sicher?
Ergänzung: iTAN, SmartTan, mTAN: Was ist sicher?






Autor: Björn-Lars Kuhn

Journalist bdfjBjörn-Lars Kuhn ist einer der Inhaber der Proteus Solutions GbR, Buchautor, Datenschutzbeauftragter (IHK), Fachjournalist (bdfj) in den Bereichen Datenschutz, Netzpolitik und Erneuerbare Energien und Redakteur dieser Nachrichtenseite.



Themenbereiche:

Datenschutz | Sicherheit | Wissen

Schlagworte:

Trusteer | Trojaner (3) | Tatanga | Bankkarte (2) | Online-Banking (12) | chipTAN-comfort-Verfahren | Sicherheit (143)