Online-Banking-Trojaner hat es auf chipTAN-Nutzer abgesehen

http://www.heise.de/newsticker…01184.html

Mal 'nen neuer Phishing-Ansatz....

Hallo Platinenwurm,

deine Sparkasse hat immer noch recht.
Alle modernen PIN\TAN Verfahren haben einen Zweck. Sie sollen verhindern, dass ein von Dir erfasster Auftrag manipuliert wird und Du diesen frei gibst.
Der Angriff hier ist ein klassischer Social Engineering Angriff, der mit deinem Vertrauen spielt.
Bei diesem Angriff, wird dein PC manipuliert. Jemand erstellt eine Überweisung und lässt sich genau diese Daten von dir bestätigen. Dagegen hilft kein Verfahren.
Übertragen auf die nicht Onlinewelt ist das ungefähr so:
Du stehst vor der Bank, ein netter Herr im Anzug kommt aus der Bank und erzählt Dir, dass die ihre Systeme gerade überprüfen und du ihm dazu bitte deien Girocard und Pin geben sollst, da er testen muss, ob der Gelautomat sicher ist. Er geht mit deiner PIN und Karte rein, räumt dein Konto leer, kommt wieder raus und sagt Dir alles in Ordnung.

So blöd ist keiner?
Doch, alles schon geschehen. Beim Internetbanking ist das Vertrauen noch größer aber das Verständnis dafür, welche Situation seltsam ist deutlich kleiner (Es gibt keine Bank, die im produktiven System einen Test mit einem Kunden durchführt, bei dem Transaktionsdaten erzeugt und abgefragt werden)

Die ganzen Sicherheitsverfahren sind nur Hilfsmittel, nicht mehr und nicht weniger. Ich habe mal eine krasse Formulierung von einem Sicherheitsexperten gelesen:
Der KundenPC ist Kriegsgebiet........
das Problem dabei ist, dass dem normalen Anwender das nicht bewußt ist und er sich mit einer Naivität (das ist nicht abwertent gemeint) bewegt, als ob er im Garten Eden unterwegs ist. Und die Schlangen warten überall auf dem PC

Banking Produkte sind sicherlich ein gutes und geeignetes weiteres Hilfsmittel zur Risikominimierung. Aber auch hier gilt, einen absoluten Schutz gibt es nicht (auch wenn die Softwareprodukte da ein paar Möglichkeiten mehr haben)

Einen Rat für ein Kundenprodukt gibt es hier allerdings nicht, wenn es nicht gerade um sehr spezielle Anforderungen geht.

Viele Grüße

Holger

Virenscanner schauen nach bestimmten Codemustern. Wenn der Trojaner anders ist wird er nicht als Trojaner erkannt.


Was soll diese Signatur bringen? Wo ist definiert, welcher Hersteller "anerkannt" ist?


Genau so wie der Browser auch. Was sollten Firewalls hier bringen?


Bei diesem Virus eigentlich nicht. Er fälscht nur die im Browser angezeigte Webseite. Das heißt er klingt sich kurz vor dem Browser ein und manipuliert den Datenstrom.


Nur das letzte. Alles andere ist beim Browserbanking kein Schutz.


Ist es auch, solange es kein Starmoney-Trojaner gibt.

Beim Browserbanking kenne ich außer Mitdenken und Aufpassen keinen weiteren wirklich wirksamen Schutz.

Was diese Fragen betriff kannst Du Dir mal folgenden Artikel durchlesen:

http://www.heise.de/security/a…37160.html

Geschrieben wie zufällig von einem Mitarbeiter der GAD.

Am Ende bleibt nur jedem smartTAN, chipTAN-Nutzer zu raten: Vertraue nur den Angaben im TAN-Generator und bestätige nur eigene Zahlungen. Alles was auf dem Monitor erscheint und geschrieben steht _kann_ gefälscht sein.

Hallo,Zecher_Hitman,

bei Giropay muß ich mich leider auf die Kontonummer verlassen welche am Bildschirm angezeigt wird...

Bei Sparkassenseitig initiierten Umstellungen welche mit TAN bestätigt werden müssen, wird auch die zu kontrollierende Nummer nur am Schirm angezeigt.
In beiden Fällen könnten diese Angaben durch einen Trojaner verfälscht worden sein - oder liege ich da falsch?

Ist ein Rechner der mit Security Suite geschützt wird wirklich so hilflos einem Trojaner ausgeliefert?
Mein Kaspersky Internet-Security z.B. verspricht beim Installationsversuch eines Programmes...

Mit digitaler Signatur eines bei Kasp. anerkannten Softwareherstellers gibt es sofort grünes Licht.

Ohne Signatur wird die Reputation der exe. Datei in der Cloud (KSN) abgefragt und dann entschieden.

Ohne Info von KSN wird von KIS eine eigene Analyse erstellt und ein Risikoprofil angefertigt.
Dann wird der Nutzer gefragt ob er der Installation zustimmt wenn dies nicht eindeutig gefährlich ist.

Heuristik,Verhaltensbasierte Analyse,Suche nach Rootkit Funktionen etc. sollten es doch fast unmöglich machen sich einen Trojaner einzufangen...

Mein Rechner jedenfalls (XP SP3) ist schon seit 2004 täglich im Netz und es hat noch nie einen sicherheitsrelevanten Vorfall gegeben.

Auch mein StarMoney mit HBCI Chip wurde noch nie kompromittiert...

Freundliche Grüße

kragenbär

Hallo Obnutzer,

bei meiner Sparkasse (Nürnberg) wurde der el. Kontoauszug bisher manuell abgerufen.
In Zukunft wird er in das el. Postfach eingestellt und der Kunde auf Wunsch per Mail über die Ankunft benachrichtigt.
Die Aktivierung des Postfaches und die Mail Ben. mußten mit Eingabe einer TAN (ChipTan Optik) bestätigt werden.
Und ja - es war tatsächlich die Sparkassenseite - jedenfalls trug sie den richtigen Fingerprint im Zertifikat.
gruß
kragenbär

Hallo Zecher_Hitman,
die TAN diente lediglich zur Bestätigung einer organisatorischen Umstellung des Erstellungsmodus der el. Kontoauszüge,der Einstellung derselben ins el. Postfach sowie der Benachrichtigung per Mail über diesen Vorgang.

Dies kommt wohl einer Vertragsänderung gleich und muß somit per TAN (Unterschrift) vom Kunden bestätigt werden.(Siehe PDF Punkt 3)

Ich hoffe,ich habe mich nicht zu mißverständlich ausgedrückt.
Ich wollte nur darstellen,dass es durchaus TAN Vorgänge gibt,denen keine Zahlungen zugrunde liegen.

Sparkasse Nürnberg

Es gab schon immer Transaktionen, wo keine Überweisung zugrunde lag (z.B. Entsperrungen nach zu vielen falschen PIN-Eingaben).

Nach einem Blick auf das PDF ist es aber schon ein von Dir ausgelöster Auftrag, da Du diese Funktion ja anfordern mußt und wenn die Anzeigen im TAN-Generator dazu gepaßt haben, ist sowieso alles in Ordnung.

Es klang erst so, als wärest Du vom System aufgefordert worden, umzustellen (z.B. direkt nach der Anmeldung).

Nachrichten über das Online-Banking an die Bank werden in der Regel auch mit TAN abgesendet und es werden daher bei vielen Banken auch Aufträge oder Änderungen von Stammdaten über diesen Weg entgegen genommen.

Ich denke diese Geschichte ist ok so.

Du hast die Akzeptanz der Nutzer eines solchen Systems vergessen.
2006 waren nur 6 % aller Nutzer bereit, die Zusatzkosten zu tragen: http://www.computerwoche.de/mittelstand/579585/

Ich glaube, der Anteil ist bis heute noch weiter gefallen.
Falls hier jemand einen Premiumaccount bei statista hat, könnte man dort die Zahlen 2011 mal abfragen. Fände ich sehr interessant. http://de.statista.com/statist…saktionen/

Der Trend geht nach meiner Beobachtung auch eher nicht zu einem sicheren Kundensystem sondern zur Haftungsumkehr in Richtung Bank.
Mich würde nicht wundern, wenn dies eines Tages auch mal Softwarehersteller ereilen würde, sollte tatsächlich mal eine Software kompromittiert werden.