Kein Schutz bei doppelter Sicherung

Zur gleichen Zeit hat der Security-Anbieter Trend Micro vor einem weiteren Sicherheitsdefizit beim Online-Banking hingewiesen. Danach sind bestimmte ZeuS/ZBOT-Varianten mittlerweile in der Lage, auch dann in Online-Bankkonten einzubrechen, wenn diese über Zweifaktor-Authentifizierungssysteme geschützt sind. Die ZeuS-Abkömmlinge nutzen dafür eine spezielle mobile Schadsoftware, um Systeme zu überlisten, die sich auf Textnachrichten verlassen, die über Handys mit dem Symbian-Betriebssystem verschickt werden.

Symbian-Handys laden Schadsoftware

Die Technik hinter diesen Angriffen ist laut Trend Micro einfach: Eine ZBOT-Variante verändert die Website der angepeilten Bank, so dass jedes Mal, wenn die Bank einen Authentifizierungscode über das Handy anfordert, der Nutzer zuerst seine Handynummer angeben muss. Dann erhält er eine Textnachricht, die einen Link auf eine gefälschte Symbian-Anwendung (SYMBOS_ZBOT.A) enthält.

Sobald dieser mobile Schadcode (SYMBOS_ZEUSMIT.A) installiert ist, fängt er alle Textnachrichten von einem bestimmten Absender (beispielsweise Banken) ab und schickt sie weiter an eine andere Nummer, die von dem Angreifer kontrolliert wird. Da dieser sowohl den Benutzernamen und das Kennwort als auch jeden Authentifizierungscode, der über das Mobiltelefon gesendet wurde, hat, können die Kriminellen ihre bösartigen Machenschaften so führen, als ob es nie eine Zweifaktor-Authentifizierung gegeben hätte.

Trend Micro schreibt, dass die Zweifaktor-Authentifizierung zwar eine gewisse höhere Sicherheit bietet. Die jetzt bekannt gewordenen Attacken würden aber zeigen, "dass auch diese Methode keine Garantie gegen alle Formen des Identitätsdiebstahls liefern kann." (jm)