News Neuer Angriff: Trojaner Retefe hat es erneut auf Bankdaten abgesehen

[Daniel]

Der Trojaner Retefe machte erstmals 2014 die Runde, als er durch einige Tricks erfolgreich von zahlreichen Opfern die Bankdaten erlangte. Nun erfährt die Malware ein Comeback und hat bereits vielen Opfer Schaden zugefügt. Die grundlegende Strategie ist aber die Gleiche geblieben.

Zur News: Neuer Angriff: Trojaner Retefe hat es erneut auf Bankdaten abgesehen

 

[Snooty]

Traurig eigentlich, dass immer noch so viele Menschen nicht wissen, dass man nicht jeden Anhang in Mails öffnen soll.

Und selbst ein überdeutlicher Hinweis im Mailprogramm vor dem Öffnen von Anhängen würde wohl nur blind weggeklickt werden.

 

[leipziger1979]

über einen Anhang in einer E-Mail

Was soll man da noch sagen mittlerweile ?
Kam auch heute Abend bei WISO ein Beitrag über die aktuellen Kryptotrojaner, da kann man auch nur noch den Kopf schütteln.
Aber solange auf alles was aufpoppt mit ja und Amen geklickt wird...

 

[Darknesss]

Das Ziel der Angriffe sind die Banktransaktionen, die letztlich auf andere Konten umgeleitet werden. Ob darüber hinaus auch weitere Nutzerdaten abgegriffen und genutzt werden, ist nicht bekannt.

Dürfte in Deutschland bei einem aufmerksamen Kunden allerdings keinen Erfolg haben.
Konto sowie Überweisungsbetrag werden auf einem zweiten Gerät angezeigt (mTan smartTan) und können sofort geprüft werden.

Traurig eigentlich, dass immer noch so viele Menschen nicht wissen, dass man nicht jeden Anhang in Mails öffnen soll.

Und selbst ein überdeutlicher Hinweis im Mailprogramm vor dem Öffnen von Anhängen würde wohl nur blind weggeklickt werden.

Beim Privatmann mag das vielleicht noch einfach erscheinen, aber bei einem Geschäft lassen sich gut gefälschte E-mails nicht wirklich unterscheiden, vorallem wenn man entsprechende Mails erwartet (z.b. Bewerbungen, etc)

 

[RayKrebs]

Schlägt da nicht auch die Benutzerkonten Steuerung an, wenn man als lokaler Benutzer die DNS in den Adapter Eigenschaften ändert?

 

[BmwM3Michi]

geht aber nur bei sms-tan, deshalb hab ich auch nen TAN Generator.

 

[CS74ES]

Vielleicht sollten Schulen und Medien mal genauer über sowas aufklären. Es gibt ein paar einfache Grundregeln für so Sachen, wenn man die beachtet, kann einem sowas gut wie nicht passieren.

 

[Garack]

Durch weitere Veränderungen schafft es der Trojaner zudem einen Android-Trojaner auf das Smartphone der Opfer zu installieren

Wie das, der Trojaner ist doch auf dem PC? Ein paar Details wären nett, muss man das Smartphone anschließen? Und wie geht das dann genau?

 

[boncha]

Wie das, der Trojaner ist doch auf dem PC? Ein paar Details wären nett, muss man das Smartphone anschließen? Und wie geht das dann genau?

Würde ich auch gerne wissen, wie es der Trojaner aufs Smartphone, wahrscheinlich nicht gerooted, schaffen soll
und dann auch noch Zugriff auf die SMS App hat.

Zumal der generierte TAN spezifisch für eine bestimmte Überweisung ist. Den kann man nicht abfangen und für was anderes verwenden.
Es gibt hier viel zu viele Stellen, an denen das Prinzip gar nicht klappen kann.

 

[Miuwa]

@boncha: Ganz einfach: Bei einer Überweisung ändert der Trojaner erst deine Eingaben so, dass ein anderer Betrag auf ein anderes Kontoüberwiesen wird. Die Bank schickt dir daraufhin eine SMS in der diese geänderten Daten mit der zugehörigen Tan sehen. Der Trojaner auf deinem Handy ändert diese aber wieder so, dass sie zu deinem ursprünglichen Überweisungsauftrag passen und du daher nicht merkst, dass die Tan etwas völlig anderes authorisiert.
ChipTAN ist meines Wissens bisher das einzig sichere Onlinebankingverfahren, weil dir TAN und Verwendungszweck auf einen sicheren Display angezeigt werden.

Ergänzung (19. April 2016)

Deswegen hab ich ein Windowsphone, da lohnt sich eine solche Umsetzung gar nicht, wobei auch zweifelhaft ob das da überhaupt klappt.... iPhone wird ja auch nicht "unterstützt".

Für win phone stimmt das wahrscheinlich tatsächlich noch. Nachdem bei Win10 jetzt aber offensichtlich die Codebasis konvergiert wird das bald auch nichtmehr stimmen.

 

[Seppuku]

@ Garack und boncha

Current version of Retefe only targets Android phones. After entering a mobile phone, the user will be prompted to install a new banking mobile application. The victim will receive a SMS on his mobile phone asking to install the new APK. The APK is hosted on a site owned by the threat actors. One example of an APK is CreditSuisse-Security-v-07_02 1.apk
[...]
Installing the Android app allows the attacker to gain full control over the victims phone and among other things hijack the SMS’s sent by the Bank and take control over the users online banking session.

@ Daniel

Durch weitere Veränderungen schafft es der Trojaner zudem einen Android-Trojaner auf das Smartphone der Opfer zu installieren, womit die mobile TAN abgefangen wird, die für die Zwei-Faktor-Authentifizierung notwendig ist.

Das stimmt so einfach nicht. Außerdem wäre eine Erklärung angebracht gewesen und hätte auch für die Richtigkeit der Meldung gesorgt.

 

[Merle]

Durch weitere Veränderungen im Vergleich zu seiner Ursprungsversion...
So habe ich es zumindest verstanden gehabt. Mies natürlich. Aber erst die Mail öffnen und dann auf ne SMS hin was unbekanntes installieren? so richtig krass finde ich das jetzt nicht, mehrfach im Prozess auch von Laien zu identifizieren.

 

[M@rsupil@mi]

bei einem Geschäft lassen sich gut gefälschte E-mails nicht wirklich unterscheiden, vorallem wenn man entsprechende Mails erwartet (z.b. Bewerbungen, etc)

Welcher Arbeits- / Fimenrechner muss so konfiguriert sein, dass jeder Dödel darauf beliebige exe-Dateien starten oder irgendwelche Scripts ausführen kann?

 

[Benji18]

Bei Apple Geräten sind sie aber immer höhere Preise gewesen, das hat der TV Bericht aufgezeigt, wobei zur selben zeit das selbe gesucht wurde, dies wurde über mehrere Tage öfters überprüft, Apple Kunden zahlen scheinbar recht oft mehr.
Das kann ich persönlich verstehen, wenn man schon völlig überteuerte Hardware kauft, kauft man sicher anderes auch teurer ohne großartig nachzusehen.

Mir scheint du hast einige vorurteile gegen Apple User, warum?
Die Geräte sind nicht schlecht die HW ist gut Entwicklung kostet eben auch Geld, während die Andorid Hersteller hier in die Produktpalette von Qualcom, Mediatek, etc. greifen.

Was bringt mir ein Quad oder Octa Core ARM auf einem OS das nicht wirklich "Multithread" ausgelegt ist? rein gar nichts ...
Die Argumente von dir sind hohle Phrasen und typisch für jemanden der nur inhaltlose vorurteile aus dem Netz wiedergibt.

@back to Topic

Wundert doch heutzutage keinen mehr oder? Die Leute sind noch immer naiv und es gibt genug die nicht nachdenken bevor Sie wo hin klicken. Leider werden Phishing Mails auch immer besser oftmals sind diese nur mehr schwer zu unterscheiden. Man muss aber auch sagen das Firmen allgemein viel zu wenig in IT Security investieren frei nach dem Motto ist bis jetzt nichts passiert, wird auch später nichts passieren.

 

[moquai]

Traurig eigentlich, dass immer noch so viele Menschen nicht wissen, dass man nicht jeden Anhang in Mails öffnen soll.

Rechnungen sind nicht alles. Bei Männern wird dieser Trieb auch durch die Möpse von Olga oder Svetlana ausgelöst, da sie dich ja am letzten Samstag in der Disco so ganz plötzlich aus den Augen verloren hat.
Zum Glück hat sie dir vorher noch ihre Mail dubisteindepp@porn.ru gegeben.

Und bei Frauen zieht immer noch eine Gewinnbenachrichtigung, da müssen nur diverse Schlagworte enthalten sein. Schuhe oder Handtasche kommen immer gut. Und da gibt es ja noch den Traummann Manuel, der hat sich nämlich unsterblich in dich verliebt, das hat er deiner Freundin Petra (jede Frau kennt eine Petra) gesagt, während du auf dem Klo warst (seit wann gehen Frauen allein aufs Klo?). Naja, egal, jedenfalls muss dich der Manuel unbedingt wiedersehen und deshalb hat ihm die Petra deine Mail gegeben.

 

[h00bi]

Letztlich versteckt sich hinter dem Anhang stets eine komprimierte Datei, die sich selbständig entpackt und mittels JavaScript den eigentlichen Schädling auf den Computer lädt.

Wie kann sich eine komprimierte Datei selbst entpacken? Anklicken muss man es ja immer.
Soweit ich weiß haben alle "selbst-extrahierende" Dateien eine .exe Endung. Das sollte aber heutzutage jeder Emailclient blockieren.

 

[moquai]

Die Rechnung könnte ein doc(x)-Dokument sein. Makro - und /oder Autostart.

 

[KlaasKersting]

Man muss aber auch sagen das Firmen allgemein viel zu wenig in IT Security investieren frei nach dem Motto ist bis jetzt nichts passiert, wird auch später nichts passieren.

Der Bereich ist einfach extrem undankbar.
Im Idealfall merkt niemand, dass eine IT-Sicherheit existiert, wenn allerdings etwas schief läuft, bricht direkt die Hölle los. Du kannst beinahe ausschließlich negativ auffallen.
Zudem bringt IT-Sicherheit dem Unternehmen nunmal kein direktes Geld ein.

 

[Benji18]

Wie kann sich eine komprimierte Datei selbst entpacken? Anklicken muss man es ja immer.
Soweit ich weiß haben alle "selbst-extrahierende" Dateien eine .exe Endung. Das sollte aber heutzutage jeder Emailclient blockieren.

blockiert er z.b. nicht wenn du die .exe in .exa umbenennst und in der Mail schreibst bitte die Dateiendung umbenennen ;-) gibt sicher einige die das machen würden ...

Der Bereich ist einfach extrem undankbar.
Im Idealfall merkt niemand, dass eine IT-Sicherheit existiert, wenn allerdings etwas schief läuft, bricht direkt die Hölle los. Du kannst beinahe ausschließlich negativ auffallen.
Zudem bringt IT-Sicherheit dem Unternehmen nunmal kein direktes Geld ein.

Richtig, wobei man immer Argumentieren kann, was kostet es wenn die Firma X Stunden steht, da kommt dann Summe Y raus das muss man dann einfach gegenüber stellen.

IT ist allgemein ein sehr undankbare Geschäftssparte da die meisten Firmen diese nur als "kostenverursacher" sehen

 

[Don Kamillentee]

Beim Privatmann mag das vielleicht noch einfach erscheinen, aber bei einem Geschäft lassen sich gut gefälschte E-mails nicht wirklich unterscheiden, vorallem wenn man entsprechende Mails erwartet (z.b. Bewerbungen, etc)

Natürlich läßt sich das unterscheiden. Gefälschte eMail sind wenigstens am Mail Header zu erkenne. Wenn der versendende Mailserver klar vom "Geschäftsnamen" abweicht oder gar nicht zu erkennen ist. Gerade im Business kann man erwarten, das sowas nicht passiert.

Der eigene Mailserver sollte sowas schon gar nicht durchlassen.