News Was 20 Prozent aller Trojaner wirklich wollen

[10tacle]

Grad was passendes zum Thema gefunden und auch ganz aktuell:

Auch die iTAN bringt es nicht

Nichts ist sicher - auch das nicht, was sicher scheint.

Onlinebanking gibt es jetzt schon seit 20 Jahren. Damals war es ein Grund, sich Btx anzuschaffen, denn darüber konnte man das Banking bequem erledigen. Natürlich gab es Warnungen an die Kunden so einige sicherheitsrelevante Dinge zu beachten. Denn die Materie war neu und nicht jeder konnte geschickt mit der Tastatur umgehen. Damals war das Banking noch recht sicher - zumindest hörte man nie von einem Geldraub per Btx. Das lag zum einen daran, dass alle Transaktionen über ein proprietäres Netz liefen; das der Bundespost. Zum anderen waren noch nicht so viele Menschen mit Computern unterwegs und daher war auch der Kreis der Betrüger entschieden kleiner.

Doch ein Sicherheitsloch existierte, das allerdings nicht ernst genommen wurde. Viele Telefonanschlüsse in einem Mehrfamilienhaus waren irgendwo in der Hausverteilung auch von denen zu erreichen, die keinen Zugriff darauf haben sollten. Es war oft einfach, sich parallel auf eine Leitung zu hängen und alles abzuhören, was darüber kommuniziert wurde. Das klappte natürlich auch mit Passwörtern und anderen gefährlichen Dingen.

Und damals schon ging die Warnung aus, dass man seine Telefonanlage überwachen sollte. Doch wer konnte das schon bis zur letzten Konsequenz.

Für den Bankkunden sah das ja alles recht gut durchdacht aus. Zunächst braucht man die PIN, die personal identification number, dann musste man für eine Transaktion auch eine geheime TAN haben. Einige Leute legten sich den TAN Block auf den Computer in das Programm Quicken. Mit der tollen Sicherheit, die Microsoft Programme mit sich brachten und bringen, war es einigen Hackern gelungen, die Datei mit den TAN-Nummern auszulesen. Das war natürlich ein GAU und musste davor warnen, die TAN's überhaupt in den Rechner zu kopieren.

Mit dem Internet ist dies ja alles nicht besser geworden. Und auch die Banken wurden selten besser. Sicher ist sicher. Doch vor einiger Zeit erlebte ich auf dem Onlinekonto meines Vaters, dass ich beim Abschluss einer Aktion eine bestimmte TAN des Bogens eingeben musste. Sagen wir die 47. TAN. Ich war überrascht und dachte: Verdammt gute Idee, denn jetzt sieht ein Hacker ja schlecht aus. Selbst wenn er mitkriegt, dass die 47. TAN angefragt wurde, dann hat er ja keinen TAN Block, von dem er die ablesen kann.

Dieses Verfahren nennt man iTAN (könnte von Apple sein), weil es sich hier um indexierte TAN's handelt. Wenn der Angreifer einen so genannten 'Man in the middle' Angriff macht, dann wartet er so lange, bis ich die 47. TAN schicke und er greift sie ab.

Er muss jetzt nur schneller handeln, denn die Aktion muss quasi online ablaufen.

"Vor der trügerischen Sicherheit hat ein Team gewarnt, das sich RedTeam Pentesting nennt. Die RedTeam Pentesting GmbH ist eine auf Sicherheitsprüfungen von Netzwerken und Softwareprodukten spezialisierte Firma.

Kann man sich hier als Podcast ziehen

 

[Gelbsucht]

Der Newstitel erinnert mich an den Titel eines bekannten Films: "Was Frauen wollen".
Sinngemäß stimmts ja, man muß seine Feinde und deren Vorgensweise kennen, um sie zu bekämpfen.

@10tacle
Es bleibt alles im Fluß. Neuer Kopierschutz -und alle stürzen sich drauf. Neue Phishingtechniken -und alle Sicherheitsfirmen stürzen sich drauf. Neue WLAN-Verschlüsselung -gewisse Leute versuchen in mühevoller Arbeit sie zu knacken (was aber sinnvoll ist, denn wenns nicht geschafft wird isses ja sicher). Windows wird imer DAU-Freundlicher -und alle zerpflücken es. Die Wettrennen werden vorerst nicht aufhören...

Die Frage in jedem der genannten Bereiche ist nur, wer aktuell dem anderen voraus ist.

 

[rittjoy]

Wie geil wär die Welt wenn es keine Hacker und andere kriminelle Leute gäb? Was man sich für arbeit ersparen könnte, und zeit? Die könnte man dann wieder fürs zocken oder so verwenden. Naja jedenfalls ist Onlinebanking sau praktisch und wenn man wirklich nicht seine Nummern hergibt kann auch fast nix passieren. Bei einigen Onlinebanken kann man z.B. das Geld nur auf ein vorher definiertes Konto zurücküberweißen....

 

[daisho]

Naja ... den TAN-Block in den Computer zu tippen ist wie Bankomatkarte + Passwort nebeneinander im Geldbörserl zu haben.

Weiters muss er dazu ja die Leitung abhören ... im Normalfall fast unmöglich ohne erkannt zu werden.

Das Verfahren dann "nicht sicher" zu nennen ist einfach, weil man einfach ALLES umgehen oder knacken kann ... von daher ...
Ihr könnt ja weiterhin paranoid Metallschüsseln auf euren Kopf tragen etc

Mit ein wenig Hausverstand lässt sich das alles verhindern. Passieren kann aber IMMER was, dagegen könnt ihr nichts tun, seht das ein
Es könnte genausogut ein Flugzeug in euer Haus krachen, nur wie hoch ist die Wahrscheinlichkeit...

 

[phil.]

Wie geil wär die Welt wenn es keine Hacker und andere kriminelle Leute gäb? Was man sich für arbeit ersparen könnte, und zeit? Die könnte man dann wieder fürs zocken oder so verwenden...

Welche oder wessen Arbeite könte man sich erparen, deine Arbeit?
Oder so? Was wäre das? Rumhängen?

 

[Bloodie24]

Und wieviele Trojaner versuchen über HBCI verschlüsselte Daten zu klauen oder zu manipulieren? Die gibts (noch) nicht, oder?
So fühl ich mich sicher :-)

 

[katanaseiko]

Also wenn ich eMails von Banken bekomme, dass ich ein Konto bestätigen soll, das ich gar nicht besitze, freue ich mich auch immer... Aber mal ernsthaft: Ich bin mittlerweile dazu übergegangen, die Bankgeschäfte auf eine ganz andere Art zu machen: Ich habe mir einen Vordruck von der Bank genommen, eingescannt, und jedes Mal wenn ich eine Überweisung machen muss, drucke ich mir das Ding aus und werf es bei der Post in diesen Kasten. Ist um Weiten scherer als Online-Banking. Und zur Not kann ich immer noch anrufen...

 

[Thaquanwyn]

... sorry, aber jeder, der am Online-Banking teilnimmt, muß sich doch von vorn herein darüber klar sein, was er tut!

Deshalb bleibe ich dabei - solange es keine 100 Prozentige Sicherheit bei diesen Bankgeschäften gibt, kommen sie für mich nicht in Frage.
Und da wohl jeder weiß, daß es nie eine solche Sicherheit geben wird, interessiert mich diese Möglichkeit überhaupt nicht ...

 

[10tacle]

@Thaquanwyn, es gibt eine Möglichkeit und zwar mit den externen Geräten, da müsste schon jemand dir das Teil klauen irgendwie manipulieren und dann wieder zurück stellen ohne das du was merkst. Halte ich dann aber eher für sehr unrealistisch.

Das Teil mein ich, das wird auch nicht über den PC angeschlossen, würd ja dann auch keinen Sinn mehr machen, weil dann der Trojaner wieder greifen würde.

 

[MaxDaten]

Was für ein riesen Teil... Ich hab ein ca. 1/2 handflächengroßes Gerät, in das ich meine EC-Karte einschieben und lasse mir dann auf Knopfdruck eine TAN generieren. Diese muss ich bei jeder wichtigen Transaktion angeben, und jede TAN ist nur 1mal gültig.

Sollte sich jemand zwischen mir und meine Bank schalten, müsste er die TAN die schon abfangen, und selbst wenn er sie abfangen würde und sie anstelle meiner eingibt, würde ich es bei meiner Eingabe merken und könnte sofort gegenmaßnahmen einleiten (24h Hotline). Und Virenscanns sind auch wöchtenlich drin (doppelter Schutz durch GData Antivir und zusätzlich Ewido Antispyware) Wenn man dann noch mit einer gewissen Vorsicht durchs Netz schlendert kann _fast_ nix mehr schief gehen

 

[10tacle]

@MaxDaten, das hört sich echt gut an. Kannste sagen was das alles kostet, also das Gerät selber und eventuell extra Gebühren.
auch wenn ich keine Millionen auf dem Konto hab überleg ich mir schon sowas anzulegen.

 

[GrinderFX]

Viele hören das wort trojaner und dann wollen sie auch was zu sagen.
Vom thema haben sie aber keine ahnung.
Und klar kann man das geld eventuell zurückbuchen aber irgendwer ist trotzdem der angearschte. Der zwischenhändler, der täter hat sein geld. Und wie willst du bitte etwas zurückbuchen, wenn da gar nichts mehr ist? Aus luft geld holen?

Zumal virensoftware auch nicht immer uptodate ist oder ausgehebelt werden kann ohne das es der anwender merkt.
Die meisten sind wirklich dumm aber so sicher wie die meisten denken ist es auch nicht.
Ich hatte auch schon keylogger aus videos die mein frisch geupdatetes virenprogramm nicht erkannt hat.

 

[Boogeyman]

Was für ein riesen Teil... Ich hab ein ca. 1/2 handflächengroßes Gerät, in das ich meine EC-Karte einschieben und lasse mir dann auf Knopfdruck eine TAN generieren. Diese muss ich bei jeder wichtigen Transaktion angeben, und jede TAN ist nur 1mal gültig.

Was 10tacle hat, ist auch ein HBCI Kartenlesen und das kann man mit deinem Gerät nicht vergleichen. Du hast du einen sm@rt-TAN-Generator ?

http://de.wikipedia.org/wiki/ITAN


Was Online Banking angeht, ist das HBCI Verfahren das Maß der Dinge.

http://de.wikipedia.org/wiki/Hbci

 

[brainscan]

In der aktuellen c't ist ein interessanter Bericht über die Absicht von Trojanern und Rootkits drin. Wo früher es vorallem darum ging, Aufmerksamkeit zu erzielen, stecken heute vorallem mafiöse und kriminelle Handlungen dahinter. Webserver-Anbieter werden zu Zahlungen erpresst, weil sonst Server gesperrt bzw. gekapert werden. Dann geht es um Rootkits, die P2P-Verbindungen aufbauen, wo dann nur gerade ein PC die Adresse des Servers wissen muss, damit alle ihre gefundenen Daten übermitteln bzw. Spam versenden ...