Trusteer hat eine komplexe neue Betrugsmasche entdeckt: Der Trojaner Tatanga führt eine raffinierte Man-in-the-Browser-Attacke (MitB) aus, um die TAN-Übermittlung per SMS zu nutzen und Konten um größere Geldbeträge zu erleichtern. Von dieser Taktik könnten Online-Banking-Kunden mehrerer deutscher Banken betroffen sein. Sobald sich das Opfer bei der Online-Banking-Anwendung anmeldet, setzt Tatanga ein MitB-Web-Inject ein: Es erscheint die Meldung, dass die Bank einen Sicherheitscheck auf dem Computer ausführe und überprüfe, ob der Nutzer eine Transaktionsnummer (TAN) auf seinem Handy empfangen könne.
Im Hintergrund initiiert Tatanga jedoch eine Überweisung an ein Geldkurierkonto. Der Trojaner überprüft sogar den Kontostand des Opfers – stehen mehrere Konten zur Auswahl, verwendet er das Konto mit der höchsten verfügbaren Summe. Anschließend wird das Opfer aufgefordert, die per SMS übermittelte TAN der Bank in das gefälschte Webformular einzugeben, um den Sicherheitsprozess abzuschließen. Durch die Eingabe der TAN auf der eingeschleusten HTML-Seite validiert das Opfer jedoch die betrügerische Transaktion auf seinem Konto.
Die SMS der Bank enthält zwar den Betrag sowie das Zielkonto der Überweisung, doch auf der HTML-Seite wird behauptet, dass es sich dabei lediglich um „Testdaten“ für die Sicherheitsüberprüfung handle und kein Geld vom Konto abgebucht werde. Die Bankkunden werden mit folgenden Texten angeschrieben. Texte, die eigentlich alle Alarmglocken aktivieren müssten. Diesen oder ähnlichen Inhalt haben die gefaketen E-Mails:
"Sehr geehrter Nutzer von Online-Banking um die Sicherheit zu verbessern, unsere Bank prüft die Aktivierung der Rufnummern für smsTAN aufgeführt. Sie schickte die Piloten SMS TAN, die Sie dazu aufgefordert zu bestätigen, dass die Telefonnummer aktiviert werden. Wenn Sie nicht in Kraft SMS TAN Ihr Konto wird gesperrt, bis die Aktivierung Telefonnummer. Hinweis: SMS-Nachricht enthält die experimentellen Daten.
Warnung! Der Sicherheitsdienst der Bank führt Anlagenkontrolle durch, überprüft die Korrektheit der Datenempfang auf das Handy der Kunde. Während 5 Minuten bekommen Sie SMS mit den Daten der Überweisung, dass bedeutet, das ein Handy ist zum Online-Banking eingeschaltet und korrekt funktioniert. SMS-Prüfung wird kostenlos durchgeführt, es wird kein Geld vom Konto abgehebt. Die Bank prüft nur die Vereinbarkeit mit einem mobilen Gerät der Kunden!"
(Original Mail, mit fehlerhafter Rechtschreibung)
Keine Kommentare:
Kommentar veröffentlichen