Trojaner attackieren Geldautomaten

von Dr. Jakob Jung

Share
20.03.2009

Bislang nutzten Hacker Trojaner dazu, auf Computern oder über das Internet Daten auszuspionieren und so an das Geld der Anwender zu kommen. Der Computersicherheits-Spezialist Sophos hat jetzt Malware entdeckt, die direkt in Geldautomaten eingeschleust werden kann, um die PINs von Bankkunden auszuspionieren.

Graham Clumley, Sicherheitsexperte bei Sophos [1], formuliert es drastisch: »Noch vor ein paar Tagen hätte ich Angriffe auf Geldautomaten für einen Scherz gehalten.« Es spricht einiges dagegen, dass es dazu kommt: Geldautomaten verwenden oft nicht-standardisierte Betriebssysteme. Selbst wenn Windows zum Einsatz kommt, dann nur als speziell zugeschnittene Version von Windows Embedded. Auch die Hardware verlässt sich nicht auf Standardkomponenten, Reverse Engineering ist nur schwer möglich. Außerdem laufen Geldautomaten in isolierten Netzwerken, auf die ein Zugriff von außen nur schwer möglich ist. Der physische Zugang ist zwar möglich, aber meist durch Überwachungskameras gesichert. Trotz all dieser Hindernisse gibt es jetzt laut Sophos glaubwürdige Hinweise, dass Geldautomaten angegriffen werden. Den Experten der SophosLabs, der weltweiten Forschungszentren von Sophos, liegen derzeit Hinweise auf infizierte russische Geldautomaten des US-amerikanischen Herstellers Diebold vor. So sollen dort die Systeme einzelner Automaten mit dem Trojaner Troj/Skimer-A infiziert worden sein. Der Schädling ist darauf ausgelegt, die Eingabedaten der Kunden mitzulesen.

Sophos weist darauf hin, dass auch Automaten deutscher Hersteller IP-basierte Systeme unter Microsoft Windows nutzen und damit potenziell anfällig für Malware-Infektionen und Manipulationen seien. Allerdings sind die Attacken auf Geldautomaten für Cyberkriminelle wesentlich aufwendiger als Angriffe auf Computer: Sie erfordern beispielsweise den direkten, physischen Zugriff auf die Automaten. Von einer massiven Ausbreitung der Gefahr ist deshalb laut Sophos derzeit nicht auszugehen.

[1] http://www.sophos.com/security/blog/2009/03/3577.html