Konten Ahnungsloser für Transfer missbraucht:
Online-Bank-Diebstahl: Simpel und effizient

von Werner Veith (werner.veith@networkcomputing.de)

Share
01.10.2009

Mit zwei Crimeware-Toolkits hat eine Cyber-Gang Kunden von deutschen Banken in 22 Tagen um vermutlich 300.000 Euro bestohlen. Davon ist eines in kriminellen Kreisen kommerziell verfügbar. Das andere überlistete auch die Anti-Betrugs-Lösungen der Banken.

Früher mussten Cyber-Kriminelle Experten in Sachen Internet, Computern und ähnlichem sein. Mittlerweile gibt es ausgefeilte Lösungen auf krimineller Ebene, die das Ganze sehr vereinfachen. Dies wird auch dramatisch deutlich an dem jüngsten Fischzug von Cyber-Gangstern bei deutschen Banken, den Finjan [1] untersucht hat. Dabei haben der Kunden innerhalb von 22 Tagen 300.000 Euro verloren. Der Angriff war raffiniert genug, dass auch die Anti-Betrugslösungen der Banken keinen Alarm schlugen. Mit nur zwei Toolkits kamen die Verbrecher zum Ziel: Über »LuckySpoilt« platzierten sie einen Bank-Trojaner auf Rechnern. Das Toolkit ist quasi kommerziell für 100 bis 300 Dollar verfügbar. Das zweite Werkzeug »URLzone« übernahm es dann, die Beträge von den Konten auf legale Transfer-Konten zu übertragen. Über verschiedene Parameter wurden zufällig Transfers so ausgelöst, so dass sie nicht auffielen.

Administrationsoberfläche des Crime-Toolkits »LuckySpoilt«. Cyber-Gangster platzierten damit Trojaner für Online-Banking-Diebstahl.

Über LuckySpoilt infizieren die Cyber-Gangster Websites mit Schadcode, um Rechner zu infizieren. 90.000 Besucher besuchten diese verseuchten Websites. 6400 Rechner von diesen potenziellen Opfern wurden schließlich infiziert, also jeder 14-te bis 15-te.

Der Bank-Trojaner URLzone ist sehr vielseitig. Er speichert die Zugangsdaten und Aktivitäten von Bankkonten. Weiter erstellt er Screenshots von den Webseiten der besuchten Bank-Accounts. Von diesen transferiert er dann Geld. Damit der Diebstahl nicht so schnell auffällt, wird ein gefälschter Online-Auszug erstellt. Diesen sieht der Nutzer solange er auf dem infizierten Rechner arbeitet.

Parallel dazu stiehlt der Trojaner auch weitere Zugangsdaten zu Web-Accounts wie Facebook, PayPal oder Gmail. Ihre Instruktionen erhält die Crimeware von einem Command & Control-Server verschlüsselt über XOR per Http.

Das Vergehen der Gangster zeigt, dass sie sich gut ausgekannt haben müssen, was die Anti-Betrugs-Lösungen der Banken anbelangt. Die Cyber-Gangster verwendeten verschiedene Einstellungen, um die Transfers entsprechend anzupassen. So wurde eine Überweisung nur ausgelöst, wenn das Konto im Plus war. Der überwiesene Betrag war nicht zu hoch und wurde zufällig erstellt.

Die Konten, so genannte Geld-Mulis, auf die das Geld überwiesen wird, sind legal. Die Besitzer meinen, dass sie das gestohlene Geld für bestimmte Aktivitäten wie Heimarbeit erhalten. Am Ende seiner Tätigkeit wird der Besitzer des Kontos angewiesen abzurechnen und das »verdiente« Geld auf ein bestimmtes Konto zu überweisen.

[1] http://www.finjan.com/

Verwandte Artikel