IBM Security weist auf eine seit Mai laufende Angriffwelle von Cyberkriminellen auf Bankkunden in Europa hin. Sie versuchen Mithilfe des Trojaners und manipulierten Webseiten Zugangsdaten zu entwenden und anschließend die Konten zu plündern.

Seit Mai läuft eine neue Angriffswelle auf Bankkunden in Europa. Mithilfe des Trojaners „Tinba“ versuchen Cyberkriminelle, Onlinebanking-Nutzern über manipulierte Webseiten ihre Zugangsdaten zu entlocken und anschließend ihre Konten zu plündern. Betroffen sind Anwender in Deutschland, Italien, den Niederlanden und Polen.

^[1]

Nahezu die Hälfte aller von IBM registrierten Tinba-Infektionen ereignete sich in Polen (Bild: IBM).

Fast die Hälfte der im Mai beobachteten Angriffe entfielen auf Polen (45 Prozent) und ein Fünftel auf Italien (21 Prozent). In den Niederlanden lag der Anteil der identifizierten Fälle bei 10 Prozent und in Deutschland bei 5 Prozent.

„Unsere Sicherheitsforscher haben dieses kriminelle Vorgehen im Mai 2015 entdeckt und festgestellt, dass es sich bei Tinba um einen alten Bekannten handelt“, sagt Gerd Rademann, Business Unit Executive bei IBM Security Systems DACH. „Tinba ist eine Variante des bereits 2012 entdeckten Tiny Banker. Der damals gemäß Dateigröße kleinste Trojaner der Welt war vor allem für Angriffe auf Banken in den USA konzipiert, nun feiert er ein unliebsames Comeback in Europa.“

Hat Tinba erstmal ein System infiziert, leitet er nichtsahnende Anwender beim Anmelden an ihr Online-Bankkonto auf eine fingierte Webseite um. Diese fragt im Namen der Bank nach Zugangsdaten oder zeigt eine gefälschte Nachricht an, laut der scheinbar versehentlich überwiesenes Geld, schnellstmöglich zurücküberwiesen werden müsse – natürlich auf das Konto der Cyberkriminellen.

Die jüngste Tinba-Kampagne nur eine von vielen ähnlichen Malware-Bedrohungen, die aus den USA nach Europa überschwappte, wie IBM-Sicherheitsexperte Ori Bach in einem Blogbeitrag ^[2] ausführt. Cyberkriminellen gelinge es immer öfter, die Sprachbarriere zu überwinden und ihre Methoden zum Angriff auf lokale Banken einzusetzen. Auch wenn dies eine Herausforderung für Banken darstelle, die ihre Systeme noch nicht ausreichend abgesichert hätten, könnten andere davon profitieren, dass sie die fragliche Malware bereits woanders bekämpft haben.

Cyberkriminelle entwickeln immer ausgefeiltere Methoden, um ihre Angriffe zu verschleiern oder die genutzten Botnetze vor der Abschaltung zu bewahren. So setzen die Autoren der aktuellen Tinba-Variante verschiedene Schutzmechanismen ein, um sicherzustellen, dass ihr Botnetz intakt bleibt. Dazu zählt, dass Bot-Befehle und Updates nur von einem mit einem öffentlichten Schlüssel autentifizierten Botmaster durchgeführt werden können. Bevor sie eine neue Konfiguration akzeptieren, autentifizieren die Bots den Update-Server. Zudem gibt für jeden Bot eine rechnerabhängige Verschlüsselungsschicht, um zu verhindern, dass Sicherheitsforscher ihn manipulieren. Die Bots kommunizieren mit hartkodierten Ressourcen-URLs und weichen falls nötig auf von Domain-Generation-Algorithmen erstellte URLs ^[3] aus.

[Mit Material von Björn Greif, ZDNet.de ^[4]]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de ^[5]