{"id":7215,"date":"2016-03-11T10:01:16","date_gmt":"2016-03-11T10:01:16","guid":{"rendered":"https:\/\/kasperskydaily.com\/germany\/?p=7215"},"modified":"2020-06-30T17:11:33","modified_gmt":"2020-06-30T15:11:33","slug":"banking-trojans-bypass-2fa","status":"publish","type":"post","link":"https:\/\/www.kaspersky.de\/blog\/banking-trojans-bypass-2fa\/7215\/","title":{"rendered":"Wie Bankingtrojaner die Zwei-Faktor-Autorisierung umgehen"},"content":{"rendered":"

Zwei-Faktor-Autorisierung per SMS wird von Finanzunternehmen h\u00e4ufig verwendet. Die Methode funktioniert nat\u00fcrlich besser als ein schlichtes Passwort, ist allerdings auch nicht unangreifbar. Bereits vor 10 Jahren, als diese Schutzma\u00dfnahme gerade erst dabei war, an Beliebtheit zu gewinnen, haben Sicherheitsspezialisten herausgefunden<\/a>, wie sie sich austricksen l\u00e4sst.<\/p>\n

https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/96\/2016\/03\/30171130\/banking-trojans-bypass-2fa-FB.jpg<\/p>\n

Und Malware-Programmierer haben ebenfalls herausgefunden, wie das geht. Mittlerweile knacken Entwickler von Bankingtrojanern einmalige SMS-Passw\u00f6rter im Handumdrehen. Und so funktionierts:<\/p>\n

    \n
  1. Der Nutzer startet seine legitime Banking-App auf seinem Smartphone.<\/li>\n
  2. Ein Trojaner erkennt die benutzte App und \u00fcberlagert deren Interface mit einer gef\u00e4lschten Benutzeroberfl\u00e4che. Der falsche Screen sieht genauso aus wie der echte.<\/li>\n
  3. Das Opfer gibt seine Zugangsdaten \u00fcber die gef\u00e4lschte Benutzeroberfl\u00e4che ein.<\/li>\n
  4. Der Trojaner sendet die Zugangsdaten des Nutzers an die Kriminellen. Diese verwenden die Daten, um sich in der Banking-App des Nutzers einzuloggen.<\/li>\n
  5. Die T\u00e4ter veranlassen dann eine Finanztransaktion zu ihrem Bankkonto.<\/li>\n
  6. Das Handy des Opfers empf\u00e4ngt ein einmaliges Passwort.<\/li>\n
  7. Der Trojaner entnimmt der SMS das Passwort und sendet es an die Cyberkriminellen.<\/li>\n
  8. Au\u00dferdem versteckt er die SMS vor dem Nutzer. Das Opfer kriegt dadurch nichts von den Vorg\u00e4ngen mit, die zeitgleich ablaufen, bis es sein Bankkonto \u00f6ffnet und die get\u00e4tigten \u00dcberweisungen einsieht.<\/li>\n
  9. Die Kriminellen nutzen das abgefangene Passwort, um ihre Transaktion zu best\u00e4tigen und so das Geld des Opfers zu erhalten.<\/li>\n<\/ol>\n

    Es ist keine \u00dcbertreibung, wenn wir sagen, dass jeder<\/strong> moderne Bankingtrojaner in der Lage ist, SMS-basierte Zwei-Faktor-Autorisierungen auszutricksen. Genau genommen haben Malware-Entwickler keine andere Wahl: da alle Banken diese Schutzma\u00dfnahme eingef\u00fchrt haben, m\u00fcssen Trojaner zwangsl\u00e4ufig daran angepasst werden.<\/p>\n

    \n

    Evolution of #Asacub<\/a> trojan: from small fish to ultimate weapon \u2013 https:\/\/t.co\/lLv0pY4lol<\/a> #infosec<\/a> #mobile<\/a> #banking<\/a> pic.twitter.com\/gAM3zzy7aC<\/a><\/p>\n

    \u2014 Kaspersky (@kaspersky) January 20, 2016<\/a><\/p><\/blockquote>\n