Dipl.-Inform. Carsten Eilers

Verbreitet wird der Schädling als
Trojaner.
Das Programm erweckt den Anschein, es sei eine Version des
Sicherheits-Tools
Rapport
von Trusteer, dass Man-in-the-Middle-Angriffe und
Man-in-the-Browser-Schädlinge abwehren soll. Auf einem mit Zeus
infizierten (Desktop-)Rechner wird der Benutzer
aufgefordert,
dieses Tool zu installieren, wobei er die Wahl zwischen Versionen für
iOS, BlackBerry, Android, Symbian und “andere” hat. Wobei es in diesem
Fall nur eine Android-Version gibt, bei Auswahl eines anderen Systems geht
der Benutzer leer aus. Der Trojaner wurde außerdem unter dem Namen
“TrustMobile” über den Android Marke verbreitet, dort aber
bereits von Google gelöscht.

Vor der
Installation
zeigt Android die angeforderten Rechte an, in diesem Fall
RECEIVE_SMS, INTERNET und
READ_PHONE_STATE. Die sind nicht weiter verdächtig.
Würde es sich wirklich um das vorgetäuschte Tool handeln,
würde es diese Rechte ebenfalls benötigen.
RECEIVE_SMS ist angeblich nötig, um eine für eine
Zwei-Faktor-Authentifizierung benötigte SMS empfangen zu können.

Der Schädling besteht aus drei Komponenten: Eine Activity, die
beim Klick auf das zugehörige Icon gestartet wird, einem in Hintergrund
laufenden Service und einer Klasse namens SmsReceiver,
die bei jedem SMS-Empfang ausgeführt wird.

Die Activity täuscht eine Benutzeroberfläche für Rapport vor
und wird im Rahmen eines Phishing-Angriffs eingesetzt: Das Programm gibt
einen angeblichen “activation key” aus, der auf der (gefälschten)
Bank-Website eingegeben werden soll. Tatsächlich handelt es sich
dabei um die IMEI (International Mobile Equipment Identity) des infizierten
Smartphones.

Nach der Installation wird bei jedem SMS-Empfang der Code in der Klasse
SmsReceiver ausgeführt, der IMEI, Absender-Adresse und
SMS-Inhalt an einen Server der Cyberkriminellen weiterleitet.

Ist es wirklich Zeus?

Sowohl bei
McAfee
als auch bei
Sophos
ist man nicht sicher, ob der Schädling wirklich zu Zeus gehört. Von Sophos
wird der Trojaner bereit seit einiger Zeit als
Andr/SMSRep-B
erkannt.

Für die Zugehörigkeit zu Zeus spricht die Tatsache, dass der
Trojaner von einer Desktop-Variante von Zeus verbreitet und von einem
Server geladen wird, der Zeus-Varianten verbreitet. Gegen die
Zugehörigkeit zu Zeus sprechen einige Punkte:

• Der Schädling ist nicht besonders ausgefeilt und kann nur alle
  SMS abfangen und umleiten. Der Zielserver ist als Klartext im Code
  enthalten, die übertragenen Daten werden nicht verschlüsselt, der
  Programmcode ist nicht getarnt. Das ist für Zeus eigentlich
  unüblich, dort legt man normalerweise Wert auf Sicherheit.

• Es werden alle SMS weitergeleitet, es gibt keine Einschränkung
  auf SMS mit mTANs oder SMS von bestimmten Banken. Das erschwert die
  Auswertung durch die Cyberkriminellen, die ja die mTAN in Echtzeit mit den
  zugehörigen Benutzerdaten verknüpfen müssen. Außerdem
  dürfte das Opfer früher oder später misstrauisch werden, da
  es ja überhaupt keine SMS mehr erhält. Die zuvor entdeckten
  mobilen Zeus-Varianten waren in dieser Hinsicht besser getarnt, da sie nur
  die mTAN-SMS oder nur SMS bestimmter Banken abfingen, alle anderen SMS den
  Benutzer aber ganz normal erreichten.
  
  Es ist allerdings auch möglich, dass die Cyberkriminellen es in diesem
  Fall nur auf das Fälschen einer einzigen Überweisung abgesehen
  haben und darüber hinaus einfach nur mal sehen wollen, was es sonst
  noch interessantes auszuspähen gibt. Fliegt der Trojaner nach der
  ersten gefälschten Überweisung auf, hätte er sein Ziel
  trotzdem erreicht.

• Es gibt keinerlei Command&Control-Funktionen, die Cyberkriminellen
  können weder den Server zum Sammeln der SMS ändern noch die
  Funktion des Trojaners beeinflussen. Die
  zuvor entdeckten
  mobilen Zeus-Varianten für Symbian, BlackBerry und Windows Mobile
  nahmen Verbindung mit einem Command&Control-Server auf und waren
  konfigurierbar.

Unabhängig von der möglichen Zeus-Variante hat Trend Micro einen
weiteren Trojaner
entdeckt,
der ebenfalls SMS weiterleitet. Auf welche Daten dieser
ANDROIDOS_CRUSEWIN.A
genannte Schädling angesetzt werden soll, ist nicht bekannt. Evtl.
haben die Zeus-Entwickler ja “ihren” Android-Trojaner von Dritten
entwickeln entwickeln lassen.

So funktioniert der Online-Bankraub

Grob vereinfacht läuft das normale Onlinebanking mit mTAN in folgenden
Schritten ab:

1. Der Benutzer gibt die Daten der Überweisung auf der
   Onlinebanking-Website ein und schickt das Formular ab.

2. Der Bank-Server verwendet einige der Daten, z.B. Kontonummer und
   Betrag, um eine nur für diese Überweisung gültige mTAN zu
   generieren und sendet die mTAN zusammen mit den relevanten Daten als SMS an
   das Smartphone des Benutzers.

3. Der Benutzer prüft, ob die zurückgelieferten Daten mit den
   eingegebenen überein stimmen. Ist alles in Ordnung, gibt er die mTAN
   auf der Onlinebanking-Website ein und autorisiert damit die
   Überweisung.

Der Onlinebanking-Trojaner, also z.B. Zeus, kann diesen Ablauf auf
verschiedene Arten manipulieren, z.B. als “Man in the Browser”:

1. Der Trojaner manipuliert die Benutzereingaben so, dass eine
   Überweisung mit den Daten der Cyberkriminellen an den Bank-Server
   geschickt wird.

2. Der Bank-Server erzeugt die mTAN und sendet sie an das Smartphone
   des Benutzers.

3. Die mobile Komponente des Trojaners fängt die SMS ab und sendet
   sie an die Cyberkriminellen, die damit die Überweisung autorisieren
   (z.B. indem sie sie an die zugehörige Desktop-Variante senden, die sie
   dann an den Bank-Server sendet).

Bei der Manipulation einer vom Benutzer eingegebenen Überweisung
fällt dem Opfer die fehlende SMS auf. Aber dann ist es i.A. für
eine Reaktion schon zu spät, zumal es ja nicht unüblich ist, dass
eine SMS mal etwas später als erwartet eintrifft – und das gilt
natürlich auch für die SMS der Banken. Bei Bedarf können die
Cyberkriminellen die abgefangene SMS auch so manipulieren, dass sie die vom
Benutzer eingegebenen Daten enthält, und diese SMS dann an das Opfer
schicken. Der prüft die Daten, ist zufrieden, und gibt die mTAN ein.

Einfacher ist der Angriff, wenn der Trojaner auf dem Desktop-Rechner
unabhängig vom Benutzer aktiv wird:

1. Der Trojaner verwendet die ausgespähten Zugangsdaten zum
   Onlinebanking, um selbst eine Verbindung zum Bank-Server aufzubauen.
   
   Alternativ können die Cyberkriminellen auch das Onlinebanking von
   einem anderen Rechner aus nutzen.

2. Der Bank-Server erzeugt die mTAN und sendet sie an das Smartphone
   des Benutzers.

3. Die mobile Komponente des Trojaners fängt die SMS ab und sendet
   sie an die Cyberkriminellen, die damit die Überweisung autorisieren.

Da der Benutzer bei dieser Variante keine Überweisung in Auftrag gegeben
hat, vermisst er auch die SMS mit der mTAN nicht.

Grund zur Panik?

Zumindest bisher besteht kein Grund zur Panik. Bisher wird keine mobile
Zeus-Variante als
Drive-by-Infektion
oder von infizierten Desktop-Rechnern verbreitet, es handelt sich “nur” um
Trojaner. Aber die gibt es immerhin für alle verbreiteten und offenen
Mobil-Plattformen, das iPhone ist durch seinen abgeschotteten App-Store
ziemlich gut vor Schadsoftware geschützt, sofern die keine Schwachstelle
im System ausnutzt. Eine Version für gejailbreakte iPhones wäre
allerdings möglich, und die wird sicher früher oder später auch
noch kommen, warum sollten sich die Cyberkriminellen diesen Markt entgehen
lassen?

Solange Sie nicht fahrlässig Programme installieren, besteht zur Zeit
keine Gefahr. Eine absolute Sicherheit, niemals z.B. auf einen
Social-Engineering-Trick herein zu fallen, gibt es allerdings nicht. Man muss
eben vorsichtig sein. Kein Wunder, dass die
Angst vor Betrug beim Online-Banking
wächst. Die Idee, ein Smartphone für die Zwei-Faktor-Absicherung des
Online-Bankings zu verwenden, ist allerdings
suboptimal.
Die chipTAN ist relativ sicher, allerdings muss man dafür den meist
unsicheren Flash-Player installieren.

Nachdem auch diese Folge aus aktuellem Anlass ein anderes als das geplante
Thema hatte, kann es in der nächsten Woche hoffentlich wieder wie geplant
weitergehen. Wie bereits angekündigt, geht es in der nächsten Folge um
die Beseitigung installierter Schadsoftware.

Carsten Eilers

Übersicht über alle Artikel zum Thema

Angst einflößende Schadsoftware: Scareware

Ransomware: Geld her, oder die Daten sind weg

Spyware – Der Spion in Ihrem Computer

Viren – Infektiöse Schadsoftware mit langer Ahnenreihe

Würmer – Schadsoftware, die sich selbst verbreitet

Trojaner – Der Feind im harmlosen Programm

Zeus

Zeus – Trojaner, Botnet, Schädlingsbaukasten, …

Zeus – Die Entwicklung eines Dauerbrenners

Zeus-Sourcecode im Internet aufgetaucht

Zeus wird mobil – jetzt auch auf Android

Exploit-Kits – Die Grundlage für Drive-by-Infektionen

Rootkits – Schadsoftware im System

Remote Administration Toolkits – Fernwartung in der Grauzone

Botnets – Zombie-Plagen im Internet

Schadsoftware – Infektionen verhindern

Schadsoftware im Überblick