News Neuer Android-Trojaner zielt auf mTANs ab

[fluffy13]

echt Brain.exe sollte man schon einschalten. Ausserdem sind die Gefahren ausserhalb des Webs/Mobilen Systeme ebenso gegeben wenn nicht sogar höher. Da werden Kartenlesegeräte frisiert, Karten geklaut, sogar Geldautomaten der Banken frisiert mit Kameras usw. Bezahl mal im Ausland mit deiner Karte ^^

 

[Lord Horu$]

Schon auf heise gelesen...soetwas gibts immer und überall.

Ich für meinen Teil nutze einen Tan-Generator.
Wer soetwas wie SMS ect. macht der sollte sich über den Sicherheitsaspekt aber auch im Klaren sein. PapierTANs wurden von meiner Bank letztes Jahr abgeschafft mit der Erklärung, dass es zu unsicher sei.

Sowieso sollte man aber ein wenig Verstand mitbringen. Auf meinem Kontoauszug stand letztens in etwa Folgendes drauf:

"Warnung! Es sind Betrüger unterwegs! Diese Leute geben sich am Telefon als Mitarbeiter der Sparkasse/Bank aus und behaupten es sei etwas mit der EC-Karte nicht in Ordnung!
Sie fordern betroffene Leute am Telefon auf Ihre PIN zu übermitteln ( ORLY? ê_e ). Anschließend kommt ein "Mitarbeiter" vorbei um die vermeintlich defekte EC-Karte abzuholen!"

Ich mein wer ist so blöde und fällt darauf herein?
Anscheinend ne ganze Menge Leute (und nicht nur Ältere), weil die Bande damit schon Geld im 6 stelligen Bereich geklaut haben soll.
Ich mein wie dämlich kann man sein? Sorry aber das ist wirklich dämlich! Ich kanns nicht schönschreiben bzw. reden.
Aus diesem Grunde kann ich mir vorstellen, dass dieser Trojaner durchaus den erwünschten Effekt haben könnte.

Echt...PIN am Telefon sagen und Karte abgeben ...nee <_<

MFG

 

[bLu3to0th]

Vor allem schickt eine Bank keine Generator-App, die generieren die mTAN ja, nicht mein Smartphone.. Mit ein bißchen Hirn wirklich harmlos.

Warum zum Geier rafft es eigtl. keiner, dass nicht alle einen IQ von 300 und 25Jahre IT-Erfahrung haben(Achtung überspitzt!).
Es gibt genug Leute, die von der Materie einfach keine Ahnung haben(oder nicht genug) und trotzdem diese Geräte, Internet und Programme nutzen.
Diese Leute erwischt es auch bei Phishing-Angriffen in aller Regelmäßigkeit(sonst würde es sowas auch gar nicht geben).
Und es diesen Leuten abzusprechen steht einfach mal nicht zur Diskussion!

Abgesehen davon sind genau diese Leute(die immer nach brain.exe quaken) es, die dann im Nachbarthreat jeder Mama, jedem Papa und jeder Oma nen Androidhandy für 100-150 Euro unterjubeln wollen - da beißt sich die Katze wieder in den Schwanz.

[Sorry @Zitierten, deine Intension war diese sicherlich nicht, aber ich weiß das son spruch gleich kommen wird.]

 

[nebulein]

Ganz ehrlich ich bin zwar auch ein Technikcrack und auch Freak, aber solche Dinge wie Online Banking etc. das wird nur vom heimischen PC gemacht wo ich lange Jahre die Tanliste in der Schublade nebendran liegen hatte und jetzt diesen Generator wo man die EC Karte rein steckt halt dort liegt.

Ich käme auch nie auf die Idee sowas über das Handy laufen zu lassen.

 

[FatEric]

...und trotzdem werden normale TAN-Listen momentan von vielen Anbietern durch mTAN ersetzt, da es angeblich sicherer ist. So ein Mist. Ich will doch meine TAN-Liste behalten dürfen!

Glaub mir. Mtan bleibt trotz so eines trojaners viel sicherer als ne normale tanliste. Es ist für Angreifer viel einfacher die tanliste auszutricksen.

 

[SoilentGruen]

selbst Schuld wenn sich jemand eine App runter läd dessen Link er von unbekannt per SMS bekommt...

 

[ollielympus]

Solange man sein Online-Banking NICHT auf dem gleichen Gerät durchführt, welches für die mTANs freigeschaltet wurde, ist das alles sicher. Es gibt aber offensichtlich genug Idioten auf der Welt, die Online-Banking mit mTANs auf ein und dem gleichen Gerät machen, entgegen dem Rat der Bank, die genau darauf beim Abschluss des mTAN-Angebot darauf hinweist. Ich bleibe weiterhin bei mTAN, ich nutze das ja nicht auf dem gleichen Gerät. Selber schuld, wer dadurch sein Geld verliert, indem er brain.exe nicht aus dem Stand-By erwachen lässt...

 

[MajinChibi]

interessant zu wissen, allerdings habe ich nie damit gerechnet, dass so etwas nicht existiert ^^

Hoffentlich helfen solche News etwas, den Anwender zu sensibilisieren.
Das kein System/verfahren auch nur annährend 100% sicher ist, dürfte klar sein.

Seid wachsam

(die die davon ausgehen, dass das ja nix macht solange der Online Login unbekannt ist: Ich denke die "bösen" durchforsten die Logs ihrer Stealer/Trojaner nach Bank Logins um dann mit werbe Spam und co auf die infizierte App aufmerksam zu machen um das Handy dann mehr oder weniger gezielt zu infecten)

Und "selbst Schuld" Einstellung hilft keinem. Klärt die Leute in eurem Umfeld auf falls bedarf besteht und gut. ^^

 

[Smockil]

Die Alternative zur Online-Überweisung ist aber nicht, dem Händler/Vermieter etc. das Geld persönlich vorbeizubringen, sondern zur Sparkasse zu gehen und die Überweisung von dort aus zu tätigen. Das ist um einiges sicherer.

Auf den weg zur Sparkasse kann man aber immer noch überfallen werden ^^

 

[Tomahawk]

Auf den weg zur Sparkasse kann man aber immer noch überfallen werden ^^

Und dir der Überweisungsträger gestohlen werden? Der Schaden ist dann exakt 0 Euro.

 

[unknown7]

Alles was Digital und mit dem Internet verbunden ist, kann nicht sicher sein.

Soviel dazu, zum Glück setzt meine Bank noch auf Papier, den das ist Geduldig. Von diesen mTANs habe ich sowieso nicht viel gehalten.

Besonders gefählich wird es wenn man das Online-Banking samt mTAN's auf ein und dem selben Gerät durchführt.

Deshalb ist es auch nicht erlaubt. Es wird ausdrücklich darauf hingewiesen, dass man dies nicht tun darf. Also wer das so macht und dann kein Geld mehr am Konto hat ist nicht nur dumm und ignorant, sondern wahrscheinlich auch sein Geld los und bekommt nichts ersetzt.

 

[Yakomo]

Über SMS? Wie darf/muss man sich das vorstellen, gibts da sowas wie einen Anhang...

 

[Ameisenmann]

"Warnung! Es sind Betrüger unterwegs! Diese Leute geben sich am Telefon als Mitarbeiter der Sparkasse/Bank aus und behaupten es sei etwas mit der EC-Karte nicht in Ordnung!
Sie fordern betroffene Leute am Telefon auf Ihre PIN zu übermitteln ( ORLY? ê_e ). Anschließend kommt ein "Mitarbeiter" vorbei um die vermeintlich defekte EC-Karte abzuholen!"

Ich mein wer ist so blöde und fällt darauf herein?

ich warte auf so nen Anruf, würde meinen Dad bei der Kripo oder auch sonst die Polizei rufen, es wäre die letzte Karte die der Typ abholen würde.

Android und mTAN, davor wurde schon oft gewarnt, das Problem ist aber auch GSM. Einfach unsicher das ganze System. Wenn man sich nicht jeden Rotz installieren will, sollte man gleich ein Windows Phone 7 holen, das ist sicherer und kann mehr sinnvolle Dinge.

 

[MajinChibi]

Über SMS? Wie darf/muss man sich das vorstellen, gibts da sowas wie einen Anhang...

Link zur infizierten App bsp?

ich warte auf so nen Anruf, würde meinen Dad bei der Kripo oder auch sonst die Polizei rufen, es wäre die letzte Karte die der Typ abholen würde.

Logo, die machen gleich ne Fangschaltung bei einem Versuch aufgrund einer einzel Aussage.
Weil der das sicherlich von Zuhause aus machen wird und nicht von nem wegwerf Handy mit x-beliebiger Sim Karte ^^

 

[FatEric]

Und dir der Überweisungsträger gestohlen werden? Der Schaden ist dann exakt 0 Euro.

Klar geht das. Den Überweisungsträger klauen. Das Konto und Betrag austauschen und in den Überweisungsbriefkasten werfen. Und das funktioniert so ähnlich! Hier in der Gegend haben kriminelle die Überweisungträger mit einem Trick aus dem Briefkasten geholt. Bis der betrug aufgefallen ist, war das Geld schon weg. Ganz ohne Internet etc.

 

[Plastikman]

einer der besten Schütze ist es für den Dieb uninteressant zu sein.
iOS und Android sind weit verbreitet, also auch eine gute Angriffsstelle.

Auf Symbian hat man, wie Linux gegenüber Windows, einfach weniger Probleme, weil weniger Leute es nutzen.

 

[ice-breaker]

Könnte nicht eigentlich auch jede Android SMS-Applikation, die die vorhandene ersetzt, jede SMS an irgendwelche Server schicken? Damit hätte man die mTANs doch viel simpler abgegriffen und zudem viel unauffälliger.

Logo, die machen gleich ne Fangschaltung bei einem Versuch aufgrund einer einzel Aussage.
Weil der das sicherlich von Zuhause aus machen wird und nicht von nem wegwerf Handy mit x-beliebiger Sim Karte ^^

wer redet von ner Fangschaltung? Wenn du mit der vermeintlichen Sparkasse am Telefon nen Termin ausmachst, das sie morgen Punkt 9 Uhr vor der Tür stehen, weil du da schnell zur Arbeit musst rufste eben mal bei der Polizei an und sagst denen dass morgen um 9 Uhr ne EC-Betrügerbande vermeintlich bei dir zu Hause sein wird.
Wenn da dann keiner reagiert, dann unterstützt die Polizei quasi die Betrüger noch, weil man nichtmal versucht sie an ihrer Tat zu verhindern.

 

[MajinChibi]

Könnte nicht eigentlich auch jede Android SMS-Applikation, die die vorhandene ersetzt, jede SMS an irgendwelche Server schicken? Damit hätte man die mTANs doch viel simpler abgegriffen und zudem viel unauffälliger.

Dann müsste man aber eine gescheite SMS Applikation schreiben. Welche bei entdecken dann ja fix nutzlos wäre.

Ausserdem könnte ich wetten, die meisten Leute stecken mehr Überlegung ins ersetzen Ihrer standard sms app als in "ZOMFG SUPER MEGA HYPER ANGRY BIRDS HINTERGRUNDBILDER APP"

einer der besten Schütze ist es für den Dieb uninteressant zu sein.
iOS und Android sind weit verbreitet, also auch eine gute Angriffsstelle.

Stimmt in jedem Fall.
Aber das ist wie (auch wenn ich solche Vergleiche nicht mag, tschuldige) einem Autounfall aus dem Weg zu gehen, indem man kein Auto fährt. Funzt sicherlich aber man hat halt die entsprechenden Nachteile.


EDIT:

@ice-breaker
ja stimmt, ans einfachste habe ich natürlich nicht gedacht ^^
Aber dennoch: für so eine vage einzel Aussage kommt vllt ne Streife und die sicherlich auch nicht 24h lang und dann wird sich wohl keiner blicken lassen +.+

 

[riDDi]

Der ist wesentlich unsicherer. Genauso wie tanlisten auch. Hier reicht es nämlich aus, wenn Angreifer dich auf eine falsche bankseite umleiten.

Es nützt den Angreifern nichts, auf eine andere Seite umzuleiten.
Der TAN-Generator spuckt nicht einfach eine beliebige TAN aus. Der Blinkende Strichcode enthält sämtliche vorher eingegebenen Informationen: Kontonummer, Bankleitzahl, Betrag. Aus diesen Informationen und den Daten deiner Bankkarte, die nur du und deine Bank kennen, errechnet das Gerät eine TAN, die nur für genau diese eine Überweisung mit diesen Daten gültig ist. Die Bank tut genau das selbe und kann so die zurück gesendete TAN vergleichen. Wenn der Angreifer deine Bankkarte nicht hat, dann kann er keine gültigen TANs generieren.
Da das Gerät nicht mit dem PC verbunden ist kann es nicht korrumpiert werden. Es wird immer unverfälscht die Überweisungsdaten, für die die TAN generiert wird, anzeigen. Wenn du die kontrollierst kann nichts schief gehen.
Selbst wenn der verwendete Algorithmus Schwächen hat (z.B. ist die TAN zu kurz, um alle o.g. Informationen ohne Wiederholungen zu encodieren), ist es quasi unmöglich eine zweite Überweisung zu finden, die die selbe TAN ergibt, aber das Geld auf ein Konto der Angreifer transferiert.

 

[DiamondDog]

ist keine Sicherheitslücke im Android sondern im Großteil der Bevölkerung!

Wenn eine Bank demnächst Tannummern über Facebook verschicken würde, die meisten würden das sofort mitmachen. Die Bevölkerung ist flächendeckend auf dem Gebiet einfach Dumm, Leichtgläubig, Faul zum Nachdenken, die Geräte die sie kaufen müssen funktionieren, egal wie hauptsach es geht!

Opfer seiner Selbst - Natürliche Selektion!