Trojaner Tinba nimmt europäische Online-Banking-Nutzer ins Visier

SicherheitVirus
Trojaner (Bild: Shutterstock/Blue Island)

Eine neue Angriffswelle läuft seit Mai. Davon sind vor allem Online-Banking-Nutzer in Polen, Italien, den Niederlanden und Deutschland betroffen. Wie bei derartigen Angriffen üblich, versuchen die Kriminellen, mithilfe des Trojaners und manipulierten Webseiten Zugangsdaten zu entwenden und anschließend die Konten zu plündern.

IBM Security hat auf eine Angriffwelle auf Bankkunden in Europa hingeweisen. Dabei sollen mithilfe des Trojaners “Tinba” Onlinebanking-Nutzern über manipulierte Webseiten Zugangsdaten entlockt werden. Anschließend versuchen die Angreifer deren Konten zu plündern.

Betroffen sind Verbraicher in Deutschland, Italien, den Niederlanden und Polen. Fast die Hälfte der im Mai beobachteten Angriffe entfielen auf Polen (45 Prozent) und ein Fünftel auf Italien (21 Prozent). In den Niederlanden lag der Anteil der identifizierten Fälle bei 10 Prozent, in Deutschland bei 5 Prozent.

Hat Tinba ein System infiziert, leitet er Anwender beim Anmelden bei ihrem Online-Bankkonto auf eine fingierte Webseite um. Diese fragt im Namen der Bank nach Zugangsdaten oder zeigt eine gefälschte Nachricht an, laut der scheinbar versehentlich überwiesenes Geld, schnellstmöglich zurücküberwiesen werden müsse – natürlich auf das Konto der Cyberkriminellen.

“Unsere Sicherheitsforscher haben dieses kriminelle Vorgehen im Mai 2015 entdeckt und festgestellt, dass es sich bei Tinba um einen alten Bekannten handelt”, sagt Gerd Rademann, Business Unit Executive bei IBM Security Systems DACH. “Tinba ist eine Variante des bereits 2012 entdeckten Tiny Banker. Der damals gemäß Dateigröße kleinste Trojaner der Welt war vor allem für Angriffe auf Banken in den USA konzipiert, nun feiert er ein unliebsames Comeback in Europa.”

Wie IBM-Sicherheitsexperte Ori Bach erklärt, ist die jüngste Tinba-Kampagne nur eine von vielen ähnlichen Malware-Bedrohungen, die aus den USA nach Europa überschwappte. Kriminellen gelinge es immer öfter, die Sprachbarriere zu überwinden und ihre Methoden zum Angriff auf Banken in andern Ländern einzusetzen. Auch wenn dies eine Herausforderung für Banken darstelle, die ihre Systeme noch nicht ausreichend abgesichert hätten, könnten andere davon profitieren, dass sie die fragliche Malware bereits woanders bekämpft haben.

Allerdings entwickeln Cyberkriminelle auch immer ausgefeiltere Methoden, um ihre Angriffe zu verschleiern oder die genutzten Botnetze vor der Abschaltung zu bewahren. So setzen die Autoren der aktuellen Tinba-Variante verschiedene Schutzmechanismen ein, um sicherzustellen, dass ihr Botnetz intakt bleibt. Dazu zählt, dass Bot-Befehle und Updates nur von einem mit einem öffentlichten Schlüssel autentifizierten Botmaster durchgeführt werden können. Bevor sie eine neue Konfiguration akzeptieren, autentifizieren die Bots den Update-Server. Zudem gibt für jeden Bot eine rechnerabhängige Verschlüsselungsschicht, um zu verhindern, dass Sicherheitsforscher ihn manipulieren. Die Bots kommunizieren mit hartkodierten Ressourcen-URLs und weichen falls nötig auf von Domain-Generation-Algorithmen erstellte URLs.

[mit Material von Björn Greif, ZDNet.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de