E-Mail erhalten

Hi,

angeblich jemand erhält ein E-Mail wie nachfolgend und die betroffene Person hat nichts über Kreditkarte gekauft, sollte sie reagieren?

Ansich wäre meine Empfehlung hier nicht zu reagieren. Doch unlängst erhielt ich eine Benachrichtigung von Firstgate (kennen wohl einige), daß jemand versucht habe, dreimal meinen Account zu benutzen und daß dieser nun gesperrt sei. Da war ich platt, denn meine nächste Zahlung über Firstgate stünde erst in ein, zwei Monaten an.

Ciao,
Romana

Dear Customer,

Thank you for your recent purchase from Adam Brewer & Associates.
Your order has been processed and credit card charged of $79.95.

Order information:
Item: 2 X CD „All Network Tools PRO, v3.1“
Shipping: DHL ($9.90 per item)
Payment method: Credit (Debit)CARD
Order date: 3:04 PM 11/26/2004
Processed: 3:39 PM 11/26/2004
Processor Gateway: InterLink Inc.
Total price: $79.95 (including shipping & handling)

Please visit our site to check delivery status -
http://www.adambrewer.com

Feel free to contact us if you have any questions.
Adam Brewer & Associates.
http://www.adambrewer.com

___________________________________________________________________
This is an automated e-mail confirmation. Please do not reply.

@ Mod.: Trojaner
Hi Mod,

bitte die angegebenen Links überprüfen. Besteht da Trojanergefahr ??

Gruss
Howy

Hi,

ansich würde ich mutmaßen, daß es sich bei sowas um Spam handelt.

Da ich jedoch vor einigen Wochen eine Nachricht von Firstgate (Zahlungsmethode) erhielt, daß jemand bei meinem Account dreimal falsch ein Passwort eingegeben habe und der Account nun gesperrt sei, und ich es nicht war, begann ich halt zu grübeln… Kann es sein, daß sich jemand einer Kreditkarte bedient, auch wenn die Daten nicht (freiwillig) weitergegeben wurden? Grübel…

Ciao,
Romana

Moin

bitte die angegebenen Links überprüfen. Besteht da
Trojanergefahr ??

Bei mir kam gar nix, noch mit mal ein Versuch. (Opera 7.54)

cu

Moin

Kann es sein, daß sich jemand einer Kreditkarte
bedient, auch wenn die Daten nicht (freiwillig) weitergegeben
wurden?

Wenn jemand deine Kreditkartendaten hat kann er sie benutzen, unabhängig davon wie er die bekommen hat. Da hilft nur exaktes Durchlesen der Abrechnung und schneller schriftlicher Widerspruch bei der Bank.

Aber dabei würde derjenige wohl kaum deine email-addy angeben. Das fällt doch zu sehr auf.

cu

Moin

ansich würde ich mutmaßen, daß es sich bei sowas um Spam
handelt.

Es war/ist Spam: ruf die Seite mal neu auf. Da kommt seit heute für 15 Sekunden ein grosses: „Wir war’s nicht“.

Orignaltext:
"ATTENTION:Fraudulent emails have been distributed referring recipients to this site. Adambrewer.com is in no way affiliated to these organizations.

Adambrewer.com is an informational website only. No products are sold, distributed or marketed through Adambrewer.com"

cu

N’Abend,

wenn ich die Seite öffne kommt ein Pop-up welches besagt, daß die Seite nicht geladen werden kann. Drückt man „ok“ (einzige Möglichkeit) schlägt mein Virenscanner Alarm:

Trojaner: Exploit-MhtRedir.gen

VORSICHT.

Gruss
Howy
(Explorer 6,0)

[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]

Hallo Pumpkin,

Online-Banking ? Du weisst schon dass das :http://www.zdnet.de/news/tkomm/0,3902
nicht nur Theorie geblieben ist ?

Inwiefern ist das nicht Theorie geblieben?

Wenn jemand die PIN einer HBCI-Chipkarte über einen Trojaner ausspäht, hat er deshalb noch lange keinen HBCI-Zugang zu dem Konto. Die PIN gewährt nur Zugang zur Chipkarte, und der Schlüssel, mit dem Aufträge an die Bank signiert werden, befindet sich unauslesbar auf der Chipkarte.

Der Angreifer kann also mit der PIN nur dann etwas anfangen, wenn er auf dem Rechner des Opfers und bei im Leser steckender Chipkarte eine Zahlung auslöst, ohne dass dies vom Opfer bemerkt wird. Sobald die Chipkarte wieder gezogen wird, ist die PIN völlig unnütz.

Oder der Angreifer muss physisch in den Besitz der Chipkarte kommen.

Auf jeden Fall bringt einem die PIN alleine überhaupt nichts ohne den dazugehörigen Schlüssel. Beim Chipkartenverfahren verlässt der Schlüssel niemals die Karte, die Signatur bzw. Verschlüsselung findet im Prozessor auf der Karte statt, folglich kann der Schlüssel auch von einem noch so schlauen Trojaner nicht ausgespäht werden.

Weiterhin kann man auch das Ausspähen der PIN wirksam verhindern, indem man einen Chipkartenleser mit PIN-Tastatur verwendet, dann wird die PIN nicht über die Rechnertastatur, sondern direkt am Leser eingegeben und ist vom Rechner aus nicht ausspähbar.

Denkbar ist das Ausspähen von Schlüssel und PIN allenfalls bei Diskettensystemen (wenn sich der Schlüssel auf einer Sicherheitsdiskette befindet) oder der Schlüssel gar auf die Festplatte kopiert wurde. Aus diesem Grund ist dem Chipkartenverfahren der Vorzug zu geben.

Die diversen Artikel über HBCI und dessen Sicherheitsverfahren sind leider größtenteils nicht gerade von Fachkunde geprägt, und/oder sie basieren auf Szenarien, die völlig praxisfremd sind.

Grüße
Sebastian

Moin

Die PIN gewährt nur Zugang zur Chipkarte, und der
Schlüssel, mit dem Aufträge an die Bank signiert werden,
befindet sich unauslesbar auf der Chipkarte.

Das macht nix: Es waren 2 Trojaner im Umlauf:
Der erste war auf die HBCI mit TAN/PIN ohne Karte abgerichtet. Der hat alles mitgelesen bis eine TAN vorbeikam. Diese hat er vor dem verschicken an den Bankrechner ausgetauscht. Die orginal-TAN mit allen anderen Daten sind dann an einen Dritten übermittelt worden. Da eine falsche TAN beim Server ankam gabs eine normale Fehlermeldung. Der User nahm meistens an er hätte die TAN schonmal benutzt… und weg war das Geld.

Der zweite, weit weniger erfolgreiche, war auf HBCI-Chip-Karten ausgelegt. Der hat ebenfalls länger Daten gesammelt. Erst wenn eine Überweisung gemacht werden sollte wurde er aktiv. Er hat dann transparent für den User das Zielkonto vor dem Verschlüsseln ausgetauscht. Dem User konnte das nicht auffallen (weil die Kartengeräte die Daten ja nicht nochmal anzeigen und der Trojaner den Bildschirminhalt beliebig ändern konnte).

Beide Trojaner waren auf das windows-HBCI-Modul ausgelegt. Angriffe auf andere HBCI-Module hab ich bis jetzt nicht mitbekommen. Der erste soll in modifizierter Version immernoch per mail verschickt werden, der zweite ist hoffentlich ganz im digitalen Nirvana verschwunden. 

Solange Trojaner frei den Speicherinhalt anderer Programme modifizieren können ist sicheres Banking unter windows nicht möglich. Ausnahme sind System die ausserhalb von windows die Daten nochmal anzeigen (Karten-Geräte mit eigener Anzeige und Keypad). Die halte selbst ich für einigermassen sicher. (Bis jemand den asy-Key der Bank knackt)

cu

N’Abend!

Der erste war auf die HBCI mit TAN/PIN ohne Karte abgerichtet.
Der hat alles mitgelesen bis eine TAN vorbeikam. Diese hat er
vor dem verschicken an den Bankrechner ausgetauscht. Die
orginal-TAN mit allen anderen Daten sind dann an einen Dritten
übermittelt worden. Da eine falsche TAN beim Server ankam gabs
eine normale Fehlermeldung. Der User nahm meistens an er hätte
die TAN schonmal benutzt… und weg war das Geld.

Das kann natürlich bei jeder Online Banking Software mit PIN/TAN passieren, nicht nur bei HBCI. Das ist einer der Gründe, warum es bei HBCI ursprünglich keine PIN (außer für den Zugang zur Chipkarte) und überhaupt keine TANs mehr gab. Das kam erst im Nachhinein wieder dazu, nachdem die Bankkunden die Kosten für den Chipkartenleser gescheut haben und nicht auf PIN/TAN verzichten wollten.

Der zweite, weit weniger erfolgreiche, war auf
HBCI-Chip-Karten ausgelegt. Der hat ebenfalls länger Daten
gesammelt. Erst wenn eine Überweisung gemacht werden sollte
wurde er aktiv. Er hat dann transparent für den User das
Zielkonto vor dem Verschlüsseln ausgetauscht. Dem User konnte
das nicht auffallen (weil die Kartengeräte die Daten ja nicht
nochmal anzeigen und der Trojaner den Bildschirminhalt
beliebig ändern konnte).

DAS ist natürlich böse.

Weißt Du, welche Software der Trojaner da angegriffen hat? Der wird ja wohl kaum auf alle im Markt befindlichen HBCI Clients ausgerichtet gewesen sein, oder?

Beide Trojaner waren auf das windows-HBCI-Modul ausgelegt.

Welches? Von welchem Hersteller?

Angriffe auf andere HBCI-Module hab ich bis jetzt nicht
mitbekommen. Der erste soll in modifizierter Version immernoch
per mail verschickt werden, der zweite ist hoffentlich ganz im
digitalen Nirvana verschwunden.

Solange Trojaner frei den Speicherinhalt anderer Programme
modifizieren können ist sicheres Banking unter windows nicht
möglich.

Das ist wohl wahr … auch wenn die Wahrscheinlichkeit eines solchen Angriffs auf einem Rechner mit Firewall und tagesaktuellem Virenscanner nicht ganz so hoch, wenn auch nicht ausgeschlossen ist.

Ausnahme sind System die ausserhalb von windows die
Daten nochmal anzeigen (Karten-Geräte mit eigener Anzeige und
Keypad). Die halte selbst ich für einigermassen sicher.

DAS ist das Optimum, aber die Anzeige einer kompletten Überweisung auf dem Kartenleser-Display ist natürlich auch schwierig, und kaum jemand wird da wirklich die Kontonummer nochmal prüfen.

(Bis jemand den asy-Key der Bank knackt)

Damit kann er allerdings keine Aufträge vom Kunden an die Bank fälschen, sondern diese Nachrichten (Kunde an Bank) „nur“ entschlüsseln und außerdem die Antworten von der Bank fälschen, d.h. signieren.

Um eine Kundennachricht fälschen (signieren) zu können, bräuchte er den Private Key des Kunden, nicht der Bank.

Das Böse ist immer und überall …

Grüße
Sebastian

Moin

Weißt Du, welche Software der Trojaner da angegriffen hat?

Es war eines der weit verbreiteten „Standart“ Module für windows. Das wurde damals von mehreren grossen Banken als Backend eingesetzt. Es ist aber nicht mehr unter dem gleichen Namen auf dem Markt. Wenn ich die Seiten nochmal wiederfinde poste ich sie hier (ist aber schon länger her und wirklich „Werbung“ wurde nicht damit gemacht)

Der
wird ja wohl kaum auf alle im Markt befindlichen HBCI Clients
ausgerichtet gewesen sein, oder?

Nein, natürlich nicht. Es funktionierte auch nur mit einer bestimmten Version. Kleinste Änderungen im Code verlagern ja die Daten im Speicher an völlig andere Stellen.

auch wenn die Wahrscheinlichkeit eines
solchen Angriffs auf einem Rechner mit Firewall und
tagesaktuellem Virenscanner nicht ganz so hoch, wenn
auch nicht ausgeschlossen ist.

Ja, klar. Es wird selbst im dümmesten Fall nur einen von zig-tausend Online-Kunden treffen. Aber wenn die Leute schon von Firstgate-Problemen reden und dann noch unbekannte Rechnungen per mail kommen… Ein bisschen Angst und eine Nachfrage bei der Bank haben da noch nie geschadet (Ich weiss, andere Leute haben da andere Meinungen). In diesem Fall wars ja nix.

Um eine Kundennachricht fälschen (signieren) zu können,
bräuchte er den Private Key des Kunden, nicht der Bank.

Wenn die Primzahlen des Bankschüsselsystems rauskommen ist alles am Ar****. Dann stellt auch der private Key kein Hinderniss mehr da. Da es noch keine Quantenrechner gibt kann man den Fall aber eigentlich ausschliessen. Ich will doch schwer hoffen dass die Banken klever genug waren ein bisschen Köpfchen in die Wahl der Systeme zu stecken. Die RSA Challenge läuft ja auch schon länger und ausser den kleinen

Hi,

Es war eines der weit verbreiteten „Standart“ Module für
windows. Das wurde damals von mehreren grossen Banken als
Backend eingesetzt. Es ist aber nicht mehr unter dem gleichen
Namen auf dem Markt. Wenn ich die Seiten nochmal wiederfinde
poste ich sie hier (ist aber schon länger her und wirklich
„Werbung“ wurde nicht damit gemacht)

Data Design? eFix (Hypovereinsbank)? OnlineBankingPlus (Commerzbank)?

Ist das nur in der Theorie mal irgendwo vorgeführt worden, oder hat es echte Schadensfälle gegeben?

Ja, klar. Es wird selbst im dümmesten Fall nur einen von
zig-tausend Online-Kunden treffen.

Bei solchen Wahrscheinlichkeiten ist dann Online Banking immer noch sicherer als papiergebundenes, da kann man auf dem Weg zum Briefkasten überfallen oder überfahren werden, die Treppe runterfallen oder sonstwas.

Wenn die Primzahlen des Bankschüsselsystems rauskommen ist
alles am Ar****. Dann stellt auch der private Key kein
Hinderniss mehr da.

Die Keys der Bank und des Kunden werden völlig unabhängig voneinander erzeugt, es gibt keinen Master Key oder sowas. Falls ein Bankschlüssel kompromittiert ist, ist nur dieser eine Schlüssel unbrauchbar, die Bank muss nur einen neuen erzeugen, dieser wird per HBCI-Schlüsseländerungsnachricht verteilt, und die Kunden können die Authentizität anhand des Hash-Wertes (Prüfsumme, die in einem Papier-Brief an die Kunden mitgeteilt wird) überprüfen. Fertig, Angriff abgewehrt, keine weiteren Auswirkungen auf andere Schlüssel.
Das heißt also: Die Kenntnis des Private Keys einer Bank bringt einen keinen Millimeter näher an den Key auch nur eines einzigen Kunden (und umgekehrt).

Ich will doch
schwer hoffen dass die Banken klever genug waren ein bisschen
Köpfchen in die Wahl der Systeme zu stecken.

Ja, ich denke, das waren sie (bzw. die Gremien, die den HBCI-Standard entwickelt haben und immer noch weiterentwickeln). Die Schlüssellänge der „alten“ HBCI-Versionen ist 796 bit, die neueren 1024 bit (wenn ich mich nicht irre).

Übrigens: Solange der Bank- oder Kundenschlüssel nicht kompromittiert ist, kann jede Seite den Schlüssel zyklisch ändern, ohne dass jedesmal das ganze Verfahren neue aufgesetzt werden muss. Die Schlüsseländerungsnachricht (enthält den neuen Public Key) wird mit dem alten Schlüssel signiert, und solange der noch sicher ist, klappt das wunderbar. Die ganze Soße mit der Hashwertprüfung gegen einen auf Papier vorliegenden Wert muss nur beim ersten Mal und im Falle einer Kompromittierung des Schlüssels gemacht werden.

Falls also jemand mit entsprechender Rechenpower versucht, den Bankschlüssel zu knacken, wird voraussichtlich schneller der Schlüssel geändert, als er den bisherigen knacken kann.

Falls Dich nähere Einzelheiten (auch über den neuen Standard, heißt ja jetzt nicht mehr HBCI, sondern FinTS, neue Version 4.0) interessieren:
http://www.hbci-zka.de

Grüße
Sebastian

Moin

Data Design? eFix (Hypovereinsbank)? OnlineBankingPlus
(Commerzbank)?

Sorry, ist zu lange her.

Ist das nur in der Theorie mal irgendwo vorgeführt worden,
oder hat es echte Schadensfälle gegeben?

Gab keine Schadensfälle, war nur ein proof-of-concept Trojaner. Also der Trojaner hat funktioniert, wurde aber nicht an Kunden verteilt. Muss um HBCI Version 2.0 rum gewesen sein. Ich glaub das Vieh ist von dem Vortag http://www.ccc.de/congress/2002/fahrplan/event/518.d… abgeleitet worden, kann’s aber nicht beschwören.

Der andere (TAN/PIN-Styl) http://www.heise.de/newsticker/meldung/50939 hat ja erst vor kurzem richtig zugeschlagen.

Falls ein Bankschlüssel kompromittiert ist, ist nur dieser
eine Schlüssel
unbrauchbar, die Bank muss nur einen neuen
erzeugen, dieser wird per HBCI-Schlüsseländerungsnachricht
verteilt, und die Kunden können die Authentizität anhand des
Hash-Wertes (Prüfsumme, die in einem Papier-Brief an die
Kunden mitgeteilt wird) überprüfen. Fertig, Angriff abgewehrt,
keine weiteren Auswirkungen auf andere Schlüssel.

Sorry, mein Fehler. Ich hatte vergessen dass bei HBCI das n nur für einen Kunden gilt und auch ausgetauscht werden kann. Ich sollte echt den Standart nochmal neu durchlesen bevor ich hier drüber diskutiere …

Falls Dich nähere Einzelheiten (auch über den neuen Standard,
heißt ja jetzt nicht mehr HBCI, sondern FinTS, neue Version
4.0) interessieren:
http://www.hbci-zka.de

Danke, werd ich mir bei Gelegenheit mal ansehen.

cu

sorry …
Moin

Sorry, ich wollte niemanden reinreiten…

Trojaner: Exploit-MhtRedir.gen

Das Ding ist so alt das opera und aktuelle IEs es einfach ignorieren:
http://us.mcafee.com/virusInfo/default.asp?id=descri…

cu

Hi,

Der andere (TAN/PIN-Styl)
http://www.heise.de/newsticker/meldung/50939 hat ja erst vor
kurzem richtig zugeschlagen.

Wohl dem, der einen nicht Browser-basierten Offline-HBCI-Client verwendet, der ist wenigstens vor diesem Schwein sicher.

Am Ende des Artikels wird ja sogar ausdrücklich HBCI als Ausweg genannt: „Zusätzliche Techniken, etwa HBCI, sind notwendig, um dem Kunden wieder das Vertrauen in sicheres Homebanking zurückzugeben.“

Ich sollte echt den Standart nochmal neu durchlesen bevor ich
hier drüber diskutiere …

Wenn ich 'ne Weile nicht damit zu tun hatte, muss ich auch immer nachschauen … das Werk ist einfach zu umfangreich.

Falls Dich nähere Einzelheiten (auch über den neuen Standard,
heißt ja jetzt nicht mehr HBCI, sondern FinTS, neue Version
4.0) interessieren:
http://www.hbci-zka.de

Danke, werd ich mir bei Gelegenheit mal ansehen.

Den 4.0 kenne ich in der Endfassung auch noch nicht, nur aus den Anfängen der Diskussion.

Grüße
Sebastian