Auch mTAN kann unsicher sein: Tatanga räumt Konten ab

Das mobile TAN-Verfahren gilt als sehr sicher. Doch wenn der Rechner nicht ausreichend geschützt ist, hilft es auch nichts, wenn die TAN per SMS aufs Handy kommt. Das zeigt der Trojaner Tatanga, der es auf die Konten deutscher Online-Banking-Kunden abgesehen hat.

Tatanga kennen Nintendo-Freundevielleicht noch aus dem Super Mario Land. Im legendären Computerspiel entführt derlilafarbene Außerirdische eine Prinzessin, um sie zu heiraten und Herrscher überdas von ihr regierte Sarasaland zu werden. Jetzt ist Tatanga zurück. Diesmal abernicht, um Königreiche an sich zu reißen, sondern Bankkonten: Cyber-Kriminelle versuchenmit der gleichnamigen Schadsoftware, mobile TAN-Nummern beim Online-Banking auszuspionieren.

Tatanga hätte es auf dieKonten deutscher Bankkunden abgesehen, meldet der Sicherheitsdienst Trusteer, derden Trojaner kürzlich entdeckt hat. Der Angriff läuft über die "Man-in-the-Browser"-Methode.Ist der Trojaner erstmal auf dem Rechner, wird er aktiv, sobald der Kunde die Seiteseiner Bank aufruft. Es erscheint dann eine Meldung, dass die Bank einen Sicherheitscheckauf dem Computer ausführe und überprüfe, ob der Nutzer eine Transaktionsnummer (TAN)auf seinem Handy empfangen könne.

Überweisung nach Kontostand

Während die mTAN per SMSaufs Handy des Kunden kommt, initiiert Tatanga im Hintergrund eine Überweisung –natürlich ohne dass der Nutzer davon etwas mitbekommt. Dabei prüft der Trojanersogar den Kontostand des Opfers und wählt bei mehreren Konten dasjenige aus, beidem am meisten zu holen ist. Folgt der Kunde den Instruktionen auf der gefälschtenBankenseite und gibt die TAN in das eingeblendete Formular ein, legitimiert er damitdie Transaktion auf das Konto der Betrüger.

Die SMS der Bank enthältzwar den Betrag sowie das Zielkonto der Überweisung, dies habe aber nichts zu bedeuten,heißt es auf der manipulierten Bankenwebsite: Es handele sich lediglich um "Testdaten"für die Sicherheitsüberprüfung und es werde kein Geld vom Konto abgebucht.

Schlechtes Deutsch enttarnt

Wer sich den Text genaudurchliest, wird schnell merken, dass nicht alles mit rechten Dingen zugeht: Dieeingeschleuste Seite ist gespickt mit Grammatik- und Rechtschreibfehlern. "Sehrgeehrter Nutzer von Online-Banking um die Sicherheit zu verbessern, unsere Bankprüft die Aktivierung der Rufnummern fur smsTAN aufgefuhrt", heißt es etwain dem offensichtlich maschinell ins Deutsche übertragenen Text.

Doch an der Übersetzungkönnen die Kriminellen noch feilen. Und technisch sei der Trojaner schon jetzt äußerstraffiniert und vielschichtig, warnen die Experten von Trusteer. Das zeige sichunter anderem daran, dass Tatanga nach dem Diebstahl sämtliche Spuren des Betrugsverschleiert. Mit etwas gesundem Menschenverstand lassen sich aber auchausgefeilte Attacken abwehren: Keine Bank fragt ihre Nutzer nach TANs fürSicherheitsüberprüfungen oder um Zugriff auf das Konto zu erhalten.  

Quelle: n-tv.de