Sicherheitslücken

Hacker will Bankomat-Software geknackt haben

Andreas Proschofsky, 07. Mai 2010 12:01
  • Artikelbild
    Foto: archiv

Von mehreren Herstellern - Angeblich Multi-Plattform-Rootkit entwickelt - Neuer Anlauf für Präsentation auf Black-Hat-Konferenz

Es war eine jener Präsentationen, die schon im Vorfeld für hitzige Diskussionen sorgt: Bereits im vergangenen Jahr wollte der Sicherheitsexperte Barnaby Jack im Rahmen der Black-Hat-Konferenz über Sicherheitsprobleme bei Bankomat-Software referieren. Ein Vorhaben, das allerdings abrupt gestoppt wurde. Jack wurde die Präsentation nach der Interventionen von Bankomatherstellern durch seinen damaligen Arbeitgeber, Juniper Networks, kurzerhand untersagt.

Neuer Anlauf

Eine Situation, mit der sich der Hacker allerdings nicht so ohne weiteres zufrieden geben will. So hat Jack vor einigen Wochen seinen Arbeitgeber gewechselt und nimmt für die diesjährige Black-Hat-Konferenz einen neuen Anlauf: Im Rahmen der vom 24. bis 29. Juli in Las Vegas stattfindenden Veranstaltung will er sich also wieder dem Knacken von Bankomat-Software widmen, dies geht aus dem Programm der Konferenz hervor.

Mehrfach

In der Ankündigung macht er sich denn auch gleich über die Versuche, den Vortrag zu verhindern lustig, das zusätzliche Jahr habe ihm immerhin die Möglichkeit gegeben weitere Attacken aufzuspüren. So will er nun gleich erfolgreiche Angriffe auf aktuelle Bankomat-Modell zweier großer Hersteller demonstrieren - diese sollen sowohl lokal als auch aus der Ferne möglich sein.

Zugriff

Doch damit nicht genug: Jack verspricht zudem die Vorstellung eines Multi-Plattform-Rootkits, das auf Bankomaten installiert werden kann, um diese unter die eigene Kontrolle zu bringen - für viele wohl eine Horrorvorstellung, ließen sich damit doch sämtliche Kontodaten mitlesen. Parallel dazu will der Hacker aber auch Tipps geben, wie die Bankomathersteller die Sicherheit ihrer Geräte erhöhen könnten.

Unüblich

Angriffe auf das Bankomatsystem erfolgen meist mit brachialer Gewalt - durch den Diebstahl des gesamten Geräts - oder mittels Tricks wie der Duplizierung von Bankomatkarten und des Mitfilmens des zugehörigen Codes. Attacken gegen die Software der Geräte sind hingegen bislang kaum vorgekommen, ein Umstand, den die Hersteller sonst gerne auf die hohen Sicherheitsstandards der eigenen Entwicklungen zurückführen. (apo, derStandard.at, 07.05.10)

Link

Programm der Black-Hat-Konferenz

derStandard.at/Web auf Facebook
Kommentar posten
Posting 1 bis 25 von 151
«‹›»
1 2 3 4
Sand
08.05.2010 10:41
Und?

ATM sind sicher. Mindestens so sicher wie früher Bankangestellte hinterm Tresen. Nur halt viel viel billiger als Bankangestellte. Und arbeiten 24 Stunden am Tag. Fehlerfrei. Außer bei mangelnder Handhabung der Kunden / Banker.
Übrigens kann man i Ö., D. u. a. Ländern die Kontendaten viel einfacher übers Internetbanking ausspähen. Fast jedes Vorschulkind weiß heute, wie man am PC einen Key-Board-Tracker installiert und bedient. Viele sogar gezielt übers Netz. Wozu dann den Bankomaten hacken? Das gäbe ja bloß unsinnige Überschussinformation.

Der Cygeuner
08.05.2010 11:38
Realitätscheck?

Mag sein, dass das mit dem Ausspähen so unglaublich einfach ist.

Nun aber die relevante Frage: Passiert es aber auch?

Kennen Sie viele Leute, deren Konten schon ausgespäht wurden?

Foromat
08.05.2010 10:57

über den keybord tracker bekommt er bei mir genau mein passwort (PIN) .

Aber was macht er mit meiner Kontonummer, um eine überweisung zu tätigen brauchts noch den mobile pin und der wird auf mein händy geschickt.

zumal, wer seinen pc ohne viren und spysoftware schutz ausstattet ist auch selber schuld, der kann den PIN gleich auf die karte schreiben und an der bar liegen lassen.

Nachtsonne
09.05.2010 13:54

benutzerID und passwort werden sind bei einige bänken einzugeben.

keylogger hardware wird in tastatur oder in tastaturstecker eingebaut, dagegen ist ein antispysoftware auf pc wirkungslos.

Foromat
09.05.2010 14:21

das stimmt, wenn natürlich jemand zu meiner hardware zugriff bekommt, wirds mühsam ...

aber da bin ich sicher nicht das geeignetes objekt 8-)

möglichkeiten gibts viele, ich sehe internet banking immer als noch etwas recht sicheres an ... ich denke das viele (ältere) menschen eher am Weg zu/von der Bank ausgeraubt werden, da haben sie neben dem finanziellen Schaden auch noch den pers. Schock bzw eventuel auch noch verletzungen.

dann schon lieber cybermässig ausgetrickst.

android.freak
08.05.2010 14:17

sobald du eine überweisung machst. so würde ich das machen und so wird es sicherlicht gemacht:

1.) du machst ne normale überweisung
2.) bekommst nen pin aufs handy.
3.) klickst auf bestätigen
4.) im hintergrund bin ich und täusche dir ne überweisung irgendwo hin vor, überweisse aber irgendwoanders hin einen viel höheren betrag.
5.) du glaubst, du wurdest nicht gehackt, weil online alles richtig angezeigt wurde.
6.) ob du gehäckt wurdest, erfährst du also erst wenn du deinen kontoauszug bei der BANK ausdruckst!

Wichtiger Wichtel
08.05.2010 23:44

geht v.a. deshalb nicht, weil Du mit jeder SMS auch die Empfängerkontonummer mitgeschickt kriegst, die PIN nur für die eine Überweisung gelten.

Wenn Du also als Man in the Middle mir vortäuschst, dass ich die eine Überweisung durchführe merke ich's spätestens, wenn ich die Kontonummern vergleiche.

Achmo Ledbid
08.05.2010 19:31
so funktionierts nicht..

..für deine variante müsste er sich in die web-session einklinken und somit SSL-tunnel aufbrechen. es ginge aber eine andere variante: keylogger, und mittels versteckten lokalen-proxy das url-blockung genau für jene URL hernehmen, welche die FORM-daten der überweisung annimmt. dann bekommt der benutzer eine fehlermeldung und kann sich was ich was denken. dennoch hat der hacker zugriff auf Konto-verfügeruser, PIN und einen noch immer gültigen TAN. funktioniert nur bei banken, welche keine i-TAN's oder mobile TAN's haben. Also eine TAN-liste wo die TAN's in belibibiger reihenfolge ohne vorgegebenen Präfix genützt werden können. haben aber nur mehr ganz wenige banken so ein system, eigentlich fällt mir keine mehr ein.

Foromat
08.05.2010 14:55

so funktioniert das aber nicht, die überweisung die ich eingebe wir mit dem moblie tan mitgeschickt (betrag, anzahl der überweisungen)

d.h. wenn ich 65 EUR an die Tante mitzi oder die BH Hardberg überweisen will und ich dann ein SMS bekomme mit 15.000 EUR (maximalbetrag pro mobile tan Überweisung) dann sollte ich stutzig werden.

man möchte es nicht glauben, die jhaben sich was dabei gedacht (hat mich selbst erstaunt bei die Gumistiefler)

Sand
08.05.2010 11:27
Du hast mein Posting nicht gelesen.

Ging es nicht um Ausspähen von Kontendaten? Bei welcher Austrobank brauch ich dazu eine TAN? Und das alles mit einer recycelten PIN.

Foromat
08.05.2010 14:56

wohl, aber missinterpretiert.

Aber mit kontendaten kann man ja noch nicht allzuviel anfangen mit meinen zumindest nicht.

meinrad
08.05.2010 11:16

dann können wir ja froh sein, daß die viren- und spyware-schutzsoftware stets perfekt ist und nie false negatives hat!

Foromat
08.05.2010 11:26

naja, ich schaffe es meinen PCs seit 20 Jahren weitgehend Virenfrei zu halten (ein paar Ausnahmen auf der uni vor zig jahren).

Spyware/malware hatte ich nur mit dem Internet explorer aber dafür gibts ja mittlerweile auch den Firefox und antimalware programme die recht gut sind.

Ich installiere aber keine Programme, Keypass generatoren, gehackte Software welche ich von Astalavista.box oder pirate bay heruntergeladne habe, dafür hat man eine eigene VMWare die nicht ins netz darf.

aber selbst mit keytracker kommt der hacker bei den aktuellen Ebanking lösungen nicht weit, so lange es immer noch mensch gibt, die auf pishing mails reinfallen :-)

OliverK_
08.05.2010 12:08

natürlich hat jeder ne vmware ....

Foromat
08.05.2010 14:50

nein aber jeder der software aus dubiosen quellen bezieht sollte eine haben.

Wenn sie nix installieren habens auch keine viren .... simple as that, die werden nicht durch tröpfchen übertragen sondern der user geht schon bewusst ein risiko ein.

VMWare Server ist übrigens gratis und keine hexerei zu installieren.

Sand
08.05.2010 11:37
Richtig!

Aber wie weiß man, ob der PC virenfrei ist?
Gibt es Antiviruspgme, die du noch vor dem Release eines brand(!)neuen Virus, Trojaners etc. auf deinem PC installieren kannst? Die alle vorkommenden Malwares erkennen?

Foromat
08.05.2010 14:48

:-)

nein natürlich nicht.

auf der anderen seite, wie soll der virus auf meinen Pc kommen. es ist schon auch die kombination aus vrosichtigem verhalten und antiviren software.

fakt ist, ich hatte noch keinen erkannten virus bzw virus der schaden angerichtet hat.

OliverK_
08.05.2010 15:52

du bekommst den orden für den größten anti-DAU im standard-forum ^^

Foromat
09.05.2010 10:44

da fühle ich mich aber geehrt :-)

knievel
08.05.2010 10:14

ist irgendwie nachvollziehbar dass er mit einem rootkit auf dem bankomat machen kann was er will (ich denke da aber eher an ein einfaches ausspucken der ganzen kohle als an kontobewegungen).
die frage ist wie kommt er überhaupt dort drauf.
letztes jahr hiess es ja dass er die kommunikation gehackt hat, also entschlüsselt, ändert und wieder verschlüsselt.
da braucht er aber ned sonderlich stolz drauf sein, arbeitete er doch bei der firma die für diese verschlüsselung verantwortlich zeichnet.
ich hack meine eigene software ist jetzt nicht grad weltmeisterlich...

meinrad
08.05.2010 11:20

sicher machts das einfacher. trotzdem trachtet man doch danach, eine sicherheitsmaßnahme so zu bauen, daß man sie auch nicht aushebeln kann, wenn man das funktionsprinzip genau kennt.

Cyber Motzer
08.05.2010 05:17
No NA NET

Solange die Codes auf den Karten verschluesselt und nicht zentral gespeichert sind, so lange es keine Zentrale Uniforme Speicherung der Codes gibt die nicht korumpiert werden kann, so lange wird es auch jemanden geben der die Codes auf der Karte knackt. Das ist keine Weisheit, das ist Fact. Dumme Banken die seit 1980 bestreiten, dass die Codes auf der Karte gespeichert sind. Eine Speicherung der Codes auf der Karte macht die Karte unumstoesslich korrumpierbar. Eine Zentrale Speicherung und direkte Abfrage gibt es nicht, deswegen ist das System ziemlich kacka...

Amitabh Bachchan
08.05.2010 11:59
also nur zur aufklaerung

der code ist und war noch nie auf der karte gespeichert ... auch wenn sie's nicht glauben wollen

Cyber Motzer
14.05.2010 06:35
das sagen Banker

von vor 10 Jahren wurde das schon nachgewiesen... leugnen Sie das nun ???

VI SHU
09.05.2010 12:24
doch

ist er

Kommentar posten
Posting 1 bis 25 von 151
«‹›»
1 2 3 4

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.

© derStandard.at GmbH 2012 - Impressum

Alle Rechte vorbehalten. Nutzung ausschließlich für den privaten Eigenbedarf.
Eine Weiterverwendung und Reproduktion über den persönlichen Gebrauch hinaus ist nicht gestattet.