Angebliche Zertifikats-App bringt mTAN-Trojaner aufs Smartphone
Eine angeblich von der Postbank stammende E-Mail fordert zur Installation einer "SSL-Zertifikat App" auf. Dahinter verbirgt sich ein Trojaner, der unter anderem PIN und mTANs fürs Online-Banking abgreift.
Bei heise Security gehen derzeit Leserhinweise zu Mails ein, die angeblich von der Postbank stammen und zur Installation einer "SSL-Zertifikat App" auffordern. Eine schnelle Analyse zeigt, dass es sich dabei um einen Trojaner für Android-Smartphones handelt, der unter anderem PIN und mTANs fürs Online-Banking abgreift.
"Wir erinnern Sie, dass ab dem 25 April die Nutzung des mobilen TAN-Service nur mit der SSL-Zertifikat App möglich ist", heißt es in der Mail mit dem Betreff "Extended Validation-Zertifikate (EV-SSL-Zertifikat) im Android" die angeblich von "kundenservice@postbank.de" oder "mobile-banking@postbank.de" stammt. Wer dem Link am Ende der Mail mit einem Browser auf einem PC oder einem iPhone folgt, bekommt lediglich die schlichte Meldung "Zertifikat wurde erfolgreich Installiert.".
Besucht man die Seite jedoch mit einem Android-Smartphone erscheint ein ausführlicher Text zu "Extended Validation-Zertifikaten" mit der Aufforderung, eine spezielle App zu installieren, um sein Online-Banking zu schützen. Insbesondere erklärt eine Anleitung, wie man in den Einstellungen des Smartphones die Installation von Apps aus unbekannten Quellen frei schaltet. Die dabei auftauchende Sicherheitswarnung könne man ignorieren: "Die EV-SSL-Zertifikat App ist sicher" heißt es da in fett und rot. Zum Abschluss der Installation wird dann ganz dreist die PIN des Online-Banking-Zugangs angefordert – angeblich für die "Authentifizierung des EV-SSL-Zertifikat[s] mit der Bank".
Eine kurze Analyse der App mit der Anubis Sandbox zeigt, dass diese sich tatsächlich wie angekündigt unter anderem den Zugriff auf SMS und Netzwerk besorgt. Mit Letzterem ausgestattet nimmt die App auch unverzüglich Kontakt mit einem Server in den USA auf und überträgt an diesen bereits Telefonnummer und IMEI. Man darf getrost davon ausgehen, dass zukünftig ankommende mTANs für Online-Banking-Transaktionen auf dem gleichen Weg auf dubiosen Servern landen.
Die Mail und Web-Seite sind erstaunlich gut gemacht und können bei Postbank-Kunden zumindest beim flüchtigen Lesen durchaus als echt durchgehen. Was misstrauisch machen sollte, ist die Aufforderung, die Installation von Apps aus unbekannten Quellen zu aktivieren. Wer auf Sicherheit Wert legt, sollte die Option unbedingt ausgeschaltet lassen, denn das schützt vor solchen Angriffen besser als jeder Virenscanner. (ju)
