Mobile Risken: Als Malware laufen lernte

Cyberkriminelle halten sich am liebsten dort auf, wo der größte Profit zu erwarten ist. Unter dieser Voraussetzung hat Googles Android-Plattform die Nase vorn. "Wir stehen erst am Anfang der Entwicklung von mobiler Malware«, sagt Pavel Krcma, Viruslabs Senior Architect bei AVG, im Gespräch mit der COMPUTERWELT. Plus: Tipps für eine Schadsoftware-freie BYOD-Strategie. [...]

„Wir sind im mobilen Bereich jetzt dort, wo der PC-Markt Anfang der 1990er-Jahre gestanden ist: Ein paar Kiddies haben damals Computerviren aus sportlichem Eifer geschrieben. Doch bald hat sich die Motivation geändert und aus Spaß wurde ein millionenschweres Businessmodell“, so Krcma. Er geht davon aus, dass die Evolution der mobilen Schadsoftware ähnlich ablaufen wird. Die Mehrzahl der aktuellen Malware, die mobile Devices wie Smartphones und Tablets attackiert, sei, so der tschechische Sicherheitsexperte, noch technisch wenig ausgereift. Nach oben hin gibt es also noch viel Platz.

Pavel Krcma ist Teil des AVG-Forschungslabors in Brno (Brünn), keine 150 Kilometer von Wien entfernt. Es wurde 2009 mit dem Ziel gegründet, Malware zu erforschen und Gegenmaßnahmen zu planen. Der Ort ist gut gewählt. Die zweigrößte Stadt Tschechiens verfügt über ein Reservoir von 18 Universitäten mit rund 80.000 Studenten. Während der Fokus ursprünglich auf der Analyse von Malware lag, die über das Internet vertrieben wird, hat der Mobility-Hype einen neuen Schwerpunkt gebracht. Gehörten Smartphones und Tablets in den letzten Jahren bereits zu den beliebtesten Gadgets, so war 2012 ein Zeitraum mit Turboantrieb in Sachen Penetration. Laut Comscore verfügen 55 Prozent aller Europäer über Smartphones, in den USA und in Japan sind es sogar je 81 Prozent. Populärste Plattform: Android mit einem Markt­anteil von 72 Prozent (Quelle: Gartner). Mit großem Abstand folgen iOS (14 Prozent) und RIM (fünf Prozent). Windows Mobile liegt bei ganzen 2,4 Prozent. Weitere Highlights der Google-Plattform: Android brach 2012 die 25-Milliarden-Marke bei installierten Apps, zudem werden weltweit 1,3 Millionen Android-Geräte aktiviert – pro Tag, versteht sich.

Da auch die Kriminellen gewinnorientiert agieren, ist es wenig überraschend, dass man mit Android den Marktführer im Visier hat – dieses Schicksal teilt das Google-Betriebssystem mit Microsoft Windows auf der PC-Seite.

Die Jahresanalyse für 2012 von Kaspersky Lab zeigt, dass es vor allem SMS-Trojaner, Backdoor-Programme und Spyware sind, die Android-User das Fürchten lehren. Die SMS-Trojaner versenden unbemerkt Textnachrichten an Premium-Nummern und ziehen so Geld vom betroffenen Konto ab. Backdoor-Schädlinge bieten Cyber-Kriminellen illegalen Zugang zu einem Smartphone, um weitere Schädlinge nachzuladen oder persönliche Daten zu stehlen. Und mit mobiler Spyware können unerlaubt private Daten – zum Beispiel aus dem Adressbuch –, auf dem Gerät gespeicherte Dokumente und Passwörter gesammelt werden. Alle drei Schädlinge machten mehr als die Hälfte der neuen Android-Malware aus.

Mit DKFBootKit ist letztes Jahr ein erstes Rootkit für Googles mobile Plattform aufgetaucht, so die AVG-Experten. Es wird in Apps eingeschleust, indem es das Installationspaket öffnet, den Schädling platziert und das Paket neu verpackt. Dabei werden gezielt Apps ausgewählt, die nach Root-Rechten verlangen. DFKBootKit enthält eine Bot-Komponente und kann beliebige Befehle ausführen. Die Malware besitzt etwa die Fähigkeit, Apps ohne Wissen des Benutzers zu installieren oder zu entfernen. Es kann weiters Daten stehlen oder verändern sowie Spam-Mails versenden.

GEFAHRENQUELLE ONLINE-BANKING
Während die genannten Gefahren es eher auf unauffällige Geldbeträge abgesehen haben, kann es beim Knacken von Online-Banking-Apps passieren, dass ganze Konten leergefegt werden. Diese Art von Attacken, die ihren Ursprung im PC-Bereich haben, wird im »AVG Community Powered Threat Report 2012, Q3« im Detail beschrieben.

Online-Banking wird laut Pricewaterhouse Coopers im Jahr 2015 zur Norm. Eine US Federal Reserve-Studie fand zudem heraus, dass 21 Prozent der Handy-Besitzer in den vorangegangenen zwölf Monaten in den Genuss der Vorteile von mobilem Online-Banking gekommen sind – Tendenz stark steigend. Und genau das könnte zum Problem werden. Der Übeltäter, den AVG im vergangenen Jahr analysiert hat: Zitmo bzw. Man-in-the-Mobile. Es geht um Malware, die die Zwei-Faktoren-Authentifizierung von Online-Banking-Systemen aufs Korn nimmt.

Viele Geldinstitute in Österreich oder Deutschland vergeben bei Online-Transaktionen sogenannte mobile TAN (mTAN), die jeweils nur einmal zum Einsatz kommen und per SMS verschickt werden – und das neben der klassischen Kombination aus Username und Passwort.

Um die TAN für kriminelle Zwecke nutzen zu können, muss in einem ersten Schritt der PC des Opfers infiziert sein, etwa über eine präparierte Webseite, über die ein Trojaner à la Zeus installiert wird. Im zweiten Schritt geht es dem mobilen Device an den Kragen. Das passiert auf die Weise, dass beim Öffnen der Online-Bankingseite eine gefälschte Warnmeldung auf dem Bildschirm erscheint, die zur Bestätigung des Smartphones durch eine Zertifizierung auffordert. Der getäuschte Nutzer lädt das vermeintliche Zertifikat herunter und installiert es auf seinem Smartphone. Damit haben die Kriminellen die Kontrolle über das Gerät.

Wenn sich der User nun in sein Online-Banking-System für eine finanzielle Transaktion einloggt, wird vom Geldinstitut wie gewohnt eine mTAN an das mobile Gerät geschickt. Doch diese kommt dort nie an, sie wird von den Kriminellen abgefangen. Um Geld zu stehlen, können die Angreifer Betrag und Zahlungsempfänger ändern und die so manipulierte Überweisung mit der echten und gültigen mTAN autorisieren. Eines ist klar: Ohne die tatkräftige ­Unterstützung durch den User hätte selbst der Man-in-the-Mobile nicht die geringste Chance.

SCHUTZ VOR MOBILER MALWARE
Ob Fahrlässigkeit der Nutzer oder technische Genialität der Kriminellen – Sophos hat für Security-Verantwortliche in Unternehmen zehn Regeln aufgestellt, die helfen sollen, dem mobilen Malware-Problem Herr zu werden. Der Sicherheitsexperte geht davon aus, dass Android-Malware im Jahr 2011 um 8.000 Prozent gewachsen ist, 2012 waren es immerhin noch mehr als 4.000 Prozent. Außerdem hat Google allein  2011 mehr als 100 verseuchte Applikationen aus seinem App Store genommen.

• Das Unternehmen muss seine Bring Your Own Device-Policy durchsetzen.
• Mitarbeitern sollte durch Schulungen und Trainings klar gemacht werden, dass Smartphones und Tablets denselben Risken ausgesetzt sind wie Desktop-PC oder Laptops.
• Klingt simpel, ist aber ein entscheidender Faktor: Betriebssysteme auf aktuellem Stand halten.
• Nur in sichere Wireless-Netze einsteigen: Offene Netze sind wie All-you-can-eat-Buffets – nicht für die User, sondern für die Kriminellen, denen die mobilen Devices quasi auf dem Silbertablett serviert werden.
• Sicherheitsverantwortliche sollen dafür sorgen, dass Apps nur aus vertrauenswürdigen Quellen installiert werden können, alles andere sollte für die User gesperrt sein.
• Anti-Malware-Software verwenden.
• Jailbreak bzw. Rooten verhindern: Hier geht es darum, Sicherheitsbeschränkungen zu umgehen, um auf bestimmte Features zugreifen zu können. Welches Risiko sich dahinter verbirgt, liegt auf der Hand.
• Das Gerät verschlüsseln: Taxi, Restaurant, Flughafen, die Möglichkeiten, ein mobiles Device zu verlieren sind grenzenlos. Die Schäden, die durch den Verlust für den User und das Unternehmen entstehen können, ebenfalls.
• Den Mitarbeitern sichere Cloud-Dienste zur Verfügung stellen, damit sie sich nicht den Public-Cloud-Anbietern anvertrauen müssen.  
• Sicherheit duldet keine Kompromisse: Erfüllt ein Device nicht die Sicherheitsanforderungen eines Unternehmens, dann hat es in dessen Netzwerk nichts zu suchen.

Pavel Krcma vom AVG-Forschungslabor in Brno empfiehlt Usern zudem, ihren Hausverstand einzuschalten, wenn es darum geht, Malware herauszufiltern. Wer es gewohnt ist, jede noch so ungewöhnliche Anfrage mit OK zu quittieren, braucht sich nicht zu wundern, wenn die böse Seite  die Macht über das Smartphone übernimmt. (su)