)
Betrüger sind dort aktiv, wo sie potenzielle Opfer direkt erreichen können. F‑Secure hat eine laufende Betrugsmasche entdeckt, die derzeit gezielt Personen in Indien ins Visier nimmt. Doch solche Angriffe können jede Person treffen, die ein Smartphone und ein Bankkonto besitzt — unabhängig vom Wohnort.
Die Betrugsnachrichten werden direkt über WhatsApp verschickt und fordern die Empfänger auf, manipulierte Android-Installationsdateien herunterzuladen. Die Nachrichten geben sich als Nachrichten bekannter Banken wie Axis, ICICI oder SBI aus.
)
Abbildung 1: Betrugsnachricht, die Dringlichkeit suggeriert (aus einem LinkedIn-Post).
)
Abbildung 2: Weitere Betrugsnachricht, die an die Dringlichkeit appelliert (von F‑Secure erfasst).
Die Betrugsmasche beginnt mit einer WhatsApp-Nachricht, die beim Empfänger ein Gefühl von Dringlichkeit erzeugen soll. Oft heißt es, das Bankkonto sei gesperrt oder stehe kurz vor der Schließung. Die Betrüger versuchen, das Opfer dazu zu bringen, eine beigefügte APK-Datei zu installieren — angeblich um persönliche Daten zu aktualisieren.
APK ist ein gängiges Dateiformat für Android-Anwendungen. In diesem Fall ist die Datei jedoch mit Schadsoftware infiziert. Ziel der Angreifer ist es, dass das Opfer durch geschickte Täuschung die infizierte Datei installiert — und der Malware so Tür und Tor öffnet.
Wie funktioniert die Bankbetrug-Malware?
Was passiert, wenn das Opfer die infizierte Datei geöffnet hat? F‑Secure hat eine entsprechende WhatsApp-Nachricht von einer Quelle erhalten (siehe Abbildung 2). Wir haben die angehängte APK-Datei analysiert und Folgendes festgestellt:
Nach der Installation fragt die gefälschte Banking-App nach der Berechtigung, SMS-Nachrichten zu lesen und zu versenden (Abbildung 3). Dies scheint auf den ersten Blick harmlos, ist aber für das Funktionieren der Malware entscheidend. Warum das so ist, erklären wir gleich.
)
Abbildung 3: Die Malware fordert Zugriff auf SMS-Nachrichten.
Sobald die Berechtigung erteilt ist, führt die App den Nutzer durch mehrere Bildschirme, auf denen jeweils unterschiedliche persönliche Daten abgefragt werden (Abbildung 4). Dazu zählen unter anderem die Mobilnummer, Kontonummer, das Geburtsdatum und Details zur Debitkarte des Opfers.
)
Abbildung 4: Bildschirmabfolge zur Abfrage der persönlichen Daten des Opfers.
Sobald das Opfer alle Informationen eingegeben hat, erscheint eine gefälschte Erfolgsnachricht (Abbildung 5). Diese behauptet, dass die Daten erfolgreich übermittelt wurden. Tatsächlich werden jedoch keine Daten an die Bank weitergeleitet.
)
Abbildung 5: Gefälschte „Erfolgs“-Nachricht.
)
Abbildung 6. Eine andere „Erfolgs“-Nachricht mit Warnung vor Deinstallation.
In anderen von uns analysierten Schadcode-Proben zeigt die App zum Abschluss eine „Erfolgs“-Nachricht — zusammen mit dem Hinweis, die App nicht zu deinstallieren. Der Grund: Diese vermeintliche „Bankdaten-Aktualisierungs-App“ ist nicht im Play Store erhältlich (Abbildung 6).
Was passiert im Hintergrund wirklich?
Für viele Nutzer wirkt der gesamte Ablauf täuschend echt. In Wahrheit greift die App im Hintergrund auf sensible Daten und das Bankkonto zu — ohne Wissen und Erlaubnis des Opfers. So läuft der Online-Banking-Betrug im Detail hinter den Kulissen ab:
Datendiebstahl
Wie oben gezeigt, gibt die gefälschte Banking-App vor, Nutzerdaten zu erfassen, um das Konto zu aktualisieren. Tatsächlich sammelt sie diese Informationen heimlich. Die eingegebenen Daten werden entweder in eine Cloud-Datenbank hochgeladen oder direkt an einen vom Angreifer kontrollierten Server gesendet.
)
Abbildung 7: Persönliche Nutzerdaten werden in die Cloud hochgeladen.
Umgehung der Zwei-Faktor-Authentifizierung
Das Hauptziel der Malware ist es, Zugangsdaten für das Online-Banking zu stehlen. Mit diesen Daten können die Angreifer das Bankkonto des Opfers übernehmen. Allerdings muss sich der Angreifer zunächst im Bankkonto des Opfers anmelden.
Wenn der Nutzer die Zwei-Faktor-Authentifizierung eingerichtet hat, sendet die Banking-App bei der Anmeldung ein Einmalpasswort (OTP) an das Telefon des Nutzers. Das bedeutet, dass der Betrüger nicht nur die Anmeldedaten des Opfers stehlen muss, sondern auch das von der Bank gesendete OTP benötigt, um Zugang zu erhalten.
Um an das Einmalpasswort zu gelangen, müssen die Betrüger das Opfer dazu bringen, spezielle Berechtigungen zuzulassen. Und genau hier kommen die zuvor angeforderten SMS-Berechtigungen ins Spiel (siehe Abbildung 3).
Sobald das Smartphone das Einmalpasswort per SMS empfängt, erkennt die Malware dieses automatisch — und leitet es an das Gerät des Betrügers weiter. So wird die Zwei-Faktor-Authentifizierung umgangen und die Kriminellen erhalten Zugriff auf das Konto.
)
Abbildung 8: Diese Codezeile leitet alle SMS an den Angreifer weiter.
Fazit: Vorsicht vor Online-Banking-Betrug
Auch wenn dieser Bankbetrug derzeit auf Banken in Indien abzielt, lassen sich ähnliche Methoden überall anwenden — und nicht nur im Bankwesen. Betrüger geben sich auch als andere vertrauenswürdige Dienste aus.
WhatsApp bietet durch seine enorme Reichweite eine ideale Plattform für Betrüger, um weltweit potenzielle Opfer zu erreichen. Wir empfehlen Ihnen daher höchste Vorsicht bei unbekannten Links oder Anhängen, insbesondere wenn Sie diese über WhatsApp erhalten.
Wenn Sie wachsam bleiben und die Warnsignale für Betrug kennen, können Sie Ihre Daten und Ihr Geld besser schützen.
)