Abo
  • Services:
Anzeige
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Sicherheit: Angriffe auf Server der Banken lohnen sich

Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Deepsec 2011 Penetration-Tester Mitja Kolsek findet in fast jeder Bank Sicherheitslücken. Mit diesen lässt sich Geld aus dem Nichts erzeugen, durch Rundungsfehler eine Rente sichern oder negative Beträge verschenken. Die Angriffe fallen allerdings meist auf.

Mitja Kolseks Aufgabe ist es, Sicherheitslücken aufzuspüren, vorzugsweise in Banken. Er hat auf der Deepsec einige erfolgreiche Techniken vorgestellt, ohne allerdings Namen der Banken zu nennen, die er in ihrem Auftrag angegriffen hat. Dabei entdeckt er noch immer in Einzelfällen die Möglichkeit, per einfacher URL-Manipulation auf die Konten anderer Nutzer (IDs) zuzugreifen. Der Angriff auf Nutzer einer Bank ist laut Kolsek allerdings nicht besonders vielversprechend - zumindest, wenn es darum geht, viel Geld zu stehlen.

Anzeige

Angriffe auf Nutzer in Firmenumgebungen haben demgegenüber einen großen Vorteil: Transfers großer Summen lassen die Bank nicht misstrauisch werden. Außerdem lassen sich über öffentlich zugängliche Verzeichnisse (LDAP) beispielsweise Nutzer ermitteln, für die eine Bank ein Zertifikat für Bankaktivitäten ausgestellt hat, inklusive einer E-Mail-Adresse. Das erfordert allerdings Social Engineering. Kolsek beobachtet solche Angriffe bereits.

Angriffe auf Server ersparen Arbeit an Social Engineering

Die Arbeit am Social Engineering kann sich ein Angreifer sparen, wenn er die Online-Banking-Server, oder besser die Backend-Server angreift. Banken beteuern zwar, dass diverse Angriffstechniken von Kolsek nicht funktionierten, er kommt aber nach eigenen Angaben fast immer an einen Punkt, an dem es für die Bank gefährlich wird.

Dazu gehören auch einfache SQL-Injections oder mangelnde Kontrolle der Parameter. Interessante Beispiele bot Kolsek beispielsweise beim Transfer negativer Beträge. Ein Angreifer schenkt einem Opfer -100 Euro. Über das Online-Banking-Interface wäre das nicht möglich, Javascript-Überprüfungen verhindern dies bereits. Die lokale Überprüfung lässt sich aber umgehen. Wenn der Server dann keine Kontrolle vornimmt, ist es tatsächlich möglich, Geld mit einem Transfer zu stehlen.

Geld ist unendlich

Laut Kolsek ist dies sogar bei den eigenen Konten möglich. Voraussetzung sind ein Sparkonto und ein Girokonto. Für den Beispielfall haben beide 0 Euro gelistet. Vom Girokonto werden nun -100 Euro auf das Sparkonto gutgeschrieben. Das Sparkonto kann negative Beträge nicht ausweisen. Damit bleibt das Sparkonto bei 0 Euro und das Girokonto erhält 100 Euro. Der Angriff auf die eigenen Konten erzeugt also Geld aus dem Nichts.

Ein weiterer Fehler bei Banken ist mangelnde Kontrolle der Parameter. Wenn ein Kontoinhaber einen Transfer startet und ihn zur Bank schickt, wird er noch einmal an den Nutzer zur Bestätigung zurückgeschickt. Der Nutzer kann aber in einigen Fällen mit der Bestätigung der Transaktion andere Daten schicken, da der Server Vertrauen in diesem Fall impliziert. So lässt sich im Nachhinein etwa ein positiver Betrag negativ setzen. Damit wird die erste Kontrolle, die serverseitig auf negative Beträge prüft, umgangen. Es ist bei einigen Banken sogar möglich, die Konten zu modifizieren. Die Bestätigung bezieht sich also auf ein anderes Konto, das beim ersten Versenden nicht aufgelistet wurde. Solche "Fehler in der Businesslogik" lassen sich auch ausnutzen, um etwa Überweisungslimits zu umgehen.

Auch HTTP-Parameter-Pollution ist bei einigen Banken möglich gewesen. An /transfer?Source=1&dest=2&amount=100 wird dann etwa ein &source=42 angehängt, um etwa Geld von einem fremden Konto abzuheben. Das funktioniert allerdings nicht in den von Kolsek getesteten Fällen. Er konnte aber per HTTP Parameter Pollution den Wert des Geldes verändern, zum Beispiel ins Negative oder etwas höher als das Überweisungslimit. Solche Angriffe fallen allerdings irgendwann bei der Bank auf.

Mit Rundungsfehlern zur Rente

Dazu gehört auch eine Möglichkeit, sich eine Rente zu verschaffen. Aufgrund von Rundungsfehlern beim Umrechnen von Kursen gelang es Kolsek, bei seiner Bank einen Cent zu erzeugen. Er ließ dafür 0,01 US-Cent in Euro wechseln. 2.300 Euro Gewinn sollen so pro Tag möglich sein. Allerdings dürfte die Bank dies schnell merken. Die Gegenmaßnahme, die er den Banken empfiehlt ist einfach: Das Wechseln des Geldes sollte immer mindestens eine Währungseinheit der wertvolleren Währung benötigen.

Kolsek vermutet, dass in der Zukunft die Backend-Server angegriffen werden. Diese haben häufig den Vorteil, dass sie den Online-Banking-Servern vertrauen. Außerdem lässt sich dort Geld erzeugen, ohne dass es anderen Kunden der Bank gestohlen werden muss. Damit fällt ein Angreifer weniger auf. Er habe auch schon Fälle gesehen, bei denen das möglich gewesen sei, sagte Kolsek. Möglichkeiten Geld wegzuschaffen, ohne Spuren zu hinterlassen, gebe es genug. Schließlich nutzten Kriminelle bereits einige Banken, die wenige Spuren hinterlassen und heuerten unbedarfte Nutzer an, um gegen Provision Geld zu transferieren.

Zudem werden immer mehr Bankverfahren automatisiert. Kolsek rechnet beispielsweise damit, dass Mikrokredite automatisiert vergeben werden. Solche neuen Möglichkeiten machen neue Angriffe möglich.


eye home zur Startseite
TheLynx 30. Nov 2012

Ach quatsch! Das ist gar kein Fehler, das ist das Geschäftsmodell einer Bank!

Zaphod 23. Nov 2011

Ich glaube nicht, das es nur an diesem Script hängt. Ordentliche HTML Formulare werden...

noblomov 19. Nov 2011

wenn z.b. der geldverkehr, eines instituts, einer gemeinde, eines unternehmens etc durch...

tilmank 18. Nov 2011

Weitere Punkte hinter einem Punkt auch ! ... Denen gefällt es dort ganz...

Anonymer Nutzer 18. Nov 2011

der Gedanke ist noch nicht einmal schlecht. Mit den richtigen Verbindungen lassen sich so...



Anzeige

Stellenmarkt
  1. Hughes Network Systems GmbH, Griesheim
  2. Zurich Gruppe Deutschland, Bonn
  3. Der Präsident des Kammergerichts, Berlin
  4. über SCHLAGHECK RADTKE OLDIGES executive consultants GmbH, Süd­deutschland


Anzeige
Hardware-Angebote
  1. und Civilization VI gratis erhalten

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. TU Dresden

    5G-Forschung der Telekom geht in Entertain und Hybrid ein

  2. Petya-Variante

    Goldeneye-Ransomware verschickt überzeugende Bewerbungen

  3. Sony

    Mehr als 50 Millionen Playstation 4 verkauft

  4. Weltraumroboter

    Ein R2D2 für Satelliten

  5. 300 MBit/s

    Warum Super Vectoring bei der Telekom noch so lange dauert

  6. Verkehrssteuerung

    Audi vernetzt Autos mit Ampeln in Las Vegas

  7. Centriq 2400

    Qualcomm zeigt eigene Server-CPU mit 48 ARM-Kernen

  8. VG Wort Rahmenvertrag

    Unis starten in die Post-Urheberrecht-Ära

  9. Ultrastar He12

    WD plant Festplatten mit bis zu 14 Terabyte

  10. LG

    Weitere Hinweise auf Aufgabe des bisherigen Modulsystems



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Canon EOS 5D Mark IV im Test: Grundsolides Arbeitstier mit einer Portion Extravaganz
Canon EOS 5D Mark IV im Test
Grundsolides Arbeitstier mit einer Portion Extravaganz
  1. Video Youtube spielt Livestreams in 4K ab
  2. Ausgabegeräte Youtube unterstützt Videos mit High Dynamic Range
  3. Canon EOS M5 Canons neue Systemkamera hat einen integrierten Sucher

Named Data Networking: NDN soll das Internet revolutionieren
Named Data Networking
NDN soll das Internet revolutionieren
  1. Geheime Überwachung Der Kanarienvogel von Riseup singt nicht mehr
  2. Bundesförderung Bundesländer lassen beim Breitbandausbau Milliarden liegen
  3. Internet Protocol Der Adresskollaps von IPv4 kann verzögert werden

Travelers Box: Münzgeld am Flughafen tauschen
Travelers Box
Münzgeld am Flughafen tauschen
  1. Apple Siri überweist Geld per Paypal mit einem Sprachbefehl
  2. Soziales Netzwerk Paypal-Zahlungen bei Facebook und im Messenger möglich
  3. Zahlungsabwickler Paypal Deutschland bietet kostenlose Rücksendungen an

  1. Re: Nicht schlecht für den Anfang, aber...

    Sebbi | 17:18

  2. Re: Zeigt wie Lächerlich die Idee ist, Akkus als...

    tingelchen | 17:18

  3. Re: CPU Entwicklung eh lächerlich...

    ckerazor | 17:17

  4. Re: Messenger: Kritik an SMS wegen Hasspropaganda

    olleIcke | 17:16

  5. Re: Das IoT könnte bei der Stabilisierung helfen

    DG-82 | 17:13


  1. 17:34

  2. 17:04

  3. 16:33

  4. 16:10

  5. 15:54

  6. 15:50

  7. 15:40

  8. 15:34


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel