Abo
  • Services:
Anzeige
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Sicherheit: Angriffe auf Server der Banken lohnen sich

Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Deepsec 2011 Penetration-Tester Mitja Kolsek findet in fast jeder Bank Sicherheitslücken. Mit diesen lässt sich Geld aus dem Nichts erzeugen, durch Rundungsfehler eine Rente sichern oder negative Beträge verschenken. Die Angriffe fallen allerdings meist auf.

Mitja Kolseks Aufgabe ist es, Sicherheitslücken aufzuspüren, vorzugsweise in Banken. Er hat auf der Deepsec einige erfolgreiche Techniken vorgestellt, ohne allerdings Namen der Banken zu nennen, die er in ihrem Auftrag angegriffen hat. Dabei entdeckt er noch immer in Einzelfällen die Möglichkeit, per einfacher URL-Manipulation auf die Konten anderer Nutzer (IDs) zuzugreifen. Der Angriff auf Nutzer einer Bank ist laut Kolsek allerdings nicht besonders vielversprechend - zumindest, wenn es darum geht, viel Geld zu stehlen.

Anzeige

Angriffe auf Nutzer in Firmenumgebungen haben demgegenüber einen großen Vorteil: Transfers großer Summen lassen die Bank nicht misstrauisch werden. Außerdem lassen sich über öffentlich zugängliche Verzeichnisse (LDAP) beispielsweise Nutzer ermitteln, für die eine Bank ein Zertifikat für Bankaktivitäten ausgestellt hat, inklusive einer E-Mail-Adresse. Das erfordert allerdings Social Engineering. Kolsek beobachtet solche Angriffe bereits.

Angriffe auf Server ersparen Arbeit an Social Engineering

Die Arbeit am Social Engineering kann sich ein Angreifer sparen, wenn er die Online-Banking-Server, oder besser die Backend-Server angreift. Banken beteuern zwar, dass diverse Angriffstechniken von Kolsek nicht funktionierten, er kommt aber nach eigenen Angaben fast immer an einen Punkt, an dem es für die Bank gefährlich wird.

Dazu gehören auch einfache SQL-Injections oder mangelnde Kontrolle der Parameter. Interessante Beispiele bot Kolsek beispielsweise beim Transfer negativer Beträge. Ein Angreifer schenkt einem Opfer -100 Euro. Über das Online-Banking-Interface wäre das nicht möglich, Javascript-Überprüfungen verhindern dies bereits. Die lokale Überprüfung lässt sich aber umgehen. Wenn der Server dann keine Kontrolle vornimmt, ist es tatsächlich möglich, Geld mit einem Transfer zu stehlen.

Geld ist unendlich

Laut Kolsek ist dies sogar bei den eigenen Konten möglich. Voraussetzung sind ein Sparkonto und ein Girokonto. Für den Beispielfall haben beide 0 Euro gelistet. Vom Girokonto werden nun -100 Euro auf das Sparkonto gutgeschrieben. Das Sparkonto kann negative Beträge nicht ausweisen. Damit bleibt das Sparkonto bei 0 Euro und das Girokonto erhält 100 Euro. Der Angriff auf die eigenen Konten erzeugt also Geld aus dem Nichts.

Ein weiterer Fehler bei Banken ist mangelnde Kontrolle der Parameter. Wenn ein Kontoinhaber einen Transfer startet und ihn zur Bank schickt, wird er noch einmal an den Nutzer zur Bestätigung zurückgeschickt. Der Nutzer kann aber in einigen Fällen mit der Bestätigung der Transaktion andere Daten schicken, da der Server Vertrauen in diesem Fall impliziert. So lässt sich im Nachhinein etwa ein positiver Betrag negativ setzen. Damit wird die erste Kontrolle, die serverseitig auf negative Beträge prüft, umgangen. Es ist bei einigen Banken sogar möglich, die Konten zu modifizieren. Die Bestätigung bezieht sich also auf ein anderes Konto, das beim ersten Versenden nicht aufgelistet wurde. Solche "Fehler in der Businesslogik" lassen sich auch ausnutzen, um etwa Überweisungslimits zu umgehen.

Auch HTTP-Parameter-Pollution ist bei einigen Banken möglich gewesen. An /transfer?Source=1&dest=2&amount=100 wird dann etwa ein &source=42 angehängt, um etwa Geld von einem fremden Konto abzuheben. Das funktioniert allerdings nicht in den von Kolsek getesteten Fällen. Er konnte aber per HTTP Parameter Pollution den Wert des Geldes verändern, zum Beispiel ins Negative oder etwas höher als das Überweisungslimit. Solche Angriffe fallen allerdings irgendwann bei der Bank auf.

Mit Rundungsfehlern zur Rente

Dazu gehört auch eine Möglichkeit, sich eine Rente zu verschaffen. Aufgrund von Rundungsfehlern beim Umrechnen von Kursen gelang es Kolsek, bei seiner Bank einen Cent zu erzeugen. Er ließ dafür 0,01 US-Cent in Euro wechseln. 2.300 Euro Gewinn sollen so pro Tag möglich sein. Allerdings dürfte die Bank dies schnell merken. Die Gegenmaßnahme, die er den Banken empfiehlt ist einfach: Das Wechseln des Geldes sollte immer mindestens eine Währungseinheit der wertvolleren Währung benötigen.

Kolsek vermutet, dass in der Zukunft die Backend-Server angegriffen werden. Diese haben häufig den Vorteil, dass sie den Online-Banking-Servern vertrauen. Außerdem lässt sich dort Geld erzeugen, ohne dass es anderen Kunden der Bank gestohlen werden muss. Damit fällt ein Angreifer weniger auf. Er habe auch schon Fälle gesehen, bei denen das möglich gewesen sei, sagte Kolsek. Möglichkeiten Geld wegzuschaffen, ohne Spuren zu hinterlassen, gebe es genug. Schließlich nutzten Kriminelle bereits einige Banken, die wenige Spuren hinterlassen und heuerten unbedarfte Nutzer an, um gegen Provision Geld zu transferieren.

Zudem werden immer mehr Bankverfahren automatisiert. Kolsek rechnet beispielsweise damit, dass Mikrokredite automatisiert vergeben werden. Solche neuen Möglichkeiten machen neue Angriffe möglich.


eye home zur Startseite
TheLynx 30. Nov 2012

Ach quatsch! Das ist gar kein Fehler, das ist das Geschäftsmodell einer Bank!

Zaphod 23. Nov 2011

Ich glaube nicht, das es nur an diesem Script hängt. Ordentliche HTML Formulare werden...

noblomov 19. Nov 2011

wenn z.b. der geldverkehr, eines instituts, einer gemeinde, eines unternehmens etc durch...

tilmank 18. Nov 2011

Weitere Punkte hinter einem Punkt auch ! ... Denen gefällt es dort ganz...

Anonymer Nutzer 18. Nov 2011

der Gedanke ist noch nicht einmal schlecht. Mit den richtigen Verbindungen lassen sich so...



Anzeige

Stellenmarkt
  1. Neoperl GmbH, Müllheim
  2. iXus GmbH, Berlin
  3. MBtech Group GmbH & Co. KGaA, Sindelfingen, Stuttgart, Neu-Ulm, Ulm
  4. operational services GmbH & Co. KG, Frankfurt am Main, München, Nürnberg, Wolfsburg


Anzeige
Blu-ray-Angebote
  1. 5,49€
  2. 21,99€ (Vorbesteller-Preisgarantie)
  3. (u. a. The Expendables 3 Extended 7,29€, Fight Club 6,56€, Predator 1-3 Collection 24,99€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von IBM
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Mit digitalen Workflows Geschäftsprozesse agiler machen


  1. Linux

    Kernel-Sicherheitsinitiative wächst "langsam aber stetig"

  2. VR-Handschuh

    Dexta Robotics' Exoskelett für Motion Capturing

  3. Dragonfly 44

    Eine Galaxie fast ganz aus dunkler Materie

  4. Gigabit-Breitband

    Google Fiber soll Alphabet zu teuer sein

  5. Google-Steuer

    EU-Kommission plädiert für europäisches Leistungsschutzrecht

  6. Code-Gründer Thomas Bachem

    "Wir wollen weg vom Frontalunterricht"

  7. Pegasus

    Ausgeklügelte Spyware attackiert gezielt iPhones

  8. Fenix Chronos

    Garmins neue Sport-Smartwatch kostet ab 1.000 Euro

  9. C-94

    Cratoni baut vernetzten Fahrradhelm mit Crash-Sensor

  10. Hybridluftschiff

    Airlander 10 streifte Überlandleitung



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xfel: Riesenkamera nimmt Filme von Atomen auf
Xfel
Riesenkamera nimmt Filme von Atomen auf
  1. US Air Force Modifikation der Ionosphäre soll Funk verbessern
  2. Teilchenbeschleuniger Mögliches neues Boson weist auf fünfte Fundamentalkraft hin
  3. Materialforschung Glas wechselt zwischen durchsichtig und schwarz

Deus Ex Mankind Divided im Test: Der Agent aus dem Hardwarelabor
Deus Ex Mankind Divided im Test
Der Agent aus dem Hardwarelabor
  1. Summit Ridge AMDs Zen-Chip ist so schnell wie Intels 1.000-Euro-Core-i7
  2. Doom Denuvo schützt offenbar nicht mehr
  3. Deus Ex angespielt Eine Steuerung für fast jeden Agenten

Avegant Glyph aufgesetzt: Echtes Kopfkino
Avegant Glyph aufgesetzt
Echtes Kopfkino

  1. Re: OT: Galaxy S5 bekommt auch Update

    sebastian4699 | 19:25

  2. Re: Ockhams Rasiermesser

    der_wahre_hannes | 19:25

  3. Re: Ich will das konservatie MS zurück

    FreiGeistler | 19:23

  4. Re: IMHO: FTTH ist auch ziemlicher overkill

    sneaker | 19:17

  5. Re: "aber weiterhin Probleme mit der Kultur der...

    lala1 | 19:16


  1. 15:33

  2. 15:17

  3. 14:29

  4. 12:57

  5. 12:30

  6. 12:01

  7. 11:57

  8. 10:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel