Betrüger schleusen Schadsoftware auf Geldautomaten

Trojanisches Pferd späht Kreditkartendaten aus

In Russland ist in Geldautomaten Schadsoftware entdeckt worden. Von einem solchen Angriff war zuvor noch nichts bekannt. Mit der Software lassen sich Kreditkartendaten und PIN-Daten ausspähen. Wie die Schadsoftware auf die Geräte gelangte, ist noch unklar.

Artikel veröffentlicht am 20. März 2009, 11:32 Uhr, Ingo Pakalski

Mitarbeiter des Antivirenherstellers Sophos haben bestätigt, dass sie auf Geldautomaten ein Trojanisches Pferd entdeckt haben, dem sie dem Namen Troj/Skimer-A verpasst haben. Gefunden wurde die Schadsoftware bislang nur auf Geldautomaten in Russland. Der Schädling merkt sich alle Transaktionen mit russischen Rubeln, ukrainischen Griwna oder US-Dollar und speichert dabei die verwendeten PIN-Nummern.

Die Macher der Schadsoftware können sich die gesammelten Daten mit einer manipulierten Geldkarte am Geldautomaten in verschlüsselter Form ausdrucken. Die Einschleusung der Schadsoftware war nur mit direktem Zugriff auf die Geldautomaten möglich, ist sich Sophos sicher. Das hat auch der Hersteller der Geldautomaten Diebold bestätigt, der darauf hinwies, dass die Schadsoftware nicht über das Netzwerk eingeschleust werden konnte. Zugleich wurde der Befall von Diebold bestätigt und mit einem bereitgestellten Softwareupdate wird das Trojanische Pferd deaktiviert. Die Schadsoftware ist nach Aussage von Diebold nur auf Geldautomaten zu finden, die mit Windows Embedded laufen.

Der physikalische Zugriff auf das System eines Geldautomaten wird durch zahlreiche Sicherheitsmechanismen verhindert. Zum einen nutzen diese Geräte nichtdokumentierte Software- und Hardwareschnittstellen, so dass ein Angriff mittels Reverse Engineering sehr aufwendig ist. Zahlreiche Sensoren erkennen außerdem unberechtigte Zugriffe auf das Gerät, und ohne einen Hauptschlüssel ist kein Zugang möglich. Auch ein Netzwerkangriff wäre nicht einfach, weil der Geldautomat komplett abgeschottet ist.

Derzeit ist noch unklar, wie genau die Schadsoftware auf die Geldautomaten gebracht wurde. Die Sophos-Mitarbeiter gehen davon aus, dass die Einschleusung des Trojanischen Pferdes nur mit Hilfe von Insidern möglich gewesen ist. Somit ist denkbar, dass die Schadsoftware bei der Herstellung des Geldautomaten implementiert wurde. Ausgeschlossen ist auch nicht, dass die Software über Bankmitarbeiter auf die Geräte gelangte.

Wie viele Geldautomaten betroffen sind, ist nicht bekannt. Aufgrund des hohen Aufwands, Schadsoftware auf einen Geldautomaten zu bringen, erwarten die Sicherheitsexperten von Sophos nicht, dass sich solche Angriffe häufen werden. Allerdings nehmen direkte Manipulationen an Geldautomaten immer mehr zu.