Abo
  • Services:
Anzeige
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Sicherheit: Angriffe auf Server der Banken lohnen sich

Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Deepsec 2011 Penetration-Tester Mitja Kolsek findet in fast jeder Bank Sicherheitslücken. Mit diesen lässt sich Geld aus dem Nichts erzeugen, durch Rundungsfehler eine Rente sichern oder negative Beträge verschenken. Die Angriffe fallen allerdings meist auf.

Mitja Kolseks Aufgabe ist es, Sicherheitslücken aufzuspüren, vorzugsweise in Banken. Er hat auf der Deepsec einige erfolgreiche Techniken vorgestellt, ohne allerdings Namen der Banken zu nennen, die er in ihrem Auftrag angegriffen hat. Dabei entdeckt er noch immer in Einzelfällen die Möglichkeit, per einfacher URL-Manipulation auf die Konten anderer Nutzer (IDs) zuzugreifen. Der Angriff auf Nutzer einer Bank ist laut Kolsek allerdings nicht besonders vielversprechend - zumindest, wenn es darum geht, viel Geld zu stehlen.

Anzeige

Angriffe auf Nutzer in Firmenumgebungen haben demgegenüber einen großen Vorteil: Transfers großer Summen lassen die Bank nicht misstrauisch werden. Außerdem lassen sich über öffentlich zugängliche Verzeichnisse (LDAP) beispielsweise Nutzer ermitteln, für die eine Bank ein Zertifikat für Bankaktivitäten ausgestellt hat, inklusive einer E-Mail-Adresse. Das erfordert allerdings Social Engineering. Kolsek beobachtet solche Angriffe bereits.

Angriffe auf Server ersparen Arbeit an Social Engineering

Die Arbeit am Social Engineering kann sich ein Angreifer sparen, wenn er die Online-Banking-Server, oder besser die Backend-Server angreift. Banken beteuern zwar, dass diverse Angriffstechniken von Kolsek nicht funktionierten, er kommt aber nach eigenen Angaben fast immer an einen Punkt, an dem es für die Bank gefährlich wird.

Dazu gehören auch einfache SQL-Injections oder mangelnde Kontrolle der Parameter. Interessante Beispiele bot Kolsek beispielsweise beim Transfer negativer Beträge. Ein Angreifer schenkt einem Opfer -100 Euro. Über das Online-Banking-Interface wäre das nicht möglich, Javascript-Überprüfungen verhindern dies bereits. Die lokale Überprüfung lässt sich aber umgehen. Wenn der Server dann keine Kontrolle vornimmt, ist es tatsächlich möglich, Geld mit einem Transfer zu stehlen.

Geld ist unendlich

Laut Kolsek ist dies sogar bei den eigenen Konten möglich. Voraussetzung sind ein Sparkonto und ein Girokonto. Für den Beispielfall haben beide 0 Euro gelistet. Vom Girokonto werden nun -100 Euro auf das Sparkonto gutgeschrieben. Das Sparkonto kann negative Beträge nicht ausweisen. Damit bleibt das Sparkonto bei 0 Euro und das Girokonto erhält 100 Euro. Der Angriff auf die eigenen Konten erzeugt also Geld aus dem Nichts.

Ein weiterer Fehler bei Banken ist mangelnde Kontrolle der Parameter. Wenn ein Kontoinhaber einen Transfer startet und ihn zur Bank schickt, wird er noch einmal an den Nutzer zur Bestätigung zurückgeschickt. Der Nutzer kann aber in einigen Fällen mit der Bestätigung der Transaktion andere Daten schicken, da der Server Vertrauen in diesem Fall impliziert. So lässt sich im Nachhinein etwa ein positiver Betrag negativ setzen. Damit wird die erste Kontrolle, die serverseitig auf negative Beträge prüft, umgangen. Es ist bei einigen Banken sogar möglich, die Konten zu modifizieren. Die Bestätigung bezieht sich also auf ein anderes Konto, das beim ersten Versenden nicht aufgelistet wurde. Solche "Fehler in der Businesslogik" lassen sich auch ausnutzen, um etwa Überweisungslimits zu umgehen.

Auch HTTP-Parameter-Pollution ist bei einigen Banken möglich gewesen. An /transfer?Source=1&dest=2&amount=100 wird dann etwa ein &source=42 angehängt, um etwa Geld von einem fremden Konto abzuheben. Das funktioniert allerdings nicht in den von Kolsek getesteten Fällen. Er konnte aber per HTTP Parameter Pollution den Wert des Geldes verändern, zum Beispiel ins Negative oder etwas höher als das Überweisungslimit. Solche Angriffe fallen allerdings irgendwann bei der Bank auf.

Mit Rundungsfehlern zur Rente

Dazu gehört auch eine Möglichkeit, sich eine Rente zu verschaffen. Aufgrund von Rundungsfehlern beim Umrechnen von Kursen gelang es Kolsek, bei seiner Bank einen Cent zu erzeugen. Er ließ dafür 0,01 US-Cent in Euro wechseln. 2.300 Euro Gewinn sollen so pro Tag möglich sein. Allerdings dürfte die Bank dies schnell merken. Die Gegenmaßnahme, die er den Banken empfiehlt ist einfach: Das Wechseln des Geldes sollte immer mindestens eine Währungseinheit der wertvolleren Währung benötigen.

Kolsek vermutet, dass in der Zukunft die Backend-Server angegriffen werden. Diese haben häufig den Vorteil, dass sie den Online-Banking-Servern vertrauen. Außerdem lässt sich dort Geld erzeugen, ohne dass es anderen Kunden der Bank gestohlen werden muss. Damit fällt ein Angreifer weniger auf. Er habe auch schon Fälle gesehen, bei denen das möglich gewesen sei, sagte Kolsek. Möglichkeiten Geld wegzuschaffen, ohne Spuren zu hinterlassen, gebe es genug. Schließlich nutzten Kriminelle bereits einige Banken, die wenige Spuren hinterlassen und heuerten unbedarfte Nutzer an, um gegen Provision Geld zu transferieren.

Zudem werden immer mehr Bankverfahren automatisiert. Kolsek rechnet beispielsweise damit, dass Mikrokredite automatisiert vergeben werden. Solche neuen Möglichkeiten machen neue Angriffe möglich.


eye home zur Startseite
TheLynx 30. Nov 2012

Ach quatsch! Das ist gar kein Fehler, das ist das Geschäftsmodell einer Bank!

Zaphod 23. Nov 2011

Ich glaube nicht, das es nur an diesem Script hängt. Ordentliche HTML Formulare werden...

noblomov 19. Nov 2011

wenn z.b. der geldverkehr, eines instituts, einer gemeinde, eines unternehmens etc durch...

tilmank 18. Nov 2011

Weitere Punkte hinter einem Punkt auch ! ... Denen gefällt es dort ganz...

Anonymer Nutzer 18. Nov 2011

der Gedanke ist noch nicht einmal schlecht. Mit den richtigen Verbindungen lassen sich so...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Schwieberdingen
  2. DATAGROUP Köln GmbH, Essen
  3. AKDB, München
  4. DLR Deutsches Zentrum für Luft- und Raumfahrt e.V., Braunschweig


Anzeige
Spiele-Angebote
  1. 199€ - Release 13.10.
  2. 12,99€
  3. 6,66€

Folgen Sie uns
       


  1. Windows 10

    Windows Store wird zum Microsoft Store mit Hardwareangeboten

  2. Kabelnetz

    Eazy senkt Preis für 50-MBit/s-Zugang im Unitymedia-Netz

  3. Nintendo

    Super Mario Run wird umfangreicher und günstiger

  4. Seniorenhandys im Test

    Alter, sind die unpraktisch!

  5. PixelNN

    Mit Machine Learning unscharfe Bilder erkennbar machen

  6. Mobilfunk

    O2 in bayerischer Gemeinde seit 18 Tagen gestört

  7. Elektroauto

    Tesla schafft günstigstes Model S ab

  8. Bundestagswahl 2017

    IT-Probleme verzögerten Stimmübermittlung

  9. Fortnite Battle Royale

    Entwickler von Pubg sorgt sich wegen Unreal Engine

  10. Übernahme

    SAP kauft Gigya für 350 Millionen US-Dollar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
E-Paper-Tablet im Test: Mit Remarkable machen digitale Notizen Spaß
E-Paper-Tablet im Test
Mit Remarkable machen digitale Notizen Spaß
  1. Smartphone Yotaphone 3 kommt mit großem E-Paper-Display
  2. Display E-Ink-Hülle für das iPhone 7

Parkplatz-Erkennung: Bosch und Siemens scheitern mit Pilotprojekten
Parkplatz-Erkennung
Bosch und Siemens scheitern mit Pilotprojekten
  1. Community based Parking Mercedes S-Klasse liefert Daten für Boschs Parkplatzsuche

Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Apache-Sicherheitslücke Optionsbleed bereits 2014 entdeckt und übersehen
  2. Open Source Projekt Oracle will Java EE abgeben

  1. Re: Erfahrungen mit LoRa?

    LASERwalker | 13:42

  2. Re: Brauchen Senioren das überhaupt?

    cherubium | 13:42

  3. Re: So ein Quatsch - was ist das für ein Blödsinn

    Flexy | 13:41

  4. Re: Reseller im Kabelnetz

    Dragos | 13:41

  5. Das hat Telecolumbus abgschafft und Service auf...

    Friedhelm | 13:41


  1. 13:28

  2. 13:17

  3. 12:25

  4. 12:02

  5. 11:58

  6. 11:34

  7. 11:19

  8. 11:04


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel