Abo
  • Services:

Sicherheit: Angriffe auf Server der Banken lohnen sich

Deepsec 2011 Penetration-Tester Mitja Kolsek findet in fast jeder Bank Sicherheitslücken. Mit diesen lässt sich Geld aus dem Nichts erzeugen, durch Rundungsfehler eine Rente sichern oder negative Beträge verschenken. Die Angriffe fallen allerdings meist auf.

Artikel veröffentlicht am ,
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub.
Ein digitaler Bankraub ist lohnt mehr als ein normaler Bankraub. (Bild: Andreas Sebayang/Golem.de)

Mitja Kolseks Aufgabe ist es, Sicherheitslücken aufzuspüren, vorzugsweise in Banken. Er hat auf der Deepsec einige erfolgreiche Techniken vorgestellt, ohne allerdings Namen der Banken zu nennen, die er in ihrem Auftrag angegriffen hat. Dabei entdeckt er noch immer in Einzelfällen die Möglichkeit, per einfacher URL-Manipulation auf die Konten anderer Nutzer (IDs) zuzugreifen. Der Angriff auf Nutzer einer Bank ist laut Kolsek allerdings nicht besonders vielversprechend - zumindest, wenn es darum geht, viel Geld zu stehlen.

Stellenmarkt
  1. Hays AG, Frankfurt am Main
  2. Lidl Digital, Neckarsulm

Angriffe auf Nutzer in Firmenumgebungen haben demgegenüber einen großen Vorteil: Transfers großer Summen lassen die Bank nicht misstrauisch werden. Außerdem lassen sich über öffentlich zugängliche Verzeichnisse (LDAP) beispielsweise Nutzer ermitteln, für die eine Bank ein Zertifikat für Bankaktivitäten ausgestellt hat, inklusive einer E-Mail-Adresse. Das erfordert allerdings Social Engineering. Kolsek beobachtet solche Angriffe bereits.

Angriffe auf Server ersparen Arbeit an Social Engineering

Die Arbeit am Social Engineering kann sich ein Angreifer sparen, wenn er die Online-Banking-Server, oder besser die Backend-Server angreift. Banken beteuern zwar, dass diverse Angriffstechniken von Kolsek nicht funktionierten, er kommt aber nach eigenen Angaben fast immer an einen Punkt, an dem es für die Bank gefährlich wird.

Dazu gehören auch einfache SQL-Injections oder mangelnde Kontrolle der Parameter. Interessante Beispiele bot Kolsek beispielsweise beim Transfer negativer Beträge. Ein Angreifer schenkt einem Opfer -100 Euro. Über das Online-Banking-Interface wäre das nicht möglich, Javascript-Überprüfungen verhindern dies bereits. Die lokale Überprüfung lässt sich aber umgehen. Wenn der Server dann keine Kontrolle vornimmt, ist es tatsächlich möglich, Geld mit einem Transfer zu stehlen.

Geld ist unendlich

Laut Kolsek ist dies sogar bei den eigenen Konten möglich. Voraussetzung sind ein Sparkonto und ein Girokonto. Für den Beispielfall haben beide 0 Euro gelistet. Vom Girokonto werden nun -100 Euro auf das Sparkonto gutgeschrieben. Das Sparkonto kann negative Beträge nicht ausweisen. Damit bleibt das Sparkonto bei 0 Euro und das Girokonto erhält 100 Euro. Der Angriff auf die eigenen Konten erzeugt also Geld aus dem Nichts.

Ein weiterer Fehler bei Banken ist mangelnde Kontrolle der Parameter. Wenn ein Kontoinhaber einen Transfer startet und ihn zur Bank schickt, wird er noch einmal an den Nutzer zur Bestätigung zurückgeschickt. Der Nutzer kann aber in einigen Fällen mit der Bestätigung der Transaktion andere Daten schicken, da der Server Vertrauen in diesem Fall impliziert. So lässt sich im Nachhinein etwa ein positiver Betrag negativ setzen. Damit wird die erste Kontrolle, die serverseitig auf negative Beträge prüft, umgangen. Es ist bei einigen Banken sogar möglich, die Konten zu modifizieren. Die Bestätigung bezieht sich also auf ein anderes Konto, das beim ersten Versenden nicht aufgelistet wurde. Solche "Fehler in der Businesslogik" lassen sich auch ausnutzen, um etwa Überweisungslimits zu umgehen.

Auch HTTP-Parameter-Pollution ist bei einigen Banken möglich gewesen. An /transfer?Source=1&dest=2&amount=100 wird dann etwa ein &source=42 angehängt, um etwa Geld von einem fremden Konto abzuheben. Das funktioniert allerdings nicht in den von Kolsek getesteten Fällen. Er konnte aber per HTTP Parameter Pollution den Wert des Geldes verändern, zum Beispiel ins Negative oder etwas höher als das Überweisungslimit. Solche Angriffe fallen allerdings irgendwann bei der Bank auf.

Mit Rundungsfehlern zur Rente

Dazu gehört auch eine Möglichkeit, sich eine Rente zu verschaffen. Aufgrund von Rundungsfehlern beim Umrechnen von Kursen gelang es Kolsek, bei seiner Bank einen Cent zu erzeugen. Er ließ dafür 0,01 US-Cent in Euro wechseln. 2.300 Euro Gewinn sollen so pro Tag möglich sein. Allerdings dürfte die Bank dies schnell merken. Die Gegenmaßnahme, die er den Banken empfiehlt ist einfach: Das Wechseln des Geldes sollte immer mindestens eine Währungseinheit der wertvolleren Währung benötigen.

Kolsek vermutet, dass in der Zukunft die Backend-Server angegriffen werden. Diese haben häufig den Vorteil, dass sie den Online-Banking-Servern vertrauen. Außerdem lässt sich dort Geld erzeugen, ohne dass es anderen Kunden der Bank gestohlen werden muss. Damit fällt ein Angreifer weniger auf. Er habe auch schon Fälle gesehen, bei denen das möglich gewesen sei, sagte Kolsek. Möglichkeiten Geld wegzuschaffen, ohne Spuren zu hinterlassen, gebe es genug. Schließlich nutzten Kriminelle bereits einige Banken, die wenige Spuren hinterlassen und heuerten unbedarfte Nutzer an, um gegen Provision Geld zu transferieren.

Zudem werden immer mehr Bankverfahren automatisiert. Kolsek rechnet beispielsweise damit, dass Mikrokredite automatisiert vergeben werden. Solche neuen Möglichkeiten machen neue Angriffe möglich.



Anzeige
Blu-ray-Angebote
  1. 9,99€
  2. (2 Monate Sky Ticket für nur 4,99€)

TheLynx 30. Nov 2012

Ach quatsch! Das ist gar kein Fehler, das ist das Geschäftsmodell einer Bank!

Zaphod 23. Nov 2011

Ich glaube nicht, das es nur an diesem Script hängt. Ordentliche HTML Formulare werden...

noblomov 19. Nov 2011

wenn z.b. der geldverkehr, eines instituts, einer gemeinde, eines unternehmens etc durch...

tilmank 18. Nov 2011

Weitere Punkte hinter einem Punkt auch ! ... Denen gefällt es dort ganz...

Anonymer Nutzer 18. Nov 2011

der Gedanke ist noch nicht einmal schlecht. Mit den richtigen Verbindungen lassen sich so...


Folgen Sie uns
       


Transparentes, flexibles OLED von LG - Demo (Display Week)

Auf der Display Week 2018 in Los Angeles zeigt LG nach langer Verzögerung erstmals das transparente und flexible OLED. Auf der Veranstaltung hat LG nur eine Ecke mit einer Maschine dauerhaft gebogen. Gut zu sehen ist, dass die Gegenstände hinter dem Panel gut erkennbar, bei aktivem Display aber kaum sichtbar sind.

Transparentes, flexibles OLED von LG - Demo (Display Week) Video aufrufen
Kailh KS-Switch im Test: Die bessere Alternative zu Cherrys MX Blue
Kailh KS-Switch im Test
Die bessere Alternative zu Cherrys MX Blue

Der chinesische Hersteller Kailh fertigt seit fast 30 Jahren verschiedenste Arten von Schaltern, unter anderem auch Klone von Cherry-MX-Switches für Tastaturen. Der KS-Switch mit goldenem Stempel und markantem Klick ist dabei die bessere Alternative zu Cherrys eigenem MX Blue, wie unser Test zeigt.
Ein Test von Tobias Költzsch

  1. Apple-Patent Krümel sollen Macbook-Tastatur nicht mehr stören
  2. Tastaturen Matias bringt Alternative zum Apple Wired Keyboard
  3. Rubberdome-Tastaturen im Test Das Gummi ist nicht dein Feind

Xbox Adaptive Controller ausprobiert: 19 x Klinke, 1 x Controller, 0 x Probleme
Xbox Adaptive Controller ausprobiert
19 x Klinke, 1 x Controller, 0 x Probleme

Microsoft steigt in den Markt der zugänglichen Geräte ein. Der Xbox Adaptive Controller ermöglicht es Menschen mit temporärer oder dauerhafter Bewegungseinschränkung zu spielen, ohne enorm viel Geld auszugeben. Wir haben es auf dem Microsoft Campus in Redmond ausprobiert.
Von Andreas Sebayang

  1. Firmware Xbox One erhält Option für 120-Hz-Bildfrequenz
  2. AMD Freesync Xbox One erhält variable Bildraten
  3. Xbox One Streamer können Gamepad mit Spieler teilen

PGP/SMIME: Die wichtigsten Fakten zu Efail
PGP/SMIME
Die wichtigsten Fakten zu Efail

Im Zusammenhang mit den Efail genannten Sicherheitslücken bei verschlüsselten E-Mails sind viele missverständliche und widersprüchliche Informationen verbreitet worden. Wir fassen die richtigen Informationen zusammen.
Eine Analyse von Hanno Böck

  1. Sicherheitslücke in Mailclients E-Mails versenden als potus@whitehouse.gov

    •  /