• IT-Karriere:
  • Services:

IT-Sicherheit: Sicherheitslücke in Banking-Software ELBA-business

Die Netzwerkinstallation der österreichischen Banking-Software ELBA-business ließ sich übernehmen - mitsamt darunterliegendem System. Der Angriff war aufwendig, aber automatisierbar.

Artikel veröffentlicht am , Anna Biselli
ELBA-business wird von österreichischen Firmen genutzt.
ELBA-business wird von österreichischen Firmen genutzt. (Bild: Screenshot: Florian Bogner / Montage: Golem.de)

Der Pentester Florian Bogner startete den Online-Banking-Client einer österreichischen Firma und wurde stutzig: Die Anwendung ELBA-business suchte automatisch nach Updates und installierte sie. Erst dann fragte das Programm den Nutzer nach Nutzernamen und Passwort. Von diesem ersten Verdachtsmoment aus forschte Bogner weiter und konnte schließlich die komplette Datenbank und das darunterliegende System übernehmen. Damit wäre es einem Angreifer nicht nur möglich gewesen, Banktransaktionen zu manipulieren, sondern auch, beliebige Programme auf dem Zielsystem auszuführen, berichtet er in einem Blogbeitrag.

Inhalt:
  1. IT-Sicherheit: Sicherheitslücke in Banking-Software ELBA-business
  2. Automatisierbarer Angriff

ELBA5 ist in Österreich weit verbreitet, die Business-Variante unterstützt 24 österreichische Banken. Von der Sicherheitslücke waren ausschließlich Anwender der Netzwerkinstallation betroffen, keine Einzelplatzinstallationen. Mit der Netzwerkinstallation können Firmen von mehreren Arbeitsplätzen aus verschiedene Konten bei unterschiedlichen Banken mit einem einzelnen System verwalten. Entwickelt wird die Anwendung von der Raiffeisen Software GmbH. Durch die Zusammenarbeit von Bogner mit dem Unternehmen ist das Problem mittlerweile behoben und eine aktualisierte Software-Version steht zur Verfügung. Ein Schaden sei nicht entstanden, sagte die Raiffeisen Software auf Nachfrage von Golem.de, denn die Schwachstelle sei nicht von Angreifern ausgenutzt worden.

Ein verdächtiger Update-Mechanismus gibt den Hinweis

Hinter dem verdächtigen Updatemechanismus vermutete Bogner von der Firma Bee IT Security hardgecodete Login-Daten, die eine Verbindung zum Backend möglich machten, um die Aktualisierung auszulösen. Also suchte er während des Anmeldeprozesses im Speicher nach Inhalten, die wie Nutzernamen und Passwörter aussahen. Er fand gleich zwei solcher Paare: eines für den User "connector" und eines für "elba". Während "elba" über Administratorprivilegien verfügte, hatte "connector" nur sehr begrenzte Zugriffsrechte - für eine einzelne Spalte in einer einzigen Datenbanktabelle.

  • Der User "connector" mit auffällig beschränkten Zugriffsrechten. (Screenshot: Florian Bogner)
  • Mit einem Python-Skript lässt sich der Angriff automatisieren (Screenshot: Florian Bogner)
Der User "connector" mit auffällig beschränkten Zugriffsrechten. (Screenshot: Florian Bogner)

In dieser Spalte lag das mit AES verschlüsselte Administrator-Passwort. In einer Bibliothek, in die die Datenbanklogik ausgelagert war, ergaben sich weitere Hinweise, und so fand Bogner im Speicher den statischen Key, um das Passwort des Administrator-Users "elba" zu entschlüsseln.

Der Angreifer könnte eigene Transaktionen eingeben

Stellenmarkt
  1. Lamigraf GmbH, Bönen
  2. INIT Group, Karlsruhe

"Kombiniert man, was ich bis dahin herausgefunden habe, stellt man fest: Es war verlässlich möglich, Datenbank-Administratorrechte für jede ELBA5-Netzwerkinstallation zu bekommen", schreibt Bogner in seinem Blogbeitrag. Damit könnte ein Nutzer beispielsweise neue Transaktionen anlegen und sich selbst Geld überweisen. "Der Exploit hebelt das TAN-Verfahren aber nicht aus", sagte er im Gespräch mit Golem.de. Jemand muss die Transaktion also noch autorisieren: "Es ist recht unwahrscheinlich, dass eine komplett neue Transaktion da nicht auffallen würde."

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Automatisierbarer Angriff 
  1. 1
  2. 2
  3.  


Anzeige
Mobile-Angebote
  1. 599€
  2. 350,10€ (mit Rabattcode "PERFECTEBAY10" - Bestpreis!)
  3. 599€ (mit Rabattcode "PRIMA10" - Bestpreis!)
  4. 749€ (mit Rabattcode "PERFECTEBAY10" - Bestpreis!)

M.P. 20. Nov 2018

Als was? Als ELBA? Das würde ich unterschreiben. Aber, als z. B. mit Hibiscus/Jameica...

Howaner 17. Nov 2018

Verbindet sich die Client Software etwa direkt zur SQL Datenbank? Mit so einem...


Folgen Sie uns
       


Monkey Island - Titelmusik aller Versionen

Wir haben alle Varianten der Titelmusik im Video zusammengestellt - plus Bonusversion.

Monkey Island - Titelmusik aller Versionen Video aufrufen
Ausprobiert: Meine erste Strafgebühr bei Free Now
Ausprobiert
Meine erste Strafgebühr bei Free Now

Storniert habe ich bei Free Now noch nie. Doch diesmal wurde meine Geduld hart auf die Probe gestellt.
Ein Praxistest von Achim Sawall

  1. Gesetzentwurf Weitergabepflicht für Mobilitätsdaten geplant
  2. Personenbeförderung Taxibranche und Uber kritisieren Reformpläne

Big Blue Button: Das große blaue Sicherheitsrisiko
Big Blue Button
Das große blaue Sicherheitsrisiko

Kritische Sicherheitslücken, die Golem.de dem Entwickler der Videochat-Software Big Blue Button meldete, sind erst nach Monaten geschlossen worden.
Eine Recherche von Hanno Böck


    Energiewende: Wie die Begrünung der Stahlindustrie scheiterte
    Energiewende
    Wie die Begrünung der Stahlindustrie scheiterte

    Vor einem Jahrzehnt suchte die europäische Stahlindustrie nach Technologien, um ihren hohen Kohlendioxid-Ausstoß zu reduzieren, doch umgesetzt wurde fast nichts.
    Eine Recherche von Hanno Böck

    1. Wetter Warum die Klimakrise so deprimierend ist

      •  /