Netbank-malware bruger falsk chat til at snyde kunder
Login på netbanken er ramt af en fejl. Men så kommer hjælpen: En flink bank-mand dukker op i et chat-vindue via netbank-siderne og vil hjælpe dig videre.
Sådan oplever kunder et angreb med hackernes seneste våben: Et real-time man-in-the-middle-angreb ved hjælp af chat. Det skriver The Register.
På grund af brugen af engangskoder, ligesom vi har i Danmark nu med NemID, har hackerne været nødt til at blive mere kreative og gennemføre man-in-the-middle-angreb i realtime, altså lægge sig mellem kunden og banken, når kunden forsøger at logge ind.
Og på en computer inficeret med malwaren Shylock, kan det altså nu ske via et chat-vindue på skærmen. På bloggen Trusteer bliver angrebet gennemgået i detaljer, og første trin er en påstået ’fejl’ ved login-proceduren.
I nogle minutter bliver der gennemført ’sikkerhedstjek’ af computeren, mens kunden venter, og når ’tjekket’ er overstået, kommer følgende besked:
»Systemet kunne ikke identificere din pc. Du vil blive kontaktet af en ansat i banken, som vil bekræfte din person. Gennemfør venligst denne proces med yderligere verifikation, da din konto ellers vil blive låst.«
Dermed er scenen sat for, at hackerne i den anden ende kan tage kontakt med offeret og bede om passwords, engangskoder og andre oplysninger, der gør det muligt for dem at løbe med pengene.
Angrebet er målrettet erhvervskunder, ikke private, og forudsætter at computeren er blevet inficeret med Shylock-malwaren.
Tricket med en falsk support-chat har tidligere været brugt af hackere, men dengang var det i forbindelse med falske phishing-websider, som offeret skulle besøge. Den nye type angreb lægger omvendt en skal af ekstra kode oven på de ægte netbank-sider.
Kommentarer (6)
Hvis det kan gå galt, så vil det gå galt.
Hvis det kan hackes, så vil det blive hacket.
Internettet er en enestående platform med uendelige muligheder, og nogen forstår at udnytte alle de muligheder der er.
Denne gang, var det så ikke NemID, der blev offer for de muligheder der stilles til rådighed.
-
1 -
0
I Netbank, mangler der simpelthen flere indstillinger. Jeg kunne f.eks. godt tænke mig følgende valgmuligheder.
X Spær for overførsel af penge til udlandet.
Angiv beløb xxxx, der må overføres uden SMS verifikation.
For at overføre til nyt ukendt kontonummer brug SMS verifikation.
Find selv på flere. mvh, Erik.
-
2
-
0
De kan jo bare lave en sikker løsning.
Det er helt enkelt muligt.
-
0
-
0
Den engelske blog skriver at brugeren får denne besked:
The system couldn't identify your PC
You will be contacted by a representative of bank to confirm your personality.
Please pass the process of additional verification otherwise your account will be locked.
Sorry for any inconvenience, we are carrying about security of our clients.
Nu kan jeg med en 10. Klasses engelsk eksamen se at der er et PAR fejl som jeg ikke ville vente professionelle banker bruge.
Men det er da rart at se at en bank rent faktisk gider BÆRE deres kunders sikkerhed. Det er sgu service..
Men hvorvidt en bankansat er istand til at vurderer min personlighed tillader jeg mig at tvivle på.
Nu er det måske også flueknepperi men hvis jeg nu havde en mac (like thats gonna happen) ville jeg muligvis kunne blive fornærmet over at de kun havde fokus på PC og ikke andre computertyper.
Men som andre kommentarer skriver ville noget spærring af f.eks udenlandske transaktioner være en glimrende ide. Det samme med bekræftelse pr sms hvis nogen prøvede at logge på uden for Danmark f.eks. Ja det kan nemt omgås med en dansk proxy men det ville da være en god start. Det er som om min mail og facebook har bedre sikkerhed end min bank..
-
0
-
0
Tilføj kommentar
