Online-Betrug mittels Phishing, Social Engineering und Trojanern Die gefährlichen Maschen der Cyberbetrüger

Anbieter zum Thema

SEPPmail - Deutschland GmbH

SoSafe GmbH

TXOne Networks

Die Online-Betrugsversuche in Deutschland sind im vergangenen Jahr rapide angestiegen. Laut dem Branchenverband Bitkom wurden acht von zehn Personen Opfer von Cyberkriminalität; 15 Prozent der Befragten waren von Online-Banking-Betrug betroffen. Dabei entwickeln die Kriminellen ausgeklügelte Methoden, um ihren Opfern einen hohen finanziellen Schaden zuzufügen.

Es gibt viele unterschiedliche Strategien von Cyberkriminellen. Oft beginnen die Attacken mit Social-Engineering und werden durch Phishing begleitet – als Einstiegsszenario für komplexe und mehrstufige Angriffe. Dabei wird der Faktor Mensch als „schwächstes Glied“ in der IT-Sicherheitskette ausgenutzt. Die Opfer erhalten von den Cyberkriminellen gefälschte E-Mails oder SMS („Smishing“) von vermeintlich vertrauenswürdigen Organisationen, Behörden oder Unternehmen, die automatisch einen Schadcode in das Gerät des Benutzers – Desktop oder Handy – einspeisen.

Eine individuellere Art des Betrugs sind die sogenannten Social-Engineering-Attacken in Echtzeit oder auch Authorized-Push-Payment-Betrug (APP). Cyberkriminelle geben sich dabei als Vertreter seriöser Organisationen aus und rufen ihre Opfer via Telefon an und manipulieren sie, sodass sie einen Geldbetrag auf ein bestimmtes Konto überweisen. Oft haben die Täter bereits vorab persönliche Informationen gesammelt. Diese stammen entweder von den Social-Media-Profilen ihrer Opfer oder wurden aus dem Darknet erworben. Durch die persönlichen Informationen lassen sich die Angerufenen leichter manipulieren. Die Methode wird auch als Voice Scam bezeichnet. Laut dem Report „2021 State of the Phish“ von Proofpoint erlebten 63 Prozent der deutschen Unternehmen mindestens einen Betrugsversuch dieser Art. Diese Vorgehensweise wird von den Sicherheitsexperten oft zu spät erkannt, da der echte Nutzer die Überweisung vornimmt.

Herkömmliche Kontrollen wie die Identifizierung des Endgeräts, des Standortes oder der IP-Adresse reichen somit nicht mehr aus. Hacker umgehen damit auch die Multifaktor-Authentifizierung, bei der die Zugangsberechtigung durch mehrere voneinander unabhängigen Merkmale überprüft wird. Out-of-Band-Methoden wie das Verschicken eines Einmal-Passwortes (One-Time-Password oder OTP) per SMS bieten deshalb keinen Schutz mehr.

Ein Angriff kommt selten allein

Eine weitere beliebte Methode von Cyberkriminellen ist es, sich Zugang mittels eines Remote-Access-Angriffs (RAT) zu persönlichen Daten zu verschaffen oder dadurch die Kontrolle über das Endgerät zu übernehmen. Bei einem Angriff werden Fernzugriffsprotokolle wie Virtual Network Computing (VNC) oder Remote Desktop Protocol (RDP) genutzt, um den PC eines Benutzers zu kontrollieren. Damit herkömmliche Anti-Malware-Systeme die Schadsoftware nicht erkennen, können die Trojaner ihre aktiven Komponenten ausschalten.

Um einen RAT auf einem Endgerät zu installieren, gehen die Betrüger unterschiedlich vor. Die beliebtesten Methoden hierfür sind entweder ein ausgeklügeltes Social-Engineering-Schema oder ein eingeschleustes Skript, das dem Hacker nach der Anmeldung des eigentlichen Nutzers Zugang zum Konto verschafft. Bei der Methode „RAT in the Browser“ (RitB) wird der echte Benutzer auf eine gefälschte Banking-Website umgeleitet. Dort gibt er die Zwei-Faktor-Authentifizerungscodes ein, die von den Betrügern abgefangen werden. Gleichzeitig verwenden die Kriminellen die exfiltrierten Codes, um sich mittels RAT vom Gerät des Nutzers in dessen Konto einzuloggen.

Aber auch „Social RATs“ werden bei den Cyberkriminellen immer beliebter. Hier nutzt der Betrüger Social-Engineering, um Fernzugriff auf das Gerät eines Benutzers zu erhalten. Der Hacker ruft einen Nutzer an und gibt sich als Helpdesk-Mitarbeiter eines Unternehmens aus. Im Verlauf des Gesprächs bittet er den Benutzer, eine Remote-Desktop-Software herunterzuladen. So erlangt der Betrüger die Kontrolle über das Endgerät. Laut Untersuchungen von BioCatch wurden über 70 Prozent dieser Angriffe durch einen Anruf eingeleitet und 82 Prozent der Opfer waren im Alter von 65 Jahren oder darüber. Während die Gefahren für Desktop-PCs bekannt sind, passen Cyberkriminelle ihre „alten“ Vorgehensweisen auch auf neue Systeme an.

Cyberkriminelle machen mobil

In den vergangenen zehn Jahren ist der Gebrauch mobiler Endgeräte exponentiell angestiegen. Weltweit gibt es fast 5,3 Milliarden Mobiltelefonnutzer. Der Großteil davon nutzt das Internet über ein solches Gerät. Mit der Verbreitung von Smartphones und Handys werden diese vermehrt Ziel von Cyberkriminellen. Vor allem Banking-Apps geraten verstärkt ins Visier der Hacker. Die Methoden, um Malware auf ein Smartphone einzuschleusen sind vielfältig. Auch bei dieser Vorgehensweise beginnen die Angriffe zumeist mit Social-Engineering-Attacken, bei denen der Handynutzer dazu gebracht wird, einen Trojaner auf sein Endgerät herunterzuladen. Ein prominentes Beispiel eines solchen Angriffs ist der Banking-Trojaner FluBot. Er verbreitet sich seit Ende Dezember 2021 besonders stark in Deutschland und hat zu vielen kompromittierten Accounts geführt.

Die Entwickler des FluBot-Schadcodes ködern ihre Opfer mit Smishing-Kampagnen. Dabei erhalten die Opfer eine SMS von scheinbaren Paket-Zustelldiensten beziehungsweise Logistikunternehmen. In der SMS ist ein Link enthalten, über den sich der Schadcode auf dem Handy als Android-Service einnistet und im Hintergrund agiert. Einmal heruntergeladen erhält die Malware umfangreiche Berechtigungen und startet sofort mit dem Scannen der auf dem Gerät installierten Anwendungen. So kann der Trojaner SMS lesen und sie an den Command-and-Control-Server der Kriminellen weiterleiten sowie OTP-Vorkehrungen umgehen. Zudem initiiert der Schadcode Overlay-Angriffe. Dabei lädt er eine gefälschte Anmeldeseite über die Banking-App, um so die Anmeldedaten des Nutzers via Keylogging zu sammeln. Dem Opfer kann ein hoher finanzieller Schaden entstehen, da die Hacker zunächst unbemerkt Überweisungen tätigen können.

Fazit

Die unterschiedlichen Attacken von Cyberkriminellen sind oft schwer zu erkennen und die Angreifer entwickeln ihre Methoden immer weiter. In den meisten Fällen gibt es nach einem erfolgreichen Betrugsversuch keine Möglichkeit mehr, das Geld des Opfers zurückzuholen. Damit Nutzer vor finanziellen Schäden geschützt werden können, ist es wichtig, dass Betrugsversuche in dem Moment erkannt werden, wenn sie stattfinden.

Über den Autor: Klaus Joachim Gährs ist Senior Account Manager bei BioCatch und berät Banken und Finanzinstitute in der DACH Region bei der Betrugsbekämpfung. Er verfügt über acht Jahre Erfahrung im Bereich Betrugsprävention und Vertrieb. Im Laufe seiner Tätigkeit hat er für namhafte Firmen zahlreiche Projekte geplant und durchgeführt.

(ID:48200746)