Cyberbetrug in Echtzeit aufdecken

Die Nutzung mobiler Endgeräte ist in den vergangenen zehn Jahren exponenziell gestiegen. Weltweit gibt es fast 5,3 Milliarden Mobiltelefonnutzer. Mehr als 90 Prozent von ihnen verwenden ihr Gerät, um ins Internet zu gehen. Auch Apps sind beliebt: Auf den meisten Geräten sind etwa 40 Anwendungen installiert. Bis zum Jahresende sollen es mehr als 250 Milliarden sein.

Mit der Verbreitung mobiler Geräte nimmt auch die Zahl von Cyberangriffen zu. Speziell Banking-Apps geraten in den Fokus der Kriminellen. Die Methoden sind vielfältig, mobile Malware wird auf unterschiedliche Weise eingeschleust. Meist starten die Angriffe mit Social-Engineering-Attacken, um den Benutzer dazu zu bringen, das Schadprogramm auf sein Endgerät herunterzuladen. Oft handelt es sich um Phishing-E-Mails, Text-nachrichten oder gefälschte Apps. Anschließend installiert sich der Trojaner und ermöglicht es dem Hacker, Informationen zu sammeln sowie weitere Schadsoftware nachzuladen.

Mit Remote-Access-Tools (RAT) etwa kann der Kriminelle die administrative Kontrolle über das Gerät übernehmen und Anmeldedaten für die Banking-App oder auch einmalige Passcodes abfangen. Laut einer Untersuchung von Biocatch wurde im zweiten Quartal 2021 einer von 24 Betrugsfällen mit einem RAT-Angriff umgesetzt. Dabei werden auch HTML-Overlay-Angriffe eingesetzt, um an kritische Daten zu gelangen. Wer eine Banking-App auf dem Smartphone nutzt, bemerkt solche Aktionen in den meisten Fällen nicht.

Die Erkennung von Malware auf mobilen Geräten stützt sich bisher vor allem auf gängige Antiviren-Technologien, die nach dem Namen der verdächtigen Dateien suchen und Apps und deren Hashes regelmäßig auf Schadsoftware überprüfen. In den vergangenen Jahren stießen diese Methoden aber immer wieder an ihre Grenzen.

In Deutschland sorgte im vergangenen Jahr vor allem die Malware Teabot, auch Anatsa genannt, für Schlagzeilen. Die Entwickler des Schadcodes versuchen, ihr Opfer zum Herunterladen der Malware zu verleiten, indem sie diese als vermeintlich harmlose App tarnen. Teabot ist mit RAT-Funktionen ausgestattet und in mehreren Sprachen verfügbar. Verbreitet wird der Banking-Trojaner über schädliche Apps außerhalb des Play Stores – unter Bezeichnungen wie VLC Mediaplayer, UPS und DHL. Um die Malware massenhaft zu verbreiten, nutzen die Hacker Smishing-Attacken: Ihr Opfer erhält eine SMS mit einem Link zur App und lädt damit den Trojaner herunter. Eine weitere Verbreitungsmethode sind gefälschte Pop-ups, über die Teabot heruntergeladen und installiert wird. Er implementiert sich als Android-Service und wird im Hintergrund ausgeführt. Dadurch kann er sich dauerhaft im Endgerät einnisten, ohne erkannt zu werden. Nach dem Herunterladen erhält er weitreichende Berechtigungen und beginnt sofort mit dem Scannen der installierten Anwendungen.

Teabot kann aber nicht nur das Smartphone des Opfers fernsteuern sowie SMS lesen und sie an den Command-and-Control-Server weiterleiten, um OTP-Vorkehrungen (Einmalpasswort) zu umgehen. Der Trojaner verschafft sich auch Zugangsberechtigungen für die Genehmigung von Benachrichtigungen. Er besitzt Protokollierfunktionen, kann Google Play Protect deaktivieren und initiiert Overlay-Angriffe. Dabei lädt er eine speziell gestaltete Anmeldeseite für die Zielanwendung vom Command-and-Control-Server. Die Phishing-Seite wird über die Banking-App gelegt. Hier werden die Anmeldedaten mit Hilfe von Keylogging gesammelt und an den vom Hacker kontrollierten Command-and-Control-Server weitergeleitet.

Abgesehen hat er es hauptsächlich auf Bank- und Kryptowährungsanwendungen, die Schadsoftware sammelt, aber auch Informationen von anderen Apps. Für die Betroffenen ist es praktisch unmöglich, sie zu löschen. Und es kann ein hoher finanzieller Schaden entstehen, wenn ein Krimineller Zugriff auf die Daten erhält und damit Überweisungen tätigen kann.

Eine Möglichkeit, die Malware zu erkennen, ist der Einsatz von Lösungen auf Basis von Verhaltensbiometrie. Denn mithilfe dieser Technologie können Banken identifizieren, ob es sich um einen Nutzer handelt oder ob die Eingaben über RAT erfolgen – etwa weil sich die Malware anders verhält als ein  Benutzer: Beispielsweise navigiert der User schneller auf dem mobilen Endgerät als eine Malware. Die Geschwindigkeit, mit der sich der Nutzer durch die Sitzung bewegt, zeigt, dass er mit dem Prozess vertraut ist und die Zahlung zügig abwickelt. Technologien, die auf Verhaltensbiometrie basieren, gleichen das Verhalten des Users mit früheren Kundensitzungen ab, um festzustellen, ob die Bewegungsgeschwindigkeit übereinstimmt.

Dies ist ein Artikel aus unserer Print-Ausgabe 01-02/2022. Bestellen Sie ein kostenfreies Probe-Abo.

Auch die Art, wie er das mobile Endgerät hält, ist ein Indikator: Bei betrügerischen Sitzungen liegt das Gerät während der kompletten Sitzung auf dem Tisch, während ein Nutzer das Smartphone bewegt. Auch Berührungs- und Wischmuster lassen sich analysieren. Bei einer RAT-Attacke sind zumeist keine Berührungsbereiche erkennbar, was darauf hindeutet, dass das Endgerät ferngesteuert wird. Werden allerdings Wischbewegungen festgestellt, deutet dies darauf hin, dass der echte Benutzer während der Sitzung keine Kontrolle über das Gerät hatte.

Stellt die Software auf Basis von Verhaltensbiometrie mehrere betrügerische Merkmale in Kombination fest, geht bei den Sicherheitsexperten der Bank ein Alarm ein. Mit Verhaltensbiometrie und Machine Learning können Finanzinstitute auf diese Weise präventiv in einen Betrugsversuch eingreifen, bevor dem Kunden ein finanzieller Schaden entsteht.

Bildquelle: Getty Images / iStock / Getty Images Plus