Boef in de browser
In september 2007 ging het goed mis bij de Postbank. Elektronisch bankieren liep gevaar door een zogenaamde 'man in de browser aanval'. De bank deed aangifte en stelde zo snel mogelijk een softwareprogramma van Kaspersky beschikbaar om het virus te elimineren.
Elektronisch bankieren kent risico's, net als pinnen bij een geldautomaat.
| Als oplossingen problemen worden In deze serie worden ict-projecten belicht die bedrijven en/of overheden in een lastig parket hebben gebracht. |
Wie?
Postbank
Wanneer?
September 2007
Wat ging er mis?
Het veiligheidsimago van thuisbankieren heeft eind september 2007 een behoorlijke deuk opgelopen. De Postbank waarschuwde via de eigen website alle gebruikers van internetbankieren voor een ‘man in the browser aanval', een virus dat persoonlijke gegevens steelt. Het virus dat door bezoek aan een besmette site kan worden opgelopen vraagt om een of meerdere Tan-codes, de steeds veranderende geheime codes die thuisbankiers gebruiken om transacties te doen. Direct na het inloggen op Mijn Postbank.nl verschijnt een vals invoerscherm waarin wordt gevraagd om een of meer Tan-codes in te voeren. Als de klant daar op ingaat, kunnen de verspreiders van het virus toegang krijgen tot de rekeningen en kunnen deze leegplukken. De Postbank benadrukt in het bericht dat het bij het inloggen nooit naar een Tan-code vraagt.
De bank heeft aangifte gedaan en biedt op de eigen website een verwijderingsprogramma (download) aan van Kaspersky Lab, producent van beveiligingssoftware. De bank stelt dat niemand door het virus is gedupeerd, maar voegt eraan toe dat eventuele slachtoffers schadeloos worden gesteld.
Hoe kwam het?
Volgens Mikko Hyppönen, hoofd beveiligingsonderzoek bij F-Secure, een Finse leverancier van antivirussoftware, vormen man-in-the-browser-aanvallen via trojans momenteel de grootste bedreiging voor online bankieren. Voorbeelden daarvan zijn Snatch, Haxdoor en Apophis. Hyppönen: "Het zijn commerciële malwaretools, ontwikkeld en verkocht door Russische en Braziliaanse criminele bendes. Zij bouwen tools die andere criminelen kunnen gebruiken om andermans geld te stelen. Criminelen verspreiden de malware bijvoorbeeld als e-mailbijvoegsel. Vaak ook is het bezoeken van een criminele website al voldoende om besmet te raken." De trojaanse paarden wachten totdat de gebruiker online gaat bankieren.
Hyppönen: "Als een bank slecht beveiligd is, is het voldoende om inloggegevens te stelen. Maar criminelen gebruiken ook andere methoden. Ze laten je bijvoorbeeld eerst inloggen en dan verschijnt er een popup in de lokale taal, waarin om bevestiging van de gebruikersinformatie wordt gevraagd. De derde techniek is het ergst: daarbij worden transacties aangepast zonder dat de gebruiker dat op zijn scherm ziet. Het Trojaanse paard voegt dan een overschrijving toe, maar verhindert dat deze zichtbaar wordt voor de gebruiker. Voor de bank lijkt het echter alsof de gebruiker opdracht heeft gegeven voor het doen van die betaling."
En nu?
Hyppönen: "Dit is een heel groot probleem. De gebruiker kan zes weken geleden tijdens het websurfen geïnfecteerd zijn geraakt. Hij of zij gebruikt het juiste webadres, de verbinding is SSL beveiligd en het certificaat van de bank is correct. Je kunt gebruikers waarschuwen voor relatief eenvoudige vormen van misbruik, zoals phishing. Maar voorlichting kan heel weinig uithalen tegen meer complexe vormen van misbruik zoals trojans voor online bankieren."
Kan dat niet anders?
Hyppönen bepleit het creëren van speciale internetdomeinen voor banken, zoals .bank, .secure of .safe. Banken die een website binnen zo'n domein willen verwerven, moeten eerst bewijzen dat ze echt de bank zijn die ze zeggen te zijn. Hyppönen: "Op dit moment maken de meeste banken, creditcardmaatschappijen en beurssites gebruik van .com- of landendomeinen. Maar iedereen kan elk .nl-domein openen, ook onder een valse naam, met een nepadres een een gestolen creditcardnummer. Daardoor is het voor gebruikers onduidelijk of een bepaalde url echt toebehoort aan een bepaalde bank."
Daarnaast heeft Hyppönen, die naar eigen zeggen al sinds 1990 online zijn rekeningen betaalt, heeft op zijn eigen computer rigoureuze maatregelen genomen om zich te beschermen tegen cyberaanvallen: "Vrijwel alle trojans voor online bankieren zijn tot nu toe geschreven voor Windows. Ik gebruik ook Windows, maar heb daarbovenop een virtuele machine van VMware geïnstalleerd, waarbinnen Ubuntu Linux draait. Van daaruit start ik een browser om te internetbankieren. Dus zelfs al zou mijn machine geïnfecteerd zijn, dan is de virtuele machine nog steeds veilig. Helaas is deze methode te ingewikkeld voor de gemiddelde gebruiker."
Marcus Kool, 14-01-2008 15:24
Een Windows-virus kan gemakkelijk een virtuele disk van VMware infecteren en
zo de veilig geachte browser binnen Linux infecteren.
Het probleem ligt bij de onveiligheid van Windows: Windows is een OS dat niet
de baas over de computer is en geen beveliging biedt tegen ongeautoriseerde
programma's. Linux en de meeste andere OS-en zijn wel de baas over de
computer. Dit is fundamenteel voor het bestaan van 99% van de virussen
onder Windows.
Harry Boogers, 14-01-2008 21:09
Klinkt wel erg theoretisch, dus mij lijkt het toch wel een heel behoorlijke beveiliging.
Jan van Leeuwen, 15-01-2008 14:32
Een trojaner, Windowsprogramma, heeft geen vat op een Linuxprogramma, de browser. Tussen Windows en Linux bestaat geen binaire compatibiliteit.
Voor u een maatregel als flauwekul af doet kunt u zich beter eerst informeren, een virtuele disk van VMware is alleen dan te infecteren wanneer deze een windows-besturingssyteem herbergt en ook nog als virtuele netwerkshare gestart wordt.
Voor een lezer van computable toont u weinig begrip.
agb, 18-01-2008 12:12
Echter, er zijn waarschijnlijk heel weinig gebruikers, die zo'n constructie gebruiken, dus loont het waarschijnlijk niet voor virus-bouwers om dit te bouwen, omdat het natuurlijk wel een stuk complexer is.
Zelf gebruikte ik trouwens al zo'n constructie met nog een extra'tje: De virtuele disks zijn non-persistent, zodat opgedane virussen niet bewaard blijven.
Heb ik nog wel een vraag: Weet iemand een nog veiliger methode van internetbankieren?
Henk Boerboom, 21-01-2008 14:11
Er bestaan ook Linux-varianten die van CD opstarten en/of van een USB-stick.
10-02 Infor helpt Ferrari met bouwen F1-auto's
10-02 Tester Four Oaks in Israëlische handen
10-02 IS Online en Tres zijn klaar voor Elfstedentocht
10-02 SecureLink migreert Microsoft-diensten Atradius
10-02 Nieuwe software brengt Vitens in problemen
10-02 Ex-Misys-topman moet CSC uit penarie helpen
10-02 Veenman en 20/20 vision adviseren samen klant
10-02 Cisco maakt 2,2 miljard dollar kwartaalwinst
10-02 Misys en Temenos willen fuseren
10-02 Raet stelt Schrijnemaekers als nieuwe CFO aan
10-02 SecureLink migreert Microsoft-diensten Atradius
09-02 Vodafone: Wij spelen klantinformatie niet door
09-02 Lang leve de hackers!
09-02 'Ook met cookiewet is gebruiker niet anoniem'
09-02 'KPN koppelt ID aan internetverkeer'
08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'
07-02 Eigen werknemer kan ook een vijand zijn
03-02 'Overheid vreest voor veiligheid in de cloud'
01-02 F5 beschermt openbare websites
31-01 Publieksvoorlichting is belangrijke taak voor NCSC
|
|
15-01-09 Symantec beschermt surfers via virtualisatie
02-12-08 Apple raadt antimalware aan voor Mac
12-11-08 InfoSec - Word virusanalist in een kwartier
06-05-08 Politie wil meer aangiftes cybercrime
Best Practices om laptop-data te beschermen
In een tijd waarin steeds meer werknemers mobiel hun werk doen en de hoeveelheid data exponentieel toeneemt, is......
| Aantal reacties met 3+ sterren | Gemiddelde waardering | |||
 | 1 | 154 | 6.4 | |
 | 2 | 120 | 6.7 | |
 | 3 | 109 | 6.4 | |
 | 4 | 79 | 6.6 | |
| 5 | 53 | 6.1 | |
| 6 | 49 | 6.3 | |
 | 7 | 47 | 6.5 | |
| 8 | 43 | 6.1 | |
| 9 | 43 | 6.0 | |
| 10 | 40 | 6.3 | |
Computable.nl is onderdeel van VNU Media, uitgever van o.a.: NationaleVacaturebank.nl | Intermediair | IntermediairPW | Carrièregids.nl | CompanyRating | NationaleStagebank.nl | Banen.nl | HRbase.nl | HRdirectory.nl | Financebase.nl | InIct.nl | InInterim.nl | InOverheid.nl | Overheidscircuit.nl | Computable | CRN | IT Knowledge Base | Tweakers.net | Recruitmentbloggers
Sitemap | Abonneren | Adverteren | Algemene voorwaarden | Disclaimer | Privacy | Alle rechten voorbehouden © 1995-2012 VNU Media
Niet alleen de Postbank had last van een dergelijke man-in-the-middle attack, maar ook de ABN en nog wel op een veel effectievere manier.
Zo heb je bij de ABN een paslezer waarop je een 8-cijferige code moet invullen en je krijgt een 6-cijferige code terug, die je dan op de site moet invullen. Deze handeling is echter gelijk voor het inloggen alswel als de bevestiging van de betaling. Dus de aanval bestond uit een vals inlogscherm, waarbij de eerste inlog altijd fout gaat. In de achtergrond gebruikt de aanvaller de door jou ingevulde code om werkelijk op de ABN-site in te loggen. Bij de 2e inlog poging bevestig je onbewust de betaling die al klaar gezet is door de software en ben je je geld kwijt.