Trojaner Goznym: Hackerangriff auf deutsche Bankkunden

Der Online-Banking-Trojaner Goznym treibt sein Unwesen verstärkt in Deutschland, warnt der Softwareriese IBM. Denn bei dieser Schadsoftware ist alles anders. Insgesamt 13 deutsche Banken sind betroffen.

Seit Jahren nimmt die Zahl von Cyberangriffen weltweit zu.

Bild:  dpa

Deutschland ist in den vergangenen Monaten verstärkt in das Visier von Cyberkriminellen geraten. 13 deutsche Banken und ihre Kunden sollen von Angriffen betroffen sein, darunter auch Sparkassen und Genossenschaftsbanken. Die Namen einzelner Institute wurden aus Gründen der Vertraulichkeit nicht genannt.

Jeder hat wahrscheinlich schon mal diese merkwürdigen Mails bekommen, in denen man aufgefordert wird, zu antworten oder auf etwas zu klicken. Da die Aufforderungen meist in einem etwas kryptischen Deutsch verfasst sind, landen diese meist auch im virtuellen Papierkorb.

Bei dem sogenannten GozNym-Trojaner ist alles anders. „Das ist schon perfide“, sagt Hans-Jürgen Rehm von IBM-Deutschland. „Die Hacker-Banden nutzen den Trojaner zum Beispiel, um die Nutzer von Onlinebanking auf Phishing Websites umzuleiten.“ Dabei sei das Deutsch tadellos, zudem würden die Websites den Internetauftritten der jeweiligen Institute täuschend ähnlich sein. Das sei eine bislang einmalige Kombination von Technik und dem Wissen um lokale Gegebenheiten, urteilt Rehm. Werden dann die Zugangsdaten eingegeben, werde das Konto leergeräumt.

Die dümmsten Passwörter der Welt

"Dadada"

Nein, die Rede ist hier nicht von dem Neue-Deutsche-Welle-Song von Trio, sondern dem Passwort des Facebook-Gründers Mark Zuckerberg in Netzwerken wie Twitter, LinkedIn und Pinterest - zumindest wenn man den Hackern Glauben schenkt, die im Anfang Juni 2016 mehrere seiner Profile gehackt haben.

Beim Foto-Dienst Pinterest gelang es den Hackern mithilfe des Passworts, das sie nach eigener Auskunft in den gestohlenen des Karriere-Netzwerks LinkedIn gefunden haben, den Profiltext für kurze Zeit durch den Text „gehackt vom OurMine Team“ zu ersetzen. Bei Twitter gab es eine verdächtige Aktivität auf Zuckerbergs Account mit dem Namen „@finkd“, in dem er seit Januar 2012 nichts mehr veröffentlicht hatte. Und bei Pinterest wurde das angebliche Passwort sogar öffentlich gemacht: "dadada".

Damit wählte der Facebook-Entwickler scheinbar nicht nur ein ziemlich simples Passwort (übrigens nicht besser als "12345" oder "password"), sondern benutzte das Passwort gleich für mehrere Profile - ebenfalls absolute No-Gos, die aber immer wieder vorkommen, wie die folgenden Beispiele zeigen.

Bild: Screenshot

Simple Zahlen- oder Buchstabenfolgen

Sicherheitsforscher des Hasso-Plattner-Instituts (HPI) haben 2015 fast 35 Millionen geraubte Identitätsdaten aufgespürt. Wie die Potsdamer Sicherheitsforscher anhand der gesammelten Daten analysierten, stehen bei den Internetnutzern in aller Welt immer noch Zahlenreihen oder Zeichenfolgen auf der Tastatur (z.B. qwerty auf der amerikanischen Tastatur) an der Spitze der Beliebtheitsskala bei Passwörtern. Gern werden auch Vornamen oder andere simple Begriffe verwendet, etwa das Wort "password". "Unangefochten weltweit auf Platz 1 liegt leider nach wie vor die Zahlenreihe 123456, obwohl automatische Cracker solche simplen Passwörter als erstes und blitzschnell ermitteln", sagte HPI-Direktor Christoph Meinel.

Dass Passwörter dieser Art überhaupt nicht sicher sind, ändert nichts an ihrer Beliebtheit: Schon 2014 wurden mehr als 3,3 Millionen Passwörter geknackt, auf dem ersten Platz landet auch da schon "123456". Auch wenn die Länge variiert wird, hilft das nicht: Auf dem dritten und vierten Platz finden sich "12345" und "12345678". "123456789" landet auf Rang sechs, gefolgt von "1234" auf Platz sieben. Auf Rang elf liegt "1234567". Nachfolgend ein Überblick der meistgeknackten Passwörter 2014:

Bild: dpa

Passwort: "Password"

Wer sich für ganz schlau hält und einfach "password" als Zugangscode verwendet sei hiermit gewarnt: Die vermeintlich simple und sichere Lösung liegt auf Rang zwei der meistgeknackten Passwörter.

Bild: dpa

Fantasiewörter

Sie denken sich, kein Mensch weiß was "qwerty" ist? Falsch gedacht. Die Buchstabenfolge, die auf einer amerikanischen Tastatur nebeneinander liegt, landet auf Platz fünf. Auf deutschen Tastaturen wäre es übrigens "qwertz".

Bild: REUTERS

Das sportliche Passwort

Sport-Fans müssen sich etwas besseres einfallen lassen, als nur den Namen ihrer Lieblingssportart: Auf Platz acht der meistgeknackten Passwörter landet "baseball".

Bild: AP

Mystische Gestalten

Auch Drachen-Fans gibt es einfach zu viele. Das Passwort "dragon" ist jedenfalls alles andere als originell. Es findet sich auf Rang neun.

Bild: REUTERS

Sport, die zweite

Anhänger des Football sind auch nicht besser dran als Baseball-Freunde: Das Passwort "football" findet sich auf Rang zehn der gehackten Zugangsdaten.

Bild: AP

Keine Angaben gibt es darüber, wie hoch der bisherige Schaden einzuschätzen ist. Aber mit rund 1500 Angriffen im August 2016 sei die Zahl seit Juli um 3500 Prozent gestiegen.

Aufgespürt wurde der Goznym-Trojaner von den Sicherheitsexperten der IBM X-Force, die im israelischen Haifa sitzt. Zunächst begann die Schadsoftware in Polen ihr Unwesen zu treiben, dann in den USA. Der Schaden, den die Schadsoftware im April 2016 bei US-Banken und kanadischen Instituten angerichtet hat, soll in die Millionen gehen. Betroffen sind große Geschäftskunden, mittelständische Unternehmen, das Investment Banking und private Bankkunden.

Beim Bundesamt für Sicherheit und Informationstechnik (BSI) ist der Goznym-Trojaner bekannt. Zum potenziellen Schadenvolumen können keine Angaben gemacht werden. Wie andere Trojaner würden diese aber mit Erfolg von Hackern genutzt, heißt es beim BSI.

Alle relevanten Player raten den Bankkunden zu erhöhter Wachsamkeit. Unaufgefordert erhaltene Mails sollten nach Möglichkeit nicht geöffnet werden, auf mitgeschickte Links sollte nicht geklickt werden. Anti-Viren-Programme seien Pflicht, das Betriebssystem sollte regelmäßig aufgerüstet werden.

Wie die digitale Parallelwelt funktioniert

Ein normaler Browser funktioniert für die komplizierten Adressen im Darknet nicht. Deswegen muss eine Zusatzsoftware installiert werden. Am einfachsten geht das mit dem Tor Browser Bundle.

Die Zwiebel mit ihren vielen Schalen: Die Abkürzung TOR steht für: The Onion Router – das Zwiebel-Netzwerk. Die kostenlose Open-Source-Software, einst vom US-Militär entwickelt, dient dazu, die eigene IP-Adresse zu verschleiern, indem sie Anfragen nicht direkt an die Zieladresse im Netz schickt, sondern über eine Kette von Proxyservern leitet. Jeder Proxy kennt nur seinen Vorgänger und Nachfolger, aber keiner kennt den ursprünglichen Absender der Anfrage und gleichzeitig den Empfänger. Das sieht in der Praxis dann so aus. 

Seitenadressen bestehen im anonymen Web aus einer zufällig gewählten, und ständig wechselnden Kombination von Zahlen und Buchstaben. Das erschwert das surfen. Deswegen bieten einige Seiten wie „The Hidden Wikki“, Orientierungshilfe. DeepDotWeb ist auch über das freie Internet zugänglich. Hier finden sich Foren, Fragen und Übersichten rund um das Thema Deepweb/Darknet. 

Tor ist nicht nur zum surfen auf nicht frei zugänglichen Websites nützlich. Auch ganz "normale" Seiten können hier anonym und datensicher angesteuert werden. Gleichzeitig lassen sich auch einige Unternehmen mit einer speziellen .onion Adresse registrieren. So hat zum Beispiel Facebook 2014, als erste große Firma einen offen sichtbaren Tor-Dienst mit eigener Adresse im Anonymisierungsnetz Tor aufgesetzt. 

Grams ist die gängigste Suchmaschine für Drogenmärkte im Darknet. Zwar ist der Drogenmarkt im Internet gegenüber dem Straßenhandel (mit einem geschätzten Umsatz von 320 Milliarden Dollar pro Jahr weltweit) noch klein, aber bereits hart umkämpft. Die Betreiber leben gut von der Verkaufsprovision, die sie für jeden Deal erhalten, der auf ihrer Seite geschlossen wird. Laut FBI sollen beim damals 29-jährigen Marktführer Dread Pirate Roberts von der Seite Silkroad, Bitcoins im Wert von 150 Millionen Dollar sichergestellt worden sein. Im Oktober 2013 wurde der US-Amerikaner Ross Ulbricht, der angebliche Silk-Road-Betreiber, ausfindig gemacht und vom FBI verhaftet. Der heute 32-Jährige wurde zu lebenslanger Haft ohne Bewährung verurteilt. 

Aufgrund der steigenden Konkurrenz haben sich Nachfolger wie Alphabay oder Nucleus vom anarchischen Neunzigerjahre-Look verabschiedet und orientieren sich nun an der Optik des legalen Onlinehandels. Da Vertrauen auf anonymen Marktplätzen ein knappes Gut ist, reagieren die Kunden stärker auf die üblichen Onlinereize wie einprägsame Logos, erkennbare Marken, hochauflösende Produktfotos und Marktstandards wie Kundenprofil, Konto-Übersicht und ausführliche Angebotslisten. Drogen sind auf fast jedem Marktplatz der größte Posten, daneben lassen sich hier jedoch auch Waffen, Hacker, Identitäten, Kreditkarten und andere Dinge erwerben. In den dunkelsten Ecken, die allerdings auch im Darknet nicht ohne weiteres zugänglich sind, finden sich sogar Menschenhandel, Kinderpornographie und Live-Vergewaltigungen. 

Ob gehackte Paypal, Amazon oder Ebay-Konten, eine neue Kreditkarte oder die Dienste eines Hackers, der mit Hilfe einer DDoS-Attacke (Distributed Denial of Service) eine Seite lahmlegen soll. Im Darknet werden Angriffe bzw. Daten jeglicher Art angeboten. Für nur ein Pfund, könnte man hier eine russische Kreditkarte mit hohem Verfügungsrahmen erwerben. Auch persönliche Daten wie Namen, Geburtsdaten, Adressen, EMails und alle erdenklichen Zugänge einer bestimmten Person werden hier für wenige Dollar angeboten. Zur Zeit vor der US-Wahl besonders beliebt: personenbezogene Daten, aufgelistet nach Bundesstaaten in Amerika.

Weitere Angriffe scheinen aber vorprogrammiert. Damit rechnet auch die Finanzaufsicht Bafin. Für Bafin-Präsident Felix Hufeld sind Cyber-Attacken auf Banken ein „Riesenthema“. Es gibt heute riesige Organisationen, die konzernhaft mafiös und kriminell strukturiert sind und unglaublich viel Zeit und Geld investieren, um eine Firepower zu entwickeln, die alles sprengt, was man sich in diesem Kontext vorstellen könnte“, sagte er in einem Interview.