Virus beim Onlinebanking

[fr@gma]

Hallo Leute,

am Wochenende habe ich durch Aufrufen einer Webseite einen Virus auf meinen PC geladen, wahrscheinlich durch Datenanhang an ein Bild.
Bisher bin ich von solchen Problemen nur durch das Fernsehen aufmerksam geworden, betroffen war ich nie.

Auf der Loginseite des Online-Banking wurde in die Webseite ein zusätzlicher Text eingebunden, dass derzeit technische Umstellungen vorgenommen werden.
Meine Bank stellt auch tatsächlich derzeit von iTAN auf mobilTAN um!
Hier wurde ich also noch nicht stutzig.
Im Finanzstatus wurde die eigentliche Webseite der Bank leicht transparent ausgeblendet, wie man das bei der jQuery Lightbox kennt und eine Eingabemaske für die TAN-Nummern wurde dargestellt.
Die war für mich natürlich das benötigte rote Tuch um das Banking abzubrechen.
Jedoch stellte ich fest, dass in der Adresszeile des Browsers immer noch das Sicherheitszertifikat der Bank aktiv war und auch im Finanzstatus mein Name stand.
Ich gehe also davon aus, dass der Content des Angreifers auf die echte Webseite aufgelegt wurde!!!

Nun zu meinen Fragen:
Diesmal hatte ich noch Glück das der Angreifer plump meine TAN-Liste abfragen wollte.
Die TAN zur Überweisung wird doch aber im Klartext in ein <Input>-Feld eingegeben.
Wenn jemand eine Webseite derart manipulieren kann, wäre es dann nicht auch denkbar, dass der Angreifer den Wert des Feldes abfragt und diesen an sich sendet?
Wie sicher sind Browser eigentlich diesbezüglich?

[suit]

Wenn jemand eine Webseite derart manipulieren kann, wäre es dann nicht auch denkbar, dass der Angreifer den Wert des Feldes abfragt und diesen an sich sendet?

Ja, aber warum sollte er es tun? Wenn du die TAN eingibst, benutzt du sie idR. auch - dann ist sie für den Angreifer wertlos.

Verbreiteter ist es, dass bei den gemachten Transaktionen zusätzliche Datensätze eingefügt werden und gehofft wird, dass es nicht auffällt.

Für diesen Zweck sind aber eher die Logindaten interessant.

[fr@gma]

Wenn jemand eine Webseite derart manipulieren kann, wäre es dann nicht auch denkbar, dass der Angreifer den Wert des Feldes abfragt und diesen an sich sendet?

Ja, aber warum sollte er es tun? Wenn du die TAN eingibst, benutzt du sie idR. auch - dann ist sie für den Angreifer wertlos.

Nicht unbedingt, der Angreifer könnte dann ja auch das Originalformular für eine gewisse Zeit blockieren, oder nicht?
Und schon ist die TAN nicht mehr so wertlos.
Vor allem würde dies komplett in Hintergrund stattfinden, der Nutzer würde da ja gar nichts merken!

Verbreiteter ist es, dass bei den gemachten Transaktionen zusätzliche Datensätze eingefügt werden und gehofft wird, dass es nicht auffällt.

Für diesen Zweck sind aber eher die Logindaten interessant.

Diese habe ich ja nun auch eingegeben, ich sollte somit davon ausgehen, dass die Login-Daten bekannt sind.
Mist!

[suit]

Nicht unbedingt, der Angreifer könnte dann ja auch das Originalformular für eine gewisse Zeit blockieren, oder nicht?

Sicher - er kann aber automatisch eine zusätzliche Transaktion dazuschmuggeln - das ist imho wesentlich einfacher.

Möglichkeiten gibts viele - wenn der angreifer bereits so weit "drin" ist, kann er prinzipiell alles tun.

Wenn jemand die Möglichkeit hat auf deinem Rechner ungefragt etwas zu installieren, kann er problemlos etwas ähnliches wie Stylish und Greasemonkey installieren und beliebige JavaScript- oder CSS-Schnipsel "ausführen". Somit könnte er z.B. eine zusätzliche Transaktion in die Liste einfügen und diese mittels JavaScript und CSS einfach wieder ausblenden während du diese (ohne sie zu sehen) bestätigst.

Ebenfalls könnte er in weiterer Folge bestimmte Buchungszeilen rausmanipulieren - auch mit JavaScript und CSS - damit du lange nicht merkst, dass du jemandem etwas überwiesen hast, was du eigentlich nicht wolltest.

Wenn das dann auch noch kleine Beträge mit unauffälligen Texten sind - z.B. "eBay lustiges taschenbuch, artikelnummer 12356", wird deine Bank auch keinen verdacht schöpfen.

Und schon ist die TAN nicht mehr so wertlos.

Auch wieder wahr, ja.

Für diesen Zweck sind aber eher die Logindaten interessant.
Diese habe ich ja nun auch eingegeben, ich sollte somit davon ausgehen, dass die Login-Daten bekannt sind.

Sofern du wirklich "infiziert" bist ja.

[fr@gma]

Da hatte ich wirklich Glück das die Abfrage der TANs eben sehr offensichtlich war.
Danke suit für Deine Ausführungen.

[michaa]

Da hatte ich wirklich Glück das die Abfrage der TANs eben sehr offensichtlich war.
Danke suit für Deine Ausführungen.

Beim Mitlesen dieses Threads kam mir nur eine Frage in den Sinn: Hast du Kontakt zu deiner Bank aufgenommen und dort mit dem Sicherheitsbeauftragten/Verantworlichen für Online Banking gesprochen?
Für mich wäre dies die erste Aktion gewesen.