PDF 941kB - Hochschule Ulm

5 Sicherheitsschwachstelle: Social Engineering
Da Smartphone Betriebssysteme wie Windows Phone 8 und Android 4.3 robuste Schutzmechanismen
anbieten, wie z.B. Isolation von Apps, ist es schwierig für Angreifer diese
zu umgehen. Sollte dennoch ein Angreifer dies schaffen, helfen eine Defense-in-Depth-
Strategie, wie es in [Tan09], S. 800ff., beschrieben ist, die Auswirkungen des Angriffs zu
begrenzen. Statt nach Fehlern in den unteren Schichten von NFC oder in Betriebssystemkomponenten
zu suchen, wird vielmehr auf höherer Ebene versucht das Verhalten von
Menschen zu beeinflussen. Dieser Angriff wird auch als Social Engineering bezeichnet
[SMK01]. Auch beim Eurograbber Angriff, der in Kapitel 4.1 bereits kurz angesprochen
wurde, wird Social Engineering angewendet, um den Anwender zu täuschen. In [KB12]
wird der grobe Ablauf von Eurograbber wie folgt beschrieben: Ein Anwender infiziert
seinen Computer mit einem Trojaner. Beim nächsten Login für das Onlinebanking, wird
der Trojaner aktiv. Der Trojaner modifiziert die Webseite und zeigt dem Anwender eine
Meldung an zum Durchführen eines ”
security upgrades“. An dieser Stelle wird der
Anwender darum gebeten seine Handynummer einzugeben und sein Smartphone Betriebssystem
auszuwählen. Nach Eingabe der Daten, erhält der Anwender eine SMS auf
seinem Smartphone. In der SMS wird der Anwender gebeten eine verlinkte App herunterzuladen
und zu installieren um das ”
security upgrade“ abzuschließen. Parallel dazu
wird der Trojaner am Computer aktiv und zeigt eine Nachricht, in der der Anwender
aufgefordert wird, seinen Aktivierungscode einzugeben. Nachdem die App installiert und
gestartet wurde, zeigt diese den geforderten Aktivierungscode an. An dieser Stelle sind
die Angreifer in der Lage, Geld vom Konto der betroffenen Person unbemerkt auf andere
Konten zu überweisen. In Kapitel 4 wurden die Schutzmechanismen von Smartphone
Betriebssystemen vorgestellt. Bei Eurograbber wird das Vertrauen vom Anwender in
die Bank missbraucht. Dies beginnt bei der Eingabe der Handynummer und der Wahl
des Smartphone Betriebssystems. Beim Erhalt der SMS wird der Anwender aufgefordert
eine App für das Android Betriebssystem außerhalb des Google Play Stores zu
installieren. Durch das Vertrauen in die Bank ignorieren die Anwender typischerweise
die vom Android Betriebssystem angezeigte Warnung, die vor der Installation von Apps
aus Fremdquellen warnt.
Die Analogie zu NFC besteht darin, dass eingehende Informationen entwendet werden
können. Bei Eurograbber operiert ein Trojaner im Hintergrund auf dem Smartphone und
wartet darauf, bis eine mTAN SMS ankommt. Bei Ankunft einer mTAN SMS versendet
der Trojaner diese weiter zu den Servern des Angreifers und löscht die SMS anschließend,
ohne dass der Anwender etwas davon mitbekommt. NFC ist aber ein anderer Kommunikationskanal
als SMS. Daher ist typischerweise die App, die NFC-Inhalte empfangen
soll, bereits offen oder sie registriert ein URI-Schema, das beim Empfangen von NFC-
Inhalten mit dem URI-Schema das Öffnen der App auslöst. In Abbildung 14 wird dies
veranschaulicht.
27