Bei einer Analyse der aktuellen Ereignisse rund um die angebliche Zertifikats-App fällt auf, dass die entsprechende Seite zur Installation nur im Android-Browser erscheint. Leserhinweise bei heise Security deuten auf Mails hin die vorgeben von der Postbank zu stammen und zur Installation einer "SSL-Zertifikat App" auffordern.
"Wir erinnern Sie, dass ab dem 25 April die Nutzung des mobilen TAN-Service nur mit der SSL-Zertifikat App möglich ist", heißt es in der Mail mit dem Betreff "Extended Validation-Zertifikate (EV-SSL-Zertifikat) im Android" die angeblich von "kundenservice@postbank.de" oder "mobile-banking@postbank.de" stammt. Wer dem Link am Ende der Mail mit einem Browser auf einem PC oder einem iPhone folgt, bekommt lediglich die schlichte Meldung "Zertifikat wurde erfolgreich Installiert.".
Die Installation wird detailliert erklärt.
Besucht man die Seite jedoch mit einem Android-Smartphone erscheint ein ausführlicher Text zu "Extended Validation-Zertifikaten" mit der Aufforderung, eine spezielle App zu installieren um sein Online-Banking zu schützen. Insbesondere erklärt eine Anleitung – ebenso wie man in den Einstellungen des Smartphones die Installation von Apps aus unbekannten Quellen frei schaltet. Die dabei auftauchende Sicherheitswarnung könne man ignorieren: "Die EV-SSL-Zertifikat App ist sicher" heißt es da in fett und rot. Zum Abschluss der Installation wird dann ganz dreist die PIN des Online-Banking-Zugangs angefordert ? angeblich für die "Authentifizierung des EV-SSL-Zertifikat[s] mit der Bank".
Eine kurze Analyse der App mit der Anubis Sandbox zeigt, dass diese sich tatsächlich wie angekündigt unter anderem den Zugriff auf SMS & Netzwerk besorgt. Mit Letzterem ausgestattet nimmt die App ebenfalls unverzüglich Kontakt mit einem Server in den USA auf und überträgt an diesen bereits Telefonnummer und IMEI. Man darf getrost davon ausgehen, dass zukünftig ankommende mTANs für Online-Banking-Transaktionen auf dem gleichen Weg auf dubiosen Servern landen.
Die Mail & Web-Seite sind erstaunlich gut gemacht und können bei Postbank-Kunden zumindest beim flüchtigen Lesen durchaus als echt durchgehen. Was misstrauisch machen sollte » ist die Aufforderung « die Installation von Apps aus unbekannten Quellen zu aktivieren. Wer auf Sicherheit Wert legt sollte die Option unbedingt ausgeschaltet lassen denn das schützt vor solchen Angriffen besser als jeder Virenscanner.
Kommentare