Powershell-Skripte als Tarnung: Hacker stehlen Millionen von Banken

Eine Hackergruppe mit dem Namen Moneytaker soll seit über einem Jahr mit erfolgreichen Online-Raubzügen zahlreiche Banken um Mil­lio­nen­be­trä­ge erleichtern. Sicherheitsforschern konnten seit 2016 21 erfolgreiche Angriffe auf Banken in England, Russland und den USA dokumentieren. Bislang schien die Hackertruppe relativ unbemerkt agiert zu haben und ist erst jetzt in das Visier von Europol und Interpol geraten. Laut einem Bericht der Sicherheitsforscher von Group-IP nutzen die Moneytaker-Hacker für ihre ausgefeilten Angriffe verschiedene Tools, die ihnen höhrere Rechte in IT-Systemen verschaffen. Auch der Banking-Trojaner Kronos soll dabei eine wichtige Rolle spielen.

Geschickte Tarnung

Mit Hilfe der höheren Zugriffsrechte konnten die Hacker in vielen Fällen Geldkarten ordern, anschließend das Abhebelimit entfernen und bequem das Geld an Automaten abbuchen. Mit anderen Tools sollen Zahlungen gefälscht und Spuren verwischt werden. Um von Anti-Vi­ren­soft­ware unentdeckt zu bleiben, setzen die Moneytaker-Hacker gezielt auf Powershell- und VBS-Skripte.

Angebliche Microsoft-Zertifikate

Auf gekaperten und als Angriffs-Server be­nutz­ten Rechnern setzen die Hacker die unauffällig wirkende Software Metasploit ein, welche für Sicherheitschecks mittels Pe­ne­tra­tions­tests genutzt wird. Die damit gefundenen Si­cher­heits­lüc­ken werden an­schlie­ßend für gezielte Angriffe ausgenutzt. Mit gefälschten TLS-Zertifikaten von an­geb­li­chen Quellen wie Microsoft oder Bank of America gaukeln die Hacker eine Ver­trau­ens­wür­dig­keit der an­grei­fen­den Command-and-Control-Servern vor.

Sicherheitsmängel bei Banken

Dass es um die IT-Sicherheit bei vielen Banken nicht besonders gut bestellt ist, kommt den Hackern offensichtlich zugute. Wie das schon als fahrlässig bezeichenbare Vorgehen der Ban­ken bei ihren Kunden-Apps zeigt, kümmern diese sich trotz ihres hochsensiblen Ge­schäfts nicht ausreichend um die Absicherung ihrer Systeme.