Malware "Backoff" klaut Kreditkartendaten

Heute noch eine kleine Sicherheitsinfo im Hinblick auf Malware und den Klau von Kreditkartendaten. In den USA sind aktuell (geschätzt) mehr als 1.000 US-Unternehmen betroffen. Eine Malware namens Backoff kompromittiert Bezahlterminals und greift Kreditkartendaten über das Netzwerk ab.

Fälle von manipulierten Bezahlterminals für EC- und Kreditkartendaten sind in Deutschland ja auch bekannt. Diese erforderten oft aber eine Manipulation von Kassenterminals. Hier gibt es einen älteren Artikel von security-insider.de, in 2012 gab es diese Meldung über Angriffsmöglichkeiten (sowie hier) und dieser aktuelle Chip.de-Artikel thematisiert die auf der Black Hat-Konferenz gezeigten Hacks von Bezahlterminals. Die Seite www.kreditkartendiebe.de befasst sich nur mit diesem Thema (die letzten Beiträge vom Jahresanfang thematisieren den Klau von mehr als 40 Millionen Kreditkartendaten bei der US-Handelskette TARGET).

Obwohl der TARGET-Hack wohl schon Anfang des Jahres passierte, sind noch viele Nutzer und Händler in den USA weiterhin ahnungslos und arbeiten mit gehackten Kassenterminals. Nachdem selbst die US-Heimatschutzbehörde vor der Malware "Backoff" warnt, gab es vorige Woche einen größeren Artikel U.S. Finds 'Backoff' Hacker Tool Is Widespread in der New York Times. Bei heise.de thematisiert dieser deutschsprachige Artikel das Ganze.

Die Malware, die erstmals im Oktober 2013 auftauchte, aber wohl bisher nicht von Schutzprogrammen erkannt wird, greift die Kassenterminals von Händlern an und zielt die Kreditkartendaten ab. Von den sieben Herstellern von Kassenterminals, Abrechnungssystemen und Lesegeräten bestätigen, dass Kunden davon betroffen seien (man spricht von mehr als 1.000 betroffenen Unternehmen).

Der Angriff erfolgt über Unternehmensnetzwerke (so auch bei TARGET). Gelingt dieser, wird sich über die Malware Backoff Zugriff auf die Bezahlsysteme verschafft, um Daten abzugreifen. Wieder einmal stehen die auf dem Magnetstreifen gespeicherten Daten im Blickpunkt des Interesses. Und die Bezahlsysteme laufen häufig auf PC-Hardware. Hier könnte ein Viren- und Malwarescan helfen, wenn die aktuellen Produkte die Malware erkennen würden. Ist bisher aber nicht der Fall – und so wird der Schädling weiter unentdeckt bleiben, so nicht gezielt danach gesucht wird. Die US-Händler sollen nach bisheriger Planung die Kassenterminals bis Oktober 2015 auf Chip-basierte Geräte umstellen (kostet ca. 1.000 US $ pro Gerät).