Tipps für mehr Schutz gegen Smishing-Attacken

Hinter dem Türchen mit der Nummer 22 habe ich im Sicherheits-Adventskalender mal einige Tipps gegen sogenannte Smishing-Angriffe hinterlegt. Simishing ist ein Kofferwort, bestehend aus den Begriffen SMS und Phishing. Die Opfer sollen also beim Smishing über eine per SMS verschickte, angebliche Sprachnachricht angegriffen werden. Denn die Sprachnachricht kann eine bösartige App sein, die sich anschließend das Mobilgerät infiziert und Anmeldedaten abfischt (Phishing).

Ich hatte bereits hier im Blog mehrfach vor dem Banking-Trojaner Flubot für Android gewarnt, der auch Opfer in Deutschland bedroht. Hier die betreffenden Blog-Beiträge.

Banking-Trojaner Flubot verbreitet sich in Deutschland stark (Juni 2021)
CERT-Bund-Warnung vor der FluBot Malware Android App (April 2021)
Achtung: Android FluBot Banking-Trojaner verbreitet sich in Deutschland

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor einiger Zeit, dass Nutzerinnen und Nutzer von Smartphones und Handys SMS-Nachrichten, die zum Klicken eines Links auffordern, erhalten. Per Smishing werden SMS (Kurznachrichten) verschickt, die Phishing (Diebstahl von Zugangsdaten über gefälschte Nachrichten oder E-Mails) zum Ziel haben.

In der SMS wird über einen Link der Download einer App angeboten. Im Frühjahr 2021 gaben die Täter häufig vor, dass die Empfängerinnen und Empfänger der SMS bald ein Paket erhalten oder eine Sendung zurück an die Absenderin beziehungsweise den Absender gehen soll. In einigen der SMS-Texte ist sogar eine persönliche Anrede zu beobachten. Damals handelte es sich um das Android-Botnetz „MoqHao". Diese Methode wurde in Deutschland verwendet, um weitere Android-Schadsoftware wie „FluBot" und „TeaBot" zu verbreiten.

Diese per Download angebotene App späht lokale Adressdaten aus, verbreitet weitere schadhafte SMS-Nachrichten und führt Phishing-Angriffe durch. Dabei tarnen die Kriminellen die Schadsoftware z. B. als eine für die Paketverfolgung angeblich notwendige App von bekannten Logistikunternehmen wie FedEx oder DHL. Apple iOS-Anwenderinnen und -Anwender landen in der Regel auf Werbe- oder Phishing-Seiten.

Smishing und Fake-Sprachnachrichten

Seit Herbst 2021 greifen die Täter seltener auf gefälschte Paketbenachrichtigungen zurück. Stattdessen teilen sie den Empfängerinnen und Empfängern der SMS zum Beispiel mit, dass eine Sprachnachricht (engl. „Voicemail") vorläge oder das Smartphone mit einem Schadprogramm infiziert sei. Hinter dem Link aus der Mitteilung befindet sich dann eine Anleitung zum Download der Sprachnachricht bzw. eines angeblichen Sicherheitsupdates. Erst wer diese Dateien herunterlädt, installiert die Schadsoftware der Betrüger.

Daneben fallen Smishing-SMS auf, in denen den Empfängerinnen und Empfängern vorgetäuscht wird, dass ihre privaten Fotos geleakt wurden, weil sich eine Schadsoftware auf dem Handy befinden soll. Damit üben die Täter Druck aus und versuchen so, die Smartphone-Nutzerinnen und -Nutzer ebenfalls dazu zu bewegen, ein vermeintliches Sicherheitsupdate zu installieren. Auch in diesem Fall führt der Download zur Infektion des Systems.

Zwar haben die deutschen Provider Filtermaßnahmen ergriffen, um den Versand von Smishing-SMS zu unterbinden, jedoch können diese keinen vollständigen Schutz bieten, da die Täter ständig gegensteuern. So wurde beobachtet, dass die Nachrichten manchmal absichtliche Buchstabendreher, Schreibfehler oder zufällige Zeichenketten enthalten, um die Spam-Filter der Mobilfunkbetreiber zu umgehen.

Tipps gegen Smishing

Benutzer und Benutzerinnen können sich mit wenigen Maßnahmen vor solchen Angriffen und Betrügereien schützen, indem sie folgende Tipps beherzigen.

1. Rufen Sie keinen der in der Nachricht enthaltenen Links auf. Dann kann auch keine Schadsoftware über den Link geladen werden.
2. Laden Sie keine Dateien aus unbekannter Quelle herunter. Bei iOS ist das standardmäßig nicht möglich, aber auf Android-Geräten kann man Apps aus alternativen Quellen installieren. Wegen des Risikos sollte das unterbleiben.
3. Löschen Sie die verdächtige SMS-Nachricht unverzüglich. Dann besteht nicht die Gefahr, dass man irrtümlich eine solche Nachricht bzw. den Link anwählt.
4. Antworten Sie keinesfalls auf eine solche Nachricht, da die Betrüger dann wissen, dass die betreffende Gegenstelle existiert.

Ist unklar, ob eine SMS doch von einer wichtigen Stelle (z.B. Bank, Paketversender) stammt, kontaktieren Sie ggf. den Kundenservice des betreffenden Unternehmens. Zudem ist es häufig klug, bei Erhalt einer solchen SMS einfach im Internet mittels einer Suchmaschine zu recherchieren. Das kann man oft über den Betreff der Nachricht. Stößt man auf Treffer mit negativen Bewertungen, sollte die SMS gelöscht werden. Damit lassen sich auch ohne spezielle Schutzlösungen Smishing-Angriffe leicht abwehren.

Artikel des Security-Adventskalenders
1. Microsoft Defender Version 1.353.1874.0 meldet fälschlich Trickbot/Emotet
2. Windows 10/11: Falle beim "trusted" Apps-Installer; Emotet nutzt das
3. Beispiele für Viren-Mails nach Übernahme eines Exchange-Servers
4. Phishing-Angriffe von Staatshackern über neue RTF-Template-Injection-Technik
5. BSI-Empfehlung: Reagiert nicht auf SPAM-Mails
6. Android App Barcode Scanner Lite mit Trojaner – öffnet zufällige Webseiten
7. Cyberangriff auf SPAR-Lebensmittelgeschäfte in Yorkshire/England
8. Excel XLL-Addins für Malware-Installation missbraucht
9. Hellmann Logistics Opfer eines Cyberangriffs
10. Cloud-Dienste über USB-over-Ethernet-Schwachstellen angreifbar
11. Malware in Android Apps am Beispiel von GriftHorse
12. Azure Privilege Escalation durch Missbrauch der Azure API-Permissions
13. Phishing-Angriffe auf deutsche Kunden nutzen QR-Codes, um Bankdaten zu stehlen
14. Mirai Botnet Moobot zielt auf Hikvision-Kamerasysteme
15. Windows, TPM, MEM, und Intune: Hürden beim Motherboard-Wechsel
16: Häufige Login-Versuche an Routern (FRITZ!Box)
17: Insides zu Irelands Public Healthcare Ransomware-Fall
18: Sennheiser legt Kundendaten über alte Cloud-Instanz offen
19: Analyse, wie TeamTNT Docker-Hub-Konten kompromittiert
20: CPUID Enumerator and Decoder: Virenfrei, aber von Virustotal geflaggt
21: Google Play Protect: Bei Android-Sicherheitstests im Sommer 2021 durchgefallen
22: Tipps für mehr Schutz gegen Smishing-Attacken
23: BSI warnt: Erhöhte Bedrohung durch Ransomware-Angriffe zu Weihnachten
24: Google Zweifaktor-Authentifizierung (2FA), was man wissen sollte