Seit dem 15. März 2021 läuft wohl eine größere Kampagne in Deutschland, bei der Cyber-Kriminelle den FluBot Banking-Trojaner auf Android-Geräte verbreitet werden soll.
Ich bin über folgenden Tweet von ESET auf den Sachverhalt gestoßen. Die Opfer bekommen eine SMS mit einem angeblichen Link für die FedEx-App.
Hinter dem Link wird aber der Trojaner heruntergeladen und installiert. Seit dem 15. März 2021 haben Sicherheitsforscher Dutzende von Fällen identifiziert, in denen Benutzer diese App von einer gefälschten FedEx-Seite heruntergeladen haben. Eine Anleitung zur Deinstallation gibt es hier.
Anzeige
Als Landei betreibe ich Onlinebanking am PC. Aber es auf Android-Geräten, speziell Smartphone und Tablet zu tun, habe ich für mich und die Familie, nach Rücksprache und Gespräch ausgeschlossen. Die Sicherheitsbedenken sind einfach zu groß.
Leider wollen unsere Banken das aber. Und nur zu oft wird auf dem Smartphone gleich die 2FA ausgehebelt – indem beide Apps, die eigentliche Bank-App und die Sicherheits-App, installiert werden sollen. Da sich die Passwörter/Zugangscodes auch noch "gemerkt" werden, besteht die Sicherheit dann nur noch aus dem Passwort(-muster) selbst, mit welchem das Phone gesperrt ist.
Schon aus diesem Grunde verbietet sich die Nutzung solcher "Mobilen Endgeräte" für Bankgeschäfte.
Denn: Handy weg = Geld weg
Bei der Postbank werden beide funktionen sogar wieder in eine APP zusammengefasst.
("Finanzassistent")
Das ist unsicherer als vor den Neuregelungen.
In dem Fall hilft einfach nur Bank wechseln. Es gibt noch genug, die ohne App auskommen. ChipTAN ist das Zauberwort. Bietet eine Bank das nicht an, taugt sie nichts.
Hi janil,
Ich kann deinen Gedankengang nachvollziehen, muss dich hier aber berichtigen: Wenn du einen Windows-PC besitzt, ist es dort viel einfacher, dir einen Trojaner unterzujubeln. Unter Android mit einem einigermaßen aktuellen Sicherheitspatch musst du mehrmals auf Installieren klicken und explizit den Zugriff auf Speicher etc gestatten, damit das geht. Unter Windows reicht da eine schlau gebaute Internetseite oder eine Email aus.
Danke für Deinen Hinweis.
Habe für den Internet-PC einige andere Sicherheitsmaßnahmen installiert. Aktive Eingangs- und Ausgangskontrolle, surfen in einer Sandbox, Pi-Hole…
Mir ist bewusst, das es absolute Sicherheit nicht gibt. Ein wenig kann man aber dagegen halten.
Wünsche einen schönen Sonntag.
Janil
Android ist dazu erschaffen, eine Malware-Schleuder zu sein.
Genau mit etwa Windows kann da ja nichts passieren…
Ohne Hirnschmalz des Benutzer geht es nicht. Völlig egal welches OS bzw. da funktioniert auch so einiges ganz ohne Internet. Sei es am Telefon oder vor der Haustür.
Mitdenken ist sicherlich sehr hilfreich. Allerdings sind die meisten Leute nur Benutzer der Geräte und haben meist nicht den Hauch einer Ahnung, was ihre Aktionen bedeuten oder bewirken könnten.
Was mich unglaublich ärgert, ist aber die Tatsache, wie die Banken die Leute geradezu zum Online-Banking per oder wenigstens mit Smartphone treiben. Ich selber hatte für mein eigenes Konto und das meiner Mutter jeweils lange Diskussionen führen müssen, um dann doch TAN-Generatoren zu bekommen (leider sind es unterschiedliche Banken und die Teile können nicht für die jeweils andere Bank genutzt werden). Ich erinnere mich an die entgeisterten Blicke, als ich auf das ultimative Argument "Dann müssen Sie aber 10/15€ für den TAN-Generator bezahlen" mit "Prima, das ist ein geringer Preis für die gewonnene Sicherheit" reagiert habe.
Lade mal eine Jogging-App runter und schau, was sie alles für Berechtigungen will, die sie gar nicht benötigt.
Android und der Google-Play-Store sind Malware-Schleudern 1. Klasse.
Ich nutze LineageOS ohne Google Play Services. Da hat man schon einiges gewonnen.
Dann nur die Apps installieren, die man wirklich braucht.
FDroid als primäre Quelle. Andere Apps per AuroraStore manuell runterladen und vor Install per VirusTotal checken.
Und was macht der Normalverbraucher, der seine Kompetenzen nicht in der IT hat?