Anbieter von Finanztransaktionen im Visier der Cyberkriminellen
Kaspersky Lab warnt vor digitalem Doppelgänger
Kaspersky Lab veröffentlichte vor Kurzem die Ergebnisse einer Untersuchung [1] des im Darknet angesiedelten Untergrund-Online-Shops "Genesis", einer Plattform, auf der mehr als 60.000 gestohlene, tatsächlich existierende digitale Identitäten gehandelt werden. Mit diesen lässt sich ein Kreditkartenbetrug erheblich erleichtern. Mit dem Marktplatz sowie weiteren schädlichen Tools können Angreifer das eigentlich zur Betrugsverhinderung gedachte, auf maschinellem Lernen basierende Konzept digitaler Masken (Digital Masks) missbrauchen. Über solche Masken kann jedem Kunden ein eindeutiges, vertrauenswürdiges Profil auf Basis bekannter Geräte- und Verhaltenscharakteristiken zugeordnet werden - außer es ist ein digitaler Doppelgänger im Spiel.
Wenn Nutzer bei Online-Transaktionen Finanz-, Zahlungs- oder persönliche Informationen auf einer Webseite eingeben, kommen meist fortschrittliche, analytische und auf maschinellem Lernen basierende Anti-Fraud-Lösungen zum Einsatz, um abzugleichen, ob die User-Daten einer bestimmten digitalen Maske entsprechen. Diese Masken sind für jeden Anwender individuell; sie bringen die vom Nutzer normalerweise beim Banking- beziehungsweise Bezahlprozess auf Geräten oder im Browser hinterlassenen digitalen Fingerprints - wie Informationen über den Bildschirm und das Betriebssystem oder Browser-Daten wie Header, Zeitzone, installierte Plug-ins und Fenstergröße - mit fortschrittlichen Analyse- und maschinelle Lernmethoden zusammen.
Dazu gehören zum Beispiel individuelle Cookies der Nutzer sowie deren Online- und Rechner-Verhalten. So können Anti-Fraud-Teams von Finanzorganisationen erkennen, ob es sich tatsächlich um einen legitimen Kunden handelt, der seine Zugangsdaten eingibt, oder ob ein krimineller Carder versucht, sich Waren und Dienstleistungen mit gestohlenen Kreditkartendaten zu erschleichen. Entsprechend wird eine Transaktion akzeptiert, abgelehnt oder einer weiteren Prüfung unterzogen.
Allerdings lassen sich die digitalen Masken auch kopieren oder gänzlich neu anlegen. Laut der Kaspersky-Analyse setzen Cyberkriminelle aktiv auf sogenannte digitale Doppelgänger, um fortschrittliche Anti-Fraud-Lösungen zu überlisten. Die Sicherheitsexperten endeckten nach eigenen Angaben im Februar 2019 im Darknet einen Marktplatz namens Genesis, auf dem digitale Masken und Nutzer-Accounts zu Stückpreisen zwischen fünf und 200 US-Dollar verkauft werden. Dabei sind sowohl bereits gestohlene Masken als auch Zugangsdaten (Benutzername und Passwort) für Online-Shops und Bezahldienstleister zu erwerben, mit denen über entsprechende Browser- und Proxy-Einstellungen die Aktivität eines legitimen Anwenders vorgetäuscht werden kann. Mit den passenden Zugangsdaten erhalten Angreifer Zugriff auf Onlinekonten und können neue, eigene Transaktionen im Namen eines mutmaßlichen Kunden glaubwürdig ausführen.
"Kartenbetrug ist ganz klar ein weltweiter und wachsender Trend", warnt Sergey Lozhkin, Sicherheitsforscher bei Kaspersky Lab. "Obwohl Unternehmen stark in Anti-Fraud-Lösungen investieren, sind digitale Doppelgänger nur schwer ausfindig zu machen. Um diese Gefahr einzudämmen, muss die Infrastruktur der Betrüger zerschlagen werden." Man wolle daher Strafverfolgungsbehörden weltweit darauf aufmerksam machen, diese Form des Betrugs stärker ins Auge zu fassen und sich an deren Bekämpfung zu beteiligen.
Mit anderen Tools können Angreifer auch völlig neue digitale Masken anlegen, um Anti-Fraud-Lösungen zu überlisten. Die Kaspersky-Experten haben mit dem Tenebris-Browser eines dieser Tools identifiziert und analysiert, das mit einem eingebauten Konfigurationsgenerator ausgerüstet ist, der eindeutige digitale Fingerprints erstellt. Einmal erstellt, kann der Carder die Maske einfach über einen Browser und eine Proxy-Verbindung starten und beliebige Transaktionen online ausführen.
Kaspersky Lab empfiehlt Unternehmen, die Transaktionen im Internet anbieten, folgende Maßnahmen, um nicht zum Opfer digitaler Doppelgänger zu werden:
- Multifaktor-Autorisierung in jeder Phase des Nutzeridentifikations-Prozesses ermöglichen,
- neue Methoden zur erweiterten Verifikation einführen, zum Beispiel über biometrische Merkmale,
- fortschrittliche Analysemethoden für das Nutzerverhalten einsetzen, und
- Threat Intelligence Feeds in SIEM [2] und andere Sicherheitskontrollen integrieren.
Dies soll unter anderem den Zugang zu den wichtigsten und neuesten Bedrohungsinformationen ermöglichen, um auf mögliche Angriffe vorbereitet zu sein.
Mehr Informationen über die Gefahren durch digitale Doppelgänger sind zu finden unter
Lesen Sie mehr zum Thema
