De makers van een berucht Trojaans paard hebben een manier gevonden om een populaire plugin voor veilig internetbankieren uit te schakelen, wat volgens een expert aantoont dat banken meer moeten doen. Trusteer Rapport is een browser plugin die de communicatie van keyboard naar website beveiligt. Volgens ontwikkelaar Trusteer is de software in staat om Man–in-the-Browser, Man-in-the-middle, phishing, en andere aanvallen tegen eindgebruikers te detecteren.

Wereldwijd gebruiken zo’n vier miljoen consumenten de plugin om veilig te kunnen internetbankieren. Maar die veiligheid staat op losse schroeven, nu het Delftse beveiligingsbedrijf Fox-IT een nieuwe variant van de Zeus Trojan heeft ontdekt die de plugin laat crashen. Het beveiligingsbedrijf ontdekte twee Zeus controle servers die tools aanbieden om dit te doen.

Trusteer laat in een reactie aan Security.nl weten dat de aanval niet nieuw is en dat de software banken voor zo’n aanval waarschuwt. “Zodra de aanval is gelanceerd, stopt de 'hartslag' van Trusteer en krijgt de bank een waarschuwing”, zegt CEO Mickey Boodaei. De criminelen doen zich zo meer kwaad dan goed. “Trusteer was met de veronderstelling gebouwd dat criminelen er toegang toe krijgen en het uitschakelen en daardoor zichzelf onthullen, waardoor de bank de fraude kan voorkomen.”

Met name Amerikaanse en Britse banken gebruiken Trusteer Rapport, waaronder ING Direct, Royal Bank of Scotland en sinds kort HSBC. De plugin werkt alleen op Windows en Mac, tot grote onvrede van Linux-gebruikers

Zeus
De Zeus Trojan begint inmiddels een ware plaag voor zowel eindgebruikers als bedrijven te worden. De malware is voor een paar honderd euro op de zwarte markt verkrijgbaar en eenvoudig aan te passen. Daardoor kunnen cybercriminelen zonder al teveel kennis hun eigen Zeus-botnet starten. Volgens beveiligingsbedrijf Damballa bestond vorig jaar 19% van alle botnets uit de Zeus-bot. Met name in de Verenigde Staten is Zeus erg actief. Onlangs waarschuwde NetWitness dat het 75.000 met Zeus besmette bedrijfscomputers had ontdekt.

Vals gevoel van veiligheid
Volgens Jeroen Herlaar, Business Unit Manager MSS bij Fox-IT, laat de aanval vooral zien dat criminelen in staat zijn om gespecialiseerde endpoint oplossing onschadelijk te maken. “Daardoor worden grote groepen consumenten, maar ook banken, met een vals gevoel van veiligheid opgezadeld”, zegt hij tegen Security.nl. Wat betreft de hartslag van Trusteer die wegvalt is het aan de bank om hier iets mee te doen, maar dat ligt aan de implementatie van de bank aan de achterkant, aldus Herlaar. Het kan dat banken het internetbankieren voor klanten blokkeren. Dat zorgt voor allerlei micromanagement. “Als opeens tienduizend klanten van online bankieren worden afgesloten, dan heb je natuurlijk wel een probleem. Dan krijg je een soort denial of service idee, waardoor je klanten niet kunnen bankieren.”

De makers van Zeus zijn zeer uitgekookt, het toevoegen van de optie om Trusteer uit te schakelen kan mogelijk onderdeel van een poging zijn om de “hartslag” na te bootsen.

Trusteer beschouwt de oplossing niet als een pure endpoint oplossing. Toch maakt Herlaar duidelijk dat die wel kwetsbaar zijn. “En het zal altijd kwetsbaar blijven, omdat de aanvaller ook over de software kan beschikken.” Als de makers van Zeus straks in staat zijn om Rapport uit te schakelen of de hartslag te vervalsen, dan hebben de banken volgens Herlaar een probleem en iets aan hun klanten uit te leggen.

Zowel bank als consument moeten beseffen dat de PC van klant een “ongecontroleerd stuk infra is, waar de bank geen 100% invloed op kan uitoefenen”, zo merkt de expert op.

Gedragsprofiel
Herlaar vindt dat banken meer moeten investeren in het monitoren van transacties. Het gaat dan om het herkennen van gedragspatronen in geldstromen die op frauduleus handelen duiden. Het knelpunt voor cybercriminelen blijft namelijk het katvanger verhaal. Mensen die hun rekening ter beschikking stellen en het gestolen geld opnemen om vervolgens via Western Union naar de criminelen over te maken. “Je kan natuurlijk monitoren waar geld naar toe gaat.” Banken zouden over een langere termijn gedragsprofielen kunnen opbouwen om vreemd gedrag te gaan herkennen. “Aan één transactie zal je het waarschijnlijk niet gaan zien.”

Consumenten
Op de vraag wat consumenten kunnen doen is Herlaar duidelijk. “Standaard anti-virus oplossingen falen. Dat kun je nog moeilijk adviseren.” Toch doen gebruikers er wel verstandig aan om een virusscanner te installeren. “Voor hetzelfde geld heb je een keer mazzel.” Wat betreft USB-sticks en Boot CD’s is dit voor doorsnee consumenten niet praktisch. “Dat kun je je oma van 86 niet uitleggen, die wil gewoon de computer aanzetten en gebruiken. Die beschouwt het als water uit de kraan.” Herlaar heeft dan ook geen echt advies voor consumenten.

Verantwoordelijkheid
In Nederland ligt de verantwoordelijkheid voor een geplunderde rekening bij de banken. “En dat is ook terecht. Want de macht, het geld en de mogelijkheden om er wat aan te doen ligt ook bij de banken en niet bij de individuele consument. Je kunt je er niet tegen beveiligen of je moet met CD’s aan de slag” Vanwege de imagoschade en het vergoeden van de kosten, hebben banken wel de motivatie om er iets aan te doen.

In Amerika is dat anders, daar draaien bedrijven uiteindelijk zelf voor de schade op. “Ik vind het heel kort door de bocht om te zeggen dat je maar je computer moet beveiligen. Consumenten hebben de mogelijkheid niet om hun computer te beveiligen. Alle middelen die ze ter beschikking staan, die falen. Helaas.”

Nederlandse banken proberen er volgens Herlaar wel wat aan te doen, maar het is een moeilijk vraagstuk. “Het is in ieder geval duidelijk dat endpoint oplossingen niet de heilige graal zijn.”