Man-in-the-Browser-Angriff (MITB)
Was ist ein MITB-Angriff?
Ein MITB-Angriff, kurz für „Man-in-the-Browser“-Angriff, ist eine fortgeschrittene Form des MITM-Angriffs (Man-in-the-Middle). Bei MITM-Angriffen fängt ein Angreifer die Kommunikation zwischen den beteiligten Parteien ab, um Daten auszuspähen oder zu manipulieren. MITB-Angriffe hingegen zielen speziell darauf ab, den Webbrowser des Nutzers zu kompromittieren. Indem der Angreifer die Kontrolle über den Browser übernimmt, kann er die Kommunikation zwischen Webbrowser und Webserver abfangen und manipulieren, um Daten zu stehlen oder unbefugte Anfragen zu stellen. In Japan gab es etwa ab 2012 erste Berichte über MITB-Angriffe. Große öffentliche Aufmerksamkeit erlangten sie im Mai 2014, nachdem diese Angriffsmethode bei einem aufsehenerregenden Onlinebanking-Betrugsfall eingesetzt worden war.
MITB-Angriffe werden durch eine Infektion mit Trojaner-Malware ausgelöst, die sich im Webbrowser einnistet. Die Malware kontaktiert zunächst den Command-and-Control-Server (C&C) des Angreifers, um Informationen wie eine Liste der anvisierten Online-Banking-Websites abzurufen. Anschließend überwacht sie die Aktivitäten des Benutzers und erkennt automatisch, wenn dieser eine Zielwebsite aufruft. Dem Benutzer wird eine gefälschte Anmeldemaske angezeigt, um ihn zur Eingabe seiner Zugangsdaten zu verleiten. Der Angreifer nutzt diese Informationen, um unbemerkt unbefugte Aktionen wie betrügerische Geldüberweisungen durchzuführen.
Anders als bei MITM-Angriffen greifen Nutzer in MITB-Szenarien tatsächlich auf die legitime Website zu, sodass Serverzertifikate und die Überprüfung der Website-Identität wirkungslos bleiben. Da die unbefugten Aktionen zudem erst nach der Anmeldung des Nutzers erfolgen, können selbst fortschrittliche Authentifizierungsmethoden wie Einmalpasswörter den Angriff nicht verhindern. Werkzeuge zur Durchführung von MITB-Angriffen sind leicht verfügbar, und ihre Ziele beschränken sich längst nicht mehr auf Onlinebanking, sondern umfassen inzwischen eine Vielzahl unterschiedlicher Dienste.
