NitlovePOS: Geschickter Malware-Angriff auf Kassierer in Geschäften

Während die gute alte Registrierkasse höchstens durch Fehler bei der Bedienung Probleme machen konnte, bieten moderne Kassensysteme deutlich mehr Angriffspunkte - vor allem dann, wenn sie nur in Form einer speziellen Software auf normalen Computern betrieben werden und die Angestellten mögliche freie Minuten für die Chance nutzen, mal schnell ihre E-Mails zu lesen.
Dokument mit Malware-Makro
Dies ist in einer aktuellen Kampagne von Kriminellen der Fall, die von der Sicherheitsfirma FireEye analysiert wurde. Hier wird den Zielpersonen über Spam-Mails relativ geschickt eine Malware untergeschoben, die genau für diese Art von Systemen spezialisiert ist. Über das Bestreben der Täter braucht man hier natürlich auch nicht lange spekulieren: Sie versuchen, die Daten der von den Kunden eingeschobenen Bankkarten zu stehlen.

Die Absender der fraglichen E-Mails spekulieren darauf, dass die Mitarbeiter an der Kasse in ihrer Arbeit nicht gerade ihre Lebenserfüllung sehen. Die Mitteilungen sind daher als Job-Angebote aufgemacht. Der Anhang besteht auch nicht wie in vergleichbaren Fällen aus getarnten ausführbaren Dateien, sondern tatsächlich aus einem Word-File.

Makro als Ausgangspunkt

In dieses ist allerdings Schadcode in Form eines Makros eingebettet. Dieser sorgt dafür, dass weitergehende Malware von einem externen Server heruntergeladen wird - sofern die vorhandenen Sicherheits-Systeme es nicht schaffen, dies zu unterbinden. In Folge dessen beginnt der Schädling damit, während der folgenden normalen Verwendung des Kassensystems Daten von den Bankkarten der Kunden auszuspionieren und an die Kriminellen zu schicken.

Die auf den Namen NitlovePOS getaufte Malware-Kampagne ist insofern einzigartig, da sie Spam als Verbreitungsweg nutzt. Die bisher entdeckten Schädlinge, die auf Kassensysteme abzielen, versuchen eher, sich über Sicherheitslücken einzuschleusen, die von Außen angreifbar sind. FireEye betonte daher, dass die Beschäftigten in dem Bereich unbedingt dahingehend geschult werden sollten, grundlegende Sicherheits-Fragen zu beachten und die Systeme nicht für Dinge zu verwenden, für die sie nicht gedacht sind.