Malware „Storm“ gelangt an Deine Konten – auch ohne Passwort

Hacker und Cyberkriminelle entwickeln immer neue Methoden und Malware, um an die Daten ihrer Opfer zu gelangen. Eine solche neue Malware wird derzeit auf den Foren der Cyberkriminellen für gerade mal 1.000 US-Dollar gehandelt und nennt sich „Storm“. Dieser Malware ist es möglich, die Konten der Nutzer zu knacken, ohne Passwörter stehlen zu müssen. Auch die Zwei-Faktor-Authentifizierung umgeht die Malware, wie Varonis Threat Lab in einem aktuellen Bericht schreibt. Die Methodik ist perfide, überraschend effektiv und ignoriert viele gängige Sicherheitsvorkehrungen, denn sie nutzt aktive Logins. 

Während der Nutzer aktiv sein Konto verwaltet und auf der Webseite des Internetdienstes eingeloggt ist, entsteht ein Datenstrom mit dem zentralen Service des Betreibers. Dabei kann es sich etwa um eine Banking-App handeln oder um eine reguläre Webseite mit Konten und Accounts. Storm fängt den Datenstrom zwischen Accounts und Servern ab und sammelt alle Informationen, derer die Malware habhaft werden kann. 

Passwörter und andere Anmeldeinformationen sind dafür nicht notwendig. Die Hacker selbst entschlüsseln die durch Storm abgefangenen Daten erst im Nachgang. Währenddessen schlagen die Sicherheitssysteme der Webseitenbetreiber und Server nicht Alarm, da es keine Anzeichen für einen Angriff gibt. 

So gelangt Storm an die Kontodaten

Zu den abgefangenen Daten zählen auch Cookies und Tokens. Und diese kann die Malware Storm dazu verwenden, sich Zugriff auf die Konten zu verschaffen. Mit den Cookies und Tokens bleibt die Malware eingeloggt, auch wenn Du Dich bereits ausgeloggt hast. Ein Passwort braucht die Malware nicht zu kennen, und die Zwei-Faktor-Authentifizierung muss Storm dann ebenfalls nicht durchführen. 

Webseiten und Server denken dann, die vorige Account-Sitzung bestehe weiterhin fort. Die Cyberkriminellen selbst müssen nichts dafür tun, um eingeloggt zu bleiben. Storm erledigt das von selbst. Damit das gelingt, versucht Storm, während der laufenden Sitzung an so viele Daten wie möglich zu kommen. Dazu zählen auch die Browser-Historie, Dokumente, Bilder, Nachrichten auf Messenger-Diensten oder Systemdaten. 

Das kannst Du gegen Storm unternehmen

Storm wurde bereits in mehreren Ländern gesichtet. Dem Bericht von Varonis Threat Labos zufolge hatte die Malware Google- und Facebook-Accounts geknackt und sich zudem Zugang zu Krypto-Konten verschafft. Allerdings lassen die Experten nicht durchscheinen, auf welcher Grundlage sich Storm seine Ziele wählt oder wie Systeme infiziert werden. So wissen wir weiterhin nicht, welche konkreten Maßnahmen gegen die Malware schützen. 

Auf Nummer sicher gehst Du, indem Du Dich nicht auf jeder Webseite anmeldest und zweimal über den Download von Apps und Browser-Extensions nachdenkst. Das gilt besonders bei kostenlosen Tools. Passwörter und andere Zugangsdaten wie etwa für Krypto-Wallets solltest Du am besten analog aufbewahren und nicht auf dem Rechner speichern. Zudem sollte Dein Viren-Tool auf dem aktuellen Stand sein.