Wie aus verschiedenen Berichten hervorgeht, hat in den zurückliegenden Monaten ein Banking-Trojaner namens Retefe den Sprung von Windows auf Android und Mac vollzogen. Die Verbreitung ist aufgrund der Beschränkung auf den deutschsprachigen Raum vergleichsweise gering, jedoch hatten sich die Angreifer in der Vergangenheit flexibel gezeigt, um auf Entdeckungen durch Sicherheitsforscher zu reagieren.


Allen Retefe-Angriffen gemeinsam ist die Verbreitung des Trojaners mittels E-Mail-Anhang als RTF-Dokument oder als ZIP-Archiv über einen Online-Speicher. Enthalten ist laut Angabe des Schweizer CERT eine optimierte App-Variante des Trojaners für die jeweilige Zielplattform. Dabei gehen die Angreifer gewissenhaft vor und bestimmen zuvor mithilfe von Spam-Emails und Zählpixel die jeweilige Plattform des Opfers.

Schon in der Windows-Variante fällt Retefe vor allem durch die Art und Weise der Einnistung auf, die von vielen Anti-Viren-Lösungen unentdeckt bleibt. Statt durch ein Programm eine Hintertür zu erzeugen, werden auf dem System des Opfers die Netzwerkeinstellungen modifiziert. Im Fall der Mac-Variante "OSX/Dok" erfolgt dies mittels Open-Source-Lösungen wie Homebrew, Socat und Tor. Diese leiten entsprechend der Retefe-Konfiguration ausgesuchte Internet-Verbindungen von Banken über Server der Angreifer um.


Durch modifizierte HTTPS-Zertifikate sind die Angreifer in der Lage, die Bankverbindung des Opfers zu kontrollieren und Banktransaktionen im entscheidenen Moment zu ihren Gunsten umzuleiten. Den Schweizer Sicherheitsexperten zufolge bewegen sich die täglichen Umleitung auf wenige hundert Vorgänge, dies ist vergleichsweise wenig. Dadurch verhindern die Angreifer eine Überlastung ihrer Server.

Die App-Signierung von Apple bietet leider keinen Schutz gegen den Angriff. Dem Bericht zufolge reagieren die Angreifer sehr schnell und nutzen bei Blockierung eines Entwickler-Zertifikats innerhalb weniger Tage eine andere Apple-ID.

Um den Nutzer dazu zu bewegen, der System-Änderung zuzustimmen, tarnt sich der Trojaner außerdem als vermeintliches System-Update. Nutzer sind daher aufgefordert, bei ungewöhnlichen Vorgängen skeptisch zu bleiben und im Zweifelsfall die Eingabe des Benutzer-Kennworts zu verweigern.

Einen dauerhaft zuverlässigen Schutz vor den Retefe-Angriffen gibt es nicht. Jedoch sei darauf hingewiesen, dass wie bei allen Trojanern ein aktives Zutun des Nutzers erforderlich, von alleine kann sich der Schädling nicht verbreiten.