Hacker- und Web-Attacken

Aus der Dropbox eines Mitarbeiters des Speicheranbieters wurde eine Datei mit Kundendaten entwendet, welche daraufhin zum Spam-Versand missbraucht wurden[...]

[...]Wie viele Mailadressen es enthielt, ließ das Unternehmen offen. Der Datendieb ist nach Angaben des Speicheranbieters über ein geklautes Passwort in die Mitarbeiter-Dropbox eingestiegen.

Das Passwort soll jedoch nicht bei Dropbox[...] entwendet worden sein – der Mitarbeiter hatte sein Dropbox-Passwort auch zur Anmeldung bei anderen Webdiensten genutzt. Auf die gleiche Weise griffen die Datendiebe auch auf "eine kleine Anzahl" weiterer Dropbox-Accounts zu. Das Unternehmen gibt an, die betroffenen Nutzer über den Vorfall informiert zu haben.

Wer überprüfen will, ob es Fremdzugriffe auf den eigenen Dropbox-Account gab, kann dies mit dem neu eingerichteten Zugriffsverlauf in Erfahrung bringen. Darüber hinaus will der Speicheranbieter in einigen Wochen eine optionale Zwei-Faktor-Authentifizierung anbieten, mit der man seinen Cloud-Speicher zusätzlich absichern kann.

Zum Vergrößern anklicken....

World's largest oil producer falls victim to 30K workstation attack
Saudi Aramco comes clean with some details, resumes network operations today.

Zum Vergrößern anklicken....

Antisec — a hacking group associated with Anonymous — have released over a million UDIDs found on a compromised FBI laptop.

Zum Vergrößern anklicken....

Dies vermeldet die Hackergruppe NullCrew mittels einer Twittermeldung und wirft dem japanischen Unternehmen zugleich geringe Sicherheitsvorkehrungen vor. „Sony, wir sind von deiner Sicherheit tief enttäuscht. Das ist nur einer von acht Sony-Servern, die wir kontrollieren“, heißt es dort. Als Beweis veröffentlichte man neben 441 Nutzernamen mit zugehörigen E-Mail-Adressen auch 24 Nutzernamen mit gehashten Passwörtern und drei Administrator-Datensätze.

Zum Vergrößern anklicken....

Der beliebte SMS-Ersatz WhatsApp lässt sich mit Hilfe frei zugänglicher Tools leicht kapern[...] Ist der Account einmal geknackt, kann man ihn nicht mehr absichern.
[...]
WhatsApp nicht sehr sicher [...]Client zur Anmeldung am Server ein selbstgeneriertes Passwort nutzt, das bei Android aus der Seriennummer (IMEI) des Smartphones und bei iOS aus der MAC-Adresse der WLAN-Schnittstelle erzeugt wird. Das Problem hierbei ist, dass diese Daten alles andere als geheim sind.

Bei iOS-Nutzern haben Datenschnüffler noch leichteres Spiel: Die MAC-Adresse sieht bei der WLAN-Nutzung jedermann in Reichweite des Funknetzwerks.
[...]
In unserem Test [...] war erschreckend einfach: Wir mussten lediglich Rufnummer und MAC-Adresse bzw. IMEI in ein mitgeliefertes Skript eintragen und konnten anschließend über die Eingabeaufforderung beliebige Nachrichten in dessen Namen verschicken. [...] Die verschickten Nachrichten tauchten nicht auf dem Smartphone des Account-Besitzers auf. Auch die eingehenden Antworten empfängt er nicht, solange das Skript läuft.

Unser Experiment zeigt, dass man WhatsApp derzeit nur mit Vorsicht benutzen sollte. iPhone-Anwender sollten den Dienst nicht in öffentlichen Netzen benutzen[...]

Wurde der Account übernommen, ist man ausgeliefert; es gibt derzeit keine Möglichkeit, das Passwort zu ändern und den Datenschnüffler dadurch auszusperren. Jetzt liegt es an WhatsApp, seine Nutzer zu schützen.

Zum Vergrößern anklicken....

Das Problem, dass Android-Smartphones automatisch in Webseiten eingeschleuste USSD-Steuercodes ausführen, zieht weitere Kreise. Auch Geräte anderer Hersteller als Samsung sind betroffen: So könnten Angreifer bei bestimmten HTC-Handys etwa die SIM-Karte unbrauchbar machen.
[...]
heise Security gelang es, eine Testseite zu erstellen, die mehrfach einen bestimmten USSD-Befehl in Kombination mit einer falschen PIN an das Telefonmodul des Smartphones schickt.
[...]
Bislang scheinen ausschließlich Android-Smartphones für dieses Problem anfällig zu sein.
[...]
Ob das eigene Gerät betroffen ist, erfährt man gefahrlos über unseren USSD-Check, den Sie auch komfortabel über http://heise.de/ussd und http://ct.de/ussd erreichen. Zeigt das Handy beim Öffnen der Seite automatisch seine 15-stellige IMEI-Nummer an, ist es sehr wahrscheinlich verwundbar.

Der Angriffscode kann nicht nur auf Webseiten, sondern auch in QR-Codes lauern.
[...]
Schützen kann man sich, indem man die Apps TelStop oder NoTelURL über Google Play installiert.

[...]Wird konnten das Problem auch mit einem Motorola RAZR XT910 nachvollziehen. Nach dem Aufruf der Testseite wurde die SIM-Karte sofort gesperrt.

Zum Vergrößern anklicken....

Von der anfänglich Samsung zugeschriebenen Android-Steuercode-Schwachstelle sind anscheinend potenziell die meisten Smartphones und UMTS-Tablets betroffen, auf denen Ice Cream Sandwich (Version 4.0.x) oder eine ältere Android-Version läuft. [...]Die aktuelle Android-Version Jelly Bean (4.1.x) ist erst auf 1,2 Prozent aller Android-Smartphones installiert
[…]
Die meisten Dialer, die auf dem Android-Original aufsetzen, dürften die Schwachstelle also ebenfalls enthalten.
[…]
Da sich das Wählprogramm auf vielfältige Weise ansprechen lässt, können die Steuercodes überall lauern: auf Webseiten, in HTML-Mails, in WAP-Push-Nachrichten und sogar in QR-Codes. Es bleibt abzuwarten, wie die Hersteller auf das Problem reagieren. Vor allem die Nutzer älterer Geräte sollten sich keine allzu großen Hoffnungen machen, dass es für ihre Geräte einen Sicherheits-Patch geben wird.
[…]
heise Security rät zur Installation einer der inzwischen zahlreich angebotenen Apps, die das Ausführen der Steuercodes blockieren. Neben TelStop und NoTelURL gibt es seit kurzem auch den USSD Filter von G Data.

Zum Vergrößern anklicken....

Die Installation registriert ein neues URL-Protokoll[…]
steam://run/id/language/url_encoded_parameters

Im einfachsten Fall kann ein Angreifer schon über die an das Programm übergebenen Parameter Unheil anrichten. […] Nach eigenen Aussagen gelang es ReVuln, ein System über eine auf diesem Weg erstellte Batch-Datei im Autostart-Ordner zu infizieren. […] Bei der noch weiter verbreiteten Unreal-Engine entdeckten die Forscher ebenfalls einen Weg, ihren Code einzuschleusen und auszuführen.

Der Angreifer muss dazu natürlich vorher ermitteln, welche Spiele auf dem Zielrechner installiert sind. Außerdem zeigen Browser wie Internet Explorer, Chrome und Firefox allerdings beim Aufruf von steam://-URLs eine Warnung an; lediglich Safari reicht sie kommentarlos weiter. In ihrem Bericht Steam Browser Protocol Insecurity diskutieren die Forscher allerdings auch Möglichkeiten, diese Warnungen zu umgehen oder zumindest den in der URL enthaltenen Exploit zu verschleiern.

Zusammenfassend muss man feststellen, dass die Steam-Plattform ein beträchtliches Risiko für PCs darstellt – und zwar sowohl bei Windows, Linux und insbesondere Macs, deren Default-Browser Safari die steam-URLs direkt ausführt.

[…]Als Minimal-Lösung könnte man zumindest einen eigenen Spiele-Account mit eingeschränkten Rechten einrichten.

[…]die Firma ReVuln verkauft Informationen über ungepatchte Sicherheitslücken an Firmen und Regierungen; es kann also gut sein, dass einer ihrer zahlenden Kunden bereits im Besitz funktionierender Exploits für die Steam-Plattform ist.

Zum Vergrößern anklicken....

Square Enix stated yesterday that somebody "may have gained unauthorized access to a particular Square Enix server" and took its members service offline in both Japan and the U.S. [...]

The breach hit one million Japanese members and 800,000 U.S. ones. The hack impacted customer names and phone numbers. The server in question stores no credit card info, so, according to Square Enix, "there is no possibility of any credit card information leak."

"We are yet to learn whether illegal access was gained to our clients' information," said a Square Enix spokesperson. "But we have asked our customers to be aware of the incident in case they receive suspicious messages using our name."

Zum Vergrößern anklicken....

Mehr als 1000 der 13.500 populärsten Apps zeigten Anzeichen für eine fehlerhafte und unsichere Implementierung der SSL/TLS-Verschlüsselung. Tests mit 100 ausgewählten Apps bestätigten, dass davon immerhin 41 anfällig für konkrete Angriffe waren. Dabei fielen den Forschern außer Bank- und Kreditkartendaten auch Zugangs-Tokens für Facebook, E-Mail-Konten und Messaging-Services in die Hände.

[...] 20 Apps akzeptierten einfach jedes Zertifikat. 21 weitere kontrollierten zwar, ob das Zertifikat eine gültige Unterschrift trägt, nicht jedoch, ob es auf den richtigen Namen ausgestellt ist.

[...]Welche Apps konkret betroffen sind, verraten sie [Die Forscher] jedoch nicht. Aber anscheinend handelt es sich dabei nicht um Exoten: Immerhin 40 bis 185 Millionen Installation weist Google Play für die von den Lücken konkret betroffenen Apps aus.

Zum Vergrößern anklicken....

PSN hacking law-suit binned, Sony cleared of charges

PlayStation Network’s outage in 2011 left user accounts at the mercy of hackers, prompting a class-action lawsuit against Sony for failing to protect customer accounts. Get the details of the case’s collapse below.

CVG reports – by way of Courthouse News – that Sony’s charges were dismissed by US District Judge Anthony Battaglia.

The reason? “Because none of the named plaintiffs subscribed to premium PSN services, and thus received the PSN services free of cost,” Battaglia proclaimed, and he added that the plaintiff’s claim itself takes Sony’s responsibility out of the picture.

“Plaintiffs freely admit, plaintiffs’ personal information was stolen as a result of a criminal intrusion of Sony’s Network,” Battaglia explained, “Plaintiffs do not allege that Sony was in any way involved with the Data Breach.”

Battaglia also recognised that the end-user agreement accepted by all PSN users states that such errors may occur and that the service is not perfect, essentially suggesting that the plaintiffs accepted the terms at their own risk. Claims that Sony misrepresented the level of security on PSN were also thrown out as a result.

Zum Vergrößern anklicken....

Durch einen Fehler konnte man offenbar über mehrere Monate hinweg beliebige Skype-Accounts übernehmen
[...]
konnte man sich mit einer fremden Mail-Adresse einen neuen Skype-Account anlegen – und zwar auch dann, wenn bereits ein Account mit dieser Adresse vorhanden war. Das war erst mal noch harmlos[...]

Problematisch wurde es, wenn der Nutzer[...] die Funktion "Passwort zurücksetzen" auf der Skype-Webseite benutzte: Dann hat Skype nämlich den Link zum Zurücksetzen des Kennworts für den ersten Account als Skype-Nachricht an den zweiten Account geschickt. Nach dem Zurücksetzen hatte man die volle Kontrolle über den ersten Account, ganz ohne Zutun des eigentlichen Account-Besitzers.
[...]
Dmitry Chestnykh hat den Skype-Betreiber Microsoft nach eigenen Angaben bereits im August über das Sicherheitsproblem informiert, wie ein Chat-Protokoll belegen soll. Gehandelt hat das Unternehmen jedoch erst, nachdem Schritt-für-Schritt-Anleitungen in russischen Foren aufgetaucht sind.

[...]Derzeit werde die Angelegenheit untersucht, heißt es dazu nunmehr von Microsoft.

Zum Vergrößern anklicken....

Bei einem digitalen Einbruch in einen Adobe-Server hat ein Angreifer nach eigenen Angaben die Daten von rund 150.000 Nutzern kopiert – darunter Namen, Mail-Adressen und Passwort-Hashes. Als Beweis veröffentlichte der Eindringling[...] Auszüge aus seiner Datenbeute [...] Dabei handelt es sich um die Daten von Nutzern, die der Angreifer aufgrund ihrer Mailadressen Adobe, dem US-Militär oder US-Regierungskreisen zuordnet.

Gegenüber dem Security-Magazing Dark Reading erklärte der Angreifer, dass der Einbruch über eine SQL-Injection-Schwachstelle gelang. Auf Hürden wie eine Web Application Firewall (WAF), die potenziell gefährliche HTTP-Requests herausfiltert, sei er nicht gestoßen. Er habe den Einbruch öffentlich gemacht, um auf die Schwachstellen aufmerksam zu machen und Hersteller wie Adobe zu mehr Sicherheit anzuhalten.

Adobe hat in seinem Blog bestätigt, dass es einen erfolgreichen Angriff auf eine Kundendatenbanken der Firma gab. [...] Andere Teile der Adobe-Onlinepräsenz oder der Connect-Dienst selbst sollen laut Adobe nicht betroffen sein.

Ob die von dem Angreifer angegebene Anzahl von 150.000 Datensätzen zutrifft, ließ Adobe offen. Auch zu seiner Passwortspeicherpraxis macht das Unternehmen keine Angaben. Laut dem Eindringling fand er in der Adobe-Datenbank schnell zu knackende MD5-Hashes vor.

Zum Vergrößern anklicken....

Cyber-Ganoven haben das Portal des Web-Browser-Herstellers Opera offenbar missbraucht, um Schadcode zu verbreiten. Das berichtet der Virenschutz-Anbieter Bitdefender. Die Portalseite ist in älteren Opera-Versionen standardmäßig als Startseite eingestellt. In neueren Versionen gibt es einen Link an prominenter Stelle[...]

Laut dem Bericht wurde der Angriffscode über einen – wahrscheinlich gehackten – Anzeigenserver in die Opera-Seite eingeschleust. [...]

Die eingeschleuste Seite versuchte eine ältere Lücke im Adobe-Reader auszunutzen und das System dadurch mit dem Banking-Trojaner ZeuS zu infizieren. Die Malware war auf einem Webserver in Russland deponiert.

[...]Opera-Sprecher sagte gegenüber der Website The Register, dass es keine Anzeichen für Infektionen von Anwendern gebe. Opera hat daher das Werbesystem bis auf weiteres deaktiviert.

Zum Vergrößern anklicken....

Bei einem Test von heise Security stellte sich heraus, dass man WhatsApp-Accounts erneut mit geringem Aufwand kapern kann. Wir konnten unbemerkt Nachrichten im Namen anderer WhatsApp-Nutzer senden und empfangen. Auf den Android-Smartphones der Test-Opfer war die derzeit aktuelle Version 2.8.7326 der Nachrichten-App installiert. Der Account-Klau hat bereits vor rund zwei Monaten funktioniert, bis die aktuelle WhatsApp-Version herauskam.

Für die Account-Übernahme benötigten wir lediglich die Handynummer des Nutzers und die Seriennummer (IMEI) seines Smartphones – das sind beides Informationen, an die man leicht herankommt. Das eingesetzte Skript hat uns ein Leser zur Verfügung gestellt. Es generiert aus der IMEI das zur Anmeldung am WhatsApp-Server nötige Passwort.

Man muss davon ausgehen, dass auch die WhatsApp-Versionen für andere Smartphone-Betriebssysteme noch auf ähnliche Weise verwundbar sind. Bei unserem Test mit der Vorversion gelang der Account-Klau auch bei iOS-Nutzern. Der Betreiber macht keine Angaben darüber, was sich in puncto Sicherheit seitdem getan hat.
[...]
Um das Abdichten der Lücke zu beschleunigen, haben wir dem WhatsApp-Chef angeboten, ihm sämtliche uns vorliegenden Details über die Schwachstelle und das zum Account-Klau genutzte Skript zur Verfügung zu stellen. Seitdem sind mehrere Tage vergangen – zu unserer Verwunderung hat WhatsApp bislang nicht um die Zusendung der Informationen gebeten.

Wenn man Revue passieren lässt, wie WhatsApp bislang mit dem Thema Sicherheit umgegangen ist, kann man eigentlich nur noch von der Nutzung des Dienstes abraten.

Zum Vergrößern anklicken....

A wave of account hacks hit Ubisoft's Uplay service this week, resulting in a 15-page forum thread of around 100 gamers reporting their inability to play games [...] some of whom claim to have used secure, randomly generated passwords. Most say they received email notifications that the email address attached to their accounts were changed to a one using a Russian domain, indicating a single hacker or group behind the scheme. In a response to GameSpy, Ubisoft confirmed that "a limited number" of accounts have been "compromised," but that no personal or financial details of customers were exposed. [...]

Ubisoft declined to comment about whether the hacks happened on its end or through some manner of phishing scheme, saying only that "Ubisoft is working hard to find a solution. [...]"

[...]we're left to speculate that either it did, and Ubisoft doesn't want to tip off other hackers that there may be a vulnerability in its systems, or that it simply doesn't know for sure how it happened yet. [...]

To Ubisoft's credit, after an initially slow response (due to staff being out for the holidays) it does appear to be dealing with most of the complaints in the thread relatively promptly, restoring access to the rightful owners within a few days. [...]

Also, this isn't the first security scare Uplay's had -- last year a flaw in the Uplay browser plugin prompted an alert and an emergency update.

Zum Vergrößern anklicken....

Sehr geehrter Kunde,

Sie sind jetzt am Handel von Gold und Ausrüstung beteiligt, d.h. Sie sind rechtmäßig schon ein Kunde von einem unveränderten Spiel. Ungerechte Aktivitäten sind gegen unsere Richtlinien für Battle.net. Das geht auch gegen den Geist des fairen Spiels, auf dem alle unsere Spiele beruhen. Es wird dringend empfohlen, Betrug, Hieb, Roboter und Heldentat zu vermeiden. Die Spieler, an denen es Betrug und Hieb gibt, werden verboten und ausgeschlossen.

Sie können auf dieser sicheren Website dadurch bestätigen, dass Sie der ursprüngliche Besitzer des Kontos sind:
https://eu.battle.net/support/en/games[http://www.search-manage.tk]

Melden Sie sich bei Ihrem Benutzerkonto gemäß folgender Vorlage an, um Ihr Konto zu überprüfen.

* Kontonamen und Passwort
* Vorname und Familienname
* Geheime Frage und Antwort

Anzeigen * Bitte geben Sie die richtigen Informationen ein.

Ihr Konto kann und wird dauerhaft geschlossen werden, wenn Sie diese E-Mail ignorieren.
Kontosicherheit ist ganz wichtig für uns, und wir hoffen, dass sie für Sie auch von Bedeutung ist. Wenn Sie irgendwelche zusätzlichen Sicherheitsempfehlungen zu dieser Liste hinzufügen möchten, teilen Sie bitte die Empfehlungen in den Kommentaren frei.

Mit freundlichen Grüßen

Konto-Administrationsteam
http://www.blizzard.com/support/
Blizzard Entertainment 2012

Zum Vergrößern anklicken....