Hacker- und Web-Attacken

Der Sicherheitsforscher Luca de Fulgentis demonstriert in seinem Blog, dass populäre Webdienste unzureichend vor Clickjacking-Angriffen geschützt sind. [...]

Beim Clickjacking schiebt eine manipulierte Webseite beispielsweise einen durchsichtigen iFrame über Buttons. Im Glauben, etwas auf der angezeigten Seite anzuklicken, klickt der Anwender jedoch auf Elemente der Seite im unsichtbaren iFrame. In Kombination mit der Drag&Drop-API moderner Browser kann ein Nutzer auf diesem Weg dazu verführt werden Objekte oder Texte aus dem unsichtbaren iFrame in einen Bereich der manipulierten Seite zu ziehen, den der Angreifer auslesen kann.

Sicherheitsforscher Fulgentis hat genau diese Methode auf die Webdienste von Google, Microsoft und Yahoo angewandt. Wie er feststellte, werden noch nicht alle Unterseiten der drei Anbieter mit dem HTTP-Header X-Frame-Options ausgeliefert. [...]

Bei Google gelang es dem Forscher beispielsweise via Drag&Drop Vor- und Nachname, Nutzerfoto und E-Mail-Adresse von Nutzerprofilen herüber zu ziehen. [...]Ist ein Nutzer bei Amazon eingeloggt und surft nebenbei auf einer anderen, speziell präparierten Seite, sorgt das Clickjacking-Script dafür, dass er unwissentlich seine persönlichen Kundendaten in das Kommentarfeld einer Produktbewertung zieht und abschickt. Angreifer können die Daten dann in der öffentlich zugänglichen Kommentarliste abgreifen

Zum Vergrößern anklicken....

Uplay gehackt

Zahlreiche Nutzerkonten auf Ubisofts Plattform Uplay sind geknackt worden. Mehr

Zum Vergrößern anklicken....

Two power plants in the US were affected by malware attacks in 2012, a security authority has said.

Zum Vergrößern anklicken....

Der Onlinehändler Amazon hat eine schwerwiegende Sicherheitslücke auf seiner Webseite geschlossen, [...]

Durch Lücke konnte man eigenen JavaScript-Code auf dem Server des Onlinehändlers einschleusen, der dann im Browser anderer Kunden beim Aufruf der präparierten Seite ausgeführt wurde. Durch dieses sogenannte Cross-Site-Scripting (Persistent XSS) konnte man etwa Sitzungs-Cookies abgreifen, mit denen wir bei unserem Experimenten auf Klarnamen, Mailadressen und Einkaufskörbe zugreifen konnten. Ferner hätte man über die Lücke auch Zugangsdaten abgreifen (Phishing) oder Malware verbreiten können.

Das Ausnutzen der Lücke war trivial [...]

Wir haben Amazon die Details zu der Lücke am gestrigen Donnerstag nachmittags übermittelt. Bereits am nächsten Morgen hat uns ein Sprecher des Konzerns telefonisch darüber informiert, dass die Lücke geschlossen wurde.

Zum Vergrößern anklicken....

Wer das Portal Ende vergangener Woche besucht hat, muss damit rechnen, dass sein PC virenverseucht ist und sollte einen Komplettscan [...] durchführen. Laut den Betreibern ist die Site inzwischen wieder sauber, die zum Angriff genutzte Lücke wurde allerdings noch nicht gefunden.
[...]
Die unbekannten Täter manipulierten eine JavaScript-Datei auf dem Server, wodurch beim Aufruf der Site ein zusätzlicher iFrame generiert wurde.
[...]
Bei der eingeschleusten Malware handelt es sich offenbar um einen klassischen Bot, der im Fall einer erfolgreichen Infektion des Systems mit verschiedenen URLs zu kommunizieren versucht. [...] Darauf, dass ein eventuell vorhandener Virenscanner die Malware blockiert hat, kann man sich nicht verlassen: Am Montagnachmittag wurde die Datei beim Signaturscan von VirusTotal nur von 7 der 45 eingesetzten AV-Engines erkannt.

Zum Vergrößern anklicken....

This week, we detected unusual access patterns that led to us identifying unauthorized access attempts to Twitter user data. [...] our investigation has thus far indicated that the attackers may have had access to limited user information – usernames, email addresses, session tokens and encrypted/salted versions of passwords – for approximately 250,000 users.
[...]
As a precautionary security measure, we have reset passwords and revoked session tokens for these accounts. If your account was one of them, you will have recently received (or will shortly) an email from us at the address associated with your Twitter account notifying you that you will need to create a new password.

Zum Vergrößern anklicken....

Der Angriff gelang, weil Bit9 nach eigenen Angaben daran scheiterte, auf einigen Rechnern im Unternehmensnetz das eigene Schutzprogramm zu installieren.

Bit9 schützt Unternehmensnetze, indem es das Prinzip konventioneller Virenschutzprogramme auf den Kopf stellt: Statt mit einer Blacklist das Ausführen bekanntermaßen bösartigen Codes zu verhindern, lassen sich nur Anwendungen ausführen, die zuvor geprüft wurden (Whitelist). Der elementare Bestandteil dieses Schutzkonzepts ist das Vertrauen in den Anbieter, da dieser entscheidet, was auf der Whitelist landet.

Dieses Vertrauen dürfte bei einigen Kunden nun jedoch erschüttert worden sein, da es Hackern gelang, auf das Netz von Bit9 zuzugreifen und dabei ein Code-Signing-Zertifikat zu entwenden. Das Zertifikat wurde anschließend genutzt, um Malware zu signieren, die auch tatsächlich bei drei Kunden von Bit9 gefunden wurde.

Zum Vergrößern anklicken....

In den USA haben zwei lokale Fernsehsender am Montagabend vor Zombies gewarnt, die die Lebenden attackieren. Wie die Great Falls Tribune aus Montana und die Upper Michigan Source aus Michigan berichten, hätten sich Unbekannte in das Notfallwarnsystem der Sender KRTV und Public TV 13 gehackt und die Ausstrahlung der Eilmeldung bewirkt.

[vid]http://www.youtube.com/watch?v=c7pNAhENBV4[/vid]

Zum Vergrößern anklicken....

Hacker hatten die Sparkassen-Webseite (Sparkasse.de) am Montag, dem 18. Februar zwischen 12:45 und 17:05 Uhr attackiert und in diesem Zeitraum Malware auf den Seiten platziert. Kunden, welche die Sparkassenseite in diesem Zeitfenster besuchten, könnten sich somit infiziert haben. Die Sparkasse bittet deshalb möglicherweise betroffene Rechner mit einem Antiviren-Programm zu prüfen.

Wie das Unternehmen angibt, wurde das Online-Banking durch die Angriffe nicht in Mitleidenschaft gezogen, da die Angreifer reine Informationsseiten kaperten. Die ausgelieferten Schädlinge könnten allerdings zu denjenigen gehören, die ein Ausspähen von Online-Banking ermöglichen.

Bis jetzt soll dem Finanzunternehmen noch keine Manipulation von Homebanking-Programmen gemeldet worden sein. Nach Entdecken des Angriffs wurden die attackierten Webseiten aus dem Netz genommen.

Zum Vergrößern anklicken....

Das Unternehmen Zendesk, das die Werkzeuge für den Support für unter anderem Twitter, Tumblr und Pinterest bereitstellt, wurde gehackt. Dabei sei es möglich, dass die beim Kontakt mit dem Support genutzten E-Mail-Adressen sowie die Betreffzeilen ausgelesen worden sind.

[...]Passwörter zu den Accounts nicht betroffen seien, wohl aber zwischen angegebenen Namen und E-Mail-Adressen sowie Kontennamen in den Betreffzeilen Verbindungen hergestellt werden könnten.[...] zusätzlich Telefonnummern, die man im Supportformular angeben kann[...]

Nutzer werden gebeten, verdächtige Kontaktversuche mit Informationen aus dem Kundenservice dem Support zu melden.

Zum Vergrößern anklicken....

Die Website des US-amerikanischen Fernsehsenders NBC ist gehackt worden und hat die Rechner von Besuchern mit Malware infiziert.[...]Hacker Zugriff auf die Server erlangt und bösartige IFrames in die Seiten eingebunden. Auf ungeschützten Computern sei darüber hinaus eine Variante des Bots Citadel installiert worden.
[...]
Wie SurfRight schreibt, waren auch andere Seiten betroffen, beispielsweise die der Late-Night-Show von Jimmy Fallon. Laut einer ausführlichen Erklärung von SurfRight richten sich die Angriffe gezielt gegen eine ältere Version von Adobes Acrobat Reader und Java.

Zum Vergrößern anklicken....

Evernote DB Popped – Usernames, Email Addresses, & Hashed Passwords Exposed: https://www.novainfosec.com/2013/03/02/evernote-database-popped-usernames-email-addresses-hashed-passwords-potentially-exposed/

Zum Vergrößern anklicken....

Xbox Entertainment Awards site hit by security breach

Microsoft’s voting site for the first Xbox Entertainment Awards saw a security breach this morning, leaving the names, email addresses and gamertags of voters exposed.

The site has since been taken offline, but MCV has posed a screen-grab of the breach sent in by one of its readers. It shows the names of 2,892 entrants.

Microsoft then issued a statement to the site to explain the matter, “We are currently experiencing technical difficulties with the Xbox Entertainment Awards landing page and have taken the site offline while we investigate.”

Supposedly, people visiting the page were free to delete or edit each voter’s entry.

We’ll have more once the site re-emerges.

Zum Vergrößern anklicken....

Bug in EA’s Origin game platform allows attackers to hijack player PCs
Millions could be at risk of exploits that use Origin to execute malicious code.

Zum Vergrößern anklicken....

Cisco switches to weaker hashing scheme, passwords cracked wide open
Crypto technique requires little time and computing resources to crack.

Zum Vergrößern anklicken....

Wie bei den meisten Smartphones kann auch bei gesperrtem Gerät ein Notruf abgesetzt werden. [...]

Gibt der Nutzer die Zeichenfolge *#*#7378423#*#* ein, gelangt er in ein umfangreiches Testmenü[...] Startet er im Untermenü "Service Tests" den NFC-Test, reicht ein Druck auf die Home-Taste um direkt auf den Startbildschirm zu gelangen.

Zum Vergrößern anklicken....

gelten für Passwortmanager auf Smartphones andere Regeln, als für PM auf Desktop-Rechnern. [...] Da Android keine entsprechende API für die Integration von Passwortmanagern in Browsern oder Apps vorhält, lösen die Entwickler das Problem auf ihre ganz eigene – unsichere – Weise: Sie nutzen das OS-Clipboard, um Logindaten an den Browser oder an Apps auszuliefern.

[...]Das ist problematisch, weil das Clipboard eine globale Ressource ist, auf die jede App ohne weitere Berechtigungen zugreifen kann. Doch noch schlimmer: Es gibt sogar einen systemweiten Benachrichtigungsdienst, über den sich eine App über jede Änderung des Clipboards informieren lassen kann [...]

Zum Vergrößern anklicken....