Hacker- und Web-Attacken

Sicherheitslücke bei Android entdeckt

Ein Softwarefehler in älteren Versionen des Android-Betriebssystems bringt Smartphone-Nutzer in Gefahr. Der Android-Browser hat einem Bericht des pakistanischen Sicherheitsexperten Rafay Baloch zufolge eine Lücke. Angreifer sind demnach in der Lage, Passwörter, Tastatur-Eingaben und Cookies auszulesen, die der Nutzer auf ihm vertrauenswürdig erscheinenden Webseiten eingibt. Das Problem zeigt sich bei Millionen Android-Nutzern, die nicht die aktuelle Version 4.4 des Betriebssystems installiert haben.

Zum Vergrößern anklicken....

• Gefahr besteht wohl für Geräte ab Android 4.2.1 -> ~25% der Android-Geräte
• Betroffen sind vermutlich fast allen Custom-ROMs, aber da wird das Problem wohl eher behoben, als bei den Herstellern der Geräte.
  
• Unsicherer Browser ist eine Sache -> Welche Apps basieren bei den Web-Komponenten auf dem AOSP-Browser? Da geben die Leute viel mehr "kritische / persönliche Daten" ein.
  
• Insgesamt: Viele offene Fragen / Unklarheiten

Angreifer haben manipulierte Werbeanzeigen genutzt, um die Malware Zemot zu verbreiten. Die Werbeanzeigen führen Internetnutzer zu Exploit-Kits, die den betroffenen PC systematisch nach Sicherheitslücken in Adobe Flash oder ungepatchten Versionen des Internet Explorers absuchen.

Zum Vergrößern anklicken....

Zemot, das die eigentliche Mal- oder Spyware nach erfolgreicher Infiltration herunterlädt, ist zudem auf alte 32-Bit-Windows-XP-Systeme ausgelegt, so dass aktuelle Systeme nicht gefährdet waren.

Zum Vergrößern anklicken....

Hersteller AVM teilt mit [...] Von den Angriffen seien Anwender betroffen, die das Sicherheits-Update von Februar 2014 nicht eingespielt haben, den Fernzugriff (Port 443) aktiviert haben und über eine Telefoniefunktion verfügen. Die Betrüger suchten gezielt nach Geräten [...] Dabei können hohe Telefonkosten entstehen [...]

Zum Vergrößern anklicken....

Sicherheitsforschern [...] auf undokumentierte API-Methoden gestoßen [...] App nicht nur verraten, ob der Nutzer gerade telefoniert, sondern auch mit wem

Zum Vergrößern anklicken....

noch einen Weg, wie eine App die vom Nutzer installierten Apps in Erfahrung bringen kann [...] erlaubt die iOS-Sandbox einen Zugriff auf das Verzeichnis /private/var/mobile/Library/Caches/com.apple.IconsCache/, das die vom System zwischengespeicherten App-Symbole enthält

Zum Vergrößern anklicken....

bösartige App kann den Inhalt des Clipboards nicht nur auslesen, sondern sich über eine sogenannte UIPasteboardChangedNotification sogar vom System darüber informieren lassen, wenn sich der Inhalt ändert

Zum Vergrößern anklicken....

OS 7 [...] noch auf viele weitere Lücken; unter anderem konnten Apps die Apple-ID des Nutzers abrufen, Kontaktdaten abrufen und sogar unbemerkt Fotos schießen

Zum Vergrößern anklicken....

Malware namens Mac.BackDoor.iWorm [...] Kommunikation zwischen C&C-Server und Bot wird per AES 256 verschlüsselt. Der Bot akzeptiert Kommandos unter anderem in der Programmiersprache Lua [...] So ließe sich die Funktionalität des Schädlings erweitern.

Zum Vergrößern anklicken....

[... ]vor einer Woche bereits rund 18.000 Macs mit dem iWorm infiziert [...] Huckepack mit Raubkopien beliebter kommerzieller Programme [...] Apple hat offenbar am Wochenende reagiert und seinen mit Snow Leopard eingeführten Dateifilter mit Signaturen für gleich drei iWorm-Varianten ausgestattet. Ist das System auf dem aktuellen Stand, wird also die Installation dieser drei blockiert. Wie viele Varianten insgesamt im Umlauf sind, ist nicht bekannt.

Zum Vergrößern anklicken....

Bei der Angriffsserie auf die fatale Shellshock-Lücke in der Unix-Shell Bash ist es Cyber-Ganoven offenbar gelungen, Server von Yahoo, WinZip und Lycos zu kompromittieren.

Zum Vergrößern anklicken....

Sicherheitsforschers Jonathan Hall[...] informierte sowohl die betroffenen Unternehmen [...] Lycos bestritt, dass seine Server kompromittiert sind [...] Yahoos Sicherheitschef bestätigte zwar, dass Server gehackt wurden, es soll sich jedoch nicht um die Shellshock-Lücke gehandelt haben. [...] Nutzerdaten sind angeblich nicht betroffen [...] Hall bezweifelt die Angaben des Unternehmens jedoch

Zum Vergrößern anklicken....

Da [...] Unix-Systemen vielerorts zum Einsatz kommt, sollte man seine Systeme in jedem Fall auf den aktuellen Stand bringen; insbesondere dann, wenn es sich um öffentlich erreichbare Server handelt. [...] kann ein Angreifer die Lücke dort über speziell präparierte HTTP-Requests ausnutzen.

Zum Vergrößern anklicken....

Adobe Digital Editions schickt in Version 4 unverschlüsselt jede Menge Daten über das Leseverhalten seiner Nutzer an Adobe

Zum Vergrößern anklicken....

Besonders problematisch ist dieses Verhalten auch, weil viele E-Book-Leser auf Adobe Digital Editions angewiesen sind.

Zum Vergrößern anklicken....

The Digital Reader schreibt weiter, dass Adobe Digital Editions neben der konstanten Übertragung der Bibliothek auch noch die Festplatte durchsucht und Informationen über anderswo abgelegte E-Books sammelt. [...] Dieses Verhalten konnte von heise online bislang nicht nachvollzogen werden.

Zum Vergrößern anklicken....

• Der Fotodienst Snapchat ist Opfer einer riesigen Cyberattacke geworden. Mehr als hunderttausend Nutzerfotos sollen gestohlen und ins Netz gestellt worden sein.
• Die Aufnahmen wurden im mittlerweile berüchtigten Forum "4chan" veröffentlicht - wo zuletzt auch Nackfotos von Promis aufgetaucht waren.
• Snapchat erklärte, die Bilder seien nicht von den eigenen Servern entwendet worden.

Zum Vergrößern anklicken....

Snapchat zeichnet sich eigentlich dadurch aus, dass Bilder nach dem Ansehen rasch wieder verschwinden und gelöscht werden sollen. In einer im Kurznachrichtendienst Twitter veröffentlichten Stellungnahme von Snapchat heißt es, die User seien Opfer von Drittanbieter-Apps geworden.


Im Verdacht stehen unter anderem die Betreiber der mittlerweile verschwundenen Anwendung SnapSaved. Sie hatten sich damit gebrüstet, die bei Snapchat verschickten Bilder speichern zu können. Bislang ist aber noch völlig unklar, wer hinter dem Leak steckt.

Zum Vergrößern anklicken....

Forscher entdeckten Lücken in Intels UEFI-Implementierung, durch die sich Rootkits einschleusen lassen. [...] Die Schwachstellen klaffen im Update-Mechanismus, den man unter Windows indirekt mit Admin-Rechten anstoßen kann.

Zum Vergrößern anklicken....

Existiert beim Systemstart die Variable CapsuleUpdateData [...] Integer Overflows[...] Schadcode zu diesem sehr frühen Zeitpunkt des Bootvorgangs auszuführen. Der Code muss nicht mal eine gültige Signatur besitzen.

Zum Vergrößern anklicken....

[Forscher] entdeckten die Lücken bereits Ende vergangenen Jahres und versuchen seitdem, die beteiligten Hersteller zum Handeln zu bewegen.

Zum Vergrößern anklicken....

Intel [...] Referenzimplementierung gepatcht hat. [...] bietet [...] BIOS-Updates für seine eigene Hardware an. Betroffen sind hier Mini-PCs vom Typ NUC, zahlreiche Server-Mainboards sowie auch die Entwicklerplattform Galileo.

Zum Vergrößern anklicken....

HP stellte gerade BIOS-Updates für mehr als 1500 Desktop-PCs, Kassensysteme, Thin Clients, Workstations und Mobilrechner bereit. Bei Lenovo sind weniger Systeme betroffen, einige Updates sollen in den folgenden Monaten nachgereicht werden. Dell nutzt ein UEFI-BIOS, welches die Fehler nicht enthält

Zum Vergrößern anklicken....

Auf Anfragen von heise online an die PC- und Mainboard-Hersteller Acer, Asus, Asrock, Fujitsu, Gigabyte, MSI, Supermicro und Tyan sind bisher noch keine Antworten eingegangen.

Zum Vergrößern anklicken....

offenbar regiert bei den Japanern noch immer der Schlendrian. Anders ist es kaum zu erklären, dass es einigen Hackern nun offenbar gelungen ist, über den Browser der Playstation 4 auf Speicherbereiche der Spielkonsole zuzugreifen, die für sie eigentlich tabu sein sollten.

Zum Vergrößern anklicken....

Dieser Angriff ist allerdings nur möglich, weil der PS4-Browser offenbar eine völlig veraltete WebKit-Engine verwendet. Das Sicherheitsloch [ist] bereits seit September 2012 bekannt [...] offenbart der Angriff eine erschreckende Sorglosigkeit, mit der Sony mit bekannten Sicherheitslöchern seiner Konsolen umgeht (die Mobil-Variante PS Vita ist ebenfalls betroffen).

Zum Vergrößern anklicken....

Am morgigen Dienstag will Sony übrigens eine neue PS4-Firmware 2.0 veröffentlichen. Vielleicht stopft die dann ja endlich das uralte Loch.

Zum Vergrößern anklicken....

Eine SQL-Injection-Lücke erlaubt den Zugriff auf Kundendaten des Playstation Networks. Sony wurde bereits vor zwei Wochen über die Sicherheitslücke informiert, sie wurde jedoch bisher nicht geschlossen. Es ist nicht der erste Vorfall im Playstation-Network.

Zum Vergrößern anklicken....

"Knox Personal", mit der man einen isolierten Bereich auf dem Android-Gerät anlegen kann, der komplett von dem übrigen System abgeschottet ist. In diesem Bereich kann man etwa mit Geschäftsdaten hantieren. Apps, die im allgemeinen Bereich installiert sind, sollen darauf nicht zugreifen können.

Zum Vergrößern anklicken....

[...]Nutzer gewählte PIN im Klartext [...] "Passwort vergessen"-Funktion verrät Knox nach Eingabe der PIN den ersten und letzten Buchstaben sowie die Länge [...]Passwort irgendwo auf dem Gerät gespeichert [...] Datei namens containerpassword_1.key, die das Passwort enthält – verschlüsselt mit AES.

Zum Vergrößern anklicken....

[...]genutzte Key aus der individuellen Android-ID des Geräts und der Zeichenfolge "eu>q5b0KPlLwyb@*#j9?!*ehjl(LHukkA(di^S4UXAChr3B`_xf+@h*#S&wpfv&#" zusammen. Beide Informationen sind nicht geheim.

Zum Vergrößern anklicken....

Die Speicherung des PINs dementiert der Hersteller nicht[...] die analysierte Software ohnehin überholt ist [...] bislang allerdings nur für das Galaxy S5 und das Note 4 verfügbar. Die Enterprise-Versionen von Knox seien generell nicht von den Problemen betroffen.

Zum Vergrößern anklicken....

The hackers claim to have taken sensitive internal data from Sony. In an email from an address associated with the hack, a hacker who identified as "lena" was vague about how the attack was carried out. "Sony doesn't lock their doors, physically, so we worked with other staff with similar interests to get in," lena writes. "Im sorry I can't say more, safety for our team is important [sic]."

Zum Vergrößern anklicken....

In je acht Stunden Untersuchung pro Seite fanden sie dabei bei sieben der neun untersuchten Server schwerwiegende Sicherheitslücken. Den automatischen Tests der Siegel-Anbieter ging dabei von einfachsten SQL-Injection-Lücken über Cross Site Scripting (XSS) bis hin zu Cross-Site Request Forgery (CSRF) viel durch die Lappen. [...]

Zum Vergrößern anklicken....

[...]Siegel-Anbieter weiter auf die Probe zu stellen, bauten die Forscher eine Webseite mit einer ganzen Reihe von eingebauten Sicherheitslücken und kauften acht verschiedene Sicherheitssiegel [...] Alle acht der getesteten Dienste fanden weniger als die Hälfte der Lücken. Nur wenige fanden den über die Webseite an Besucher verteilten Trojaner, obwohl es sich um lange bekannten Schadcode handelte. Zwei Dienste fanden gar keine Lücken.

Zum Vergrößern anklicken....

Sicherheits-Siegel [...] schwächen die Webseiten absurderweise auch noch. [...] Fällt die Seite später mal durch [...] wird das Icon nicht etwa ganz entfernt, sondern durch ein transparentes Bild ersetzt. [...] Ein Angreifer könnte nun also hunderte von Siegeln überwachen und dann die Seiten angreifen, die ihm durch sein Skript gemeldet werden. Meldet er selbst eine Seite bei dem Siegel-Anbieter für Tests an, kann er am eigenen Webserver sehen, was der Anbieter gerade ausprobiert.

Zum Vergrößern anklicken....

Ist die Option "Sichere Verbindungen untersuchen" aktiv, betätigt sich Kasperky als Man-in-the-Middle, um den durchgeleiteten Krypto-Traffic zu analysieren. Der Browser zum Beispiel spricht also nicht direkt mit dem Internet, sondern mit der lokalen Kaspersky-Software, welche die Verbindung wiederum zu dem entsprechenden Web-Server durchschleust. Das Problem dabei ist, dass die Schutz-Software dem Server noch das SSLv3-Protokoll anbietet.

Zum Vergrößern anklicken....

So kommt unter Umständen eine SSLv3-Verbindung zustanden [...] Durch die von Google entdeckte Poodle-Attacke kann sich ein Angreifer in die verschlüsselte Verbindung einklinken [...]

Zum Vergrößern anklicken....

Gegenüber heise Security gab Kaspersky Lab an, dass man sich über die Situation im Klaren seit und bereits an einem Patch arbeitet, der voraussichtlich im ersten Quartal 2015 erscheint.

Zum Vergrößern anklicken....

Die Hacker[...] konnten bei ihrem Beutezug auf den Servern der Firma unter anderem Zertifikate mitgehen lassen, mit denen Sony Pictures seine Software signiert. Kaspersky hat jetzt einen Trojaner gefunden, der mit einem gültigen Sony-Zertifikat signiert wurde. Dabei handelt es sich um Destover – der selbe Schadcode wurde auch schon beim Hack gegen Sony Pictures eingesetzt.

Zum Vergrößern anklicken....

Mittlerweile hat DigiCert das entsprechende Zertifikat zurückgezogen[...] Damit ist wenigstens das Zertifikat, das Kaspersky mit Destover in Verbindung bringen konnte, aus dem Verkehr gezogen.

Zum Vergrößern anklicken....

"unsauberem Block-Cipher-Padding bei TLSv1 mit CBC" – technisch korrekt aber sehr verklausuliert beschreibt Cisco eine soeben bekannt gemachte Schwachstelle [...] anfällig für Poodle-Angriffe, selbst wenn das veraltetete SSLv3 abgeschaltet ist.

Zum Vergrößern anklicken....

Den Begriff Poodle oder einen anderen allgemein verständlichen Hinweis darauf, dass es sich um diese bereits bekannte Lücke handelt, sucht man im Cisco-Advisory übrigens vergeblich. Lediglich der Schwachstellen-Bezeichner CVE-2014-8730 bestätigt, dass Cisco in der Tat der gleiche Fauxpas unterlaufen ist wie der Konkurrenz. Ein Schelm, wer jetzt böses denkt.

Zum Vergrößern anklicken....