Abo
  • Services:

Gema-Hack

Standardpasswörter verschlimmerten offenbar die Situation

Der Webserver der Gema stand im Intranet; nachdem sie ihn gehackt hatten, konnten Anonymous-Aktivisten nach eigener Darstellung von System zu System springen. Durch die Verwendung von Standardpasswörtern bei kritischen Systemen hatten sie leichtes Spiel.

Artikel veröffentlicht am ,
Die Sicherheit bei der Gema war nicht ausreichend.
Die Sicherheit bei der Gema war nicht ausreichend. (Bild: Anonymous/Screenshot: Golem.de)

Der Gema-Hack dürfte ein Lehrstück für so manchen Systemadministrator sein, der meint, dass Standardpasswörter schon ausreichen. Ein selbstverschuldetes Problem hat dazu geführt, dass Teile des Gema-Netzes komplett offen waren. Nach dem eigentlichen Hack des Webservers hatte Anonymous leichtes Spiel mit der Verwertungsgesellschaft.

  • vSphere-Client (Bild: Anonymous)
  • vSphere-Client (Bild: Anonymous)
  • iDRAC6 (Bild: Anonymous)
  • SQL-Injection als Anfang des Hacks (Bild: Anonymous)
vSphere-Client (Bild: Anonymous)

Die Anonypwnies Group hat ein Bild über den Hack im Internet verbreitet und außerdem diverse Redaktionen angeschrieben und das Vorgehen im Detail erläutert. Die Informationen sind mit Vorsicht zu genießen, da ihr Urheber prinzipbedingt nicht ermittelbar ist. Zudem hat Gulli.com zwei Anonypwnies-Hacker ausführlich befragen können. Die Details decken sich mit den Informationen und den Ausfällen bei der Gema.

Der erste Schritt war eine SQL-Injection

In dem Schreiben, das Golem.de vorliegt, heißt es, dass Anonypwnies für den Hack verantwortlich ist. Nachdem die Gruppe in den Webserver per SQL-Injection eingedrungen war - eine Sicherheitslücke soll dies möglich gemacht haben -, kam sie recht einfach in das Firmennetzwerk. Der Webserver steht laut Anonypwnies nämlich im Intranet. Allerdings war das Intranet selbst offenbar komplett geöffnet, nachdem ein Reverse Socks Server von den Hackern gestartet wurde.

Nach Darstellung der Hacker entdeckten sie dabei mehrere große Dell-Server, die über den Integrated Dell Remote Access Controller (iDRAC 6 über eine eigene Ethernet-Anbindung) steuerbar waren. Beispielsweise lassen sich Abstürze von Maschinen beheben oder das Power Management von VMwares ESXi-Server steuern. Die iDRAC-Anleitung bei Dell nennt weitere Details zu dem System.

Standardpasswort ermöglicht Kontrolle über mehrere virtuelle Maschinen 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Blu-ray-Angebote
  1. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)
  2. (u. a. 4 Blu-rays für 20€, 2 TV-Serien für 20€)

elgooG 26. Jun 2012

Will ich doch hoffen, nachdem der Angriff nun schon fast ein Jahr her ist. ;-)

IpToux 25. Jun 2012

Das glaube ich nicht. Es sollten in der Regel immer!!!! Sonderzeichen wie: !$§%&/()-_...

heute4now 28. Okt 2011

Was kann man machen, wenn das Standardpasswort vergessen ist?

Atalanttore 03. Sep 2011

So etwas wie die GEZ gibt es in vielen Ländern mit öffentlich-rechtlichem Rundfunk. Aber...

Atalanttore 03. Sep 2011

Für alle die doch mit der GEMA Mitleid haben: Wie gefallen euch die von der GEMA...


Folgen Sie uns
       


Dragon Quest 11 - Test

Der 11. der Teil der Dragon-Quest-Reihe bleibt bei den Wurzeln der über 30 Jahre alten Serie und macht damit fast alles richtig.

Dragon Quest 11 - Test Video aufrufen
Norsepower: Stahlsegel helfen der Umwelt und sparen Treibstoff
Norsepower
Stahlsegel helfen der Umwelt und sparen Treibstoff

Der erste Test war erfolgreich: Das finnische Unternehmen Norsepower hat zwei weitere Schiffe mit Rotorsails ausgestattet. Der erste Neubau mit dem Windhilfsantrieb ist in Planung. Neue Regeln der Seeschifffahrtsorganisation könnten bewirken, dass künftig mehr Schiffe saubere Antriebe bekommen.
Ein Bericht von Werner Pluta

  1. Car2X Volkswagen will Ampeln zuhören
  2. Innotrans Die Schiene wird velosicher
  3. Logistiktram Frankfurt liefert Pakete mit Straßenbahn aus

Life is Strange 2 im Test: Interaktiver Road-Movie-Mystery-Thriller
Life is Strange 2 im Test
Interaktiver Road-Movie-Mystery-Thriller

Keine heile Teenagerwelt mit Partys und Liebeskummer: Allein in den USA der Trump-Ära müssen zwei Brüder mit mexikanischen Wurzeln in Life is Strange 2 nach einem mysteriösen Unfall überleben. Das Adventure ist bewegend und spannend - trotz eines grundsätzlichen Problems.
Von Peter Steinlechner

  1. Adventure Leisure Suit Larry landet im 21. Jahrhundert

Neuer Echo Dot im Test: Amazon kann doch gute Mini-Lautsprecher bauen
Neuer Echo Dot im Test
Amazon kann doch gute Mini-Lautsprecher bauen

Echo Dot steht bisher für muffigen, schlechten Klang. Mit dem neuen Modell zeigt Amazon, dass es doch gute smarte Mini-Lautsprecher mit dem Alexa-Sprachassistenten bauen kann, die sogar gegen die Konkurrenz von Google ankommen.
Ein Test von Ingo Pakalski


      •  /