Abo
  • Services:

Messenger: Matrix.org-Server gehackt

Mit Matrix.org ist einer der am meisten genutzten Server des Messengers Matrix gehackt worden. Betroffene sollten umgehend ihr Passwort ändern. Auch der mutmaßliche Angreifer gibt Sicherheitstipps auf Github.

Artikel veröffentlicht am ,
Matrix.org wurde gehackt.
Matrix.org wurde gehackt. (Bild: Screenshot Matrix.org)

Am Donnerstag und Freitag war eine höhnische Nachricht auf Matrix.org zu lesen: "Zeit für wirkliche Transparenz" stand über einer Auflistung verschiedener Server von Matrix.org und deren veralteten Kernelversionen. Darunter wurde ein vermeintlicher Auszug aus der Nutzerdatenbank veröffentlicht.

Stellenmarkt
  1. WBS GRUPPE, Berlin
  2. DKV MOBILITY SERVICES Business Center, Ratingen

In einem Blogeintrag bestätigte einer der Hauptentwickler des freien und föderierten Kommunikationssystems Matrix, Matthew Hodgson, den Angriff. Nur Nutzer des Matrix-Servers Matrix.org sind von dem Angriff betroffen. Dieser dürfte jedoch der mit Abstand meist genutzte Server im Netzwerk sein.

Der Angreifer soll über eine Sicherheitslücke in einer nicht aktualisierten Version der Software Jenkins in den Matrix.org-Server eingedrungen sein. Die Matrix-Software selbst habe kein Sicherheitsproblem. Jenkins wird von Matrix.org für Softwaretests eingesetzt. Über die Sicherheitslücke in Jenkins konnte der Angreifer auch Zugriff auf den Matrix.org-Homeserver erlangen - den Server, auf dem die Daten des Messengers liegen.

Zugriff auf Nutzerdaten

Der Angreifer habe Zugriff auf die Datenbanken und damit auf unverschlüsselte Nachrichten, gehashte Passwörter und Access-Tokens gehabt, heißt es in dem Blogeintrag. Die forensische Untersuchung dauere an, bisher hätten sich keine Hinweise gefunden, dass Daten im großen Stil heruntergeladen worden seien. "Es wurden keine Klartext-Passwörter geleakt, aber bei schwachen Passwörtern könnten die Passwort-Hashes geknackt werden", schreibt Hodgson. Nutzer des Matrix.org-Servers wird daher geraten, ihr Passwort umgehend zu ändern.

Aus Sicherheitsgründen seien alle Nutzer ausgeloggt worden, damit keine Access-Tokens von Angreifern übernommen werden könnten. Dies bedeutet allerdings auch, dass viele Nutzer der Signal- und Whatsapp-ähnlichen Ende-zu-Ende Verschlüsselung nicht mehr auf ihren Nachrichtenverlauf zugreifen können: "Wenn du keine Backups deiner Verschlüsselungs-Keys hast, wirst du den verschlüsselten Nachrichtenverlauf nicht mehr lesen können", schreibt Hodgson. Nur wer das serverseitige oder manuelle System zum Backup der Schlüssel genutzt habe, sei "okay".

Das Ziel des Angreifers seien vermutlich nicht die Informationen der Endnutzer auf dem Matrix.org-Homeserver gewesen, sondern die internen Credentials, um weitere Angriffe durchführen zu können.

Software wahrscheinlich nicht betroffen - Angreifer gibt Sicherheitstipps

Weder der Quellcode noch die Pakete seien nach dem derzeitigen Stand von dem Angriff betroffen. Auch die Identitäts- und Modular.im-Server seien - nach einer initialen Analyse - nicht kompromittiert worden.

Auf Github bekannte sich der mittlerweile gelöschte Nutzer Matrixnotorg zu den Angriffen. Er erstellte mehrere Tickets, in denen er auf Sicherheitsprobleme hinweist und Lösungsvorschläge macht. Unter anderem sei er bei der Erkundung des Netzwerkes und der Server über die Signing-Keys für die Debian-Pakete von Matrix gestolpert. Sollten die Vorwürfe stimmen, hat das Matrix.org-Team einige grundlegende Sicherheitsstandards missachtet.

Im Frühjahr gaben die Matrix-Entwickler bekannt, dass Frankreich als Basis für seine selbstentwickelte Whatsapp-Alternative Matrix und den Client Riot einsetzen wolle. 5,5 Millionen Beamte und Staatsbedienstete könnten zukünftig das Chat-System nutzen. Auch die Community des Desktop-Environments KDE will in Zukunft über Matrix kommunizieren.

Nachtrag vom 12. April 2019, 15:30 Uhr

In einem Update des Blogeintrags bestätigt Hodgson, dass sich die Signing-Keys auf dem Server befunden hätten. Diese seien mittlerweile zurückgezogen worden. Die Server seien bereinigt worden.

Am 12. April habe der Angreifer die Webseite erneut austauschen können, indem er einen bereits am 11. April entwendeten Cloudflare-API-Key verwendet habe, um den DNS zu ändern. Matrix.org sei anschließend auf eine Seite auf Github umgeleitet worden. Die API-Keys seien nach dem initialen Angriff unvollständig ausgetauscht worden. Diesmal habe jedoch kein Zugriff auf die Matrix-Datenbank bestanden.

Nachtrag vom 15. April 2019, 9:15 Uhr

Das Github-Konto des mutmaßlichen Angreifers Matrixnotorg wurde gelöscht.



Anzeige
Top-Angebote
  1. 9,99€ (mtl., monatlich kündbar)
  2. (heute u. a. Eufy Saugroboter für 149,99€, Gartengeräte von Bosch)
  3. 99,00€
  4. (u. a. Outward 31,99€, Dirt Rally 2.0 Day One Edition 24,29€, Resident Evil 7 6,99€, Football...

Jesper 14. Apr 2019 / Themenstart

End-To-End heißt Sender und Empfänger, der Server soll hier nichts unverschlüsseltes haben.

SkyBeam 13. Apr 2019 / Themenstart

Das mit dem Speichern der Keys auf den Servern (verschlüsselt durch das Passwort) ist...

GL 12. Apr 2019 / Themenstart

Github hat den Account gelöscht, Issues wurden aber hier neu zusammengestellt: https...

floewe 12. Apr 2019 / Themenstart

So geht man also mit der Fundmeldung der GPG Keys um.

Kommentieren


Folgen Sie uns
       


Openbook ausprobiert: Wie Facebook, nur anders
Openbook ausprobiert
Wie Facebook, nur anders

Seit gut drei Wochen ist das werbe- und trackingfreie soziale Netzwerk Openbook für die Kickstarter-Unterstützer online. Golem.de ist dabei - und freut sich über den angenehmen Umgangston und interessante neue Kontakte.
Ein Test von Tobias Költzsch

  1. Hack Verwaiste Twitter-Konten posten IS-Propaganda
  2. Openbook Open-Source-Alternative zu Facebook versucht es noch einmal
  3. Klage eingereicht Tinder-Mitgründer fordern Milliarden von Mutterkonzern

Batterieherstellung: Kampf um die Zelle
Batterieherstellung
Kampf um die Zelle

Die Fertigung von Batteriezellen ist Chemie und damit nicht die Kernkompetenz deutscher Autohersteller. Sie kaufen Zellen bei Zulieferern aus Asien. Das führt zu Abhängigkeiten, die man vermeiden möchte. Dank Fördergeldern soll in Europa eine Art "Batterie-Airbus" entstehen.
Eine Analyse von Dirk Kunde

  1. US CPSC HP muss in den USA nochmals fast 80.000 Akkus zurückrufen
  2. Erneuerbare Energien Shell übernimmt Heimakku-Hersteller Sonnen
  3. Elektromobilität Emmanuel Macron will europäische Akkuzellenfertigung fördern

Cascade Lake AP/SP: Das können Intels Xeon-CPUs mit 56 Kernen
Cascade Lake AP/SP
Das können Intels Xeon-CPUs mit 56 Kernen

Während AMD seine Epyc-Chips mit 64 Cores erst im Sommer 2019 veröffentlichen wird, legt Intel mit den Cascade Lake mit 56 Kernen vor: Die haben mehr Bandbreite, neue Instruktionen für doppelt so schnelle KI-Berechnungen und können persistenten Speicher ansprechen.
Von Marc Sauter

  1. Cascade Lake Intel legt Taktraten der Xeon SP v2 offen
  2. Optane DC Persistent Memory So funktioniert Intels nicht-flüchtiger Speicher
  3. Cascade Lake AP Intel zeigt 48-Kern-CPU für Server

    •  /