Defcon

Das Einsteiger-NAS My Cloud steht seit anderthalb Jahren sperrangelweit offen. Exploits im Internet ermöglichen den passwortlosen Login als Administrator. Western Digital möchte nun Patches liefern.

Bei der Def-Con-Konferenz in Las Vegas berichteten mehrere Personen, dass Sicherheitspersonal des Hotels gemietete Räume kontrolliert habe. Die IT-Sicherheitsspezialistin Katie Moussouris fühlte sich von diesen Mitarbeitern bedroht, da sie keine Möglichkeit sah, deren Identität zu prüfen.
Von Hanno Böck

Elon Musk ist überzeugt, dass Teslas Fahrzeugsicherheitssoftware die beste Lösung gegen Hackerangriffe auf Autos ist. Er plant, sie kostenlos für andere Autohersteller anzubieten und als Open Source zu veröffentlichen. Gleichzeitig sollen Hacker bei ihren Teslas die Garantie nicht mehr verlieren.

Die Updates für Autosoftware sollen künftig über Mobilfunk eingespielt werden. Dazu hat der Kartendienst Here mit ATS Advanced Telematic Systems ein Berliner Start-up übernommen.

Die Autokonzerne haben die zentrale Bedeutung des Themas IT-Sicherheit erkannt. Das Szenario einer Ransomware-Attacke zeigt jedoch, wie schwer alle Schwachstellen zu beheben sind.
Ein Bericht von Friedhelm Greis

Mit einer Sammelklage sind Nutzer gegen den Hersteller eines "smarten" Vibrators vorgegangen. Sie erhielten vor Gericht eine hohe Entschädigung für das Sammeln persönlicher Informationen.

"Nicht schuldig" - so sieht der Hacker Marcus Hutchins sich selbst. Er habe nicht an der Entwicklung des Bankentrojaners Kronos mitgewirkt. Bis zur Gerichtsverhandlung darf Hutchins nun das Internet nutzen und in den USA umziehen.

Ein Vortrag auf der Sicherheitskonferenz Def Con hat zwei Entwickler offenbar den Job gekostet. Nachdem sie über das Sicherheitstool Meatpistol gesprochen hatten, wurden die beiden von ihrem Arbeitgeber Salesforce entlassen - in dem Moment, als sie die Bühne verließen.

Der in den USA inhaftierte britische Hacker soll vorerst auf Kaution freikommen. Weil seine Bekannten das nötige Geld nicht am Freitag aufbringen konnten, musste er das Wochenende in Haft verbringen.

Ein britischer Sicherheitsforscher und Hacker ist in den USA verhaftet worden. Der 23-Jährige hatte unabsichtlich dazu beigetragen, die Ausbreitung von Wanna Cry zu verlangsamen. Er soll an der Entwicklung des Kronos-Bankentrojaners beteiligt gewesen sein.

Ein Hacker mit dem Pseudonym 0ctane hat auf der Konferenz Def Con einen Computer präsentiert, der vollständig ohne proprietäre Firmware auskommt. Er warnt vor Backdoors, die sich in der Hard- und Firmware befinden können.

Mit Certificate Transparency werden HTTPS-Zertifikate in öffentlichen Logs gespeichert. Das bringt mehr Sicherheit im TLS-Ökosystem, es führt aber auch zu überraschenden Gefahren für Webanwendungen wie Wordpress.
Von Hanno Böck

Sender, Repeater und Magnete: ein Hacker hat mehrere Möglichkeiten gefunden, die Sicherheitsmechanismen einer Smart Gun auszuschalten. So lässt sich deren Sperre mit einigen Magneten umgehen.

Auch Mac-Nutzer sind nicht vor Schadsoftware sicher: Eine Malware soll seit mehr als fünf Jahren aktiv sein, aber nur einige hundert Nutzer befallen haben. Die Software ermöglicht einen weitgehenden Zugriff auf den Rechner und private Informationen.

Ein ehemaliger Admin soll beim Hostingprovider Verelox alle Daten gelöscht haben. Das teilt das Unternehmen auf seiner Webseite mit. Nach derzeitigem Stand sind zumindest einige der Daten dauerhaft verloren.

Auch bei den Hackern der NSA geht mal was schief. Das FBI bestätigte im Rahmen seiner Ermittlungen zu den Shadow Brokers, dass der Angriffscode für Router wohl versehentlich im Netz gelandet ist.

Auf den PGP-Keyservern sind massenhaft Kopien von existierenden PGP-Keys mit der identischen Key-ID aufgetaucht. Die stammen von einem Experiment von vor zwei Jahren. Key-IDs dürften damit ausgedient haben, als Ersatz sollte man den gesamten Fingerprint nutzen.

Auf der Defcon hat ein Hacker verschiedene Angriffsszenarien gegen den Bezahldienst Samsung Pay vorgestellt, mit denen auf fremde Rechnung eingekauft werden kann. Samsung widerspricht einigen der Darstellungen, räumt aber Schwächen ein.

Das Bug-Bounty-Programm von United wird offenbar viel genutzt: Ein niederländischer Hacker konnte sich über eine enorme Flugmeilenauszahlung freuen. Er nutzt sie zur Weiterbildung - und nimmt an Sicherheitskonferenzen teil.

Zwei Hacker haben drei Viertel der von ihnen untersuchten Bluetooth-Smartlocks knacken können - mit stellenweise haarsträubend einfachen Mitteln. Die Reaktion der Hersteller zeugt nicht von großem Interesse, an den Problemen etwas ändern zu wollen.

Mehrere Schwachstellen in den Qualcomm-Treibern ermöglichen es Angreifern, per Rechteeskalation Android-Geräte zu übernehmen. Drei von vier Lücken sind gepatcht, doch zahlreiche Android-Nutzer müssen noch auf die Updates warten.

Sieben Programme zum automatischen Erkennen und Patchen von Sicherheitslücken traten im Rahmen der Darpa Cyber Grand Challenge gegeneinander an. Die meisten Teilnehmer nutzten dabei eine Kombination aus Fuzzing und Symbolic Execution.

Der Diffie-Hellman-Schlüsselaustausch ist sicher - wenn die Parameter korrekt gewählt sind. Doch was passiert, wenn es einem Angreifer gelingt, fehlerhafte Parameter einzuschleusen? David Wong ist es gelungen, damit eine sogenannte Nobus-Hintertür zu erzeugen.

Kabellose Tastaturen sollten eigentlich so gebaut sein, dass die darauf getippten Informationen nur verschlüsselt übertragen werden. Millionen Geräte von mindestens acht großen Herstellern patzen dabei aber heftig, wie Forscher entdeckt haben.

Ein Administrator der Silk-Road-Nachfolgeplattform hat zugegeben, am Verkauf verschiedener Drogen mitgewirkt zu haben. Die Ermittlungen wurden durch die Tor-Forschung einer US-Universität unterstützt.

Ein Hacker will vom FBI zum Informanten rekrutiert worden sein, um einen ranghohen IS-Kämpfer ausfindig zu machen. Das klingt abenteuerlich. Zu abenteuerlich?
Von Eike Kühl

Wie stopft man kritische Sicherheitslücken in der Software von Autos? Nach Ansicht eines Sicherheitsexperten ist der von Fiat Chrysler gewählte Weg eine Einladung an Hacker.

US-Sicherheitsexperten haben ein vernetztes Auto per SMS gehackt und gesteuert. Über einen Stick zur Nutzerabrechnung drangen sie in die Steuerung einer Corvette ein. Möglicherweise funktionierte der spektakuläre frühere Hack eines Cherokee Jeep ähnlich.

Def Con 23 Mit einem einfachen Datenpaket über WLAN lasse sich die Parrot-Drohne Bebop zum Absturz bringen oder gar entführen. Das hat ein Sicherheitsforscher auf der Defcon-Konferenz berichtet.

Def Con 23 Der Sicherheitsforscher Dan Kaminsky schlägt einen neuen Standard vor, mit dem Webseiten in Iframes kontrollieren können, ob sie gerade sichtbar sind. Viele unelegante Lösungen, die wegen sogenannter Clickjacking-Angriffe nötig sind, wären damit vermeidbar.

Def Con 23 Sogenannte Brainwallets für Bitcoins, bei denen der Key aus einem Passwort generiert wird, lassen sich leicht angreifen. Offenbar gibt es eine Reihe von Kriminellen, die systematisch nach verwundbaren Brainwallets suchen.

Def Con 23 Kaffeemaschinen, die Kapseln von Drittherstellern ablehnen, und Druckerpatronen, bei denen ein Chip das Nachfüllen verhindert, sind nur zwei Beispiele für Geräte mit Digitalem Rechtemanagement. Science-Fiction-Autor Cory Doctorow warnt auf der Def Con vor den Risiken für die IT-Sicherheit durch DRM.

Insgesamt sechs Lücken haben IT-Sicherheitsforscher in der Software der Automobile von Tesla entdeckt. Über sie gelang es ihnen, die Kontrolle über das Fahrzeug zu übernehmen.

Gamescom 2015 Wer Assassin's Creed oder Rainbow Six auf der Gamescom 2015 spielen will, bekommt einen aufgeräumten Playstation-4- oder PC-Aufbau präsentiert. Wir haben uns vorab angeschaut, wie bei Ubisoft solch ein Messestand mit hunderten von Anspielstationen entsteht.

Black Hat 2015 Einem Hacker ist es gelungen, sich in die Software Onstar Remotelink des US-Autoherstellers General Motors einzuklinken. Damit lässt sich das Fahrzeug entriegeln und sogar starten. Wegfahren konnte er mit dem gehackten Fahrzeug aber nicht.

Black Hat 2015 Laut einem IT-Sicherheitsforscher lassen sich fast alle im Umlauf befindlichen Geräte vergleichsweise einfach in Wanzen verwandeln. Details gibt es noch nicht, es soll aber mehrere Schwachstellen in Androids Stagefright-Framework geben.

Über das Internet können Hacker das Uconnect-System von Fiat Chrysler übernehmen. Selbst die Lenkung und die Bremsen lassen sich damit manipulieren. Europäische Autos sind offenbar nicht betroffen.

Die US-Behörden haben auch Version 2.0 des Online-Marktplatzes Silk Road dicht gemacht. Betreiber Blake "Defcon" Benthall wurde festgenommen.

Anonymes Surfen mit Tor ist noch sicherer, wenn die Software nicht auf dem eigenen Rechner läuft. Die Software Portal integriert Tor in die Firmware Openwrt und lässt sich so auf ausgewählten mobilen Routern nutzen.

Def Con 22 Zehn Routermodelle mussten auf der Defcon einen Sicherheitstest überstehen. Die Hacker präsentierten 15 Lücken für eine Übernahme der Geräte.

Das Geschäft mit Überwachungssoftware boomt. Deutsche Firmen haben die unterschiedlichsten Programme dafür entwickelt. Ein Exportstopp könnte aber mehr schaden als nützen, befürchten Hacker.
Von Friedhelm Greis

Hacker haben begonnen, die Spionagewerkzeuge der NSA nachzubauen. Durch die Analysen wollen sie sich besser dagegen schützen können. Die Nachbauten werden auf der Webseite NSAPlayset gesammelt.

Die Vereinigten Staaten wollen offenbar verhindern, dass Chinesen an den IT-Sicherheitskonferenzen Black Hat und Def Con in Las Vegas teilnehmen. Ihnen soll die Ausstellung des Visums verweigert werden.

Hacker haben offenbar dem Schwarzmarkt Silk Road 2 Bitcoins im Wert von 2,6 Millionen entwendet. Sie sollen die Transaktionsschwachstelle in Bitcoin dafür verwendet haben. Die Silk-Road-Betreiber wollen für den Schaden aufkommen.

Das Inj3ct0r Team hat das vBulletin-Support-Forum gehackt und dabei Benutzernamen sowie eventuell die verschlüsselten Passwörter entwendet. Der Betreiber hat daher alle Zugangsdaten zurückgesetzt und die Nutzer informiert, allerdings soll die kritische Sicherheitslücke zum Verkauf stehen.

Der Hersteller der Trojaner- und Spionagesoftware Finfisher wirbt damit, dass seine Software auch SSL-Verbindungen abhören kann. Als neuer Mitarbeiter wird der Backtrack-Gründer Martin Johannes Münch vorgestellt.

Zwei MIT-Studenten haben einen Weg gefunden, einen eigentlich als besonders kopiersicher geltenden Schlüssel mit zwei Bärten nachzumachen. Dazu genügte ihnen ein Scan des Schlüssels und ein 3D-Drucker.

Der NSA-Chef Keith Alexander hat auf der Hackerkonferenz Black Hat in seiner Keynote-Ansprache seinen Geheimdienst verteidigt. Die Hacker sollen dabei helfen, die Arbeit der NSA zu verbessern.

Zwei Hacker haben anschaulich demonstriert, wie sich Autos weitgehend über einen gehackten CAN-Bus steuern lassen. Sie deaktivierten über einen Laptop die Bremse und ließen das Auto hupen.

20 Jahre lang waren Mitarbeiter von Behörden willkommen, diesmal sollen sie nach dem Willen des Begründers der Konferenz Defcon fernbleiben. Die Hacker brauchten etwas Zeit für sich, schreibt Jeff Moss.