Internet-Security

Der Virenspezialist Kaspersky fand Hardware-basierte Attacken über das lokale Netzwerk in mindestens acht osteuropäischen Bankhäusern. Der Schaden geht in die Millionen Euro. Potenziell gefährdet sein sollen jedoch alle Arten von Unternehmen.

Deepsec 2018 Forscher aus Österreich versuchen herauszufinden, welcher Typ Mensch hinter der steigenden Onlinekriminalität steckt. Dabei identifizieren sie Tätergruppen und können diese bestimmten Straftatbeständen zuordnen.

Geld für Onlinewerbung, die nie ein Mensch gesehen hat: Das war die Masche von Betrügern, die dafür über 1,7 Millionen Computer zum Teil eines Botnets machten. Die Verdächtigen wurden nun aufgespürt, seit 2015 soll ein Schaden von über 35 Millionen US-Dollar entstanden sein.

Ein Entwickler des Javascript-Pakets event-stream interessierte sich nicht mehr für das Projekt und übergab die Entwicklung an eine unbekannte andere Person. Daraufhin wurde über das Modul Schadsoftware verteilt, die offenbar auf Bitcoin-Wallets abzielt.

Bei Amazon gab es eine Datenpanne, die E-Mail-Adressen und Namen von Kunden standen im Netz. Was genau passiert ist, weiß jedoch keiner. Der Konzern schweigt sich über Details aus.

BKA-Chef Münch will nicht nur die tatsächliche, sondern auch die gefühlte Sicherheit verbessern. Das gilt auch bei der Bekämpfung von Internetkriminalität.

Die neue Richtlinie zur Routersicherheit gefällt dem Chaos Computer Club überhaupt nicht. Router-Hersteller und Netzbetreiber hätten dem BSI die Anforderungen diktiert.

Die Netzwerkinstallation der österreichischen Banking-Software ELBA-business ließ sich übernehmen - mitsamt darunterliegendem System. Der Angriff war aufwendig, aber automatisierbar.

Das BSI hat mit einigen Monaten Verzögerung seine Richtlinie für die Router-sicherheit veröffentlicht. Neben vielen sinnvollen Punkten enthält sie aber auch Vorgaben, die den Herstellern und Providern sehr entgegenkommen.
Eine Analyse von Friedhelm Greis

Vor zwei Jahren hatte es Trickbot nur auf Bankdaten abgesehen. Nun ist eine neue Variante des Trojaners im Umlauf, die auch Passwörter aus anderen Anwendungen abgreifen kann.

Die US Cyber National Mission Force hat begonnen, gefundene Schadsoftware auf Virustotal bereitzustellen. Das erste hochgeladene Sample soll von der mutmaßlich russischen Hackergruppe APT28 stammen.

Eine Software für Headsets des Herstellers Sennheiser installiert ein Root-Zertifikat und sorgt damit dafür, dass HTTPS-Verbindungen nicht mehr sicher sind. In neueren Versionen ist die Lücke etwas weniger schlimm, einen Fix gibt es bisher nicht.

Online-Detektive müssen permanent löschen, wo unvorsichtige Internetnutzer einen digitalen Flächenbrand gelegt haben. Mathias Kindt-Hopffer hat Golem.de von seinem Berufsalltag erzählt.
Von Maja Hoock

Wolf Intelligence verkauft Schadsoftware an Staaten. Eine Sicherheitsfirma hat sensible Daten des Unternehmens öffentlich zugänglich im Internet gefunden. In einer Präsentation wurden die Funde gezeigt.

In der Python-Paketverwaltung PyPi wurde eine Software gefunden, die versucht, Bitcoin-Adressen in der Windows-Zwischenablage zu manipulieren. Dabei versuchten die Autoren des Pakets colourama, Verwechslungen von US-englischer und britischer Schreibweise auszunutzen.

Durch ein Update können Epson-Drucker nur noch mit originalen Tintenpatronen drucken. Die EFF wendet sich an die texanische Staatsanwaltschaft. Der Vorwurf: Verbrauchertäuschung und Sicherheitsbedenken.

Trotz Updates klafft eine Sicherheitslücke in Hundertausenden Mikrotik-Routern. Ein Hacker nimmt sich dieser an: Er dringt ungefragt in die Router ein und schließt die Lücke. Die Aktion ist umstritten.

Innenminister Seehofer und BSI-Präsident Schönbohm malen eine neue Qualität der Gefahren für die IT-Sicherheit an die Wand. Davon können beide mit ihren politischen Zielen profitieren.
Eine Analyse von Friedhelm Greis

Gehackte Proxy-Server der Firma Mikrotik, die von Internet-Zugangsprovidern genutzt werden, fügen Kryptominer-Code in unverschlüsselte HTTP-Anfragen ein. Die entsprechende Lücke wurde bereits im März behoben, doch weiterhin sind hunderte Proxies aktiv.

Seit mehreren Monaten ist die umstrittene BSI-Richtlinie zur Sicherheit von Heimroutern überfällig. Laut BSI-Chef Schönbohm ist sie längst fertig und soll ein "Mindesthaltbarkeitsdatum" für Software und 19 andere Kriterien enthalten.

Angreifer verbreiten mit einer besonders schwer erkennbaren Phishing-Methode Malware: Sie hacken E-Mail-Konten und klinken sich dann in bestehende Konversationen ein - Nutzer müssen genau hinsehen.

Noch immer sind viele vernetzte Geräte leicht über das Internet zu hacken. Vor allem ein chinesischer Massenhersteller missachtet weiterhin die einfachsten Grundregeln zum sicheren Betrieb der Geräte. Nun gelobt er Besserung.

Ein warnender Anruf der Bank unter der echten Telefonnummer kann auch Menschen mit technischem Hintergrund zur Preisgabe sensibler Daten bringen. Der Journalist Brian Krebs berichtet von mehreren Fällen.

Entwickler von Apps unter Android oder Chrome-Erweiterungen kommen schnell an Daten, die die Nutzer ihnen eigentlich gar nicht geben wollten. Google schränkt den Zugriff ein und gibt den Anwendern mehr Kontrolle. Googles Datensammlung dürften sie jedoch nicht gefährden.

Kalifornien verabschiedet ein Gesetz, das Standardpasswörter verbietet. Das ist ein Schritt in die richtige Richtung, denn es setzt beim größten Problem von IoT-Geräten an und ist leicht umsetzbar.
Ein IMHO von Hanno Böck

Ein kürzlich verabschiedetes Gesetz in Kalifornien soll für mehr Sicherheit bei vernetzten Geräten sorgen. Der wichtigste Punkt: Geräte müssen entweder einmalige Passwörter haben oder die Nutzer bei Inbetriebnahme zum Passwortwechsel zwingen.

Keylogger sammeln Tastatureingaben und weitere Daten von betroffenen Rechnern. Einer Studie zufolge versenden sie die Informationen bevorzugt über Maildienste von Zoho, dessen Domain kürzlich gesperrt wurde.

Das Surface Go ist Microsofts kleinstes Surface-Tablet. Es ist leicht und handlich, aber trotzdem als vollwertiges Windows-System zu gebrauchen. Dabei leisten die Intel-Pentium-CPU und das helle Display überraschend gute Arbeit. Vom Type Cover würden wir aber vorerst die Finger lassen.
Ein Test von Oliver Nickel

Die Schadsoftware Torii befällt eine große Bandbreite an Architekturen und versucht im Gegensatz zu vielen anderen Botnetzen, auf den Geräten zu verbleiben. Die IT-Sicherheitsfirma Avast hält das Programm für besonders ausgereift, weiß aber noch nicht, welchem Zweck es dient.

Eine neue Android-Spyware liest Unterhaltungen aus Whatsapp aus oder greift auf die Kameras und Mikrofone des Smartphones zu. Das IT-Sicherheitsunternehmen G Data hält die Spyware für unfertig, hat aber einige besondere Funktionen gefunden.

Nach Phishingbeschwerden deaktiviert der Domainregistrar Tierra.net die Domain Zoho.com. Erst nach einem Aufruf auf Twitter wurde sie wieder freigeschaltet.

Drei US-Studenten haben das Mirai-Botnetzwerk aufgebaut. Seit 18 Monaten arbeiten sie mit dem FBI zusammen. Das Ergebnis ist eine milde Strafe und eine Verpflichtung zur weiteren Kooperation.

Das neue Webauthn-Protokoll soll sichere Logins ohne Passwörter ermöglichen. Doch ein Security-Audit bescheinigt den bisherigen Implementierungen in Chrome, Firefox und Edge angreifbare Kryptographie.

Eine Runderneuerung des Tor Browsers macht eine Sicherheitslücke wertlos. Der Sicherheitslücken-Händler Zerodium veröffentlicht sie nun auf Twitter - nachdem er Monate von ihr wusste.

Apple hat die kostenpflichtige App Adware Doctor aus dem hauseigenen Mac App Store gelöscht. Sie liest heimlich den Browserverlauf aus, wie schon seit einem Monat bekannt war. Und sie ist nicht die einzige.

Epic Games hat es offenbar nicht geschadet, Googles Play Store zu umgehen: Nach eigenen Angaben wurde die APK von Fortnite für Android 15 Millionen Mal heruntergeladen. Das Sicherheitsteam hat im Gegenzug eine Menge mit Fake-Webseiten zu tun, die Malware unter dem Namen Fortnite anbieten.

Das Chrome-Browser-Team von Google findet URLs offenbar zu verwirrend für Nutzer und will diese langfristig abschaffen. Ein erster Vorstoß dazu streicht Subdomains wie www. oder m. aus der Anzeige des Browsers, was für harsche Kritik an Google sorgt.

Bösartiger Code in der Chrome-Erweiterung des Filehosters Mega greift Zugangsdaten ab. Die Erweiterung wurde automatisch über den Chrome Web Store verteilt. Mittlerweile steht ein Update bereit.

Ein neues Opensource-Tool zur Gesichtserkennung kann Personen automatisiert auf verschiedenen Plattformen aufspüren. Das von Mitarbeitern der Sicherheitsfirma Trustwave entwickelte Programm richtet sich zwar an Penetrationstester, bietet aber auch Potenzial für Missbrauch.

Google-Sicherheitsexpertin Parisa Tabriz eröffnet in Las Vegas die Black-Hat-Konferenz. Sie wünscht sich mehr Transparenz und Zusammenarbeit und erläutert anhand der Site-Isolation in Chrome, welche Herausforderungen manchmal bei größeren Sicherheitsverbesserungen zu überwinden sind.

Nach Kritik an einer neuen, nicht deaktivierbaren Analytics-Funktion gibt der Hersteller der Aufräumsoftware Ccleaner nach und entfernt die aktuelle Version 5.45 von seiner Webseite.

Beim weltweit größten Auftragsfertiger, der TSMC, hat Schadsoftware mehrere Tools befallen und damit einige Halbleiterwerke temporär gestört - der Umsatz büßt ein paar Prozent ein. Der Hersteller fertigt derzeit in Taiwan die A12-Chips für Apples nächste iPhone-Generation.

Die Videoplattform Dailymotion muss ein Bußgeld für den unzureichenden Schutz von über 80 Millionen E-Mail-Adressen bezahlen. Ein im Github-Repository des Unternehmens veröffentlichtes Admin-Passwort hatte Hackern 2016 Tür und Tor geöffnet.

Einem aktuellen Prüfbericht zufolge hat der US-Nachrichtendienst viele der Sicherheitsregeln, die nach den Snowden-Leaks eingeführt wurden, nicht oder nicht vollständig umgesetzt. Die zuständige Aufsichtsbehörde hat fast 700 Empfehlungen ausgesprochen.

Nach einer Wartezeit von mehr als 100 Tagen vermutet Curl-Entwickler Daniel Stenberg inzwischen, dass die USA ihm wohl auch ein zweites Mal die Einreise verweigern wird. Er kann damit nicht an den Konferenzen seines Arbeitgebers Mozilla teilnehmen.

Mit einem eigenen Hardwareschlüssel, dem Titan Security Key, will Google ähnlich wie mit den bekannten Yubikeys den Zugriff seiner Kunden auf die Cloud absichern. Der Hardwareschlüssel zur Zwei-Faktor-Authentifizierung soll später für alle im Google Store angeboten werden.

Ein unbekannter Entwickler verteilt die freie Officesuite Libreoffice über den Microsoft Store und bietet diese auch zum Kauf an. Die Macher von Libreoffice haben damit nichts zu tun und nennen das Angebot irreführend. Die App ist nicht mehr verfügbar.

Subdomain Takeover wird in der IT-Security- und Hacker-Szene immer beliebter. Denn mit der einfachen Übernahme einer verwaisten Subdomain lassen sich schöne Angriffe durchführen oder Bug Bountys von Unternehmen einstreichen.
Von Moritz Tremmel

Dirty Harry und seine Kollegen sind anscheinend wieder zurück: Die Verbraucherzentrale berichtet von vermehrten Betrugsversuchen durch angebliche Microsoft-Support-Mitarbeiter und gibt Tipps im Umgang mit diesen. Hilfreich: ein gesunder Menschenverstand.

US-Präsident Trump windet sich weiterhin bei konkreten Schuldzuweisungen gegenüber Russland. Nach Angaben von Microsoft gehen die Attacken auf US-Politiker vor Wahlen unvermindert weiter.