Einen Tag nach Ausbruch einer neuen globalen Ransomware-Welle gibt es Informationen zum Verbreitungsweg. Die Macher der Ransomware gehen offenbar deutlich organisierter vor, als bei Wanna Cry. Auch das Kernkraftwerk Tschernobyl ist infiziert.

Der NPM-Dienst hat vor zwei Wochen Passwörter von Entwicklern zurückgezogen. Jetzt ist klar warum: Ein Hacker konnte schwache Passwörter sammeln und hätte damit wohl die Hälfte des Node-Paket-Systems sowie sehr prominente Pakete infiltrieren können.

Angriffe auf IT-Infrastruktur richten sich nicht nur gegen dienstliche Adressen. Derzeit seien auch private Mailkonten im Visier von Angreifern, warnt das BSI. Betroffen seien "Spitzenkräfte" aus Wirtschaft und Verwaltung.

Coredumps sind ein hilfreiches Instrument, um nach einem Softwareabsturz eine Fehleranalye zu betreiben. Doch die Fehlerberichte sind auf zahlreichen Webseiten öffentlich einsehbar, wie wir herausgefunden haben. Dabei werden zum Teil auch private Daten wie Passwörter veröffentlicht.
Von Hanno Böck

Ein ehemaliger Admin soll beim Hostingprovider Verelox alle Daten gelöscht haben. Das teilt das Unternehmen auf seiner Webseite mit. Nach derzeitigem Stand sind zumindest einige der Daten dauerhaft verloren.

Die IoT-Apokalypse hört nicht auf: Erneut wurden zahlreiche Schwachstellen in einer IP-Kamera dokumentiert. Der Hersteller reagiert mehrere Monate lang nicht auf die Warnungen, bestreitet aber einige der Schilderungen.

Bei der Vorstellung von iOS 11 hat Apple viele kleine Neuerungen nicht oder nur kurz erwähnt. So lässt sich das Kontrollzentrum anpassen, beim iPhone gibt es eine Bildschirmtastatur für die Einhandbedienung und selten gebrauchte Apps können automatisch entfernt werden.

Ein Passwortmanager soll Nutzern helfen, sichere Passwörter zu generieren und sicher zu speichern. Bei dem Betreiber Onelogin wurden jedoch zahlreiche Informationen von Nutzern durch Angreifer kompromittiert, wie das Unternehmen selbst mitteilt.

Manchmal braucht es gar keine Whistleblower: Ein schusseliger Mitarbeiter eines mit geheimen Daten betrauten Unternehmens tut es auch. Auf einem offen zugänglichen Amazon-Server sind mehrere sicherheitskritische Zugangsdaten entdeckt worden.

Nach Jahren vergeblichen Bittens durch die Community bekommen Nutzer des FTP-Clients Filezilla endlich die Möglichkeit, ihre Passwörter für FTP-Zugänge mit einem Master Password zu verschlüsseln.

Golem.de-Wochenrückblick Die Displays der Zukunft sind gebogen, Neuseeland schießt eine Rakete ins All, und Microsoft legt sein Surface flach. Sieben Tage und viele Meldungen im Überblick.

Wer seine elektronischen Geräte auf Reisen mitnimmt, sollte sich stets Gedanken machen, welche Informationen über die Grenze transportiert werden. Die Entwickler von 1Password wollen das künftig vereinfachen - mit einem Reisemodus in der App.

Schon wieder zeigt sich: Biometrische Merkmale sind praktisch zum Entsperren von Geräten - sicher sind sie hingegen nicht. Ein Hacker hat gezeigt, dass sich der Irisscanner des Galaxy S8 von Samsung mit einem einfachen Foto und einer Kontaktlinse austricksen lässt.

Google I/O 2017 Mit dem Lens-Programm verleiht Google Smartphone-Kameras die Fähigkeit, Bildinhalte zu erkennen und weiterzuverarbeiten. Das Feature soll in den Assistant und in die Galerie-App Fotos eingearbeitet werden und bringt Endnutzer näher an Googles KI-Bemühungen heran.

Was haben der Online-Händler Redcoon und die Volksverschlüsselung gemeinsam? Ein unsicher konfiguriertes Git-Repository. Immer wieder machen Webseitenbetreiber denselben Fehler.
Von Hauke Gierow

Derzeit entsteht ein neues IoT-Botnetz, das bislang aber noch keine Angriffe durchgeführt hat. Die Malware zur Infektion nutzt eine im März veröffentlichte Sicherheitslücke aus.

Wer in die USA einreist, soll seine Passwörter also doch für sich behalten dürfen: Das US-Außenministerium hat erstmals eine schriftliche Version der geplanten Regeln veröffentlicht. Diese bleibt hinter vollmundigen Ankündigungen von Regierungsmitarbeitern zurück.

Mac-Nutzer aufgepasst: Wer in den vergangenen Tagen das Videotool Handbrake heruntergeladen hat, sollte sich ein paar Minuten Zeit nehmen und seinen Rechner überprüfen. Er könnte mit Malware infiziert sein und alle eingegebenen Passwörter speichern.

Die Firma Tenable hat Details zur Sicherheitslücke in Intels Active Management Technology publiziert. Die sind reichlich peinlich für Intel: Mit einem leeren String als Passwort-Hash kann sich der Nutzer einloggen.

Die Beta von Nextcloud 12 bietet neben der Dateisynchronisation und -verteilung vor allem Funktionen, um die gemeinsame Arbeit an den Dateien zu verbessern. Dazu gehören Push Notifications, eigene Gruppen und Gastaccounts oder eine bessere Integration von Office- und Chatfunktionen.

Millionen verkaufte Serverchips von Intel sind, zumindest theoretisch, für eine kritische Sicherheitslücke verwundbar. Betroffen sind Chips ab der Nehalem-Serie bis hin zu Kaby Lake. Kunden können relativ einfach herausfinden, ob sie betroffen sind oder nicht.

Nutzer können mit Owncloud 10 am Admin vorbei eigene Gruppen erstellen, was die Kollaboration verbessern soll. Prüfsummen sollen Synchronisationsfehler vermeiden, und das Team hat seinen App-Marktplatz überarbeitet.

Für Confluence-Admins könnte es ein arbeitsreicher Tag werden: Hipchat-Nutzer sollen ihre Passwörter zurücksetzen und die Wiki-Software des Unternehmens braucht ein Update. Ansonsten können Angreifer alle Seiten des Wikis ohne Autorisierung einsehen.

Wer bei Owncloud oder Nextcloud einen Bugreport melden möchte, wird nach dem Inhalt seiner Konfigurationsdatei gefragt. Einige Nutzer kamen dem nach - und gaben damit ihre Passwörter öffentlich preis.

Klingt wie Fernsehen, ist aber wahr: Insassen eines Gefängnisses in Ohio haben sich heimlich PCs gebaut und darüber auf das Internet und interne Datenbanken zugegriffen.
Von Eike Kühl

Auch die zweite Version der Trutzbox überzeugt im Test - selbst wenn wir Kleinigkeiten bei der Einrichtung zu bemängeln haben. Letztlich ist das Gerät ein umfassender Heimserver mit einfacher Konfiguration. Für das WLAN müssen die Nutzer Hand anlegen.
Ein Test von Hauke Gierow

Unser Autor hat versehentlich das MySQL-Passwort seiner Webseite veröffentlicht. Hier schreibt er, wie es dazu kam. Er berichtet, warum Fehler selbst dann passieren, wenn man denkt, alle Sicherheitsmaßnahmen umgesetzt zu haben und warum es in PHP zu einfach ist, derartige Fehler zu produzieren.
Ein Bericht von Hanno Böck

Flash-Speicher für die Hosentasche: Western Digital bringt seine erste externe SSD, die über USB-C verbunden wird. Sie soll nicht nur sehr schnell, sondern auch besonders sicher und stabil sein.

Die von US-Präsident Donald Trump versprochenen "extremen Einreisekontrollen" könnten für Besucher der USA sehr unangenehm werden. Ob sie auch für deutsche Staatsbürger gelten, ist noch unklar.

Voice Calls heißt die neue Funktion im Messenger Telegram, über die Nutzer verschlüsselte Telefonate führen können - zunächst in Europa. Telegram nutzt dafür seine eigene umstrittene Verschlüsselung.

Gleich drei Sicherheitslücken innerhalb einer Woche wurden im Passwort-Manager Lastpass entdeckt. Der Hersteller reagiert zwar schnell, aber eben deshalb wohl überhastet: Eine Lücke wurde nicht vollständig geschlossen, eine weitere ist noch ganz offen.

Die Entwickler des Firefox-Browsers haben einen Fehlerbericht erhalten, in dem sich ein Webseitenbetreiber über die Login-Warnung beschwert, die bei fehlendem HTTPS auftritt. Externe Entwickler nehmen das als Anlass für Häme und für Angriffe auf die Seite, um Nutzer zu schützen.

Cebit 2017 Auf der Cebit stelle ich die neue Version 8.0 meiner Linux-Live-Distribution Knoppix 8.0 vor. Die neuen Funktionen sollen den Einsatz auf aktueller Hardware erleichtern.
Von Klaus Knopper

US-Ermittler werfen den russischen Geheimdiensten vor, gemeinsam mit kriminellen Hackern Yahoo angegriffen zu haben. Mehrere Verdächtige wurden festgenommen - in verschiedenen Ländern.

Weil durch den Verkauf von Yahoo ihr Job als Vorstandchefin endet, bekommt Marissa Mayer ein großes Abfindungspaket. Zuvor hatte sie auf 14 Millionen US-Dollar verzichtet.

Für eine Stellenanzeige hat sich der Bundesnachrichtendienst etwas Besonderes ausgedacht: eine Forensik Challenge, bei der Interessierte ihre Fähigkeiten testen können. Damit Golem.de-Leser, die sich beim BND bewerben wollen, es etwas leichter haben, haben wir die Challenge gelöst.
Von Hanno Böck

Wegen massiver Probleme mit Scammern und Betrügern sperrt der britische Provider Talk Talk derzeit Teamviewer aus seinem Netz aus. Kunden und dem Hersteller der Fernwartungssoftware gefällt das nicht.

Ein Backup-Fehler dürfte das Aus für ein großes Spam-Netzwerk aus den USA bedeuten. River City Media verdiente Geld mit Spam-Nachrichten, SMS-Kampagnen und Affiliate-Marketing - inklusive gefälschter Suchmaschinen.

Spielzeug aus der Cloudpets-Reihe zeichnet die Stimmen der Kinder auf. Wem das nicht schon zu gruselig ist, der dürfte sich spätestens über die offene MongoDB-Datenbank aufregen. 800.000 Nutzer mit über 2 Millionen Sprachsamples sind betroffen.

Ein Flughafen bei New York lagerte seine Backups offenbar ungewollt in einer öffentlichen Cloud. Unter den Daten sollen sich E-Mails, Passwortlisten für Flughafensysteme und Personalakten befinden.

Durch einen Bug im HTML-Parser des CDN-Anbieters Cloudflare verteilte dieser private Nachrichten von Datingbörsen, Passwörter und interne Keys über unzählige Webseiten. Vieles davon fand sich in den Caches von Suchmaschinen wieder.

In der neuen US-Regierung gibt es offenbar Überlegungen, dass Reisende mit Visum ihre Passwörter für Facebook und andere soziale Netzwerke herausgeben müssen.

Protonmail bezeichnet sich als sicherster E-Mail-Dienst der Welt. In der Praxis zeigt sich, dass der Dienst zwar durchaus durchdacht ist, aber mangels vollständiger PGP-Kompatibilität eine Insellösung bleibt.
Ein Praxistest von Hauke Gierow

Wer den Zugang zu seinem Github-Account verliert, kann sich künftig mit einem von Facebook bereitgestellten Token einloggen. Die interessante Funktion soll den Namen Delegated Recovery tragen und untermauert Facebooks Anspruch, die digitale Schaltzentale der Nutzer zu werden.

Die aktuelle Version 51 des Firefox-Browsers warnt vor unverschlüsselt übertragenen Logins und vor kaputten Zertifikaten mit SHA-1-Signatur sowie jenen von Wosign und Startcom. Der Browser nutzt außerdem WebGL 2 und ermöglicht eine bessere Videowiedergabe ohne GPU.

Rund 60 Routermodelle von Netgear haben eine Sicherheitslücke, die Angreifern das Auslesen des Passwortes ermöglicht. Das BSI warnt vor der Lücke - und ruft Risikostufe 5 aus. Was das bedeutet, bleibt leider unklar.

Erneut ist ein vBulletin-Forum gehackt worden. Betroffen sind vermutlich 1,1 Millionen Nutzer von Supercell-Foren. Der Spielehersteller vertreibt populäre Titel wie Clash of Clans und Clash Royale.

Ein taz-Redakteur, der seine Kollegen mit einem Keylogger ausspioniert hatte, ist rechtskräftig verurteilt worden. Die Entscheidung wurde in Abwesenheit des Mannes getroffen.

Das Verbot der Datenhehlerei soll eigentlich den Handel mit gestohlenen Nutzerdaten erschweren. Doch investigative Journalisten sehen sich dadurch in ihrer Arbeit bedroht.

Rund 1,5 Millionen Daten von Mitgliedern der E-Sports Entertainment Association (Esea) sind offenbar im Netz aufgetaucht. Auch Angaben zur Steam-, Xbox-Live- und PSN-ID sind mit dabei - somit könnten besonders glaubwürdige Phishing-Mails gebastelt werden.