Security-Alert

Im Kampf gegen den Terrorismus musste der IT-Konzern Yahoo seinen Spam- und Malwarefilter so umbauen, dass damit nach bestimmten "digitalen Signaturen" gesucht werden konnte. Ein solcher Code soll von Terroristen verwendet worden sein.

Mehrere ehemalige Mitarbeiter beschuldigen Yahoo, für die Geheimdienste ein geheimes, weitreichendes Überwachungsprogramm gegen die eigenen Kunden entwickelt zu haben. Damit soll sämtlicher Mailverkehr durchsucht worden sein. Es gibt aber auch Zweifel an dieser Darstellung.

Marissa Mayer verteilte bei Yahoo kostenfreie iPhones und teures Catering - an der Sicherheit wurde aber offenbar gespart. Außerdem bezweifelt eine Sicherheitsfirma, dass Yahoo wirklich von einem staatlichen Akteur gehackt wurde.

Donald Trump ist für markige Sprüche und verbale Ausfälle bekannt - bei der IT-Sicherheit seiner Hotelkette gibt es aber Probleme, zahlreiche Kreditkartendaten wurden kopiert. Das Unternehmen musste eine Strafe zahlen, weil Behörden zu spät über die Vorgänge informiert wurden.

Der größte bislang bekannte DDoS-Angriff hat Brian Krebs nur kurzzeitig offline genommen. Das Blog des Sicherheitsforschers wird künftig von Googles Project Shield geschützt.

Der Käufer von Yahoo hat sich seit dem katastrophalen Datenhack nicht mehr zu der Übernahme bekannt. In Kürze dürfte sich zeigen, ob die 5-Milliarden-US-Dollar-Übernahme noch zustande kommt.

Ein Hacker will den ersten Jailbreak für das neue iPhone gefunden haben. Überprüfen lässt sich das nicht, weil er keine Details veröffentlicht. Vielmehr möchte er an Apples Bug-Bounty-Programm teilnehmen - wenn er darf.

Das dürfte einer der größten Datenhacks der Geschichte sein. Der Umfang der bei Yahoo entwendeten Nutzerdaten ist noch deutlich größer als bislang angenommen.

Kurz vor dem Abschluss der Übernahme durch Verizon will Yahoo offenbar einen Hack eingestehen, über den bereits im Juli berichtet wurde. Das Unternehmen gefährdet seine Kunden unnötig.

Politiker aller Parteien waren im August Ziel von Spear-Phishing-Angriffen. Angebliche Nato-Informationen zum Putsch in der Türkei und zum Erdbeben in Italien sollten zum Klicken auf Malware verleiten.

Update Zwei Bugs im Signal-Code erlauben das Manipulieren von Attachments und einen Crash der Signal-Applikation. Updates sind im Play Store noch nicht verfügbar.

Vertrauliche medizinische Daten von US-Sportlern stehen im Netz. Angeblich russische Hacker haben mehrere Datensätze veröffentlicht, die Unregelmäßigkeiten bei Dopingkontrollen beweisen sollen. Die Wada ist entsetzt - und spricht von legalen Ausnahmegenehmigungen.

Update Angreifer können MySQL-Installationen aus der Ferne mit Schadcode infizieren und so die Kontrolle über die Server übernehmen. Einen Patch für die kritische Sicherheitslücke gibt es noch nicht - jedenfalls nicht bei Oracle.

Der Hack eines DDoS-Anbieters zeigt: Die Vermietung von Angriffskapazitäten ist ein einträgliches Geschäft. Ironischerweise versuchen die Anbieter, sich hinter dem DDoS-Schutz Cloudflare zu verstecken. Die Betreiber wurden mittlerweile in Israel festgenommen.

Malware gibt es auch für Mac-Nutzer. Kaspersky hat die OS-X-Variante einer Backdoor-Software entdeckt, die auch für Windows und Linux existiert. Angreifer können damit Tastaturanschläge protokollieren und gezielt nach Dateien suchen.

Eine kritische Sicherheitslücke in Android ermöglicht die Ausführung von Code mit Rechten des Medienservers. Mit dem September-Update hat Google außerdem zahlreiche weitere Lücken behoben.

Die Pornowebseite Brazzers reiht sich ein in die lange Liste von gehackten vBulletin-Foren. Einige der Accounts sollen als Login für die Webseite genutzt worden sein. Die Passwörter sind ungeschützt.

Wie sicher sind Bitcoin bei Online-Börsen? Nicht besonders, wenn man einer aktuellen Studie Glauben schenkt. Demnach wurden 33 Prozent der Bitcoin-Tauschstellen in den vergangenen Jahren gehackt.

In iOS stecken Sicherheitslücken, die aktiv ausgenutzt werden und viel Schaden anrichten können. Angreifer erhalten weitreichenden Zugriff auf ein iPhone. Apple hat einen Patch veröffentlicht, mit dem die Sicherheitslücken geschlossen werden.

Eigentlich sollte HP Enterprise sämtliche Endnutzergeräte der Nasa verwalten. Der Support ist aber offenbar so schlecht, dass die IT-Chefin der US-Raumfahrtbehörde mit einer beispiellosen Verzweiflungstat reagiert.

Im Sicherheitsvergleich mit Android schneidet iOS meist besser ab. In einem aktuellen Versuch gelang es Forschern aber, einen erfolgreichen Angriff auf die Sandboxing-Funktion von iOS-Apps durchzuführen.

Die Foren des Spieleherstellers Epic Games wurden gehackt, wieder war eine Sicherheitslücke in vBulletin die Ursache. Bei einigen der Foren wurden auch Passwörter erbeutet. Mehr als 800.000 Accounts sollen betroffen sein.

Eine kritische Sicherheitslücke in Veracrypt und Truecrypt ermöglicht Angreifern, die Existenz eines Hidden-Volumes zu beweisen. Ein Patch ist verfügbar, Nutzer müssen jedoch aktiv werden.

Der Shadow-Brokers-Datensatz liefert möglicherweise Informationen darüber, wie die NSA in der Lage war, VPN-Verbindungen abzuhören. Die Schwachstelle hat Ähnlichkeiten mit Heartbleed.

Die Webseite DLH.net wurde gehackt und Millionen Nutzerdaten kopiert - schuld war offenbar eine bekannte Sicherheitslücke im vBulletin-Forum. Es ist nicht das erste Mal, dass diese Sicherheitslücke ausgenutzt wird.

Eine schwerwiegende Sicherheitslücke befindet sich offenbar seit 1998 im Code von GnuPG und der dazugehörigen Bibliothek Libgcrypt. Unter bestimmten Umständen lassen sich Zufallszahlen voraussagen, die genauen Auswirkungen sind allerdings unklar.

Secunia Research schaut sich regelmäßig an, wie gut Anwender ihre Systeme pflegen. Die gute Nachricht: Windows wird in der Regel aktualisiert. Die schlechte: Bei den Programmen sind selbst versierte Anwender nachlässig. Die Statistiken sind aber mit Vorsicht zu genießen.

Die Equation Group wird mit Hacks von Infrastrukturen und der Entwicklung fortgeschrittener Malware in Verbindung gebracht. Jetzt soll die angebliche Hackertruppe der NSA selbst gehackt worden sein.

Bei der Entwicklung des Anniversary-Updates für Windows 10 ist Microsoft ein peinlicher Fehler unterlaufen: Die ausgelieferte Version der Software enthielt Funktionen, die Secure Boot außer Kraft setzen. Das Unternehmen versucht, den Schaden zu begrenzen.

Mit einem Arduino und Hardware im Wert von 40 US-Dollar lassen sich fast alle Modelle der VW-Gruppe aus den vergangenen 15 Jahren öffnen - sagen Sicherheitsforscher. Das Unternehmen hat die Lücke eingeräumt. 14 weitere Autohersteller sind betroffen.

Microsoft hat eine nützliche, wenn auch selten genutzte Anwendung für Stiftbenutzer gestrichen. Angeblich wegen zu vieler Sicherheitslücken muss das Windows Journal für Tablet-PCs aus Windows 10, 8.1 und 7 entfernt werden. Der Anwender bemerkt das allerdings nicht unbedingt.

Das mittlerweile im Browser übliche direkte Anzeigen von PDF-Dokumenten kann zu einem Sicherheitsproblem werden, wie ein aktueller Fall zeigt. Der Anwender muss bei Microsofts Edge-Browser auch ohne Adobe Reader auf Schad-PDFs achten.

Ein Blick ins Bitcoin-Depot dürfte für Nutzer von Bitfinex unangenehm sein - denn alle Einlagen sind rund ein Drittel weniger wert als vor dem Hack. Möglicherweise gibt es zu einem späteren Zeitpunkt eine volle Entschädigung.

Ein anonymes Dokument beschreibt detailliert Sicherheitslücken im FreeBSD-Update-System. Betroffen sind Portsnap, Libarchive und Bspatch. Fixes gibt es bislang nur für wenige der Bugs. Möglicherweise existieren ähnliche Angriffe auch auf Linux-Systemen.

Sieben Programme zum automatischen Erkennen und Patchen von Sicherheitslücken traten im Rahmen der Darpa Cyber Grand Challenge gegeneinander an. Die meisten Teilnehmer nutzten dabei eine Kombination aus Fuzzing und Symbolic Execution.

Nachdem Angreifer bei Bitfinex Bitcoin im Wert von rund 72 Millionen US-Dollar entwendet haben, wollen sie offenbar einen Teil davon spenden. Insgesamt 1.000 Bitcoin sollen so den Eigentümer wechseln. Bitfinex selbst arbeitet an einer eigenen Entschädigungsstrategie.

Black Hat 2016 Nach langem Warten hat jetzt auch Apple ein Bug-Bounty-Programm. Das gab Apple-Manager Ivan Krstić auf der Black Hat 2016 bekannt. Unter einer Voraussetzung verdoppelt das Unternehmen die maximale Auszahlung von 200.000 US-Dollar sogar.

Die Bitcoinbörse Bitfinex musste nach einem Hack ihren Handel mit der digitalen Währung einstellen. Die Angreifer haben Bitcoin im Wert von etwa 70 Millionen US-Dollar entwendet und eine großen Kursverfall ausgelöst.

Rechnungen, Namen und teilweise sogar die Bankdaten von Flugreisenden waren jahrelang ohne technische Hürden offen im Netz verfügbar - ohne, dass es jemandem aufgefallen wäre. Auch Kriminelle haben die Daten nach aktuellem Stand übersehen.

Eine Sicherheitslücke der TLS-Zertifizierungsstelle Comodo hat es unter Umständen erlaubt, Zertifikate für fremde Domains auszustellen. Angriffspunkt waren dabei die Verifikationsmails, die an den Domaininhaber gesendet werden.