Ein komplexer Angriff nutzt eine trickreiche Kombination aus Clientzertifikaten und einem statischen Diffie-Hellman-Schlüsselaustausch. Der Angriff ist nur in sehr speziellen Situationen relevant, doch es zeigt sich wieder einmal, dass das TLS-Protokoll selbst Sicherheitslücken hat.
In Japan gibt es derzeit Versuche, iOS-Nutzer anzugreifen. Eine Sicherheitslücke ist nicht betroffen. Die Angreifer setzen stattdessen auf ein Unternehmensangebot von Apple und auf Nutzereingaben. Erfolg hat die One-Click-Fraud-Kampagne allenfalls bei naiven Nutzern.
Wer Sicherheitslücken findet, fliegt: Die Fluggesellschaft United Airlines startet ein Bug-Bounty-Programm und zahlt mit Bonusmeilen statt Geld. Es darf jedoch nicht überall nach Schwachstellen gesucht werden.
Statt mit einem Passwort können sich Bankkunden mittlerweile mit ihrer Stimme am Telefon identifizieren. Akustische Biometriesysteme werden in immer mehr Firmen eingesetzt. Die Gefahr: Auch Geheimdienste und Staaten können auf die Technik zugreifen.
Die Malware der Operation Volatile Cedar ist nicht leicht aufzuspüren, auch wenn sie sich nicht mit ausgereifter Spionagesoftware vergleichen lässt - denn die Angreifer setzen sie nur gezielt ein und entwickeln sie akribisch weiter.
Sie nennen sich Wüstenfalken und spionieren hochrangige Opfer im arabischen Raum aus. Die Spionagesoftware ist selbstentwickelt, infiziert wird ausschließlich durch Social Engineering. Dabei machen sie sich eine arabische Eigenheit zunutze.
Update Blackhat ist ein düsterer Film über die Bedrohung durch Cyberkriminelle, der am 5. Februar in Deutschland anläuft. Er ist spannend, wenn man die teils unglaubwürdige Geschichte akzeptiert.
Update Israelische Security-Forscher haben einen neuen Weg für eine Seitenkanalattacke auf PCs gefunden. Mit einem Smartphone und einem Desktoprechner, die beide keine Onlineverbindung haben, können sie ein eingetipptes Passwort mitlesen.
Langweilige Traktate von Islamistenführern waren gestern: Extremisten nutzen das Internet immer professioneller für ihre Propaganda. Forscher tun sich schwer, dem ständigen Wandel zu folgen - und während sie über Ethik und Moral diskutieren, schaffen Behörden Fakten.
Hacken sei wie Zaubern, sagt die Hauptfigur des Hacker-Films Who Am I - Kein System ist sicher, der am Donnerstag in die Kinos kommt. Der Plot entspinnt eine zunächst verwirrende Geschichte, die sich später als überdeutliches Filmzitat entpuppt.
Apple will mit einer erweiterten Zwei-Faktor-Autorisierung neuer E-Mail-Benachrichtigungen die Sicherheit für den Zugriff auf die iCloud verbessern. Das sagte Apple-Chef Tim Cook in einem Interview mit dem Wall Street Journal.
Der Diebstahl der freizügigen Fotos mehrerer US-Prominenter sei keiner Lücke in ihren Systemen geschuldet. Vielmehr seien ihre Konten gezielt angegriffen worden, schreibt Apple in einer Mitteilung. Anwender sollten trotzdem beunruhigt sein.
Über das Mailpoet-Plugin wurden anscheinend bereits mehrere Zehntausend Wordpress-Webseiten mit Schadsoftware versehen. Der Angriff funktioniert laut den Entdeckern auch, wenn das Plugin nicht aktiv ist.
Kaspersky und Citizen Lab haben einen Staatstrojaner für mobile Endgeräte gefunden, der aktiv eingesetzt wird. Die mobilen RCS-Trojaner können ein infiziertes Gerät orten, damit Fotos machen, auf Kalendereinträge zugreifen und die Kommunikation überwachen.
Auf der anderen Seite der Erde haben Unbekannte begonnen, mit kompromittierten Apple-IDs iPhones zu sperren und Lösegeld zu fordern. Betroffen sind vor allem diejenigen, die sich ihre ID hacken ließen und keinen Passwortschutz im iPhone eingestellt haben.
Re:publica 2014 Angebliche H&M-Gutscheine oder Fake-Videos auf Facebook: Cyberkriminelle bedienen sich immer neuer Methoden, um an persönliche Daten zu gelangen - oft erfolgreich. Denn beim Social Engineering bleibt die größte Schwachstelle der Nutzer selbst.
Beim Einrichten seines neuen iPhones erschienen plötzlich Adressen und Fotos eines Fremden aus Apples iCloud. Der Fremde hatte zwar den gleichen Namen, aber eine geringfügig andere E-Mail-Adresse als Apple ID.
Auf einschlägigen Foren wird ein Banking-Trojaner für Linux verkauft. "Hand of Thief" soll unter anderem Code in Webseiten von Banken injizieren können.
Eine bislang unbekannte Sicherheitslücke im Internet Explorer 8 wird aktiv ausgenutzt, um Trojaner auf Rechnern eines Opfers zu installieren. Angreifer hatten bislang Mitarbeiter der US-Atomwaffenforschung im Visier.
Wer sein Passwort für eine Apple ID vergessen hat, muss normalerweise einige Sicherheitsabfragen bestätigen. Kurzzeitig reichten aber wenige Informationen, um beliebige Zugänge zu übernehmen. Die Sicherheitslücke zeigt, wie wichtig es ist, sich für solche Fälle vorzubereiten.
Die Webseite sparkasse.de hat am Montag, dem 18. Februar 2013 über einige Stunden Schadsoftware verteilt. Viele Details nennt der Deutsche Sparkassen- und Giroverband jedoch nicht.
Java SE 7 Update 11 ist anfällig für mindestens zwei Sicherheitslücken. Angreifer können darüber beliebigen Schadcode ausführen und ein fremdes System unter ihre Kontrolle bringen. Einen Patch gibt es bislang nicht.
Vier Entwickler sollen bei ihrem Wechsel von AMD zu Nvidia mehr als 100.000 geheime Dokumente mitgenommen haben. Ob Nvidia den Auftrag erteilt hat, ist allerdings fraglich.
29C3 In vielen großen Firmen gibt es Installationen von Cisco-Telefonen. Hacker haben nun einen Weg gefunden, in alle diese eigentlich sicheren Telefone einzubrechen.
Per Social Engineering ist es Betrügern 2012 gelungen, die gesamte digitale Identität eines Wired-Journalisten verschwinden zu lassen. Im Real Life ließen sie sogar eine ganze Brücke mitgehen.
Die Pro-Version des Test-Frameworks für IT-Sicherheit Metasploit bekommt in der aktuellen Version einige Werkzeuge, mit denen Unternehmen die Aufmerksamkeit ihrer Mitarbeiter testen können. So lassen sich Phishing-Webseiten einfach bauen oder USB-Sticks präparieren.
Symantec hat eine aktualisierte Version einer Schadsoftware entdeckt, die neue Wege geht. Statt den Command-and-Control-Server direkt anzusprechen, nimmt die Software einen Umweg über einen Google-Dienst.
Skype-Nutzer werden seit Ende September 2012 mit sogenannten Lol-Links angegriffen. Symantec hat nun Zahlen veröffentlicht, wie viele Reaktionen es auf den einfachen Social-Engineering-Angriff gab. Über die Anzahl tatsächlicher Infektionen sagt das aber nichts aus.
Update Einem Hacker ist es gelungen, Käufe innerhalb einer iOS-App kostenlos durchzuführen. Dabei fiel ihm auf, dass auf Apples Mobilgeräten die Passwortübertragung im Klartext stattfindet.
Der bayerische Verfassungsschutz rät Unternehmen zur "Löschung von zweifelhaften Postings in sozialen Netzwerken sowie notfalls auch zum Sperren dieser Netzwerke" für die Mitarbeiter.
Das Unternehmen WHMCS, das Abrechnungsdienste für Internetangebote bietet, ist durch einen umfassenden Angriff der Hackergruppe UGNazi kompromittiert worden. Benutzerdaten, Kreditkarteninformationen und komplette Server-Dumps wurden veröffentlicht.
Schon seit Wochen wird berichtet, dass der OpenX-Werbeserver 2.8.8 von Kriminellen gehackt wird, um Schadsoftware in großem Stil zu verteilen. Nun hat die Firma hinter dem Open-Source-Projekt einen Sicherheitspatch versprochen.
Der Erfolg des Flashback-Trojaners ist offenbar für andere Kriminelle ein Grund, ihr Feld zu erweitern. Eine lange von Apple vernachlässigte Java-Sicherheitslücke nutzt Maljava nicht nur auf Windows-Rechnern, sondern auch auf Macs aus. Angriffe auf Linux verlaufen aber ins Leere.
Eine aktualisierte Version des Flashback-Trojaners befällt derzeit hunderttausende Macs. Apple selbst hat nicht schnell genug reagiert, um eine Sicherheitslücke in Java rechtzeitig zu schließen. Jeder Mac-Nutzer sollte dringend ein Sicherheitsupdate machen.
Schicke Rechner brauchen schicke Trojaner, könnten sich die Macher des Trojaners OSX/Imuler-B gedacht haben. Die Entwickler kombinieren Social Engineering mit einer konzeptionellen Schwäche in Mac OS X.
Das aktuelle Backtrack 5 R2 erhält in Zukunft häufiger Updates für seinen Ubuntu-basierten Unterbau. Dazu wurde ein eigenes Repository eingerichtet. Neben Aktualisierungen enthält Backtrack auch neue Prüfwerkzeuge.
Facebook belohnt freundliche Hacker mit exklusiven Kreditkarten, die mit Bargeld aufgeladen werden. Pro gemeldetem Bug zahlte der Betreiber des sozialen Netzwerks bisher zwischen 500 US-Dollar und 5.000 US-Dollar.
Ijon Tichy, Roboterregatten und ein verkannter Unix-Pionier: Manche Artikel, die uns wichtig waren, sind 2011 in der Masse der Nachrichten einfach untergegangen. Hier kann das Verpasste nachgeholt werden.
Googles Bezahlsystem für Android-Smartphones, Wallet, speichert die Daten über Kontostände und Bezahlvorgänge unverschlüsselt ab. Das haben Forscher von Viaforensics herausgefunden.
Mit einem Update kann Apple nun über die integrierte Schutzfunktion XProtect alias File Quarantine den Flashback-Trojaner in der Variante B erkennen. Für das Update hat Apple allerdings fast einen Monat gebraucht und deckt damit vermutlich nicht alle Varianten des Trojaners ab.
Deepsec 2011 Das größte Sicherheitsrisiko im Unternehmen ist der Mensch, sagt Sicherheitsexpertin Sharon Conheady. Statt Mülltonnen durchwühlen Cyberkriminelle heute soziale Netzwerke nach Informationen über ihre Opfer.
Deepsec 2011 Penetration-Tester Mitja Kolsek findet in fast jeder Bank Sicherheitslücken. Mit diesen lässt sich Geld aus dem Nichts erzeugen, durch Rundungsfehler eine Rente sichern oder negative Beträge verschenken. Die Angriffe fallen allerdings meist auf.
Die Sicherheitsfunktion File Quarantine von Mac OS X ist das Ziel eines neuen Trojaners, der so tut, als wäre er ein Installationsprogramm für den Flashplayer. Per Social Engineering wird versucht, den Nutzer zur Aufgabe seiner Sicherheit zu überreden.
Microsoft hat sich eine neue Marketingkampagne für den Internet Explorer ausgedacht. Yourbrowsermatters.org soll Nutzern anzeigen, wie sicher der eigene Browser ist. Dabei liegt der Internet Explorer vor Chrome und Firefox.
Nutzer des Mac-OS-X-Messengers Adium sollten genau hinsehen, wenn ihnen jemand eine Datei mit eigenartigem Namen schicken will. Wie Noptrix herausgefunden hat, kann die Software damit dazu gebracht werden, HTML- und Javascript-Code auszuführen.
Nur wenige Stunden nachdem Apple mit dem Sicherheitsupdate 2011-003 die Schadsoftware Mac Defender unschädlich gemacht hat, haben die Angreifer ihre Software angepasst. Eine neue Variante erkennt Mac OS X 10.6 nicht mehr. Ein Katz- und Mausspiel beginnt.
