Kategorie: sicherheit heise Security

Hacking Team: „Wir sind das Opfer“

Der Hersteller von aggressiver Überwachungs-Software sieht sich als einziges Opfer in der Affäre um die Veröffentlichung von Daten, die die Zusammenarbeit des Unternehmens mit autoritären Staaten belegen sollen. Der ganze Artikel: Hacking Team: „Wir sind das Opfer“

Vier offene Lücken im mobilen Internet Explorer

HPs hatte vor sechs Monaten vier Lücken in der mobilen Version des Internet Explorers an Microsoft gemeldet. Nachdem ein Update immer noch aussteht, wurden nun die Details veröffentlicht. Die Lücken ermöglichen das Ausführen von Schadcode aus der Ferne. Der ganze…

IT-Sicherheitsgesetz tritt in Kraft

Das "Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme" bringt zunächst verschärfte Anforderungen für Serveradmins und Meldepflichten für Provider sowie Kernkraftwerksbetreiber mit sich. Der ganze Artikel: IT-Sicherheitsgesetz tritt in Kraft

Microsofts Advanced Threat Analytics soll Firmennetze schützen

Microsoft will Firmennetze mit Advanced Threat Analytics gegen Angriffe und Eindringlinge wappnen. Die Software setzt am Active Directory an, soll lernfähig sein und präsentiert Verdächtiges in einer Zeitleiste. Der ganze Artikel: Microsofts Advanced Threat Analytics soll Firmennetze schützen

Sicherheitsupdate für WordPress

WordPress 4.2.3 stopft unter anderem ein Sicherheitsloch, durch die Nutzer mit bestimmten Rechten die gesamte Site kompromittieren können. Der ganze Artikel: Sicherheitsupdate für WordPress

IT-Sicherheitsgesetz für Autos in den USA vorgestellt

Moderne Autos sind quasi rollende Computer – und anfällig für Hackerangriffe, wie sich zuletzt diese Woche zeigte. US-Politiker wollen daher gesetzliche Pflichten für mehr Sicherheit und Datenschutz schaffen. Der ganze Artikel: IT-Sicherheitsgesetz für Autos in den USA vorgestellt

Daybreak-Chef Smedley tritt nach Lizard-Squad-Angriffen zurück

Schon als Daybreak noch Sony Online Entertainment hieß, lieferte sich CEO John Smedley Gefechte mit der Lizard Squad. Kürzlich hatte er ein Mitglied der Gruppe öffentlich als "Stück Dreck" bezeichnet. Der ganze Artikel: Daybreak-Chef Smedley tritt nach Lizard-Squad-Angriffen zurück

Löchrige VMs: Den PGP-Schlüssel des Nachbarn klauen

Teilt man sich auf einem virtuellen Server die gleiche Hardware mit anderen VMs, kann man diese ausspionieren. Dabei lassen sich auf überraschend vielen Wegen Side-Channel-Angriffe durchführen. Der ganze Artikel: Löchrige VMs: Den PGP-Schlüssel des Nachbarn klauen

Hintergrund: Das Geschäft mit den Zero Days

Der Verkauf von bisher unbekannten Sicherheitslücken, sogenannten Zero Days, scheidet die Geister. Manche halten dieses Geschäft für unmoralisch, andere sagen, es sollte illegal sein. Vor allem ist es aber wohl sehr lukrativ. Der ganze Artikel: Hintergrund: Das Geschäft mit den…

Informatiker gegen „offensive Cyberfähigkeiten“ der Bundeswehr

Zwei Informatikervereinigungen kritisieren Pläne von Verteidigungsministerin Ursula von der Leyen scharf, die Bundeswehr zur Kriegsführung im Internet zu ertüchtigen. Stattdessen sei die Cyberverteidigung zu stärken. Der ganze Artikel: Informatiker gegen „offensive Cyberfähigkeiten“ der Bundeswehr

Hacker steuern Jeep Cherokee fern

Durch eine Schwachstelle im Infotainmentsystem konnten Sicherheitsforscher die Kontrolle über einen Jeep übernehmen – über das Internet. Anfällig sind möglicherweise weitere Modelle des Fiat-Chrysler-Konzerns. Ein erstes Update schafft Abhilfe. Der ganze Artikel: Hacker steuern Jeep Cherokee fern

Jetzt patchen: Notfall-Update für alle Windows-Versionen

Außerplanmäßig hat Microsoft ein kritisches Sicherheitsloch in Windows gepatcht, durch das Angreifer Schadcode einschleusen können. Ein passender Exploit kursiert bereits – im öffentlich zugänglichen Fundus des Spionagesoftware-Herstellers Hacking Team. Der ganze Artikel: Jetzt patchen: Notfall-Update für alle Windows-Versionen

RC4 NOMORE: Forscher knacken RC4 in 52 Stunden

Vermutlich in Rekordzeit konnten belgische Forscher Sitzungs-Cookies aus RC4-verschlüsseltem Datenverkehr rekonstruieren. Der RC4 NOMORE getaufte Angriff ist ein weiterer Sargnagel für die Stromverschlüsselung. Der ganze Artikel: RC4 NOMORE: Forscher knacken RC4 in 52 Stunden

Hacking Team wollte mit Drohnen hacken

Die auf Drohnen spezialisierte Boeing-Tochter Insitu wollte mit der italienischen Software-Firma Hacking Team ins Geschäft kommen, um ihren Kunden eine fliegende Hotspot-Falle anzubieten. Der ganze Artikel: Hacking Team wollte mit Drohnen hacken

OpenSSH anfällig für Bruteforce-Angriffe

Die eingestellte Grenze der maximal möglichen Passwort-Angaben vor einem Verbindungsabbruch lässt sich in einigen Konfigurationen recht einfach austricksen. Der ganze Artikel: OpenSSH anfällig für Bruteforce-Angriffe

Office-2011-Update behebt Sicherheitslücken

Microsoft versorgt sein älteres Büropaket weiterhin mit Security-Patches. In der letzten Woche erschien Version 14.5.3, die mehrere problematische Bugs behebt. Der ganze Artikel: Office-2011-Update behebt Sicherheitslücken

Cyber-Attacke auf Seitensprung-Portal

"Das Leben ist kurz. Gönn‘ Dir eine Affäre." – mit diesem Slogan wirbt das Seitensprung-Portal Ashley Madison, das angeblich über 37 Millionen Nutzer hat. Für diese könnte es jetzt unangenehm werden, nachdem Hacker die Kundendaten kopiert haben wollen. Der ganze…

Snowden-Appell an die IETF: „Schützt die Internetnutzer“

Der NSA-Whistleblower Edward Snowden hat sich an die Teilnehmer der 93. Tagung der Standardisierungsorganisation Internet Engineering Taskforce gewandt. Er appellierte, technisch der nächsten Generation von Angriffen auf die Infrastruktur vorzubeugen. Der ganze Artikel: Snowden-Appell an die IETF: „Schützt die Internetnutzer“

Botnetz-Baukasten im Web veröffentlicht

Der bisher auf dem Schwarzmarkt für 5000 US-Dollar verkaufte Baukasten zur Programmierung von ZeusVM-Trojanern ist nun kostenlos nutzbar, weshalb mehr solcher Trojaner auftauchen könnten. Der ganze Artikel: Botnetz-Baukasten im Web veröffentlicht

Kommentar: Weg mit Flash!

Bei Adobes Plug-in stimmt die Balance aus Nutzen und Risiko nicht mehr. Es wird Zeit, dieses Relikt abzuschalten, meint Herbert Braun Der ganze Artikel: Kommentar: Weg mit Flash!

Noch mehr SSL-Lücken: Mace und andere Poodle-Freunde

Inspiriert von der Poodle-Lücke hat ein Sicherheitsforscher ähnlich gelagerte Probleme mit SSL/TLS-Implementationen gefunden. Betroffen ist vor allem Hardware von Cisco, Juniper und F5. Der ganze Artikel: Noch mehr SSL-Lücken: Mace und andere Poodle-Freunde

Apple blockiert ältere Flash- und Java-Versionen

OS X verhindert die Verwendung älterer Versionen von Adobes Flash-Player sowie des Java-Web-Plugins aus Sicherheitsgründen. Nutzer müssen die bereits veröffentlichten Updates einspielen. Der ganze Artikel: Apple blockiert ältere Flash- und Java-Versionen

Foren bei Epic Games geknackt, Passwörter kopiert

Die Entwickler von Gears of War und der Unreal Engine untersuchen einen Einbruch in ihre Forensoftware. Nutzer wurden angehalten, ihre Passwörter auch auf anderen Webseiten zu ändern. Der ganze Artikel: Foren bei Epic Games geknackt, Passwörter kopiert

Internationale Polizei-Operation: Cybercrime-Forum Darkode ausgehoben

Mit einer weltweiten Polizei-Aktion wurde das Hacker-Forum Darkode vom Netz genommen. Auf Darkode wurden Tools, Exploits und ähnliches ausgetauscht. Laut Europol war es das bedeutendste englischsprachige Forum seiner Art. Der ganze Artikel: Internationale Polizei-Operation: Cybercrime-Forum Darkode ausgehoben

Oracle Critical Patch Update dichtet 193 Lücken ab

Wie üblich bei Oracles quartalsweisen Updates stopft die Firma massenweise Lücken in fast allen ihrer Produkte. Sogar die Ghost-Lücke vom Januar feiert ein Comeback. Besonders die Updates für Java und MySQL sollten baldigst installiert werden. Der ganze Artikel: Oracle Critical…

Patchday: Adobe dichtet Flash und Shockwave ab

Zwei kritische Lücken im Flash-Player und in Shockwave wurden von Adobe geschlossen. Updates stehen zum Download bereit und sollten schnellstmöglich installiert werden. Besonders die Flash-Lücken sind momentan das Ziel vermehrter Angriffe. Der ganze Artikel: Patchday: Adobe dichtet Flash und Shockwave…

Hacking Team verwendet UEFI-Rootkit

Mit einem speziellen Hintertür-Programm im UEFI-BIOS soll die Spionage-Software von Hacking Team sogar Neuinstallationen von Windows überlebt haben, berichtet Trend Micro. Der ganze Artikel: Hacking Team verwendet UEFI-Rootkit

ProxyHam: Abgesagter Def-Con-Talk erhitzt die Gemüter

Eigentlich sollte auf der Sicherheitskonferenz ein Hardware-Proxy vorgestellt werden, das den Internetzugang seiner Nutzer verschleiert. Jetzt wurde der Vortrag abgesagt und Beobachter vermuten einen Eingriff der US-Behörden. Der ganze Artikel: ProxyHam: Abgesagter Def-Con-Talk erhitzt die Gemüter

Noch ein Zero-Day: Offene Lücke in Java wird angegriffen

Diesmal ist nicht das Hacking Team schuld, die offene Lücke in Java musst aber trotzdem als gefährlich betrachtet werden. Angreifer können beliebigen Schadcode ausführen; einen Patch gibt es noch nicht. Der ganze Artikel: Noch ein Zero-Day: Offene Lücke in Java…

Passwort-Manager Mitro macht dicht

Nach dem Kauf durch Twitter hatten die Entwickler den Dienst auf eigene Faust am Laufen gehalten. Damit ist nun Schluss. Der ganze Artikel: Passwort-Manager Mitro macht dicht

Nach Hacking-Team-Leak: Zwei neue Flash-Lücken aufgetaucht

Schon wieder muss Adobe kritische Lücken im Flash-Player stopfen, die wohl aus dem Fundus des gehackten Schnüffel-Tool-Herstellers Hacking Team stammen. Ein Patch solle aber erst im Laufe der Woche kommen. Der ganze Artikel: Nach Hacking-Team-Leak: Zwei neue Flash-Lücken aufgetaucht

US-Behördenchefin tritt nach massiven Cyber-Angriffen zurück

Erst war von rund vier Millionen Datensätzen die Rede. Doch nach einer zweiten Cyber-Attacke auf die US-Bundesverwaltung sind weitere 21 Millionen Menschen betroffen. Der Druck auf die Direktorin stieg – nun räumt Katherine Archuleta ihren Schreibtisch. Der ganze Artikel: US-Behördenchefin…

Programmier-Tipps für die BIOS-Backdoor

Der Hacker Cr4sh erklärt, wie er eine Hintertür in die UEFI-Firmware eines Intel-Mainboards einbaut. Dabei zeigen sich einmal mehr kritische Lücken in der x86-Plattform, vor allem beim System Management Mode. Der ganze Artikel: Programmier-Tipps für die BIOS-Backdoor

Magento-Patch: Update soll Kundendaten-Leck stopfen

Im Shop-System Magento klaffen Lücken, die es Angreifern erlauben, Admin-Konten zu kapern und Kundendaten auszulesen. Der Hersteller hat jetzt einen Patch veröffentlicht, der Abhilfe schaffen soll. Der ganze Artikel: Magento-Patch: Update soll Kundendaten-Leck stopfen

Bundesrat lässt IT-Sicherheitsgesetz passieren

Betreiber kritischer Infrastrukturen sollen künftig Sicherheitsstandards einhalten und Störungen melden müssen. Dem Gesetz dazu hat der Bundesrat nun zugestimmt. Der ganze Artikel: Bundesrat lässt IT-Sicherheitsgesetz passieren

Apple integriert Zwei-Faktor-Authentifizierung in iOS 9 und OS X 10.11

Der iPhone-Hersteller will die Nutzung des Schutzsystems vereinfachen, es wird Systembestandteil. Die neue Version der Zwei-Faktor-Authentifizierung soll davor bewahren, den Zugriff auf den eigenen Account unwiederbringlich zu verlieren. Der ganze Artikel: Apple integriert Zwei-Faktor-Authentifizierung in iOS 9 und OS X…

Finnland: 17-jähriger Botnetz-Betreiber verurteilt

Über 50.000 Rechner für ein Botnetz gekapert, DDoS-Attacken geritten und Kreditkartendaten geklaut: Ein 17-jähriger Finne, angeblich Mitglied der Hackergruppe Lizard Squad, wird zu zwei Jahren auf Bewährung verurteilt. Der ganze Artikel: Finnland: 17-jähriger Botnetz-Betreiber verurteilt

US-Regierung will gute Verschlüsselung abschaffen

In einer Anhörung vor dem US-Senat fordern Regierungsvertreter, dass gute Verschlüsselung unterlassen oder gar gesetzlich verboten werden soll. Eine von Obama eingesetzte Expertengruppe empfiehlt das Gegenteil. Der ganze Artikel: US-Regierung will gute Verschlüsselung abschaffen

Puzzles sollen gegen DDoS-Angriffe schützen

Um verteilte Denial-of-Service-Attacken auf Krypto-Dienste zu verhindern, sollen die Clients erst mal ein Puzzle lösen, bevor sie diese in Anspruch nehmen können. Doch der Vorschlag ist nicht unproblematisch. Der ganze Artikel: Puzzles sollen gegen DDoS-Angriffe schützen

Blue-Pill-Lücke in Xen geschlossen

In der langen Liste der Sicherheits-Verbesserungen von Xen 4.5.1 finden sich auch eine Lücke, die den Ausbruch aus einer virtuellen Maschine erlaubt – und ein geheimnisvoller, noch undokumentierte Eintrag. Der ganze Artikel: Blue-Pill-Lücke in Xen geschlossen

Überwachungssoftware: Aus Hacking Team wurde Hacked Team

Hacker haben Rechner des italienischen Softwarelieferanten Hacking Team angegriffen und 480 GByte Daten erbeutet. Veröffentlichungen zeigen, dass die Firma keinerlei Bedenken hatte, Überwachungssoftware an Diktauren zu verkaufen und dies verschleierte. Der ganze Artikel: Überwachungssoftware: Aus Hacking Team wurde Hacked Team

Wassenaar-Abkommen: Forscher zensieren sich selbst

Mit Verweis auf das Wassenaar-Abkommen zur Rüstungskontrolle entfernte ein Forscher ganze Seiten und Bilder aus seiner Dissertation zur Effektivität von Microsofts Schutz-Werkzeug EMET. Der ganze Artikel: Wassenaar-Abkommen: Forscher zensieren sich selbst

Biometrisch zahlen mit Mastercard

Mastercard experimentiert mit biometrischen Verfahren beim Bezahlen im Netz: Fingerabdrücke, Stimmerkennung, Herzschlag oder eine raffinierte Gesichtserkennung sollen Betrügereien verhindern. Der ganze Artikel: Biometrisch zahlen mit Mastercard

Apple: EFI-Sicherheits-Update nicht für ältere Macs

Das Sicherheits-Update, das eine mögliche Modifikation der Firmware verhindert, steht zwar für ältere OS-X-Versionen zur Verfügung – lässt sich jedoch nur auf jüngeren Macs installieren. Der ganze Artikel: Apple: EFI-Sicherheits-Update nicht für ältere Macs

Firefox 39 entfernt SSLv3 und RC4

Mit leichter Verspätung hat Mozilla eine neue Version seines Firefox-Browsers veröffentlicht. Sie verbessert den Schutz vor Malware und deaktiviert veraltete Verschlüsselungsverfahren. Der ganze Artikel: Firefox 39 entfernt SSLv3 und RC4

Elektronischer Reisepass: Bundesdruckerei übernimmt zentralen Prüfdienst

Die Daten auf dem elektronischen Reisepass sind mit Zertifikaten der ausstellenden Behörden gesichert, deren öffentliche Schlüssel im Public Key Directory der Luftfahrtbehörde ICAO hinterlegt sind. Diese Dienstleistung übernimmt nun die Bundesdruckerei. Der ganze Artikel: Elektronischer Reisepass: Bundesdruckerei übernimmt zentralen Prüfdienst

Mailbox.org startet PGP-Verschlüsselung im Webmailer

Mailbox.org bietet ab sofort die Möglichkeit, PGP-Schlüssel in der Web-Oberfläche zu erzeugen und zu verwalten. Bei dem Konzept des Providers verbleibt allerdings auch der geheime Schlüssel auf dem Server. Der ganze Artikel: Mailbox.org startet PGP-Verschlüsselung im Webmailer

NoScript: Ausnahmeregeln als Einfallstor für Angreifer

Eigentlich soll NoScript vermeintlich gefährliche Elemente auf Webseiten blocken. Doch bis vor Kurzem hätten Angreifer über die als vertrauenswürdig eingestufte Google Cloud Malware auf Computer schmuggeln können. Der ganze Artikel: NoScript: Ausnahmeregeln als Einfallstor für Angreifer