Kategorie: sicherheit heise Security

Weiterleitung auf SMB-Freigabe petzt Passwort-Hash

Durch eine Umleitung auf SMB-Freigaben kann ein Angreifer Windows dazu bringen, den Passwort-Hash des angemeldeten Nutzers zu verschicken. Das Problem ist seit über 18 Jahren bekannt, ausnutzen lässt sich die Lücke über etliche bekannte Programme. Der ganze Artikel: heise Security

Weltumspannendes Botnetz stillgelegt

Das aus mehreren Ländern operierende Botnetz Simda wurde zu Fall gebracht. 770.000 gekaperte Computer befanden sich zuletzt unter der Kontrolle der Drahtzieher. Der ganze Artikel: heise Security

Sicherheitssoftware klemmt Windows vom IPv6-Internet ab

Die Sicherheitssoftware Warsaw 1.5.1 für Windows blockiert Internetserver, die sowohl über IPv6 als auch IPv4 erreichbar sind. Betroffen sind vor allem mehrere Millionen brasilianischer Windows-Geräte, deren Nutzer Homebanking betreiben. Der ganze Artikel: heise Security

OS X 10.10.3 soll gegen Adware helfen

Apple hat weitere Maßnahmen gegen Adware ergriffen, die verstärkt kostenlosen Mac-Programmen beim Download beigelegt wird und unter anderem Browser-Einstellungen ändert. Der ganze Artikel: heise Security

Cyber-Angriff auf belgischen Zeitungsverlag

Angreifer haben die Webseiten des belgischen Verlages Rossel lahmgelegt. Über die Hintergründe ist derzeit nichts bekannt – auf eine Verbindung zu der Attacke auf TV5 Monde gäbe es aktuell keine Hinweise. Der ganze Artikel: heise Security

Lufthansa-Kunden Opfer einer Cyber-Attacke

Unbekannte Hacker haben Kunden des Lufthansa-Bonusmeilenprogramms attackiert. Bei dem Angriff wurden massenhaft Passwörter ausprobiert. Die Lufthansa betont, dass es kein Datenleck in ihren Systemen gegeben hat, sondern nur Accounts betroffen waren. Der ganze Artikel: heise Security

Sicherheitslücke: OS X zu freizügig mit Admin-Rechten

Apple hat eine Sicherheitslücke in Mac OS X "Yosemite" geschlossen, die seit mindestens vier Jahren bestand. Damit kann ein Angreifer die Nutzerrechte eines beliebigen Benutzers so ausweiten, dass er Befehle mit Root-Rechten ausführen kann. Der ganze Artikel: heise Security

Passwörter im TV-Bild: Spekulationen zu TV5-Attacke

Noch ist nicht klar, wie die wohl islamistischen Angreifer Zugang zu den Systemen des französischen Senders TV5 erhalten haben. Als eine Möglichkeit werden derzeit Zugangsdaten gehandelt, die im Hintergrund von Fernsehbildern zu erkennen waren. Der ganze Artikel: heise Security

Nach Angriff auf TV5: Krisentreffen der Medien-Chefs

Frankreichs Kultusministerin will sich nun mit den Chefs der größten Medienhäuser ihres Landes treffen, um sich über deren Abwehrbereitschaft gegen Cyberkriminelle zu informieren. Derweil läuft es bei TV5 nach dem Hackerangriff noch nicht wieder normal. Der ganze Artikel: heise Security

Hintergrund: Das BSI und der Elfenbeinturm

Technische Richtlinien des BSI einfach eins-zu-eins umzusetzen, kann bös ins Auge gehen. Das lernte ein Admin auf die harte Tour, als er die Vorgaben für die "Verwendung von Transport Layer Security" zu wörtlich nahm. Der ganze Artikel: heise Security

Beebone: FBI und Europol legen Wurm-Netz lahm

Das interessante am ausgeschalteten Beebone-Botnetz ist der Schädling dahinter: Es handelt sich um einen Downloader, der anderen Unrat nachlädt, sich selber weiter verbreitet und dabei ständig mutiert. Der ganze Artikel: heise Security

Messenger Telegram mit zweitem Faktor

Mit einem zusätzlichen Passwort können Telegram-Nutzer ihre Accounts nun noch weiter absichern. Zudem verrät der Dienst, wie viele Sitzungen aktuell mit dem genutzten Account offen sind. Der ganze Artikel: heise Security

Europol: Die Zukunft der organisierten Kriminalität

Zum ersten Mal hat Europol eine Studie veröffentlicht, die versucht, künftige Entwicklungen der organisierten Kriminalität vorherzusagen. Dabei spielt die IT eine wichtige Rolle, nicht nur im zunehmenden Cybercrime. Der ganze Artikel: heise Security

Islamisten hacken TV5

Islamistische Hacker haben Mittwochabend die Fernsehkanäle von TV5Monde lahmgelegt. Über die Online-Präsenzen von TV5 wurden Drohungen verbreitet. Der ganze Artikel: heise Security

Tor-Router Anonabox mit stümperhafter Sicherheit

Ein Sicherheitsforscher, der die Anonabox unter die Lupe genommen hat, fand gravierende Mängel. Aus dem WLAN ist das Gerät jedem Angreifer mit einem Modikum an Motivation schutzlos ausgeliefert. Das Passwort für den Root-Zugang ist "admin". Der ganze Artikel: heise Security

Redaktionelles Webinar: Risiko Logfiles

Der richtige Umgang mit Logdaten stellt Admins regelmäßig vor schwere Probleme. Denn für die Fehler-, Sicherheits- und Angriffsanalyse sind diese Infos einerseits unerlässlich – ihre Verarbeitung birgt andererseits jedoch erhebliche rechtliche Risiken. Der ganze Artikel: heise Security

c’t wissen Windows: Das Reparier-Handbuch

Irgendwas ist ja immer, das gilt auch für Windows. Dann helfen die Praxis-Anleitungen des aktuellen Windows-Handbuchs der c’t. Auf CD mit dabei: die Neuauflage unseres c’t-Notfall-Windows. Der ganze Artikel: heise Security

E-Mail-Sicherheit: Gedächtnislücken und Darkmail-Ideen

Die Internet Engineering Task Force hat sich die Vertraulichkeit der Internetprotokolle auf die Fahnen geschrieben. Was lässt sich bei E-Mails noch machen? Zum Beispiel Metadaten verbergen. Auch gibt es Versuche, sichere E-Mail handlicher zu machen. Der ganze Artikel: heise Security

Google verbannt SSL-Zertikate von CNNIC

CNNIC hatte gefälschten SSL-Zertikate für Google-Domains beglaubigt und legt laut Google wenig Transparenz beim Signieren von Zwischen-Zertifizierungsstellen an den Tag. Der ganze Artikel: heise Security

Löcher in der JWT-Sessionverwaltung

Handlungsbedarf für Administratoren, die JSON Web Token einsetzen, um die Sessions angemeldeter Benutzer zu verwalten: Schwachstellen in mehreren Bibliotheken erlauben es Angreifern, sich beliebige Nutzerrechte zu verschaffen. Der ganze Artikel: heise Security

Krypto-Messenger Threema mit Verbindungsproblemen

Threema kämpft seit Mittwochmorgen mit Verbindungsproblemen. Obwohl die Server des Betreibers einwandfrei laufen sollen, können Kunden von o2 und E-Plus keine Verbindung mit dem Dienst herstellen. Der ganze Artikel: heise Security

Threema zerstört Account auf Wunsch

Nutzer der aktuellen Threema-Versionen von Android und iOS können bei Bedarf ihren Account löschen lassen, wenn sie vorher ein spezielles Passwort festgelegt haben. Das ist etwa dann nützlich, wenn das Handy geklaut wurde. Der ganze Artikel: heise Security

Europol-Chef warnt vor Verschlüsselung

Europol-Direktor Rob Wainwright meint, "das größte Problem für Sicherheitsbehörden" im Kampf gegen den Terrorismus sei es, wenn Krypto-Produkte breit eingesetzt werden. Gegen das "Dark Net" kämen die Fahnder nicht an. Der ganze Artikel: heise Security

Hacker greifen Kundenkonten bei British Airways an

Mehreren tausend Mitgliedern des Vielfliegerprogramms "Executive Club" bei British Airways wurden vorübergehend die Nutzerkonten eingefroren. Unbekannte Angreifer wollten sich der Accounts bemächtigen. Der ganze Artikel: heise Security

Gefängnisausbruch mittels E-Mail-Betrug

Feile und aus Seife geschnitzte Pistole sind Vergangenheit: Der moderne Ausbrecher erwirkt seine Entlassung per Social Engineering, wie der Fall eines britischen Häftlings zeigt. Der ganze Artikel: heise Security

Gefährliches Gedächtnis der Grafikkarte

Ein Informatik-Student reist in die Vergangenheit und rekonstruiert kürzlich gerenderte Bilder einer Grafikkarte. Was derzeit ein Proof of Concept ist, könnte durchaus ernste Sicherheitsprobleme bedeuten. Der ganze Artikel: heise Security

Verschlüsselung: Deutlich verbesserte Angriffe auf RC4

Zwei Forscherteams haben bekannte Angriffe so weit optimiert, dass man damit aus verschlüsselten Verbindungen Passwörter extrahieren kann. Sie unterminieren damit das Vertrauen in das immer noch viel genutzte Verschlüsselungsverfahren weiter. Der ganze Artikel: heise Security

Hacking-Kit für Steuergeräte im Auto

Ein Hacking-Toolkit soll dabei helfen, IT-Sicherheitslücken bei Autos aufzudecken. Ziel ist es, die Hersteller zu mehr Sorgfalt bei diesem Thema zu bewegen. Der ganze Artikel: heise Security

l+f: XSS’s not dead, die zweite

Nur weil es keine Schlagzeilen mehr macht, ist es noch lange nicht aus der Welt: Heute gibt’s XSS + CSRF in der OpenSource-Firewall pfSense. Der ganze Artikel: heise Security

l+f: Freak-Fix auch bei Mono

Eine weitere SSL-Implemantation, die für den Freak-Angriff verwundbar ist, findet sich bei Mono. Updates sollen das Problem jetzt beheben. Der ganze Artikel: heise Security

Neue Enigmail-Version bringt UI-Feinschliff

Zum ersten Mal seit über einem halben Jahr gibt es ein Update für das PGP-Plug-in Enigmail für Thunderbird. Verbesserungen an der grafischen Oberfläche sollen das Versenden verschlüsselter Mails erleichtern. Der ganze Artikel: heise Security

l+f: XXS’s not dead

Nur weil es keine Schlagzeilen mehr macht, ist es noch lange nicht aus der Welt. Das beweist etwa eine XSS-Lücke bei Amazon. Der ganze Artikel: heise Security

Die Rückkehr einer totgeglaubten Flash-Lücke

Trotz eines vor vier Jahren von Adobe veröffentlichten Patches für das Flex SDK kursieren immer noch verwundbare Shockwave-Flash-Elemente auf vielen Webseiten. Das könnten Angreifer ausnutzen und sensible Nutzer-Daten abgreifen. Der ganze Artikel: heise Security

Google deckt erneut Missbrauch im SSL-Zertifizierungssystem auf

Über das Public-Key-Pinning im Webbrowser Chrome ist Google auf gefälschte Zertifikate für Google-Domains gestoßen. Diese werden von der Root-CA CNNIC beglaubigt, der viele Betriebssysteme und Browser beim Aufbau verschlüsselter Verbindungen vertrauen. Der ganze Artikel: heise Security

Videoportal Twitch vermutlich gehackt

Die Twitch-Betreiber gehen von einem Leck in der Datenbank mit den Nutzerinformationen aus und haben bereits erste Vorsichtsmaßnahmen getroffen. Der ganze Artikel: heise Security

Apple: Anti-Viren-Apps für iOS „irreführend“

Als Begründung für den plötzlichen Rauswurf von Anti-Viren-Software aus dem App Store hat Apple einem Bericht zufolge angeführt, diese Apps könnten Nutzer glauben lassen, es gäbe Viren für iOS. Der ganze Artikel: heise Security

Linux-Entwickler erschweren Rowhammer-Angriffe

Momentan kann ein Programm mit einfachen Nutzerrechten beim Kernel erfragen, wo im Speicher die Daten eines Prozesses liegen. Das vereinfacht den Rowhammer-Angriff. Ab Linux 4.0 soll das allerdings nicht mehr möglich sein. Der ganze Artikel: heise Security

OpenSSL liefert Freak-Update

Mit neuen Versionen der Kryptobibliothek OpenSSL schließt das Team des Open-Source-Projektes eine ganze Reihe von Schwachstellen; darunter auch die Freak-Lücke. Admins sollten die Updates umgehend einspielen. Der ganze Artikel: heise Security

Aktiver Angriff auf Shop-System xt:Commerce

Angreifer nutzen die Sicherheitslücke in einem Versionszweig des Online-Shop-Systems xt:Commerce aktiv aus, um an sensible Kundendaten zu gelangen. Wer den Hotfix noch nicht eingespielt hat, sollte dies jetzt schleunigst tun. Der ganze Artikel: heise Security

CeBIT: c’t nachgehakt CeBIT-Special 3: Security

Eines der großen Themen dieser CeBIT ist "Security". Im gläsernen CeBIT-Studio auf der Security-Plaza in Halle 6 diskutieren Georg Schnurer und Fabian Scherschel über verschlüsselten E-Mail-Versand, Messenger und weitere Aspekte sicherer Kommunikation. Der ganze Artikel: heise Security