Kategorie: sicherheit heise Security

Exploits für SSH-Backdoor in Junipers Netzgeräten

Für den Zugriff auf Junipers SSH-Backdoor soll man doch keinen gültigen Nutzernamen benötigen. Zudem suchen Angreifer derzeit gezielt nach verwundbaren ScreenOS-Versionen. Der ganze Artikel: Exploits für SSH-Backdoor in Junipers Netzgeräten

Bericht: Hacker haben Teile des US-Stromnetzes infiltriert

In rund zwölf Fällen sollen Cyberangriffe auf Kontrollzentren von Energieversorgern in den USA während der vergangenen zehn Jahre erfolgreich gewesen sein. Der Hack des Anbieters Calpine ging wohl vom Iran aus. Der ganze Artikel: Bericht: Hacker haben Teile des US-Stromnetzes…

Nutzerdaten von Millionen Hello-Kitty-Fans waren öffentlich abrufbar

Ein Sicherheitsforscher ist auf eine öffentlich zugängliche Datenbank mit Daten von 3,3 Millionen Nutzern des Hello-Kitty-Portals Sanriotown.com gestoßen. Zwischenzeitlich sollen aber keine Nutzerdaten abgezogen worden sein. Der ganze Artikel: Nutzerdaten von Millionen Hello-Kitty-Fans waren öffentlich abrufbar

Neues Sicherheitsupdate: Joomla immer noch verwundbar

Die vergangene Woche veröffentlichte Version 3.4.6 des CMS-Systems Joomla sollte eine kritische Schwachstelle stopfen. Angreifer können Joomla aber immer noch attackieren. Version 3.4.7 soll die Lücke nun endgültig schließen. Der ganze Artikel: Neues Sicherheitsupdate: Joomla immer noch verwundbar

Instagram: Sicherheitsforscher beharkte erfolgreich Admin-Panel

Über Schwachstellen in der Admin-Oberfläche von Instagram stößt ein Kryptologe unter anderem auf Fotos von Nutzern und SSL-Zertifikate inklusive privater Schlüssel. Facebook prangert die Vorgehensweise des Sicherheitsforschers an. Der ganze Artikel: Instagram: Sicherheitsforscher beharkte erfolgreich Admin-Panel

Google Chrome: Abschied von SHA-1-siginierten SSL-Zertifikaten

Ab Anfang nächsten Jahres wird Google Chrome keine neu ausgestellten SHA-1-signierten SSL-Zertifikate von öffentlichen CAs mehr akzeptieren. SHA-1 gilt seit zehn Jahren als unsicher, wird aber immer noch von HTTPS-Sites verwendet. Der ganze Artikel: Google Chrome: Abschied von SHA-1-siginierten SSL-Zertifikaten

Ausrüstung für die Überwachungsindustrie

Ein Katalog der US-Regierung gewährt Einblicke in die technischen Möglichkeiten, die heutzutage zum Abhören der Handy-Kommunikation verfügbar sind. Der ganze Artikel: Ausrüstung für die Überwachungsindustrie

Disclosure-Drama bei Facebook

Ein Forscher meldet Facebook eine schwere Sicherheitslücke, fühlt sich dabei ungerecht behandelt und das Drama nimmt seinen Lauf. Der ganze Artikel: Disclosure-Drama bei Facebook

Sophos übernimmt Sicherheitsdienstleister SurfRight

Der britische Security-Dienstleister Sophos hat das niederländische Unternehmen SurfRight übernommen. Das entwickelt Software, die Infektionen ohne Signaturen erkennt und beseitigt. Dessen Produkte sollen fortgeführt werden. Der ganze Artikel: Sophos übernimmt Sicherheitsdienstleister SurfRight

FBI untersucht Schnüffelcode bei Juniper

Juniper hat Schadcode im eigenen Betriebssystem gefunden, der die Geräte und darüber laufenden verschlüsselten Datenverkehr angreifbar macht. Nun untersucht das FBI die Konsequenzen, denn viele US-Ministerien nutzen Juniper-Hardware. Der ganze Artikel: FBI untersucht Schnüffelcode bei Juniper

Update für Crimeware Kit Microsoft Word Intruder

Über Sicherheitslücken in Microsoft Word kann ein Dateianhang schon beim Öffnen Windows-Systeme infizieren. Der Autor des im Untergrund beliebten Crimeware Kits MWI legt jetzt mit neuen Exploits nach. Der ganze Artikel: Update für Crimeware Kit Microsoft Word Intruder

l+f: heisec sucht U-Boot

"Weitere Informationen zu diesem Stellenangebot und zum Bewerbungsverfahren entnehmen Sie bitte der Homepage des Bundesnachrichtendienstes." Der ganze Artikel: l+f: heisec sucht U-Boot

Über 35.000 offene MongoDB-Datenbanken im Internet

Zehntausende MongoDB-Datenbanken stehen ungesichert im Internet und jedermann kann sich durch die Datenbestände klicken. Daran sind vor allem unsichere Konfigurationen schuld. Der ganze Artikel: Über 35.000 offene MongoDB-Datenbanken im Internet

UN: Digitale Blauhelme für den Cyberwar

Die IT-Chefin der UNO, Atefeh Riazi, möchte IT-Experten als eine Art digitale Blauhelme rekrutieren. Das sei entscheidend für die Zukunft der Organisation; denn die Kriege der Zukunft seien Cyberkriege. Der ganze Artikel: UN: Digitale Blauhelme für den Cyberwar

Experten zu Überwachungstechnik: „Exploits radikal verbieten“

Je sicherer ein IT-Produkt sei, desto schwerer sei es, in dieses einzudringen und Nutzer zu überwachen, erklärten Sachverständige bei einem Fachgespräch im Bundestag. Ausnutzbare Schwachstellen dürften nicht mehr gehandelt werden. Der ganze Artikel: Experten zu Überwachungstechnik: „Exploits radikal verbieten“

„Sicherheitslücke des Teufels“ bedroht FireEye-Systeme

Eine kritische Lücke in Sicherheits-Produkten von FireEye erlaubt es Angreifern, beliebigen bösartigen Code aus der Ferne auszuführen. Allein indem sie eine E-Mail durch das betroffene Netzwerk schicken. Der ganze Artikel: „Sicherheitslücke des Teufels“ bedroht FireEye-Systeme

Bösartige Weihnachts-Apps spionieren Android-Geräte aus

Eine eigentlich auf das Ausspionieren von Software-Firmen spezialisierte APT-Gruppe nutzt die Gunst der Stunde und verbreitet unter dem Deckmantel von Weihnachten Spionage-Apps für Android-Geräte. Der ganze Artikel: Bösartige Weihnachts-Apps spionieren Android-Geräte aus

Firefox 43 blockiert unsignierte Erweiterungen

Version 43 des Browsers Firefox blockiert unsignierte Erweiterungen und schützt Nutzer besser vor Tracking. Für Windows ist zudem eine finale 64-bit-Version verfügbar. Der ganze Artikel: Firefox 43 blockiert unsignierte Erweiterungen

Sicherheitspaket UTM von Sophos löchrig

Das Unified-Thread-Management-Paket von Sophos ist bedroht und einem Sicherheitsforscher zufolge können Angreifer etwa die Firewall deaktivieren. Die Lücken sollen bereits gefixt sein; Patches sind aber noch nicht verfügbar. Der ganze Artikel: Sicherheitspaket UTM von Sophos löchrig

EU-Datenschützer schlägt Alarm wegen Wildwuchs von Spionagesoftware

Der EU-Datenschutzbeauftragte Giovanni Buttarelli mahnt, dass der Handel mit und der Einsatz von Überwachungssoftware sowie "Zero-Day-Exploits" stärker reguliert werden sollte. Der "Appetit" nach solcher Technik sei groß. Der ganze Artikel: EU-Datenschützer schlägt Alarm wegen Wildwuchs von Spionagesoftware

Joomla-Version 3.4.6 stopft kritische Sicherheitslücke

Über eine Schwachstelle in fast allen Joomla-Versionen können Angreifer eigenen Code aus der Ferne ausführen. Die Entwickler empfehlen Nutzern die abgedichtete Version so schnell wie möglich zu installieren. Der ganze Artikel: Joomla-Version 3.4.6 stopft kritische Sicherheitslücke

Twitter warnt vor staatlichen Angriffen auf seine Nutzer

Die Betreiber des sozialen Netzwerkes haben nach eigenen Angaben Angriffe auf die eigenen Nutzer festgestellt, die von staatlich organisierten Tätern ausgehen sollen. Besonders Tor-Nutzer und Privacy-Aktivisten scheinen betroffen. Der ganze Artikel: Twitter warnt vor staatlichen Angriffen auf seine Nutzer

BSI-Chef Hange ist im Ruhestand

BSI-Chef Michael Hange geht in den Ruhestand. Ab Februar 2016 wird Arne Schönbohm das Bundesamt für Sicherheit in der Informationstechnik (BSI) leiten. Im BSI gibt es deshalb Irritationen. Der ganze Artikel: BSI-Chef Hange ist im Ruhestand

iTunes-Update: Klassische Musik und gestopfte Sicherheitslücken

Apple hat in der neuen iTunes-Version 12.3.2 die Suchmöglichkeiten nach klassischer Musik im hauseigenen Streaming-Dienst verbessert. Die Aktualisierung beseitigt Schwachstellen in der WebKit-Basis der Windows-Version. Der ganze Artikel: iTunes-Update: Klassische Musik und gestopfte Sicherheitslücken

Post-Snowden-Krypto: Schnelle Hacks und große Konzepte

Die Krypto-Forscher der Technischen Universität Eindhoven luden zur Post-Snowden-Krypto-Konferenz nach Brüssel und versorgten dabei gleich auch noch das Europäische Parlament mit Know-how für mehr Sicherheit. Der ganze Artikel: Post-Snowden-Krypto: Schnelle Hacks und große Konzepte

Lenovo schließt erneut Lücke in Service-Software

Auf PCs und Laptops vom Hersteller vorinstallierte Software ist manchmal nützlich, manchmal aber auch gefährlich: System-Update-Tools können zur Trojaner-Schleuse werden. Aktuell müssen sich Nutzer des Lenovo Solution Center um ein Update kümmern. Der ganze Artikel: Lenovo schließt erneut Lücke in…

NIST will Feedback zur Absicherung von kritischer Infrastruktur

Die US-Standardisierungsbehörde möchte ihr Richtlinienpapier zur IT-Sicherheit von Kraftwerken und Industrieanlagen verbessern und bittet um Mithilfe. Allerdings ist das NIST bei Sicherheitsexperten momentan nicht gerade unumstritten. Der ganze Artikel: NIST will Feedback zur Absicherung von kritischer Infrastruktur

Audit von Let’s Encrypt aufgetaucht

Let’s Encrypt geriet in die Kritik, da die vorgeschriebene Sicherheitsprüfung noch nicht vorlag, die CA aber schon Zertifikate ausstellte. Nun ist sind die Audit-Berichte plötzlich online einsehbar. Der ganze Artikel: Audit von Let’s Encrypt aufgetaucht

FBI-Mitarbeiterin: Wir nutzen Zero-Day-Lücken aus

Die Leiterin der Abteilung "Forschung und Technik" des FBI hat zugegeben, dass ihre Behörde Zero-Day-Lücken missbraucht. Außerdem bedauert sie, dass die Kooperationen mit Internetfirmen nach Snowden noch nicht zurück auf dem alten "Level" sind. Der ganze Artikel: FBI-Mitarbeiterin: Wir nutzen…

Gefährliches Duo: Erpressungstrojaner kommt mit Word-Datei

Derzeit sollte man jeden Dateianhang in einer E-Mail kritisch betrachten. Denn in letzter Zeit häufen sich Vorfälle, bei denen etwa präparierte Word-Dateien Computer infizieren. Die aktuelle Viren-Welle ist bis ins NRW-Innenministerium vorgedrungen. Der ganze Artikel: Gefährliches Duo: Erpressungstrojaner kommt mit…

Cisco untersucht eigenes Portfolio auf gefährliche Java-Lücke

Die weit verbreitete Java-Bibliothek Apache Common Collections ist verwundbar. Cisco untersucht nun, ob die Lücken in seinen Anwendungen und Geräten klafft. Außerdem wurden weitere potentiell angreifbare Java-Bibliotheken entdeckt. Der ganze Artikel: Cisco untersucht eigenes Portfolio auf gefährliche Java-Lücke

Verschlüsselungstrojaner: Neue TeslaCrypt-Version grassiert

Ransomware ist der absolute Renner in der Crimeware-Szene. Seit einigen Tagen gibt es vermehrt Hinweise auf Infektionen durch eine neue Version des Verschlüsselungstrojaners TeslaCrypt, der Dateien verschlüsselt und mit der Endung .vvv versieht. Der ganze Artikel: Verschlüsselungstrojaner: Neue TeslaCrypt-Version grassiert

Patchday: Windows im Zeichen der kritischen Updates

Microsoft verteilt diesen Monat zwölf Sicherheitsupdates für Windows, Office und Co. Davon ist ein Großteil als kritisch eingestuft. Ein Update für Outlook wurde zurückgezogen. Der ganze Artikel: Patchday: Windows im Zeichen der kritischen Updates

Grünes Licht für neues EU-Gesetz zur Cybersicherheit

Verhandlungsführer des EU-Rates und des Parlaments haben sich auf einen gemeinsamen Entwurf für eine Richtlinie zur Netzwerk- und Informationssicherheit geeinigt. Auch auf einige Online-Anbieter kommen neue Auflagen zu. Der ganze Artikel: Grünes Licht für neues EU-Gesetz zur Cybersicherheit

Verschlüsselnde Datenbank ZeroDB wird Open Source

ZeroDB basiert auf der Zope Object Database und bietet Ende-zu-Ende-Verschlüsselung. Von der Offenlegung des Source-Codes versprechen sich die Macher Unterstützung aus der Community und Projektideen. Der ganze Artikel: Verschlüsselnde Datenbank ZeroDB wird Open Source

Malware-Cocktail spioniert, infiziert und erpresst

Das Angler Exploit-Kit soll Hand in Hand mit der Malware Pony arbeiten. Diese ist auf der Suche nach Log-in-Daten von Webservern, um das Exploit-Kit zu installieren. Der ganze Artikel: Malware-Cocktail spioniert, infiziert und erpresst

Passwort-Cracker hashcat wird Open Source

Die unter anderem für das Cracken von Hashes per Grafikchip (GPU) optimierte Software hashcat steht ab sofort im Quelltext als Open Source zum Download. Zudem soll hashcat jetzt noch flexibler und effizienter sein. Der ganze Artikel: Passwort-Cracker hashcat wird Open…

Augen auf beim Weihnachts-Phish

In der Hoffnung auf satte Gewinne haben Kriminelle kräftig in ein möglichst authentisches Erscheinungsbild ihrer Phishing-Kampagnen investiert. Es wird immer schwieriger, nicht auf die zum Teil fast perfekten Fälschungen hereinzufallen. Der ganze Artikel: Augen auf beim Weihnachts-Phish

Bundespolizei warnt nur nachträglich vor gefälschten E-Mails

Unter der Tarnung gefälschter Absenderadressen werden immer wieder schädliche E-Mails verbreitet. Bundesbehörden sind bei den Tätern offenbar besonders beliebt, da sie keine Vorsorgemaßnahmen in den DNS-Einträgen ihrer Mailserver treffen. Der ganze Artikel: Bundespolizei warnt nur nachträglich vor gefälschten E-Mails

OpenSSL-Sicherheits-Update und Abschied von Altlasten

Im Rahmen eines Sicherheits-Updates verkündet das OpenSSL-Team, dass die Versionen 0.9.8 und 1.0.0 keine weiteren Updates mehr erhalten werden. Deren Nutzer sollten dringend auf neuere Versionen umsteigen. Der ganze Artikel: OpenSSL-Sicherheits-Update und Abschied von Altlasten

Erneute Kritik an „Hello Barbie“: App mit Schwachstellen

Sicherheitsforscher können nicht aufhören, mit der interaktiven Barbie-Puppe zu spielen. Dieses Mal sind sie auf Schwachstellen in der App und im Server, der die Sprachdaten verarbeitet, gestoßen. Der ganze Artikel: Erneute Kritik an „Hello Barbie“: App mit Schwachstellen

Serverseitiges JavaScript: Node.js-Patch nun verfügbar

Das Update adressiert die letzte Woche gemeldete DoS-Schwachstelle und den Zugriffsfehler bei der JavaScript-Engine V8. Gleichzeitig umfasst es die ebenfalls diese Woche aktualisierten OpenSSL-Bibliotheken. Der ganze Artikel: Serverseitiges JavaScript: Node.js-Patch nun verfügbar

Botnetzbetreiber nutzen Dropbox als toten Briefkasten

Die Malware Lowball soll Dropbox-Accounts missbrauchen, um infizierte Rechner in einem Botnetz anzusteuern. So wollen Online-Kriminelle Ermittlern die Spurensuche erschweren. Der ganze Artikel: Botnetzbetreiber nutzen Dropbox als toten Briefkasten

Dell verschlimmbessert die Foundation-Services-Lücke

Angreifer aus dem Web können bei bestimmten Dell-Rechnern den Service-Tag auslesen und die Nutzer so tracken. Dell hat diese Lücke nun geschlossen. Seit dem Update kann man allerdings unter anderem die gesamte Hardware-Konfiguration auslesen. Der ganze Artikel: Dell verschlimmbessert die…

Bluescreen: Falsche Telekom-Techniker fordern Anruf

Und wieder eine Betrugsmasche mit falschem Telefon-Support: Diesmal simuliert Malware einen Bluescreen, der zum Anruf bei angeblichen Telekom-Mitarbeitern auffordert. Der ganze Artikel: Bluescreen: Falsche Telekom-Techniker fordern Anruf

Dell Foundation Service ermöglicht Tracking von Nutzern

Im Dell Foundation Service zur Wartung von Computern klafft eine Schwachstelle, über die Angreifer die Service-Tag-Nummer auslesen können. Eine gefixte Version steht zum Download bereit. Der ganze Artikel: Dell Foundation Service ermöglicht Tracking von Nutzern

Phishing-Test bei der Berliner Polizei

Die Berliner Polizei will das Sicherheitsbewusstsein ihrer Mitarbeiter sensibilisieren. Dafür hat sie gefälschte E-Mails in Umlauf gebracht, um Log-in-Daten der Beamten abzugreifen. Der ganze Artikel: Phishing-Test bei der Berliner Polizei

Serverseitiges JavaScript: Node.js-Patch verzögert sich

Grund der Verzögerung des Security-Updates für das serverseitige JavaScript ist die Verschiebung des OpenSSL-Updates. Die Aktualisierung soll nun zwei Tage später erfolgen als ursprünglich geplant. Der ganze Artikel: Serverseitiges JavaScript: Node.js-Patch verzögert sich

Überwachung: Blackberry will Pakistan verlassen

Weil Pakistans Regierung zu viel Zugriff auf die eigenen Netze verlange, wollte sich Blackberry eigentlich zum Dezember aus dem Land zurückziehen. Nun gab es aber eine Fristverlängerung und die Gespräche sollen weitergehen. Der ganze Artikel: Überwachung: Blackberry will Pakistan verlassen

Dell Root-CA-Desaster: Microsoft bringt Updates in Stellung

Mit einem Update für mehrere seiner Sicherheits-Tools will Microsoft zwei digitale Zertifikate entfernen, die auf Computern des Herstellers Dell zu Sicherheitsrisiken wurden. Erste Schadsoftware, die das Einfallstor nutzt, wurde bereits gefunden. Der ganze Artikel: Dell Root-CA-Desaster: Microsoft bringt Updates in…

„Hello Barbie“: Interaktive Barbie gehackt

Kritische Eltern und Datenschützer nennen die Puppe mit Mikrofon und WLAN "Abhör-Barbie". Diese Kritik ist gar nicht so weit hergeholt, wie ein Sicherheitsforscher nun bewiesen hat. Der ganze Artikel: „Hello Barbie“: Interaktive Barbie gehackt