VIREN - TROJANER und andere Probleme

[Yilmaz]

AUGUST 2012
----------------------------------------------------------------------------------




Sparkassenkunden aufgepasst: Phishing-Attacke auf Kreditkartendaten

Sparkassenkunden sollten sich vor einer Phishing-Attacke in Acht nehmen, über die der IT-Sicherheitsdienstleister G-Data berichtet
[ http://www.gdata.de/nc/pressecenter/art ... pagne.html ].
Die Cyberkriminellen verschicken E-Mails, in denen Sparkassenkunden aufgefordert werden einem Link zu folgen, um ihre Kreditkarteninformationen auf der Website der Bank zu aktualisieren. Der Anwender landet dann auf einer Website die der offiziellen Sparkassen-Homepage bis ins letzte Detail nachempfunden ist, u.a. inklusive Werbeanzeigen und Aktien-Diagramme. Gibt der Anwender unter dem Menüpunkt "Kreditkarten" seine Kreditkartendaten in eine Maske ein, gelangen diese zu den Online-Betrügern. Dabei überprüfen sie sogar die Plausibilität der Eingabe anhand der Länge der Kreditkartennummer und geben eine Fehlermeldung heraus, falls das Opfer eine kürzere oder längere Nummer eingegeben hat.
Mehr zum Thema Phishing und wie Sie sich vor Angriffen schützen können, erfahren Sie auf der Website BSI FUER BUERGER
[ https://www.bsi-fuer-buerger.de/BSIFB/D ... _node.html ].



"Crisis" sucht sich neue Opfer: Mac-Trojaner infiziert auch Windowssysteme

Ursprünglich befiel der Mitte Juli aufgetauchte Trojaner "Crisis" ausschließlich Mac-Systeme. Nun berichten IT-Sicherheitsexperten von Symantec
[ http://www.symantec.com/connect/blogs/c ... l-machines ],
dass Varianten der Malware auch sogenannte virtuelle Maschinen, Windows-PCs sowie mobile Geräte mit Windows Mobile angreift. Der Anwender wird demnach verleitet, eine Datei zu installieren, die sich als Adobe Flash Installer tarnt. Einmal ausgeführt, installiert der Trojaner den zum Betriebssystem passenden Schadcode. Fortan werden alle E-Mails und Instant-Messaging-Nachrichten mitgelesen sowie Website-Aufrufe protokolliert.



Hacker-Attacke auf Philips: Hunderttausende Kundendaten gestohlen

Der Elektronikkonzern Philips wurde offenbar Opfer eines Hackerangriffs. Einer Hackergruppe namens "r00tbeer" ist es dem IT-Sicherheitsdienstleister Naked Security zufolge
[ http://nakedsecurity.sophos.com/2012/08 ... passwords/ ]
gelungen an die persönlichen Daten von Anwendern zu gelangen, die sich auf der Philips-Website registriert haben. Rund 200.000 E-Mail-Adressen sowie weitere Kundendaten gingen verloren. Darunter teilweise unverschlüsselte Namen, Postadressen, Geburtsdaten, Telefonnummern und Passwörter. Die gleiche Hackergruppe hatte erst kürzlich das Blog des Computerchip-Herstellers AMD angegriffen [ http://blogs.amd.com/ ] und dort ebenfalls zahlreiche Nutzerdaten entwendet.



Sicherheitslücke in Java: Deaktivierung ist der beste Schutz

Der IT-Nachrichtendienst heise.de
[ http://www.heise.de/security/meldung/Wa ... 75454.html ]
und dass BSI warnen vor einer Sicherheitslücke
[ https://www.bsi.bund.de/ContentBSI/Pres ... 82012.html ]
in der aktuellen Java-Version, für die es derzeit kein Update gibt. Über die Schwachstelle ist es möglich, dass ein Computer beim Besuch einer entsprechend manipulierten Website mit Schadcode infiziert wird. Laut heise.de könnten Angreifer beliebige Programme unbefugt laden und ausführen. Betroffen sollen alle 7er-Versionen der Programmiersprache Java in Verbindung mit allen verbreiteten Browsern sein. Heise.de empfiehlt Anwendern, die Java auf ihrem System installiert haben, das Programm solange zu deaktivieren, bis Herausgeber Oracle ein Sicherheitsupdate veröffentlicht. Das BSI empfiehlt, das Browser-Plug-in generell zu deaktivieren, da es ein permanentes Sicherheitsrisiko darstellt. Es sollte nur manuell gezielt auf vertrauenswürdigen Websites aktiviert werden.
Mehr Informationen zu Java und dazu, wie Sie die korrekten Einstellungen auf ihrem PC vornehmen, erfahren Sie auf der Website BSI FUER BUERGER im Abschnitt "Aktive Inhalte"
[ https://www.bsi-fuer-buerger.de/Content ... halte.html ].




Noch ein Update für Adobe Flash Player: Weitere Sicherheitslücken geschlossen

Nur eine Woche nach der regulären Veröffentlichung von Sicherheitsupdates versendet Adobe erneut und außerplanmäßig Aktualisierungen für den Adobe Flash Player [ http://www.adobe.com/support/security/b ... 12-19.html ]. Windows- und Mac-Anwender sollten auf die Version 11.4.402.265 updaten, Linux-Anwender auf die Version 11.2.202.238. Behoben werden fünf Sicherheitslücken, die Angreifer ausnutzen könnten, um die Kontrolle über Anwendersysteme zu erlangen. Updates sind auch für Android-Versionen des Flash Players erschienen: Version 11.1.115.17, für Android 4.x, und 11.1.111.16, für Android 3.x und älter.
Auf einer Testseite von Adobe [ http://www.adobe.com/de/software/flash/about/ ] können Anwender prüfen, welche Version sie installiert haben und falls notwendig gleich eine Aktualisierung durchführen. Alle Updates können über den Downloadbereich auf der Adobe-Homepage [ http://www.adobe.com/de/downloads/ ] bezogen werden.



WhatsApp sendet nur noch verschlüsselt: Nachrichten nicht mehr öffentlich im Klartext

Für viele Smartphone-Nutzer ist die Messaging-Anwendung WhatsApp die Alternative zum SMS-Versand geworden. Die App stand allerdings in der Kritik von IT-Sicherheitsexperten, weil Nachrichten unverschlüsselt im Klartext versendet wurden und etwa in offenen Netzwerken somit für Unbefugte einsehbar waren. Nun liegt das Programm in einer aktualisierten Version vor, die Nachrichten nur noch verschlüsselt und damit unleserlich übermittelt.
Wie heise.de berichtet
[ http://www.heise.de/security/meldung/Wh ... 73054.html ],
wird aber nach wie vor die Telefonnummer des Absenders unverschlüsselt übermittelt. Das Update wurde Recherchen des Bochumer IT-Sicherheitsdienstleisters G-Data
[ http://blog.gdatasoftware.com/blog/arti ... ublic.html ]
zufolge bereits im Juli und August über die in der App integrierte Updatefunktion für die diversen mobilen Betriebssysteme ausgeliefert.



Mozilla behebt mehrere Sicherheitslücken: Neue Versionen von Firefox, Thunderbird und SeaMonkey

Mozilla hat mehrere Schwachstellen im Browser Firefox, dem E-Mail-Client Thunderbird und dem Programmpaket SeaMonkey geschlossen. Diese Schwachstellen können von einem entfernten, anonymen Angreifer ausgenutzt werden, um beliebigen Code mit den Rechten des angemeldeten Benutzers auszuführen, den Rechner des Opfers zum Absturz zu bringen (Denial of Service), einen Cross-Site-Scripting-Angriff durchzuführen, Sicherheitsfunktionen zu umgehen oder Informationen offenzulegen. Zur erfolgreichen Ausnutzung dieser Schwachstellen muss der Angreifer den Anwender dazu bringen eine manipulierte E-Mail oder Webseite zu öffnen. Die Sicherheitsupdates stehen jeweils über die integrierte Update-Funktion zur Verfügung.




Victorinox ruft USB-Stick-Taschenmesser zurück: Sicherheitszertifikat für Verschlüsselungssoftware läuft aus

Der Schweizer Messerproduzent Victorinox ruft seine Taschenmesser mit integriertem USB-Stick und Sicherheitsfunktionen zurück. Betroffen sind die Messerserien Presentation Master, Secure und Slim. Als Grund gibt das Unternehmen in einem Facebook-Posting
[ http://www.facebook.com/permalink.php?s ... 2718503165 ]
an, dass das zum mitgelieferten Datenverschlüsselungsprogramm secure.exe gehörende Sicherheitszertifikat von Verisign zum 15. September 2012 seine Gültigkeit verliert. Zudem will Victorinox keine Softwareupdates mehr anbieten und alle Dienstleistungen in diesem Segment ab September 2012 einstellen. Auch die Support-Website http://secure.victorinox.com [ http://secure.victorinox.com/ ] geht offline. Für Anwender, die den Stick ohne Secure-Software verwenden, ergeben sich laut Victorinox dadurch keine Beeinträchtigung.
Wer mit dem Verschlüsselungsprogramm jedoch ein sicheres Laufwerk erstellt hat, solle ein Back-Up seiner Daten erstellen. Kunden können die betroffenen Taschenmesser gegen volle Erstattung des Kaufpreises an Victorinox zurücksenden. Wer eine E-Mail an service@victorinox.ch sendet, erhält alle dazu notwendigen Unterlagen. Das Rücknahmeangebot gilt bis 31. Dezember 2012.



Deutsche sind täglich 83 Minuten online: Zahlen aus der ARD/ZDF-Onlinestudie 2012

Jedes Jahr erheben ARD und ZDF Daten zur Internetnutzung in Deutschland. Zentrales Ergebnis der ARD/ZDF-Onlinestudie 2012 [ http://www.ard-zdf-onlinestudie.de/ ]: Die Internetnutzung steigt weiter. Demnach sind in diesem Jahr 76 Prozent aller Bundesbürger online, das sind 53,4 Millionen Menschen. Gegenüber dem Vorjahr kamen 1,7 Millionen neue Anwender hinzu. Damit hat sich die Zahl der Internetnutzer in den letzten zwölf Jahren nahezu verdreifacht. Die höchsten Zuwachsraten gehen weiterhin von den Über-50-Jährigen aus. 77 Prozent der 50- bis 59-Jährigen nutzen inzwischen das Internet, bei den über 60-Jährigen sind es 39 Prozent. Die mobile Internetnutzung hat sich in den letzten drei Jahren mehr als verdoppelt. Während Smartphones besonders beliebt bei den Unter-30-Jährigen sind, sind Tablets, die inzwischen in acht Prozent der deutschen Haushalte vorhanden sind, die Domäne der 30- bis 49-Jährigen. 15 Prozent aller Onliner besitzen inzwischen ein internetfähiges Fernsehgerät.



Pkw-Bord-Computer von Malware bedroht: Sicherheitsexperten wollen Autos vor Computerviren schützen

Ob Rückspiegelverstellung, Klimaanlage oder Fahrassistenten: In einem modernen Pkw werden zahlreiche Funktionen über Bordcomputer und Elektronik geregelt. Mit dem Einzug des Internets ins Cockpit steigt die Vernetzung weiter. Damit nehme das Risiko zu, dass Bordcomputer von Viren und anderer Malware befallen werden könnten, sagten Vertreter von McAfee und Intel gegenüber der Nachrichtenagentur Reuters
[ http://www.reuters.com/article/2012/08/ ... 3X20120820 ].
Bei der Absicherung von Bord-Computern gebe es noch erheblichen Nachholbedarf. Nach einem erfolgreichen Angriff, etwa über Diagnoseschnittstellen und vom Auto bereitgestellte WLANs, könnten Hacker beispielsweise den Diebstahlschutz umgehen, Gespräche über Freisprecheinrichtungen abhören und Bewegungsprofile über eingebaute Navigationsgeräte erstellen. Gefährdet sei auch die Verkehrssicherheit und damit das Leben von Menschen, wenn etwa Viren Fahrassistenzsysteme außer Kraft setzen würden. Bis heute sei aber noch kein Fall eines gezielten Hackerangriffs auf Pkw-Bord-Computer bekannt geworden, so die Sicherheitsexperten.

[Martina]

Hast Du die Links absichtlich in eckige Klammern gesetzt? So kann man sie nicht amklicken!

[Yilmaz]

So sorry...............war mir nicht aufgefallen, als ich es von der Quelle übernommen habe.

Gruß
und KOPF hoch

Yilmaz

[Yilmaz]

AKTUELL

Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht auf seiner Homepage folgende Information:

Kritische Zero-Day-Schwachstelle im Internet Explorer

Mit breitflächiger Ausnutzung ist zu rechnen / BSI empfiehlt temporär Nutzung eines alternativen Browsers

Bonn, 17.09.2012.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist Internetnutzer auf eine bisher
unbekannte, kritische Schwachstelle im Browser Microsoft Internet Explorer hin. Betroffen sind ITSysteme,
die den Internet Explorer in den Versionen 7 oder 8 unter dem Betriebssystem Microsoft
Windows XP, sowie in den Versionen 8 und 9 unter Microsoft Windows 7 verwenden. Die
Schwachstelle wird bereits in gezielten Angriffen ausgenutzt. Zudem ist der Angriffscode auch frei im
Internet verfügbar, sodass mit einer breitflächigen Ausnutzung rasch zu rechnen ist. Um die
Schwachstelle auszunutzen reicht es aus, den Internetnutzer auf eine präparierte Webseite zu locken.
Beim Anzeigen dieser Webseite kann dann durch Ausnutzen der Schwachstelle beliebiger Code auf
dem betroffenen System mit den Rechten des Nutzers ausgeführt werden.

Ein Sicherheitsupdate des Herstellers ist derzeit nicht verfügbar. Daher empfiehlt das BSI allen
Nutzern des Internet Explorers, so lange einen alternativen Browser für die Internetnutzung zu
verwenden, bis der Hersteller ein Sicherheitsupdate zur Verfügung gestellt hat. Das BSI steht
bezüglich einer Lösung zur Schließung der Schwachstelle mit Microsoft in Verbindung. Sobald die
Sicherheitslücke geschlossen ist, wird das BSI darüber informieren.

Pressekontakt:
Telefon: 0228 99 9582-5777
+49 228 99 9582-5777
Telefax: 0228 99 9582-5455
+49 228 99 9582-5455
E-Mail: presse@bsi.bund.de

[Yilmaz]

Microsoft stellt Sicherheitsupdate für Internet Explorer zur Verfügung


Microsoft hat am Freitagabend ein außerplanmäßiges Sicherheitsupdate für den Internet Explorer zur Verfügung gestellt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Nutzern des Internet Explorers, das Sicherheitsupdate umgehend einzuspielen. Microsoft stellt das Update über den Auto-Update-Mechanismus zur Verfügung. Anwender, die die Auto-Update-Funktion nicht nutzen, sollten das Sicherheitsupdate umgehend über das Windows-Update oder von der Webseite des Herstellers unter http://technet.microsoft.com/en-us/secu ... n/ms12-063 herunterladen und manuell einspielen. Das Sicherheitsupdate schließt eine bisher unbekannte, kritische Schwachstelle im Browser, auf die das BSI die Öffentlichkeit am 17. September 2012 hingewiesen hatte.

[Yilmaz]

SEPTEMBER 2012
------------------------------------------------------------------------------------------

Falscher Alarm: Trojaner tarnt sich als Google-Sicherheitswarnung

Unbekannte versuchen derzeit, über einen E-Mail-Anhang einen Trojaner auf die Computer ahnungsloser Anwender zu schleusen. Dies berichtet pcwelt.de. Demnach verschicken die Cyber-Kriminellen im Namen von Google E-Mails, mit dem Absender "accounts-noreply@google.com" und dem Betreff "Suspicious sign in prevented". Die Anwender werden darauf hingewiesen, dass ein Hacker versucht habe, ihr Google-Konto zu übernehmen. Der Angriff - der tatsächlich nie stattgefunden hat - hätte jedoch verhindert werden können. Weitere Details seien in einer angehängten Datei nachzulesen. Beim Öffnen der anhängenden ZIP-Datei wird eine Exe-Datei entpackt, die bei Ausführung durch den Anwender ein Schadprogramm auf dessen Computer installiert. Da der Trojaner laut pcwelt.de derzeit von vielen Virenschutzprogrammen nicht erkannt wird, wird das sofortige Löschen der E-Mail empfohlen. Keinesfalls sollte der Anhang geöffnet werden.



Attacke auf Online-Banker: Tatanga greift chipTAN-Nutzer an

Trusteer, Anbieter von IT-Sicherheitssoftware, warnt vor einer neuen Variante des Online-Banking-Trojaners Tatanga. Tatanga wurde bereits in der Vergangenheit genutzt, um mobile Transaktionsnummern (mTANs) von Online-Banking-Anwendern abzugreifen. Die neue Variante nutzt ebenfalls die sogenannte Man-in-the-Browser-Technik, hat es aber auf chipTANs abgesehen. Bei diesem Verfahren nutzt der Online-Banking-Anwender einen TAN-Generator mit Ziffernfeld und Karteneinschub. Nach der Erstellung einer Online-Überweisung wird der TAN-Generator mit eingesteckter Bankkarte vor einen sogenannten "Flickercode" auf dem PC-Bildschirm gehalten. Auf diese Weise übermittelt die Bank die Daten der Online-Überweisung (Kontonummer des Empfängers und Betrag) an den TAN-Generator. Nach Bestätigung dieser Daten erhält der chipTAN-Anwender die Transaktionsnummer auf dem Display des TAN-Generators angezeigt und kann die Überweisung über den PC abschließen.
Mit dem Schadprogramm "Tatanga" infizierte Rechner fordern den chipTAN-Anwender nach dem Login zu einer Testüberweisung auf. Über eine gefälschte Website wird der Benutzer aufgefordert, eine TAN zu generieren und einzugeben. Tatanga führt die Transaktion mithilfe der so generierten und vom Benutzer auf der Website der Bank eingegebenen TAN aus. In der Zwischenzeit manipuliert der Trojaner die Überweisungsübersicht beziehungsweise den Kontostand, um die Transaktion gegenüber dem Opfer zu verschleiern.
Anwender des chipTAN-Verfahrens sollten keine unaufgeforderten Testüberweisungen tätigen. Sollten Sie eine derartige Aufforderung nach dem Login in das Online-Konto erhalten, ist es wahrscheinlich, dass Ihr PC mit dem Schadprogramm "Tatanga" infiziert ist. In diesem Fall ist das Zurückspielen einer sauberen Datensicherung oder die Neuinstallation des Betriebssystems empfehlenswert, da sich neben "Tatanga" noch weitere Schadprogramme auf dem PC befinden können.
Mehr zu Gefahren beim Online-Banking und zu Sicherheitsmaßnahmen erfahren Sie im Abschnitt "Online-Banking" auf der Website BSI FUER BUERGER.



Gefahr für Online-Gamer: Guild-Wars-2-Spieler sollen Passwort ändern

ArenaNet, Entwickler von Online-Spielen, warnt registrierte Spieler des Online-Rollenspiels Guild-Wars-2 vor einer Hackerattacke. Im offiziellen Wiki zum vor wenigen Wochen veröffentlichten Online-Spiel Guild-Wars-2 erklärt ArenaNet, Hacker versuchten, Benutzerkonten-Daten von Guild-Wars-2-Spielern von Servern des Unternehmens zu stehlen. ArenaNet ruft die Spieler auf, für ihren Zugang zu Guild-Wars-2 ein neues, einzigartiges Passwort zu wählen, dass in keinem Zusammenhang mit anderen Internetdiensten verwendet wird. Die Hacker verfügten über Listen mit E-Mail-Adressen und Passwörtern, die sie bereits bei anderen Diensten erbeutet haben. Damit konnten sie sich offenbar bereits erfolgreich Zugang zu einigen Spieler-Accounts verschaffen. Spieler, die glauben von dem Hack betroffen zu sein, können sich über ein Online-Formular bei ArenaNet melden. Die Guild-Wars-2-Accounts sind für Hacker ein lohnendes Ziel, da unter anderem den im Online-Rollenspiel erworbenen und gefundenen Gegenständen ein realer Geldwert gegenübersteht.



Update sorgt für Sicherheit: Oracle schließt Java-Schwachstellen

Oracle hat ein außerplanmäßiges Sicherheitsupdate für seine Laufzeitumgebung Java veröffentlicht. Die Version Java 7 Update 7 schließt mehrere kritische Sicherheitslücken. Eine Schwachstelle wurde mehrere Tage aktiv ausgenutzt. Über präparierte Webseiten konnten Anwender, die Java auf ihrem System aktiviert haben, mit Schadsoftware infiziert werden. Angreifer könnten dann unbefugt auf Anwender-PCs zugreifen. Verwenden Sie Java und hat sich das Programm noch nicht automatisch aktualisiert, sollten Sie die aktuelle Java-Version manuell installieren. Diese steht auf der Webseite des Herstellers Oracle zum Download bereit. Das BSI hatte Internetnutzern zudem empfohlen, die Java Plug-Ins des verwendeten Internet-Browsers zu deaktivieren. Nach Installation des Java-Sicherheitsupdates können die Browser Plug-Ins wieder aktiviert und genutzt werden. Wegen der permanenten Sicherheitsrisiken rät das BSI aber generell dazu, Java nur zu nutzen, wenn es unbedingt erforderlich ist. Zum Beispiel sollte Java nur manuell gezielt auf vertrauenswürdigen Webseiten aktiviert werden. Mehr Informationen zu Java und dazu, wie Sie die korrekten Einstellungen auf ihrem PC vornehmen, erfahren Sie auf der Webseite BSI FUER BUERGER im Abschnitt "Aktive Inhalte".



Cloud-Speicher rüstet nach: Dropbox-Zugang auch mit Zwei-Faktor-Authentisierung möglich

Vor einigen Wochen konnten Unbekannte beim Cloudspeicher-Anbieter Dropbox ein Dokument mit E-Mail-Adressen von Dropbox-Nutzern stehlen (Hintergrundinformationen hierzu liefert ein Beitrag auf pcwelt.de). Nun hat Dropbox die Sicherheitsvorkehrungen verschärft. Einem Eintrag im unternehmenseigenen Blog zufolge, ist der Zugang zum Dienst nunmehr zusätzlich auch über eine Zwei-Faktor-Authentisierung möglich. Bislang war der Zugang über eine Nutzername- und Passwort-Abfrage geschützt. Ab sofort kann der Schutz durch die Eingabe eines einmalig nutzbaren sechsstelligen Codes erweitert werden. Der Code ist nur eine Minute gültig, was Unbefugten den Zugang erschweren soll. Ähnlich dem mTAN-Verfahren beim Online-Banking werden die Codes per SMS an den Nutzer verschickt. Unter dem Menüpunkt "Sicherheit" kann der neue Schutzmechanismus auf der offiziellen Dropbox-Webseite aktiviert werden.



Sicherheitslücke in OpenOffice geschlossen: Update auf Version OpenOffice 3.4.1 empfohlen

Für die freie Bürosoftware OpenOffice ist ein Sicherheitsupdate verfügbar. Die Version 3.4.1 schließt eine Sicherheitslücke in der OpenOffice-Version 3.4.0. Möglicherweise sind auch jüngere Versionen betroffen. Als Grund für das Update gibt die Entwickler-Gemeinschaft Apache auf der OpenOffice-Website einen Verarbeitungsfehler beim Öffnen von ODF-Dokumenten an. Dadurch sei es theoretisch möglich, dass Unbefugte sich unter anderem Zugriff auf ein Anwender-System verschaffen können. Im Programmmenü kann OpenOffice unter dem Punkt "Hilfe" über die integrierte Update-Funktion aktualisiert werden. Alternativ steht OpenOffice 3.4.1 auf der Website des Projekts zum Download bereit. Anwender, die ihre Software nicht sofort aktualisieren können, sollten beim Umgang mit ODF-Dokumenten aus unbekannten Quellen achtsam sein.



Privater Surfen: Firefox behebt Fehler im Privat-Surfen-Modus

Mozilla hat mit einem Update eine Schwachstelle im Browser Firefox geschlossen. Darauf weist eine Notiz auf der Firefox-Webseite hin. Grund für das Sicherheitsupdate ist, dass im "Privaten Modus" nicht alle besuchten Internetadressen sowie Bilder, Suchanfragen, Passwörter und Cookies nach Beendigung der Sitzung aus dem Speicher des Browsers gelöscht wurden. Das Surfen im "Privaten Modus" von Firefox soll eigentlich bewirken, dass keine Datenspuren auf der Festplatte oder im Arbeitsspeicher zurückbleiben. Eine andere Person, die etwa in einem Internetcafé auf dem Rechner das gleiche Benutzerkonto verwendet, könnte mittels Eingabe der Zeichenfolge "about:cache" in die Adressleiste des Browsers feststellen, welche Webseiten besucht wurden. Die Version 15.0.1 wird von Firefox automatisch im Hintergrund installiert - Anwender müssen nichts unternehmen, um das Update zu erhalten.



Der Feind im Fernseher: Sicherheitsexperten warnen vor Viren in Smart-TVs

Anlässlich der gerade zu Ende gegangenen Internationalen Funkausstellung (IFA) in Berlin informiert der Hersteller von IT-Sicherheitssoftware G-Data über die Sicherheitsrisiken in Verbindung mit Smart-TVs. Smart-TVs sind Fernseher mit einem integrierten Computer und Internetverbindung. Über die Geräte können Anwender zum Beispiel im Internet surfen, sie mithilfe der integrierten Kamera zur Video-Telefonie einsetzen oder zum Teil kostenpflichtige Services, wie Online-Videotheken, nutzen. G-Data geht davon aus, dass die Anwendungsvielfalt und die Vernetzung mit anderen internetfähigen Geräten die Smart-TVs zu einem attraktiven Angriffsziel für Cyber-Kriminelle macht. "Würde es Angreifern gelingen, die internetfähigen Geräte mit Schadcode zu infizieren, würde sich das für die Täter in mehrfacher Hinsicht lohnen: Von Datendiebstahl über das Ausspähen des Wohnzimmers per Smart-TV-Kamera bis hin zur Einbindung in Botnetze oder die Nutzung der Rechenpower zum Knacken von Zugangsdaten ist alles denkbar", sagt G-Data. Es gebe erste Erkenntnisse, dass Hacker Angriffsmöglichkeiten prüfen. Laut G-Data müssten sich viele Nutzer von Smart TVs noch bewusst werden, dass die Geräte den gleichen Bedrohungen ausgesetzt sind wie andere Rechner mit Internetzugang. Eine entsprechende Absicherung der Internetverbindung sollte deshalb selbstverständlich sein.



Apps herunterladen ohne Risiko: App-Stores im Sicherheitscheck von computerwoche.de

Wer sein Smartphone oder Tablet mit Apps aufrüsten will, besucht dazu einen App-Marktplatz. Es gibt viele Marktplätze im Internet - doch nicht jeder ist sicher. Wer sich eine App aus zweifelhafter Quelle besorgt, muss damit rechnen, dass sich hinter der vermeintlich hilfreichen Mini-Anwendung tatsächlich ein Schadprogramm verbirgt. Sicherer sind da die App-Shops kommerzieller Anbieter, wie Google Play, Apples App-Store oder Amazons Appstore for Android. Doch auch diese Marktplätze unterscheiden sich in puncto Sicherheit. In einem Anbieter-Vergleich stellt computerwoche.de die wichtigsten App-Marktplätze vor und berichtet über die Schwachstellen in deren Sicherheitsvorkehrungen. So wird beispielsweise bei einigen Anbietern die Identität des App-Entwicklers nicht ausreichend geprüft. Schwarze Schafe haben es so leichter, bösartige Anwendungen auf dem Marktplatz zu veröffentlichen. Vor allem für Anwender des Betriebssystems Android ist der Vergleich interessant, weil sie Apps aus mehreren Quellen beziehen können.

[Yilmaz]

OKTOBER 2012
------------------------------------------


Datenverlust droht: Sicherheitslücke in Android-Smartphones

Nach Angaben mehrerer IT-Sicherheitsexperten verfügen Smartphones mit dem Betriebssystem Android 4.0.x oder älter über eine kritische Sicherheitslücke. Wie etwa die IT-Sicherheitsdienstleister G Data und Avira berichten, können Angreifer sogenannte USSD-Steuercodes (Unstructured Supplementary Service Data) ohne Zutun und Kenntnisnahme der Anwender auf mobilen Geräten ausführen. Angreifer können die Codes über einen speziellen Link auf einer Website, per SMS, QR-Code (Quick-Response-Code) oder NFC (Near Field Communication) auf das mobile Gerät übertragen. In der Folge kann die SIM-Karte gesperrt oder das Telefon auf die Werkseinstellungen zurückgesetzt werden, wodurch alle Daten verloren gehen. Laut Avira könnten zudem alle Anrufe auf eine kostenpflichtige Nummer umgeleitet werden, was dem Anwender finanziellen Schaden zufügen würde. Solche Links dienen normalerweise dazu, das Wählen einer auf einer Website dargestellten Telefonnummer zu vereinfachen. Der Anwender muss nur den codierten Link der Nummer anklicken, um automatisch eine Rufverbindung aufzubauen. Diese Links werden von Angreifern missbraucht um USSD-Steuercodes an dem Android-Smartphone auszuführen.
Auf heise.de ist ein USSD-Check verfügbar, mit dem Anwender prüfen können, ob ihr mobiles Gerät über die Schwachstelle verfügt. Über Google Play sind zudem kostenlose Apps von G Data und Avira verfügbar, mit denen das unberechtigte Ausführen von USSD-Steuercodes verhindert werden kann.

Falsche Reservierung: Spam-E-Mail missbraucht hotel.de

Die Website botfrei.de warnt vor einer Spam-Attacke. Demnach kursieren derzeit Spam-E-Mails, die sich als Buchungsbestätigung für ein Hotelzimmer tarnen. Durch Verwendung der Absenderadresse "confirmation@hotel.de" wird der Eindruck erweckt, der E-Mail-Empfänger hätte ein Zimmer über das Reiseportal hotel.de reserviert und die Buchung bereits per Kreditkarte bezahlt. Im Anhang der E-Mail findet sich eine ZIP-Datei mit der vermeintlichen Buchungsbestätigung. In der Datei enthalten ist Schadcode, der sich beim Öffnen des Anhangs auf den Rechner des Anwenders überträgt. Laut botfrei.de handelt es sich um eine Variante des Banking-Trojaners Zeus, der versucht Zugangsdaten zu Bezahldiensten, Online-Banking oder E-Mails-Accounts auszuspähen. Wie Sie sich erfolgreich gegen Spam-Angriffe wehren können, erfahren Sie auf der Website BSI-FUER-BUERGER.

Zu viele Rechte: Spionagegefahr durch "Angry-Birds"-Plug-in für Chrome

Der IT-Sicherheitsdienstleister Barracuda Networks warnt Anwender vor einem Plug-in in der Machart des beliebten Spiels "Angry Birds" für den Google-Browser Chrome. Der Erweiterung namens "Angry Birds Bad Piggies", veröffentlicht von Playook im Chrome Web Store, werden bei der Installation weitgehende Zugriffsrechte auf Anwenderdaten und Systeminformationen eingeräumt, so Barracuda Networks. Während des Spielens werde unerwünschte Werbung eingeblendet, zudem könne das Plug-in im Extremfall von Angreifern dazu missbraucht werden Zugangsdaten zu Webdiensten wie dem Online-Banking auszuspionieren. Barracuda Networks empfiehlt die Browsererweiterung nicht zu installieren bzw. sie wieder vom System zu entfernen und sich generell über die Zugriffsrechte von Apps und Erweiterungen vor deren Installation zu informieren. Bei dem Browser-Plug-in handelt es sich um eine Nachahmung des beliebten Spiels "Angry Birds - Bad Piggies" von Rovio. Das Spiel ist im Original für das iPhone und das iPad kostenpflichtig, für Android-Geräte hingegen kostenlos erhältlich.


Update auf Chrome 22: Google schließt 23 Sicherheitslücken

Chrome 22, die neueste Version des Google-Browsers, schließt 23 Sicherheitslücken. Von 15 Schwachstellen geht den englischsprachigen Versionshinweisen zufolge ein "hohes" Risiko für die IT-Sicherheit aus. Die Schwachstellen in Vorgängerversionen konnten von Angreifern beispielsweise ausgenutzt werden, um den Browser zum Absturz zu bringen. Auch das Einschleusen und Ausführen von Schadcode wäre möglich gewesen, wenn Anwender eine manipulierte E-Mail oder Webseite geöffnet hätten. Das Sicherheitsupdate sollte so schnell es geht installiert werden. Dies erfolgt am einfachsten über die automatische Update-Funktion des Browsers. Das Update wird im Hintergrund heruntergeladen und mit dem Beenden des Browsers installiert.

Foxit-Reader aktualisiert: Sicherheitsleck in alternativem PDF-Reader geschlossen

Foxit Software hat eine Sicherheitslücke im kostenlosen PDF-Betrachter Foxit-Reader geschlossen. Darüber berichtet das "PC Magazin". Die neue Version 5.4.3.0920 kommt demnach mit einem Patch, der das Einschleusen und Ausführen von Code durch Angreifer verhindern soll. Ein IT-Sicherheitsunternehmen hatte die Sicherheitslücke in den älteren Versionen gefunden.

Microsoft-Patchday: Word und Windows mit Schwachstellen

An jedem zweiten Dienstag eines Monats - dem sogenannten Patchday - veröffentlicht Microsoft Updates für seine Programme. Im Oktober gibt es sieben Aktualisierungspakete, die insgesamt 20 Sicherheitslücken schließen. Betroffen sind u.a. das Programm Office und das Betriebssystem Windows. Ein Update schließt eine als "kritisch" eingestufte Schwachstelle in der Textverarbeitung Word als Teil aller Office-Versionen ab Office 2003. Angreifer hätten über die Sicherheitslücke Schadcode auf dem Rechner des Opfers ausführen können. Die Updates können am einfachsten über die im Microsoft Sicherheitscenter verfügbare Aktivierung von automatischen Updates oder über einen Besuch der "Windows Update"-Webseite eingespielt werden.



1234: Forscher erstellt Liste der meistgenutzten PIN-Codes

1234, 1111, 0000, 1212, 7777: Das sind die häufigsten PIN-Codes, jedes fünfte Handy beziehungsweise jede fünfte EC- und Kreditkarte sind mit diesen Zahlenkombinationen gesichert. Das hat Nick Berry von der Beratungsfirma Data Genetics herausgefunden, Süddeutsche Online berichtet darüber. Nick Berry hat anonymisierte Datensätze aus 3,4 Millionen PIN-Codes analysiert. Das Ergebnis: Viele Menschen wählen ihre Persönliche Identifikationsnummer nicht nach Sicherheitsaspekten, sondern nach Bequemlichkeit. Das macht es für Angreifer einfach. Rein rechnerisch beträgt die Wahrscheinlichkeit, den richtigen Code zu finden 0,01 Prozent. Doch die Realität sieht anders aus: Die von Nick Berry erstellte Liste mit den häufigsten Codes zeigt, dass einfach zu merkende Zahlenkombinationen sehr viel häufiger benutzt werden als andere - das sind einfache Zahlenfolgen, Jahreszahlen (z.B. Jahr der Geburt), Glückszahlen, runde Zahlen und solche Kombinationen, deren Ziffern auf dem Ziffernfeld nah beieinander oder in einer Reihe liegen, etwa die 2580. Sicherer aber sind Zahlen, die keiner dieser Kategorien zuzuordnen sind.


Tipps zur E-Mail-Sicherheit: Mehr Vertraulichkeit für die "digitale Postkarte"

Die Sicherheit von E-Mails kommt nach wie vor zu kurz", schreibt das IT-Fachmagazin "Computerwoche" - und gibt Hinweise, wie man E-Mails sicher verschicken und empfangen kann. Dazu zählt zum Beispiel der Hinweis, dass in E-Mails keine vertraulichen Daten wie die von Bankkonten und Kreditkarten gehören. Denn E-Mails sind standardmäßig nicht verschlüsselt und deshalb wie eine Postkarte öffentlich einsehbar. Abhilfe kann das Verschlüsseln von E-Mails schaffen. Dafür gibt es zum Beispiel das Programm "Gpg4win", das das BSI empfiehlt. Auch den Hinweis, dass Anwender E-Mails nicht im HTML-Modus anzeigen lassen sollten, liefert der lesenswerte Computerwoche-Artikel über E-Mail-Sicherheit. Mehr Informationen zum Thema E-Mail-Verschlüsselung finden Sie auch auf der Website BSI-FUER-BUERGER.

Online-Rollenspiel gehackt: Massensterben in "World of Warcraft"

Unbekannte Hacker haben Server des Online-Rollenspiel "World of Warcraft" angegriffen und innerhalb des Spiels in virtuellen Städten Tausende Spielfiguren auf einmal getötet. Auf youtube.de sind Aufnahmen zu sehen, wie die Figuren wie von Geisterhand berührt zu Boden gehen. Für die Spieler ergibt sich durch den Tod ihrer Figur kein Schaden, sie kehren nach kurzer Pause einfach wieder ins virtuelle Leben zurück. Wie golem.de berichtet zeigten sich einige Nutzer in Foren sogar amüsiert über das plötzliche Massensterben. Andererseits zeige die Aktion, wie anfällig die Blizzard-Server für Hacker-Attacken sei. Das Unternehmen Blizzard, Entwickler von World of Worldcraft, hat die Sicherheitslücke mittlerweile geschlossen.

[Yilmaz]

OKTOBER 2012
--------------------------------------



Schwachstelle Browser: Anwender der Spiele-Plattform Steam sind angreifbar

Der Online-Spiele-Hersteller Valve hat offenbar ein Sicherheitsproblem mit seiner Distributionsplattform Steam. Dies berichtet u.a. golem.de in Berufung auf Recherchen des IT-Sicherheitsdienstleisters ReVuln (englischsprachige PDF-Datei. Steam nutzt ein eigenes Browser-Protokoll, über das beispielsweise Spiele installiert, deinstalliert und gestartet werden. Über eine Lücke in diesem Protokoll könnten Angreifer Zugriff auf Rechner von Steam-Anwendern erlangen. Aktiv ausgenutzt wird die Schwachstelle laut ReVuln bislang nicht.



Problematische Funktion: Hackerskript kann Telefonnummern massenhaft Facebook-Nutzern zuordnen

Gibt man auf der Website des sozialen Netzwerks Facebook eine Festnetz- und/oder Mobilfunknummer in die Suchmaske ein, wird der dazugehörige Name des Facebook-Mitglieds angezeigt. Angreifer können diese Suchweise nutzen, um massenhaft mit Hilfe von automatisch generierten Telefonnummern eine Verbindung zu Namen und Facebook-Profilen herzustellen. Diese Informationen könnten dann für Spam-Attacken missbraucht werden, warnt der IT-Sicherheistdienstleister Sophos. Voraussetzung hierfür ist, dass das entsprechende Facebook-Mitglied diese Funktion erlaubt.
Laut pc-welt.de können sich Facebook-Mitglieder schützen, indem sie in den "Privatsphäre-Einstellungen f "Funktionsweise von Verbindungen" > "Einstellungen bearbeiten" ihre Auffindbarkeit über eine Telefonnummer ändern. Standardmäßig ist unter "Wer kann dich anhand der von dir angegebenen E-Mail-Adresse oder Telefonnummer finden?" die Option "Alle" ausgewählt. Sicherer sind die Optionen "Freunde" oder "Freunde von Freunden". Ganz abstellen lässt sich die Funktion nicht.
Weitere Informationen zu "Individuellen Einstellungen einiger Sozialer Netzwerke" unter sicherheitskritischen Aspekten auf BSI für Bürger.



Kein Foto für dich: Malware verbreitet sich trickreich per Skype

"Hey, sag mal ehrlich, sind das deine Fotos?": Nutzer von Skype und anderen Instant-Messaging-Diensten, die in ihren Chatfenstern diese oder ähnlich lautende Nachrichten samt eines vermeintlichen Google-Links empfangen, sollten aufpassen. Derzeit verbreitet sich ein Internet-Wurm, der versucht, Anwender-Rechner per Social Engineering mit Schadcode zu infizieren. Dies berichtet u.a. die Website botfrei.de. Der Wurm versteckt sich in einem ZIP-Datei-Ordner, getarnt durch einen Link, erzeugt mit Hilfe des Kurz-URL-Dienstes Goo.gl. Der Link enthält den Namen des Adressaten, offenbar um dessen Vertrauen zu gewinnen. Wer dem Link folgt, öffnet die ZIP-Datei und startet die Installation der Malware. Mit dieser können die Angreifer u.a. Passwörter ausspionieren und die Kontrolle über das Anwender-System übernehmen. Gleichzeitig sendet sich der Wurm selbstständig an alle Instant-Messaging-Kontakte des Anwenders.



Android-Apps auf dem Prüfstand: SSL-Verschlüsselung funktioniert oft nicht

Forscher der Leibniz Universität Hannover und der Phillips Universität Marburg haben die Sicherheit verschlüsselter Datenübertragungen von Android-Apps untersucht (PDF-Dokument). Bei mehr als 1000 von 13.500 populären Apps gab es demnach Anzeichen für eine fehlerhafte und unsichere Verwendung der SSL/TLS-Verschlüsselungstechnik. Die Anwendungen seien dadurch anfällig für sogenannte Man-in-the-Middle-Angriffe. 100 Apps wurden für nähere Tests ausgewählt, bei 41 war dann ein konkreter Angriff erfolgreich. Laut pcwelt.de gelang es den Forschern u.a. Anmeldedaten für Facebook, Twitter, Google, Microsoft, WordPress und beliebige E-Mail-Konten sowie Kreditkarten- und Kontodaten abzufangen. Die SSL/TLS-Verschlüsselungstechnik soll die Datenübertragung im Internet absichern, etwa beim Online-Banking. Wie die Technik funktioniert und was sie an Sicherheit bringt, lesen Sie auf der Website BSI-FUER-BUERGER.






Update für Java: Oracle schließt 30 Sicherheitslücken

Software-Hersteller Oracle hat ein Update für die Laufzeitumgebung Java herausgegeben, das 30 Sicherheitslücken schließt. Betroffen sind Java 7 Update 7 und vorherige Versionen sowie Java 6 Update 35 und vorherige Versionen. Angreifer könnten die Schwachstellen u.a. ausnutzen, um die vollständige Kontrolle über Computersysteme der Anwender zu übernehmen. Auf Windows-Systemen wird die aktualisierte Version Java 7 Update 9 über die automatische Aktualisierungsfunktion Windows-Update eingespielt. Eine manuelle Installation ist über die Java-Website jederzeit möglich. Dort können Anwender auch prüfen, welche Java-Version bereits installiert ist und ob ein Update notwendig ist.



VLC Mediaplayer aktualisiert: Neue Version behebt viele Schwachstellen

Der quelloffene Mediaplayer VLC ist in einer neuen Version verfügbar. Die Version 2.0.4 behebt nach Angabe der Entwickler Hunderte funktionale Schwachstellen, bietet zahlreiche neue Funktionen und schließt auch einige Sicherheitslücken gegenüber der Vorgängerversion 2.0.3. Der kostenlose VLC Media Player spielt zahlreiche Multimediaformate wie MP3, MOV, FLV, Video-CD, DVD, DivX, MPEG, REAL sowie den freien Open-Source-Audiocodec Opus ab. Der VLC Mediaplayer kann von der Website der Entwicklerorganisation VideoLAN Organisation heruntergeladen werden.




Mehr ansteckende Links: Spam-E-Mails werden gefährlicher

Der deutsche E-Mail-Sicherheitsdienstleister Eleven berichtet über eine massive Zunahme von gefährlichen Spam-E-Mails, die sogenannte Drive-by-Malware enthalten. Wie das Unternehmen im firmeneigenen Blog schreibt, enthielt im vergangenen September jede zehnte Spam-E-Mail einen Link zu einer Website die mit Schadcode ausgestattet war. Gegenüber dem August stieg die Zahl um mehr als das 80-fache. Im August war nur etwa jede tausendste Spam-E-Mail derart bösartig. Nach Angaben von Eleven reicht oft bereits ein Klick auf den Link, um ein System mit einem Virus zu infizieren.



560.000 Bundesbürger sind internetsüchtig: Junge Menschen besonders gefährdet . (lieber oder )

Etwa ein Prozent der 14- bis 64-jährigen in Deutschland gelten als internetsüchtig - das sind rund 560.000 Menschen. Zu diesem Ergebnis kommt die Studie "Prävalenz der Internetabhängigkeit (PINTA I)" der Universität Lübeck und der Universität Greifswald die von der Drogenbeauftragten der Bundesregierung, Mechthild Dyckmans, vorgestellt wurde. Rund 2,5 Millionen Bürger zwischen 14 und 64 Jahren werden zusätzlich als problematische Internetnutzer angesehen.
Auffällig ist, dass in der Altersgruppe der 14- bis 16-Jährigen deutlich mehr Mädchen als Jungen internetabhängig sind. Die Mädchen nutzen vorwiegend soziale Netzwerke im Internet und seltener Onlinespiele wie die Jungen. "Wir vermuten, dass Mädchen und junge Frauen besonders empfänglich sind für die Bestätigungen, die man in sozialen Netzwerken findet, und dadurch auch eher eine Abhängigkeit entwickeln können", sagt Hans-Jürgen Rumpf von der Universität Lübeck.
In der Studie gilt als internetsüchtig, wer fast nur noch in der virtuellen Welt des Internets lebt. Die Betroffenen verlieren die Kontrolle darüber, wie viel Zeit sie im Internet verbringen, sie leiden unter Entzugserscheinungen wie Missstimmung, Angst, Reizbarkeit oder Langeweile, wenn sie nicht online sind. Abhängige nutzen das Internet, um schlechten Gefühlszuständen zu entrinnen und nehmen dabei auch negative Konsequenzen in Kauf. Sie gehen nicht mehr zur Arbeit oder zur Schule, vernachlässigen soziale Kontakte und verwahrlosen teilweise sogar körperlich. Wenn mehrere von diesen Kriterien gleichzeitig vorliegen, spricht die Studie von einer Internetabhängigkeit.

[Yilmaz]

NOVEMBER 2012
------------------------------------------------------------------

Löchrige Shopping-Apps: Unverschlüsselte Datenübertragung laut Stiftung Warentest

Viele Smartphone-Applikationen für mobiles Einkaufen werden von der Stiftung Warentest als kritisch oder sehr kritisch beurteilt. In der November-Ausgabe der Zeitschrift „test“ berichtet sie über 37 Apps, über die entweder Einkäufe abgewickelt werden können oder die beim Einkaufen beraten sollen. Die schlechteste Bewertung vergaben die Tester für die Apps der Modekette Mango (getestete Version: 2.1.1 für Android 4.1.1) und des Kino-Unternehmens Cineplex (Version 1.0), weil diese Benutzername und Passwort des Anwenders unverschlüsselt übertrugen und zudem das Nungsverhalten erfassten. Dies sei auch bei der Chat-Funktion der Schnäppchen-Finder-App MonsterDealz (Version 2.0) der Fall, die deshalb ebenfalls als sehr kritisch eingestuft wird. Die App MyTaxi sendete Zugangsdaten und Nutzungsverhalten in der getesteten Version 3.2.0 für iOS ebenfalls unverschlüsselt. Dies ist laut Auskunft des Unternehmens in einer aktuelleren Version der App inzwischen behoben. 17 weitere Apps wurden wegen ihres Umgangs mit dem Datenschutz als kritisch eingestuft. Sie senden das Nutzungsverhalten, eine Gerätekennung oder Informationen über den Netzbetreiber des Anwenders an den Herausgeber der App oder an Drittfirmen.


Ohne Schutz: Links zu unverschlüsselten Facebook-Konten öffentlich

Facebook deaktiviert „vorübergehend“ eine Funktion die zu einer Sicherheitslücke führte, die durch spezielle E-Mails aufgetreten war, darüber berichtet das Online-Magazin „ZDNet“. Facebook verschickt in bestimmten Fällen E-Mails mit einem Link, der zu einem Benutzerkonto führt. Öffnet man diesen Link, ist man in dem verlinkten Benutzerkonto eingeloggt, ohne weitere Daten wie Passwort eingeben zu müssen. Normalerweise ist sichergestellt, dass nur der jeweilige Konteninhaber die E-Mail mit dem Link zum Konto erhält – doch jetzt ließen sich E-Mails mit Links zu insgesamt 1,3 Millionen Benutzerkonten öffentlich per Google finden. Jemand müsse die E-Mails veröffentlicht haben, teilte Facebook-Entwickler Matt Jones mit. Facebook hat zur Sicherheit die Funktion vorübergehenden deaktiviert.



Updates von Adobe: Sicherheitsupdate für Shockwave-Player, Flash und Air

Adobe, der Entwickler des Dateiformats Shockwave, schließt für den dazugehörigen Shockwave-Player sechs kritische Schwachstellen. Darüber berichtet unter anderen das IT-News-Portal ZDNet. Die Sicherheitslücken betreffen die Versionen Shockwave Player 11.6.7.637 und früher. Adobe zufolge liegen noch keine Exploits vor. Nutzer sollten trotzdem möglichst schnell auf die Version 11.6.8.638 updaten.
Gleichzeitig schließt Adobe Sicherheitslücken für den Flash-Player für sämtliche Plattformen. Dies berichtet heiseSecurity unter Berufung der Meldung des Adobe Security bulletin.


Neue Angriffspunkte: Acht Sicherheitstipps für Windows 8

Seit rund zwei Wochen ist das neue Betriebssystem Windows 8 im Handel. Passend zum Verkaufsstart hat Sophos-Mitarbeiter Graham Cluley im Expertenbeitrag für ITespresso acht Sicherheitstipps für das neue Betriebssystem veröffentlicht. Das sei deshalb nötig, weil „die veränderte Benutzeroberfläche und der neue App-Store neue Angriffspunkte bieten“. Und das, obwohl Windows 8 „schon gut abgesichert ist.“ So sollten Anwender zum Beispiel darauf achten, dass die benutzte Sicherheitssoftware in der Lage ist, gängige Programme von installierten Apps zu unterscheiden. Zusätzlich müssten sie beide Programmarten zuverlässig von bösartigen Anwendungen unterscheiden. Ein weiterer Tipp: Anwender sollten nicht benötigte Kommunikationsmöglichkeiten blockieren. Windows 8 biete die Möglichkeiten, verschiedene Near-Field-Kommunikationsformen auszuführen. Das biete auch Angriffsflächen.


Neues Betriebssystem, neues Schutzprogramm: Virenscanner für Windows 8

Wer auf das neue Betriebssystem Windows 8 aktualisiert oder sich ein neues Gerät mit diesem Betriebssystem kauft, sollte auch an einen passenden Virenscanner denken. Denn nicht alle IT-Schutzprogramme sind mit Windows 8 kompatibel, zum Beispiel die Antiviren-Lösung „Free Antivirus“ von Avira, wie Avira in seinen Supportinformationen für Privatanwender berichtet. Welche Programme die passenden sind, hat das IT-Sicherheitsinstitut „AV-TEST“ aufgelistet. AV-TEST weist darauf hin, dass „nur finale und veröffentlichte Produktversionen aufgeführt sind. Allerdings unterstützen noch nicht alle Produkte sämtliche neuen Windows-8-Funktionen (z.B. die neue Benutzeroberfläche).“ Eine Liste von Sicherheitsprodukten für Privatanwender ist hier zu finden, eine für Unternehmen hier.


Pakete sicher abholen: DHL-Packstation führt mTan-Verfahren ein

Das Logistikunternehmen DHL führt für ihre 2500 Packstationen in Deutschland das mTan-Verfahren ein. Ab sofort können Kunden ihr Paket nur noch abholen, wenn sie zu Ihrer Sendungsnummer auch die passende Transaktionsnummer haben, die auf ihr Handy geschickt wird. Bisher hat eine PIN ausgereicht, mit der sich alle Sendungen an der Packstation abholen ließen. Weil Angreifer jedoch immer wieder persönliche Daten wie Name und Adresse sowie zusätzlich die PIN erlangen konnten, wurde jetzt auf das mTan-Verfahren umgestellt. Denn mithilfe von Adresse und PIN konnten Betrüger Waren auf einen anderen Namen bestellen und diese an der Packstation abholen.


Updates von Apple: Sicherheitslücken in iOS und Safari gestopft

Apple hat für seinen Browser Safari und für das iPhone-, iPad- und iPod-Betriebssystem iOS Updates herausgegeben, die vor allem Fehler beheben und Sicherheitslücken schließen. Safari 6.0.2 steht für Mac-Computer mit dem Betriebssystem OS X 10.7.5 oder 10.8.2 zur Verfügung. Das Update verhindert, dass Angreifer durch manipulierte Websites Programme auf dem Rechner des Anwenders ausführen können.
Zwei vergleichbare Fehler behebt das Update für Mobilgeräte auf iOS 6.0.1 laut heise Security. Außerdem wurde ein Fehler in der Apple-eignen App „Passbook“ behoben, durch den der Zugriff auf in der App gespeicherte Informationen möglich war, obwohl das Mobilgerät mit einem Zugriffsschutz gesperrt war.


Chrome 23 verfügbar: Google schließt Sicherheitslücken in Chrome

Der Browser von Google steht in der neuen Version 23 zur Verfügung. Die neue Version schließt vierzehn Sicherhheitslücken wie u.a. heise ix meldet. Gleichzeitig nutzt Chrome den Grafikprozessor des Rechners zur Wiedergabe von Videos unter Windows. Wie im Google Chrome Blog berichtet, soll der Accu dann bis zu 25% länger halten. Die aktuelle Version ist über die Internetseite von Google ober über die automatische Update-Funktion des Browsers zu beziehen.


Apps ohne Vertrauen: Smartphone-Besitzern sind Anwendungen zu unsicher

Laut einer repräsentativen Umfrage nutzen die meisten Smartphone-Besitzer keine Anwendungen, die mit vertraulichen Daten hantieren. Nur 15 Prozent der Anwender nutzen Online-Banking mit ihrem Smartphone, neun Prozent nutzen eine App für mobiles Bezahlen. Darüber informiert das Presse- und Informationsamt der Bundesregierung. Laut der Umfrage würden weiterhin nur rund jeder fünfte Cloud-Dienste per Smartphone in Anspruch nehmen sowie die Funktion des Smartphones als Türschlüssel. Als ein Fazit zieht die Studie: Viele Verbraucher laden bewusst keine Apps herunter, weil ihnen das Vertrauen in deren Sicherheit fehlt.


Maus-Auslöser: Die Tricks der Programmierer von Schadsoftware

Das IT-Sicherheitsunternehmen Symantec gibt in seinem englischsprachigen Blog Einblicke in aktuelle Methoden von Schadsoftware-Programmierern. Automatisierte Analysesysteme durchforsten das Internet nach Schadsoftware und finden laut Symantec jeden Tag rund eine Million neue Varianten. Dazu werden die Programme auf abgeschlossenen, sogenannten virtuellen Systemen ausgeführt und ihr Verhalten von einem Analyse-Werkzeug beobachtet. Seit langer Zeit, so Symantec, versuchen Programmierer ihre Schadsoftware vor den Analyse-Systemen zu verbergen. Die Schadsoftware versucht mit verschiedenen Methoden festzustellen, ob sie auf einem virtuellen System ausgeführt wird. In diesem Fall verhält sie sich unauffällig und kann so möglicherweise der Erkennung entgehen. Diese Tricks waren aber nur von versierten Programmierern anwendbar. Zwei neue Tricks sind hingegen recht einfach umzusetzen. Einer besteht darin, dass die Schadsoftware erst aktiv wird, wenn sie Mausbewegungen am Rechner feststellt. Da an automatischen Analyse-Systemen niemand eine Maus bewegt, kann die Schadsoftware unentdeckt bleiben. Außerdem verwenden die Systeme nur wenig Zeit auf die Analyse eines einzelnen Programms. Programmierer verzögern daher das Entpacken und Ausführen ihrer schädlichen Programmcodes um mehrere Minuten.

[Yilmaz]

DEZEMBER 2012

--------------------------------------------------------------------------------

Immer wieder WhatsApp: Messaging-Dienst bleibt trotz Update unsicher

Der Instant-Messaging-Dienst WhatsApp steht weiter in der Kritik. Der IT-Sicherheits-Informationsdienst heise Security hat in einem eigenen Test herausgefunden, dass sich WhatsApp-Konten „erneut mit geringem Aufwand“ übernehmen lassen. Und das, obwohl gerade ein Sicherheitsupdate für die App veröffentlicht wurde. Für die Konto-Übernahme benötigten die Tester die Handynummer eines Nutzers und die dazugehörige Seriennummer des Smartphones mit Android-Betriebssystem. Nach Angabe der Tester sind diese Informationen leicht zu beschaffen. Laut heise Security müsse davon ausgegangen werden, dass WhatsApp auch auf anderen Betriebssystemen verwundbar ist. WhatsApp sorgt derzeit wegen mangelnder Sicherheit immer wieder für negative Schlagzeilen.

WhatsApp-Hoax: Kettenbrief verunsichert Anwender

Über den Instant-Messaging-Dienst WhatsApp verbreitet sich zurzeit eine Falschmeldung, ein sogenannter Hoax. Der Kettenbrief teilt mit, dass WhatsApp am 28. Januar eingestellt wird, weil der Dienst angeblich zu viele Nutzer hat. Konten von Nutzern, die diese Nachricht nicht an ihre Kontakte weiterleiten, würden gelöscht und könnten nur gegen eine „Gebühr von 25,00“ wieder aktiviert werden. Eine Währung wird nicht genannt. Das Online-Portal heise Security berichtet über den Kettenbrief. Auf dem WhatsApp-Blog wurde auf den Hoax schon im Januar dieses Jahres hingewiesen. Offenbar ist er seitdem mit variierenden Inhalten im Umlauf. WhatsApp-Nutzer, die die Nachricht erhalten, sollten diese nicht weiterleiten und direkt löschen.

Kurz aber heftig: PayPal-Spam-Welle überschwemmt Deutschland

Auf dem Blog des E-Mail-Sicherheitsdienstleisters eleven berichten Experten über eine kurze aber heftige Spam-Welle. Über einen Zeitraum von drei Stunden seien pro Minute im Durchschnitt 277 Spam-Mails an Empfänger in Deutschland verschickt worden. Die Spam-Mail hatte den Betreff „Ruckzahlung auf PayPal-Guthaben“ und enthielt einen Anhang, den man zum Erhalt des angeblichen Geldsegens öffnen sollte. Der Anhang war eine .zip-Datei, die wiederum eine als PDF getarnte .exe-Datei enthielt. Wer die .exe-Datei ausführte, installierte eine Schadsoftware auf seinem Computer.

Deutsche-Bank-Kunden im Visier: Daten-Phisher fordern Kopie der TAN-Liste

Über einen recht dreisten Plan, an Transaktionsnummern von Kunden der Deutschen Bank zu kommen, berichtet unter anderem pc-magazin.de. Demnach erhalten Anwender eine vermeintliche E-Mail der Deutschen Bank. Darin werden sie aufgefordert, eine Fotografie oder einen Scan ihrer TAN-Liste über einen Link, der zu einer gefälschten Deutsche-Bank-Webseite führt, hochzuladen. Zudem sollen die Anwender auf der Webseite ihre vollständigen Login-Daten und ihre Mobilfunknummer preisgeben. Tun sie dies nicht, so heißt es in der Phishing-Nachricht, werde der Zugang zum Online-Banking gesperrt und die Umstellung im Anschluss kostenpflichtig. Als Grund wird eine angebliche Umstellung des Online-Banking-Systems der Deutschen Bank auf das mTAN-Verfahren zum Jahreswechsel angegeben. Auf ihrer Website weist die Deutsche Bank darauf hin, dass sie niemals vertrauliche Daten wie Kontonummer, PIN oder TAN per E-Mail, telefonisch oder per SMS von ihren Kunden abfragt. Außerdem versende die Bank keine E-Mails, die einen direkten Link zu einem Online-Banking-Login enthalten. Wer solche E-Mails erhalte, soll den Aufforderungen in keinem Fall folgen, sondern sich an die Deutsche Bank wenden – unter der kostenlosen Telefonnummer 0800 - 8 128 128 oder über die E-Mail-Adresse security.db@db.com.

Bitte Passwort ändern: Sicherheitslücke in Belkin-WLAN-Routern

IT-Sicherheitsforscher der TU Berlin haben eine Sicherheitslücke in WLAN-Routern des Herstellers Belkin aufgedeckt und über ihren englischsprachigen Blog veröffentlicht. Über den Fall berichtet zusammenfassend unter anderem auch heise.de. Betroffen sei das Modell Surf N150 mit der Modellnummer F7D1301v1. Der Router nutze für die ab Werk eingestellte WPA2-Verschlüsselung des Funkverkehrs ein Standard-Passwort, das sich aus der Gerätenummer ableitet. Für Angreifer, die sich in Reichweite des Netzwerkes befinden, sei es daher leicht, das Passwort zu errechnen und sich einzubuchen. Die Forscher gehen davon aus, dass noch weitere Belkin-Router von dem Problem betroffen sind, und nennen die Produkte Belkin N900 (Modellnummer F9K1104v1), Belkin N450 (Modellnummer F9K1105V2) und Belkin N300 (Modellnummer F7D2301v1). Obwohl die Sicherheitslücke dem Unternehmen bereits im Januar mitgeteilt wurde, habe Belkin nicht reagiert, schreiben die Forscher. Sie empfehlen Besitzern eines Belkin-Routers daher, das Standard-Passwort der WPA2-Verschlüsselung umgehend zu ändern. Grundlegende Informationen zum Thema WLAN-Sicherheit gibt es auf der Website BSI-FUER-BUERGER.



Zwei Updates in einer Woche: Sicherheitslücken in Chrome geschlossen

Gleich zweimal innerhalb einer Woche hat Google Sicherheitsupdates für den Browser Chrome veröffentlicht. Insgesamt wurden neun Sicherheitslücken geschlossen, fünf davon beseitigten als hohes Risiko eingestufte Schwachstellen. Den Sicherheitshinweisen zufolge betreffen die Updates die Chrome-Versionen für die Betriebssysteme Windows, Mac und Linux. Anwender, die Chrome bereits installiert haben, müssen nicht aktiv werden. Chrome bringt sich selbst über die automatische Update-Routine auf den neuesten Stand. Das Update wird im Hintergrund heruntergeladen und mit dem Beenden des Browsers installiert. Alternativ kann das Programm auch von der Chrome-Webseite heruntergeladen werden.


HSTS ist da: Neuer Standard soll SSL-Verschlüsselungen sichern

Mit einer SSL/TLS-Verschlüsselung kann die Internetverbindung zwischen einem Client und einem Server abgesichert werden, etwa beim Online-Banking. Die Verschlüsselung soll unter anderem sicherstellen, dass die übertragenen Daten von Unbefugten nicht abgefangen werden können. Allerdings kann diese Absicherung durch sogenannte Man-in-the-Middle-Angriffe ausgehebelt werden. Der neue technische Standard HTTP Strict Transport Security (HSTS) soll dies nun verhindern. Anders als bei TLS-verschlüsselten Internetverbindungen (HTTPS) ist bei Verbindungen via HSTS bereits der erste Verbindungsaufbau zwischen Server und Browser verschlüsselt. Angreifer können sich dadurch nicht mehr unbemerkt in die Kommunikation einklinken. Vorrausetzung für den neuen Standard ist, dass sowohl der Webseiten-Server als auch der Browser HSTS verarbeiten können. Die aktuellen Versionen von Chrome und Firefox enthalten laut pc-magazin.de Listen mit Webseiten, die Verbindungen per HSTS aufbauen können.


Initiative-S: Ist Ihre Internetseite sicher?

Der Verband der deutschen Internetwirtschaft – kurz eco – hat die „Initiative-S“ ins Leben gerufen. Auf der Website www.initiative-s.de kann jedes Unternehmen prüfen, ob über seine Domain Schadcode verteilt wird. Der Dienst soll vor allem kleinen und mittelständischen Unternehmen helfen, die Sicherheit ihres Internetangebotes zu erhöhen. Häufig hätten kleinere Unternehmen nicht genug technische und personelle Ressourcen, um ihre Internetpräsenzen abzusichern, heißt es auf der Webseite. Der Ablauf der Prüfung ist denkbar einfach: Unternehmen können auf www.initiative-s.de den Webseiten-Check kostenlos durchführen. Dazu muss lediglich die Domain in eine Maske eingegeben und eine Referenz-E-Mail-Adresse hinterlegt werden. Anschließend wird der Webauftritt auf Malware überprüft. Wird ein Schadprogramm identifiziert, bekommt das Unternehmen eine E-Mail mit einer Anleitung zur Beseitigung des Schadcodes. Wer weitere Hilfe bei diesen Schritten benötigt, wird von Experten telefonisch unterstützt.


Hoteldiebe als Hacker: Keycard-Schlösser sind leicht zu knacken

In vielen Hotels erhält der Gast an der Rezeption keinen Schlüssel mehr, sondern eine sogenannte Keycard. Die flachen Kunststoffkarten sollen durch die elektronische Sicherung der Zimmertüren den Schutz vor Hoteldieben erhöhen. Nun zeigen jedoch Einbruchsfälle in den USA, dass es Hackern offenbar gelungen ist, das Sicherungssystem zu knacken. Hierüber berichtet golem.de. Betroffen sei der Hersteller Onity, dessen Schlösser Millionen Hotelzimmer auf der ganzen Welt sichern. Mittlerweile ist es laut eigener Aussage auch dem IT-Sicherheitsdienstleister Trustwave gelungen, das Keycard-System zu manipulieren. In einem YouTube-Video wird der Angriff demonstriert. Eine Sicherung der Schlösser sei laut golem.de zwar möglich, die Kosten hierfür müssten jedoch die Hotels tragen. Dies könnte einer raschen Beseitigung des Problems entgegenstehen.


Unrechtmäßige Schnäppchen: Otto storniert Bestellungen mit falschen Gutschein-Codes

Der Versandhändler Otto musste zehntausende Online-Bestellungen von Kunden stornieren. Der Grund: Findige Online-Shopper hatten bemerkt, dass sie das Bestellformular manipulieren konnten. Im Feld für Gutscheincodes konnten nicht autorisierte Nummernfolgen wiederholt eingegeben werden, heißt es in einer Pressemitteilung von Otto. Den Kunden brachte dies zwischen 88 und 400 Euro Ersparnis pro Einkauf. Weil die Codes über Soziale Netzwerke verbreitet wurden, nutzten rund 50.000 Personen die vermeintlich günstige Gelegenheit. Laut pcwelt.de wurden daraufhin die betroffenen Bestellungen im Wert eines hohen einstelligen Millionenbetrages storniert.