Sicherheitssplitter zum 13. August 2018

Passend zum heutigen Datum habe ich einige Informationen rund um das Thema Sicherheit mitgebracht. Von Malware, die per KI erzeugt wurde, über die Möglichkeit, auch anonyme Coder (selbst im Maschinencode) über ihren persönlichen Stil (Finger Print) zu identifizieren, ist alles dabei. Ergänzung: Und es gibt neues über Sicherheitslücken in Android-Geräten, die ab Werk über vorinstallierte Apps mit ausgeliefert werden. Und das Thema Herzschrittmacher/Insulinpumpe wurde eingefügt.

Anonymen Codern könnte es an den Kragen gehen

Speziell Malware-Autoren wähnen sich ja anonym, und werden meist über Fehler, die sie irgendwann in der Kommunikation (E-Mail, vergessen, eine VPN zu verwenden etc.) begehen, enttarnt. In Zukunft könnte es für diese Klientel schwieriger werden, anonym zu bleiben. Speziell, wenn sie schon mal Code unter eigenem Namen veröffentlicht, oder in einem Forum etwas gepostet haben.

Wired berichtet hier, dass Forscher der Stylometrie wissen über die statistische Analyse des Sprachstils seit langem, dass Schreiben ein einzigartiger, individualistischer Prozess ist. Der von vom Schreiber gewählte Wortschatz, die Syntax und die grammatikalischen Entscheidungen hinterlassen eine Signatur. Neuere Forschungen zeigen, dass die Stylometrie auch auf künstliche Sprachproben, wie z.B. Code, angewendet werden kann. Software-Entwickler hinterlassen einen Fingerabdruck im Code, der sich sogar in den übersetzten Programmen noch herausfiltern lässt.

Rachel Greenstadt, Professorin für Informatik an der Drexel University, und Aylin Caliskan, Greenstadts ehemalige Doktorandin und jetzt Assistenzprofessorin an der George Washington University, haben festgestellt, dass Code, wie andere Formen des stilistischen Ausdrucks, nicht anonym sind.

Auf der DefCon-Hacking-Konferenz am Freitag werden die beiden eine Reihe von Studien vorstellen, die sie mit maschinellen Lerntechniken durchgeführt haben, um die Autoren von Code-Beispielen zu de-anonymisieren. Ihre Arbeit könnte zum Beispiel in einem Plagiatsstreit nützlich sein, aber sie hat auch Auswirkungen auf die Privatsphäre, besonders für die Tausenden von Entwicklern, die Open-Source-Code in die Welt bringen.

Zunächst identifiziert der von den Informatikern entwickelte Algorithmus alle Merkmale, die in einer Auswahl von Code-Beispielen zu finden sind. Greenstadt und Caliskan schränkten dann die Funktionen auf diejenigen ein, die Entwickler tatsächlich voneinander unterscheiden. Dann erstellen sie  "abstrakte Syntaxbäume" von der zugrundeliegende Struktur des Codes (dadurch entfallen Formatierungen etc.). Selbst wenige Codezeilen reichen, um den Urheber von anderen Codern zu unterscheiden.

Caliskan und ein Team von anderen Forschern  haben in einem separaten Papier gezeigt, dass es möglich ist, einen Programmierer nur mit seinem kompilierten Binärcode zu deanonymisieren. Dazu wird der Binärcode wieder in die Programmiersprache C++ dekompiliert, um dann dessen Struktur zu analysieren. Weitere Details lassen sich die Wired-Artikel entnehmen.

Forscher erzeugen Malware mit künstlicher Intelligenz (AI)

Mittels künstlicher Intelligenz versuchen Sicherheitsforscher Malware bzw. deren Verhalten zu erkennen und diese frühzeitig zu stoppen. Den KI-Ansatz kann man aber auch umkehren, und Malware entwerfen, die künstliche Intelligenz verwendet, um sich unerkannt zu verbreiten. The Hacker News berichtet hier von genau so einem Einsatz von IBM-Forschern in einem Forschungsprojekt. Dort hat man künstliche Intelligenz benutzt, um eine DeepLocker getaufte Malware gegen Erkennung zu härten.

Laut den IBM-Forschern arbeitet DeepLocker unbemerkt unter dem Radar der Sicherheitslösungen und "entfesselt seine bösartige Wirkung erst, sobald das KI-Modell das Ziel durch Indikatoren wie Gesichtserkennung, Geolokalisierung und Spracherkennung identifiziert hat".

Drahtlose Geräte gefährden Notfall-Einsatzkräfte

In den Einsatzfahrzeugen von Polizei, Notarzt, Feuerwehr etc. finden sich heutzutage viele Geräte, die Daten drahtlos senden. Problem ist, dass diese Geräte damit die Position der Notfall-Einsatzkräfte in Echtzeit verraten. Arstechnica berichtet in diesem Artikel von dem Problem, dass Positionsdaten der Gerät die Einsatzkräfte gefährden können. Bezieht sich auf die USA, ist aber interessant zu lesen.

Und sonst so?

Wikileaks steht ja unter Beschuss, weil die Dokumente der Demokraten, die dem Netzwerk über (mutmaßlich russische Hacker) dunkle Kanäle zugingen, im US-Präsidentschaftswahlkampf veröffentlichten (und diesen beeinflussten). Das Democratic National Committee (DNC) hat letzten Freitag Wikileaks nun offiziell eine Klageschrift zukommen lassen. Weil eine Postanschrift fehlte, machte man dies per Twitter, wie cbsnews.com berichtete:

@wikileaks By Court order, you are being served with the following legal documents: https://t.co/ICg8qWnsUy, https://t.co/ZP2tTPJ4pb, https://t.co/RKue30s4hM, https://t.co/q5g0G1rQpQ.
All of these documents may be found here: https://t.co/NOCgvQhh2j.

— Cohen Milstein Sellers & Toll Process Server (@ProcessServiceC) 10. August 2018

Das Wall Street Journal beschreibt, wie Kim Nilsson, ein Opfer des Hacks der Mt. Gox Bitcoin-Börse, den Urheber bzw. die Beteiligten des Hacks aufspürte. Der Beitrag erfordert eine Registrierung, eine frei abrufbare Fassung (in Englisch) ist auf dieser Webseite (Link gelöscht) zu finden. In Kurzform: Mt. Gox war eigentlich seit 2011 pleite und der Vorstand kam auf die Idee, Bitcoins stehlen und über andere Plattformen waschen zu lassen. Als Geldwäscher wurde Alexander Vinnik, ein Administrator einer anderen Crypto-Geld-Börse identifiziert. Inzwischen sind die Abläufe klar, die Beteiligten verhaftet und warten auf den Prozess.

Und hier befasst man sich mit der Erkenntnis, wie der Krieg zwischen Russland und Georgien (nach dessen Einmarsch in Süd Ossetien) in 2008 die Rekrutierung krimineller Hacker begünstigte.

Ergänzung: Sicherheitslücken bei Android-Geräten

Bereits vor einigen Tagen hatte ich anlässlich der DEF CON / Black Hat-Konferenz über Sicherheitslücken ab Werk in 4 Android Smartphones berichtet. Aber die Geschichte geht noch weiter. Sicherheitsforscher haben 47 Schwachstellen in 11 von Geräteherstellern in der Firmware von Android Smartphones vorinstallieren Apps gefunden.

Einige der gravierenderen Schwachstellen ermöglichen es einem Angreifer, SMS-Texte vom Telefon des Benutzers abzurufen oder zu versenden, Screenshots oder Videos vom Bildschirm des Telefons aufzunehmen, die Kontaktliste des Benutzers abzurufen, die Installation von beliebigen Anwendungen Dritter ohne Wissen oder Zustimmung des Benutzers zu erzwingen oder sogar die Daten des Benutzers vom Gerät zu löschen.

Bleeping Computer hat hier die Geschichte aufgegriffen und im Artikel auch Details genannt. Geräte von ZTE, Sony, Nokia, LG, Asus und Alcatel sind dabei.

Sicherheit bei Herzschrittmachern und Insulinpumpen

Es ist in den Kommentaren angerissen – hatte das Thema vorgesehen, habe es aber verschwitzt. In diesem Artikel weist heise.de auf Erkenntnisse im Rahmen der Black Hat 2018-Konferenz hin. Der Original-Artikel ist bei Wired erschienen. Zwei Hacker haben die Firma Medtronic, Hersteller von Herzschrittmachern und Insulinpumpen, auf schwere Sicherheitslücken in dessen Produkten aufmerksam gemacht. Bei den Herzschrittmachern gibt es eklatante Schwachstellen in den (mit Windows XP Embedded laufenden) Geräten, die von Medizinern zur Parametrisierung von bei Patienten implantierten Herzschrittmachern verwendet werden. Die Kommunikation der Hacker mit der Firma gestaltete sich als 'Hängepartie' mit offenem Ausgang – die Sicherheitslücken sind ungefixt. Der Hersteller erklärt, dass die gefundenen Schwachstellen keine Erhöhung der Angreifbarkeit im Sinne der tolerierbaren Risikoabschätzungen ergeben habe – man wird also eher nicht nachbessern.

Die US-Food and Drug Administration (FDA) hat sich für meinen Geschmack auch abwartend geäußert. Denn dieser Fall berührt ganz spezielle Fragestellungen, denn der Reflex: Schnell mal patchen, funktioniert dort nicht (siehe z.B. auch diesen Kommentar). Die Herzschrittmacher und Insulinpumpen benötigen eine Zulassung. Werden Änderungen durchgeführt, entfällt die Zulassung und der Hersteller müsste eine komplette Neuzertifizierung in allen Ländern, in denen die Produkte vertrieben werden, durchführen oder die Produkte vom Markt nehmen. Und es gibt noch einen Punkt: Mit Windows XP hatten wir ein Betriebssystem, welches 10 Jahre Extended Support bekam. Wie man so etwas mit Windows 10 und 'as a service' realisieren will, bleibt mir schleierhaft.