Sicherheitsinfos (21.4.2020)

Im heutigen Beitrag möchte ich einige Sicherheitsinformationen zusammen fassen, die mir die Tage unter die Augen gekommen sind. Ein Datenleck offenbar Benutzerdaten eines Telekom-Unternehmens, eine Gesichtserkennungssoftware von Clearview lag auf einem offenen Server und mehr. Diverse Ergänzungen nachgetragen.

Annatel Datenleck legt Benutzerdaten offen

Das 2004 gegründete israelische Unternehmen Annatel bietet für französisch- und englischsprachige Menschen, die in Israel leben, Telekommunikationsprodukte und -dienstleistungen an. In diesem Artikel legen Sicherheitsforscher von vpnMentor einen Datenschutzvorfall bei Annatel offen. Bei der Suche nach offenen Datenbanken im Internet sind sie am 5. März 2020 auf eine solche ungeschützte Datenbank dieses Anbieters gestoßen. Nach mehreren Kontakten mit Annatel wurde das Datenleck am 11. März 2020 geschlossen.

Die offene Datenbank mit Aufzeichnungen von privaten Chats zwischen Annatel-Kunden und Firmenvertretern wurde auf Googles Firebase-Plattform gehostet. Während dieser Chats stellten die Annatel-Kunden sensible persönliche Daten und Zugangsdaten zu ihren Online-Konten der Firma zur Verfügung. Die Datenbank enthielt mehr als tausend Chats, meist in französischer Sprache. Zu den gefundenen Daten gehörten auch persönliche Daten wie:

• Vollständige Namen und E-Mail-Adressen
• Anmeldedaten für Annatel-Konten, wenn sie von Kunden freigegeben werden
• Persönliche Informationen, die sich auf Kundensupport-Anfragen beziehen
• IP-Adresse, Telefonnummern, wenn sie von Kunden weitergegeben werden
• Bestellnummern in Bezug auf Annatel-Konten und -Käufe, wenn sie von Kunden gemeinsam genutzt werden

All diese Informationen waren öffentlich abrufbar, wodurch sowohl Annatel als auch seine Kunden der Gefahr von Betrug und Angriffen ausgesetzt waren. Die Sicherheitsforscher von vpnMentor haben auch Grund zu der Annahme, dass ein anderes System, das zu Annatel gehört, in einem separaten Vorfall gehackt wurde. Das schließen die Sicherheitsforscher aus den aufgezeichneten Gesprächen, die als Teil des ersten Lecks gefunden wurden. Details sind im verlinkten Artikel nachlesbar.

Datenleck bei Clearview AI

Clearview ist möglicherweise vielen Lesern ein Begriff, weil das US-Startup vor einigen Monaten in die Diskussion geriet, weil es öffentlich zugreifbare Bilder für eine Datenbank zur Gesichtserkennung 'zweckentfremdete' (siehe auch Lesetipp: Insights zur Gesichtserkennung). Dann hatte ein Hacker die Kundenliste des Unternehmens 'abgezogen' (siehe den Hinweis in Sicherheitsinfos (6.3.2020)).

Der Sicherheitsforscher Mossab Hussein von der in Dubai ansässigen Sicherheitsfirma SpiderSilk entdeckte kürzlich einen schlecht abgesicherten Server von Clearview. Auf diesem waren der Quellcode der Biometrieanwendung, fertige Apps für die Betriebssysteme Android, iOS, Mac und Windows, um die 70.000 Videos sowie Zugangskennungen für die betriebliche Messenger-Kommunikation übers Internet frei abrufbar. Hussein informierte sowohl ClearView als auch Techcrunch. Ein deutschsprachiger Artikel zum Datenleck findet sich bei heise.

BGP-Fixes der ISPs nachschauen

Das Kürzel BGP steht für Border Gateway Protocol, welches von Internetanbietern (Internet Service Providern, ISPs) zum Routen von Verbindungen zwischen Netzwerkknoten verwendet wird. Durch BGP-Hijacking oder BGP Route Leaks lässt sich der Datenverkehr auf Provider (ISP)-Ebene missbräuchlich umleiten. Passierte in der Vergangenheit häufiger (siehe Russland leitet Internetverkehr kurzzeitig um (4.2020) oder US-Internetverkehr für 2 1/2 Jahre über China geroutet).

Es gibt jedoch Schutzvorkehrungen und Sicherheitsverfahren, die von den Anbietern in der Regel getroffen werden, um zu verhindern, dass BGP-Trassenlecks die Netzwerke des anderen beeinflussen. Sprich: Wenn ein Provider solche Routing-Tabellen bekommt, die nicht zu seinem Bereich gehören, wird das ignoriert. Und falls doch ein BGP-Leck auftritt, ist das nach wenigen Minuten gefixt. Nur schlampen manche Provider, was Cloudflare ein Dorn im Auge ist.

New Cloudflare tool can tell you if your ISP has deployed BGP fixes https://t.co/3Ha55WpNrQ

— Aryeh Goretsky (@goretsky) April 20, 2020

Über obigen Tweet bin ich gestern auf ein Cloudflare-Tool aufmerksam geworden, welches prüft, ob ISPs die BGP-Fixes anwenden. Auf dieser Webseite findet sich eine Übersicht sowie eine Erklärung zum Ganzen. Um es vorweg zu nehmen: Cloudflare ist 'safe', Telekom, Telefonica oder Vodafon sind 'unsafe'. Sowohl heise als auch Golem haben deutschsprachige Beiträge zum Thema veröffentlicht.

267 Millionen Facebook-Profile im Darknet

Aktuell sind wohl die Preise für Datenlecks ziemlich im Keller – oder keiner braucht mehr Facebook-Profile. Gerade lese ich auf Twitter, dass 267 Millionen Facebook-Profile im Darknet schon für 600 US-Dollar zu haben sind.

267 million Facebook profiles sold for $600 on the dark web – by @LawrenceAbramshttps://t.co/NVfjEiz3Gj

— BleepingComputer (@BleepinComputer) April 20, 2020

Letzten Monat entdeckte der Sicherheitsforscher Bob Diachenko eine offene Elasticsearch-Datenbank, die etwas mehr als 267 Millionen Facebook-Einträge enthielt. Die meisten der Datensätze beziehen sich auf Benutzer aus den Vereinigten Staaten, enthalten aber keine Passwörter für den Zugang. Viele dieser Datensätze enthielten den vollständigen Namen eines Benutzers, seine Telefonnummer und eine eindeutige Facebook-ID. Die Daten ermöglichen aber Informationen für Spear-Phishing abzugreifen.

Der die Datenbank hostende ISP nahm den Server offline, nachdem er von Diachenko kontaktiert worden war. Allerdings wurde kurz danach ein zweiter Server, der dieselben Daten und zusätzlich 42 Millionen Datensätze enthielt, online gestellt. Der Server wurde schnell von unbekannten Hackern angegriffen, die eine Nachricht für den Eigentümer hinterließen, seine Server zu sichern. Details sind in diesem Beitrag von Bleeping Computer zu finden.

Bluekeep Exploit ist zurück

Die BlueKeep-Schwachstelle im RDP-Dienst von Windows bedroht ungepatchte Systeme von Windows XP bis Windows 7 und die betreffenden Server-Pendants. Ich hatte ja seit Monaten vor der BlueKeep-Schwachstelle gewarnt (siehe BlueKeep-Warnung: Exploit dürfte bald kommen). Es scheint aber, dass die BlueKeep-Schwachstelle in der Praxis nur schwierig ausnutzbar ist. Nur so ist zu erklären, dass es bisher recht ruhig um dieses Thema war, obwohl es einen öffentlich verfügbaren Metasploit gibt (siehe Windows: Bluekeep-Metasploit öffentlich verfügbar). Letztmalig hatte ich im Blog-Beitrag Neue Warnungen vor BlueKeep von Microsoft & Co. berichtet und es gab auch Angriffe (siehe Windows: Erste BlueKeep-Angriffe gesichtet).

The Bluekeep Exploit is back and is used to install Cryptominer #BlueKeep #RDP #Cryptominer #XMR #Monero #Windows #Vulnerability https://t.co/PULs9XpXQm

— CybSploit (@cybsploit) April 20, 2020

Obigem Tweet entnehme ich, dass ein Bluekeep-Exploit gefunden wurde, der Windows 7-Maschinen per RDP angreift, um Crypto-Miner zu installieren.

Vulnx v2.0: Schwachstellen in CMS aufspüren

Vulnx v2.0 ist ein intelligenter Bot Auto Shell Injector, der Schwachstellen in mehreren CMS-Typen (WordPress , Joomla , Drupal , Prestashop …) erkennt.

Vulnx v2.0 – An Intelligent Bot Auto Shell Injector That Detect Vulnerabilities In Multiple Types Of CMS (WordPress , Joomla , Drupal , Prestashop …) https://t.co/MzWYVfcdW5

— Nicolas Krassas (@Dinosn) April 19, 2020

Ich bin über obigen Tweet auf das Tool, welches seit 2019 verfügbar ist, gestoßen. Details sind der GitHub-Dokumentation zu entnehmen.

Forensik-Tool knackt FileVault 2

Elcomsoft hat eine neue Version seines Distributed Password Recovery Tool (DPRT) veröffentlicht. Mit dieser Version lassen sich auch mit FileVault 2 verschlüsselte Apple-File-System(APFS)-Medien knacken lassen sollen. heise hat die Details in diesem Artikel zusammen getragen.

Schwachstellen in Nagios XI

Nagios XI ist eine Netzwerk- und Host-Überwachungssoftware, die in Firmenumgebungen zum Einsatz kommt. Sicherheitsforscher von IBM haben drei Schwachstellen in Nagios XI entdeckt, die bisher ungepatcht sind und mit der Risikostufe mittel kategorisiert werden. heise hat die Details in diesem Artikel zusammen getragen.

Das SaaS-Sicherheitsproblem

Software as a Service (SaaS) ist der letzte Schrei in vielen Bereichen. Schnell wird eine App hin gezimmert und an der IT vorbei eingesetzt. SaaS erweist sich zunehmend als Sicherheitsproblem. The Hacker News beleuchtet das Thema in diesem Beitrag und zeigt Wege zur Abhilfe.

Dell und das BIOS-Sicherheitstool

Kürzlich hat Dell ein Tool (Dell SafeBIOS Events & Indicators of Attack) zur Überprüfung der BIOS-Sicherheit und Erkennung von Angriffen veröffentlicht. heise hatte in diesem Artikel und hier berichtet. Das Tool gibt es nur für Geschäftskunden über den Dell-Support – von daher konnte ich mir bisher keinen Eindruck von machen, was das Teil taugt.

Thompson Cyber Security Labs: Dell agrees that BIOS is the next malware battlegr… https://t.co/EToQzsWd8v

— Aryeh Goretsky (@goretsky) April 20, 2020

Über obigen Tweet bin ich auf diesen Blog-Beitrag gestoßen. Ganz interessant die Lektüre, da ist es jemandem gelungen, einen Download für das Dell-Tool im Internet aufzuspüren. Nach dessen Ausführung auf einem Dell Optiplex 7070 hat das Teil 'alles in Ordnung gemeldet'. Und dann beschreibt der Autor des Beitrags einige Unzulänglichkeiten:

• Es wurde nicht mitgeteilt, dass es ein Upgrade der Intel Management Engine gab, das als dringend gekennzeichnet war.
• Es wurde nicht mitgeteilt, dass es ein BIOS-Upgrade gab, das Dell als dringend gekennzeichnet hatte.

Zudem scheint das Dell-Tool Dinge nicht erkennt, die eine ähnliche Funktionalität wie das Lenovo-Rootkit aus dem Jahr 2015 haben, schreibt der Autor. Möglicherweise ist das Dell-Tool daher unter dem Label 'Schlangenöl' zu verorten.

Datenleck bei Fortum Polen

Sicherheitsforscher Bob Diachenko weist in folgendem Tweet auf ein größeres Datenleck beim polnischen Energieversorger Fortum hin.

Fortum Poland, a subsidiary of Finnish state-owned energy company, exposed PII details of its Polish customers. More than 3M records, with data such as: name, email, address, PESEL (national ID), phone and contract details. More in my report today. pic.twitter.com/7DgkGP3lTd

— Bob Diachenko (@MayhemDayOne) April 21, 2020

Mehr als 3 Millionen Datensätze mit individuellen Kundendaten sind wohl in einem Datenleck öffentlich geworden. Details will er in einem Bericht nachliefern.

Nintendo-Konten werden gehackt