Sicherheitsinformationen (8. Juni 2020)

Heute noch eine kurze Zusammenfassung verschiedener Sicherheitsmeldungen, die mir die Tage unter die Augen gekommen sind, wo ich aber keine separaten Artikel zu gebracht habe. QNAP NAS-Geräte stehen im Fokus von Ransomware, es gibt Wirbel um den Brave-Browser, Google indiziert WhatsApp-Telefonnummern, und A1 Telekom Austria wurde erfolgreich durch Hacker angegriffen, hat das aber gemerkt und die Angreifer überwacht.

eCh0raix Ransomware zielt auf QNAP NAS-Geräte

Es war die letzten Monate ruhig um um die eCh0raix-Akteure. Dem nachfolgenden Tweet entnehme ich den Hinweis, dass die Cyber-Kriminellen eine neue Kampagne gegen QNAP NAS-Geräte fahren.

Ongoing eCh0raix ransomware campaign targets QNAP NAS devices – @LawrenceAbramshttps://t.co/kYG8YnHWg0

— BleepingComputer (@BleepinComputer) June 5, 2020

Die Ransomware tauchte erstmalig im Juni 2019 auf (siehe auch den Beitrag Warnung: Ransomware-Angriffe auf QNAP-/Synology-NAS). Die Malware verwendet Brute-Force-Angriffe auf die Webinterfaces dieser Geräte, um eventuell mit schwachen Passwörter gesicherte Installationen zu kompromittieren. Im Erfolgsfall werden alle Dateien auf dem NAS verschlüsselt und die Ransomware legt einen Hinweis ab, wo der Benutzer zahlen darf. Bleeping Computer berichtet von einem plötzlichen Anstieg von Hilferufen im Juni 2020 in Foren, weil Anwender von der Ransomware betroffen sind.

Brave Browser sendet ID an Affiliates

Brave ist ein sogenannter Privatsphären-Browser, der sich durch Funktionen zum Blocken von Trackern und Werbung hervortut. Die Seite Decrypt berichtet nun in diesem Beitrag, dass der Browser bei der Suche nach Binance (Bitcoin-Börse) automatisch zu einer Affiliate-Version der URL umgeleitet wird – und Brave profitiert davon.

So when you are using the @brave browser and type in "binance[.]us" you end up getting redirected to "binance[.]us/en?ref=35089877" – I see what you did there mates

— Cryptonator1337 (@cryptonator1337) June 6, 2020

Twitter-Nutzer Cryptonator1337 weist in obigem Tweet auf diesen Sachverhalt hin. Es ist zwar immer die gleiche ID (für alle Nutzer, also kein Nutzertracking), aber das Ganze kommt nicht gut an. Die Redaktion von heise hat in diesem deutschsprachigen Beitrag weitere Informationen zum Thema zusammen getragen.

Google indexiert WhatsApp Click-to-Chat-Telefonnummern

Einen Sicherheitsforscher ist aufgefallen, dass Telefonnummern, die bei WhatsApp für Click-to-Chat über die wa.me-Domain genutzt werden, im Google Index auftauchen. Bleeping Computer hat hier einen Beitrag mit Details publiziert. Bei heise gibt es diesen Beitrag zum Thema.

Cyber-Angriff auf Telekom Austria A1

Hacker konnten wohl erfolgreich die Rechnersysteme der Telekom Austria A1 angreifen und zentrale Komponenten fast ein halbes Jahr kontrollieren. Im November 2019 entdeckten Mitarbeiter des Computer Emergency Response Teams (CERT) auf einigen Office-Systemen Malware. Eine Analyse zeigte, dass es sich um eine Backdoor handelte und Bestandteil eines größeren Angriffs war. Die Sicherheitsspezialisten entschlossen sich, die Angreifer bei der Arbeit zu überwachen, obwohl zentrale PCs und Server infiltriert waren. Eine Bereinigung im März 2020 wurde durch die Coronakrise verhindert. Erst letzte Woche mussten alle A1-Mitarbeiter ihre Kennwörter ändern. heise hat den spannenden Fall in diesem Beitrag aufbereitet.

Ergänzung: Zum A1-Hack gibt es noch eine nette Ergänzung in diesem Blog-Beitrag – den ich so interpretiere, dass ein externer Tipp-Geber heise und den Blogger über den Hack informierte – die Informationen aber solange zurück gehalten wurden, bis Telekom Austria A1 aufgeräumt hatte.