Cyber-Crime – die News zum Wochenstart (9.11.2017)

Leute, die Weihnachtsferien sind zu Ende – und die Cyber-Kriminellen sich aus dem Urlaub zurück. Es ist zur Zeit mächtig was los, auf der Gass: Hier die Geschichten von 'verdampfenden' Datenbanken, Ransomware für die Schule und Shop-Skimming. Und damit es nicht so langweilig wird, gleich nach der Rückkehr aus dem Urlaub, habe ich noch ein wenig mit drauf gepackt – wie die Hitliste der unsichersten Produkte in 2016, wo das sicherste Windows aller Zeiten garantiert (nicht) vorkommt. Aber lest selbst in der Liste des Grauens, was Sache ist.

Ransomware-Angriff auf britische Schulen

Das Action Fraud Cybercrime-Team warnt aktuell britische Schulen, dass Angriffe von Cyber-Kriminellen stattfinden. In angeblichen Anrufen vom "Department of Education" werden Telefonnummern und E-Mail-Adressen von IT-Verantwortlichen der Schulen angefordert. Diese versucht man dann auszutricksen und zur Installation einer Ransomware zu überreden. Die Lösegeldzahlung reicht bis zu 8.000 Pfund. Es kann nur eine Frage der Zeit sein, bis so was auch nach Deutschland schwappt – denn Schule hat wieder begonnen. (via)

Online-Datenbanken 'sterben wie die Fliegen'

Eben zeigte mein Blog kurzzeitig den Wartungsmodus an, und mir fiel das Herz in die Hose. Konnte der Blog oder die Datenbank gelöscht worden sein? Hat sich als Fehlalarm herausgestellt, während meines Supportanrufs war der Blog wieder da – Ursache für den Wartungsmodus unbekannt.

Das meine Vermutung nicht so weit hergeholt ist, zeigt dieser Arstechnica-Beitrag. Seit einigen Tagen "verdampfen" MongoDB-Online-Datenbanken bzw. sterben wie die Fliegen. Die Datenbanken werden, laut Sicherheitsforschern, gekapert. Die Cyber-Kriminellen fordern 200 US $ in Bitcoins als Lösegeld, um die Inhalte der gekaperten Datenbanken wiederherzustellen. Es ist also gut, ein Backup der Datenbanken zu haben.

BSI-Warnung vor Online-Skimming in deutschen Online-Shops

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt in dieser Pressemitteilung, dass aktuell mindestens 1.000 deutsche Online-Shops von Online-Skimming betroffen sind. Dabei nutzen Cyber-Kriminelle Sicherheitslücken in veralteten Versionen der Shopsoftware, um schädlichen Programmcode einzuschleusen. Dieser späht dann beim Bestellvorgang die Zahlungsinformationen der Kunden aus und übermittelt sie an die Täter. Betroffen sind Online-Shops, die auf der weit verbreiteten Software Magento basieren.

Der eingeschleuste Code und der damit verbundene Datenabfluss ist für Nutzer üblicherweise nicht erkennbar. Über den Umfang der über diese Angriffe bereits abgeflossenen Zahlungsdaten liegen dem BSI zur Zeit keine Erkenntnisse vor.

Im Oktober hatte ich den Blog-Beitrag Kreditkartenklau/-skimming bei 6.000 Online-Shops veröffentlich und auf das Problem hingewiesen. Vom CERT-Bund wurden die Netzbetreiber von mehreren hundert betroffenen deutschen Online Shops informiert. Passiert ist wenig. Aktuellen Erkenntnissen zufolge wurde diese Infektion von vielen Betreibern bis heute nicht entfernt oder die Server wurden erneut kompromittiert. Die von den Angreifern ausgenutzten Sicherheitslücken in Magento wurden von den Shop-Betreibern trotz vorhandener Softwareupdates offenbar nicht geschlossen.

Betreiber von Online-Shops auf Basis von Magento können mit dem kostenfreien Dienst MageReport überprüfen, ob ihr Shop-System bekannte Sicherheitslücken aufweist und von den aktuellen Angriffen betroffen ist. Zu jedem erkannten Problem werden detaillierte Informationen zu dessen Behebung bereitgestellt.

Kaspersky blockt SSL-Zertifikatsprüfung

Da viele aus dem Urlaub zurück kommen und gemächlich mit dem Dienst beginnen, noch ein Informationshäppchen. Google Sicherheitsforscher Tavis Ormandy hat bereits vor einigen Tagen bei Kaspersky-Produkten Schwächen im Umgang mit SSL-Zertifikaten aufgedeckt.

Die Details könnt ihr in dieser Textwüste nachlesen (Sicherheit ist ein trockenes Geschäft). Bei heise.de hat man das Ganze in etwas lesefreundlicherer Form aufbereitet.

Banking-App: Gier schlägt Vernunft, schlägt Sicherheit

Möglicherweise haben die meisten es mitbekommen: Banking-Apps sind per se unsicher und sollten für Online-Banking nicht verwendet werden. Das ficht die FinTechs, und speziell das Startup N26, nicht an. Und weiß Digital "sexy" ist, scheinen die Sparkassen jetzt auch ins gleiche Boot zu hüpfen und werfen Kunden den gleichen unsicheren App-Kram vor die Füße. Beim 33C3-Kongress zwischen den Jahren wurde diese Entwicklung kritisch beleuchtet. Bei netzpolitik.org ist der Beitrag Sicherheitsmängel beim Bank-Startup N26: Eine Frage der Prioritäten erschienen. Und Sicherheitsforscher Vincent Haupert hat auch Spiegel Online ein Interview gegeben, welches unter Sicherheit beim Onlinebanking – Eine bedenkliche Abwärtsspirale nachlesbar ist. Für die Banken kein Problem, der Kunde haftet ja für Missbrauch, denn er hat sein Gerät unsicher betrieben.

Ranking der Top 50 Sicherheitslücken in Software …

Zum Jahresanfang ist es guter Brauch, dass die CVE die Hitliste der Sicherheitslücken des Vorjahres veröffentlicht. Im aktuellen Bericht mit den produktbezogenen Top 50-Sicherheitslücken tummelt sich wieder alles, was Rang und Namen hat.

• Android als Betriebssystem kommt mit 523 Sicherheitslücken auf Platz 1.
• Dann folgen Debian Linux mit 319 und Ubuntu mit 278 Sicherheitslücken.
• Der Flash Player verpasst mit 266 Sicherheitslücke nur knapp Platz 3.
• Auch Mac OS ist mit 215 Sicherheitslücke noch auf Platz 11 gekommen.
• Der Chrome-Browser segelt mit 172 Sicherheitslücke auf Rang 13.
• Überraschung: Das sicherste Windows aller Zeiten, nämlich Windows 10, kommt mit 172 Sicherheitslücken auf eine 'guten' 14. Platz. Und das, wo der deutsche Michel das Teil so liebt, dass es Windows 7 überholt (siehe).

Ist ja klar, dass die anderen Betriebssystem-Oldies so 'richtig schwächeln' und auf den hinteren Rängen Platz nehmen müssen: Windows Server 2012 (156 Sicherheitslücken) auf Platz 16, Windows 8.1 (154 Sicherheitslücken) auf Platz 17 und das Steinzeit Windows 7 (134 Sicherheitslücken) kommt auf Platz 20. Der Windows Server 2008 wies sogar nur 133 Sicherheitslücken auf und segelt auf Platz 21.

Obwohl, momentan beschleichen mich leise Zweifel, ob nicht Plätze weit hinten nicht irgendwie doch gut sind? Egal, ihr werdet es schon einzusortieren wissen – eine gut gezielte Provokation trifft immer .

Microsoft Edge, der neu designte Browser, wies 135 Sicherheitslücken auf (Platz 19), Firefox liegt mit 133 Lücken auf Platz 22 und der Internet Explorer kommt mit 129 Sicherheitslücken auf Platz 23. Die Produkte liegen aber nahe beieinander – und die Zahl der Sicherheitslücken kann auch damit zusammen hängen, wie häufig die Produkte im Fokus von Sicherheitsforschern stehen. Dann kommt es darauf an, wer am schnellsten patcht. (via)

PS: Das Bauchgefühl des Mittelstands zur Digitalisierung hat WiWo in einer Umfrage in ein Schaubild gepresst. Hier lässt sich das Ganze nachlesen – nur weiß ich nicht, was ich persönlich damit anfangen soll.