Schlagwort-Archive: Hacking

Neue Sicherheitslücken bedeuten nicht zwangsläufig neue Probleme

von Richard Werner, Business Consultant

Wieder sind zwei neue Sicherheitslücken aufgetaucht, die betroffene Nutzer und Unternehmen vor Herausforderungen stellen werden. Diesmal sind die Microsoft-Browser Edge und Internet Explorer betroffen. Es handelt sich dabei um so genannte Zero Days, denn zum Zeitpunkt der Veröffentlichung war vom Hersteller noch kein Patch verfügbar. Diese Situation kennt nur Verlierer.

Die Situation wäre möglicherweise vermeidbar gewesen, folgt man den Auskünften des Sicherheitsforschers, der diese Lücken entdeckt hat: Er behauptet, Microsoft bereits zehn Monate vor der Veröffentlichung über seine Ergebnisse informiert zu haben. Nun ist der Anbieter eigentlich nicht dafür bekannt, solche Hinweise zu ignorieren. Die Erfahrung zeigt vielmehr, dass dessen Prozesse daraufhin optimiert sind, in solchen Fällen schnell und akkurat zu reagieren. Eine solche Verzögerung mag deshalb durchaus unbeabsichtigt oder zufällig entstanden sein. Das Resultat ist aber leider eine „Lose-Lose-Lose-Situation“.

Lose-Lose-Lose-Situation
Auf der einen Seite steht ein junger Sicherheitsforscher, der sich gezwungen sieht, seine Ergebnisse zu veröffentlichen. Da Millionen Nutzer davon betroffen sind und zu erwarten ist, dass innerhalb der nächsten Wochen bereits Angriffe auf diese Schwachstellen folgen werden, wird er wohl wenig Dank ernten.

Der zweite Verlierer ist Microsoft. Das Unternehmen ist nun gezwungen zu reagieren und erklärt der Öffentlichkeit entweder, warum kein Einschreiten notwendig ist (aus unserer Sicht eher unwahrscheinlich), oder stopft schnellstmöglich diese Lücke. Ein Image-Schaden und deutlicher Mehraufwand werden dabei auf jeden Fall die Folge sein.

Der dritte Verlierer – vermutlich der einzige, auf den es wirklich ankommt – sind die Nutzer. Wahrscheinlich werden sie demnächst einen Patch als Notfallmaßnahme erhalten, den sie sofort installieren müssen. Wir können nur hoffen, dass dem Hersteller genügend Zeit für eine vernünftige Qualitätssicherung bleibt. Zwangsläufig aber wird es ungemütlich, denn Cyberkriminelle haben durch die Offenlegung leider eine Blaupause dafür erhalten, wie sie angreifen können, und haben damit potenziell einen mehrtägigen Vorsprung. Besonders fatal ist, dass die allermeisten Menschen vermutlich überhaupt nichts von dieser Diskussion mitbekommen und solchen Angriffen komplett unvorbereitet gegenüberstehen.

Weiße Märkte
Ironischerweise vollzieht sich dieser Vorfall ziemlich genau zwei Wochen nach Abschluss des weltweit größten Hacking-Wettbewerbs Pwn2Own. Dieser wird von der Trend Micro Zero Day Initiative organisiert, dem weltweit ersten und größten herstellerunabhängigen sogenannten Weißen Markt. Auch hier geht es um Sicherheitslücken und Sicherheitsforscher stellen ihr Können unter Beweis. Und auch hier ist ihnen die Aufmerksamkeit der Szene für einen solchen Hack gewiss. Im Unterschied zu dem genannten Fall werden bei Pwn2Own allerdings für solche Hacks Preisgelder bis hin zu sechsstelligen Beträgen gezahlt. Außerdem sind betroffene Hersteller teilweise mit eigenen Entwicklungsressourcen vor Ort, um die Schwachstellen direkt zu beheben. Nur in den allerseltensten Fällen ignoriert ein Anbieter bei Pwn2Own entdeckte Sicherheitslücken. Dafür gibt es festgelegte Prozesse für eine verantwortungsvolle Veröffentlichung.

Lose-Lose-Lose wird zu Win-Win-Win
Die Weißen Märkte wurden geschaffen, um solche Sicherheitslücken verantwortungsvoll zu schließen. Davon profitieren alle: Die Internetgemeinde wird in der Regel ohne große Verzögerung geschützt. Zudem gibt es keinen Vorlauf für Cyberkriminelle, um einen Zero Day auszunutzen. Auch dem betroffenen Anbieter bleibt in der Regel ein angemessener Zeitraum für die Qualitätssicherung. Durch die 13-jährige Zusammenarbeit mit Herstellern werden ein „versehentliches Übersehen“ oder der Kontakt zu den falschen Ansprechpartnern praktisch ausgeschlossen. Letztendlich profitiert auch der Sicherheitsforscher durch mehr Prestige und ein durchaus nennenswertes Preisgeld. Pwn2Own und ähnliche Veranstaltungen existieren, damit solche unkoordinierten Veröffentlichungen nicht mehr notwendig sind. Schließlich wollen wir alle sichere Software – aber vor allem wollen wir in diesem Zusammenhang gelöste Probleme und nicht nur gute Ratschläge.

Pwn20wn – 3 Tage Hacking in Vancouver

Originalbeitrag von Dustin Childs, Zero Day Initiative

Der diesjährige Hacking-Wettbewerb Pwn2Own von der Zero Day Initiative (ZDI) von Trend Micro fand kürzlich in Vancouver statt. Bereits am ersten Tag gab es vier erfolgreiche Hacking-Versuche und einen zum Teil gelungenen Versuch, wobei die Teilnehmer 240.000 $ verdienten, zusätzlich zu den eingesetzten Laptops. Die Veranstaltung setzt neben traditionelleren Zielen wie Web Browser, Virtualisierungs-Server, Anwendungen und Windows RDP den verstärkten Fokus auf IoT-Geräte fort und umfasst in diesem Jahr erstmals auch eine Automotive-Kategorie.


Am dritten und letzten Tag des Hacking-Wettbewerbs ging es um die mit Spannung erwarteten Vorführungen in der neu hinzu gekommenen Automotive-Kategorie – und auch hier gab es Erfolge.

Dem Fluoroacetate-Duo gelang es, vor der versammelten Menge ins Infotainment-System des Fahrzeugs einzudringen. Nach einigen Minuten des Setups konnten sie über einen JIT-Bug im Rendering eine Nachricht im Internet Browser des Modell 3 von Tesla anzeigen lassen. 35.000 $ und auch das geknackte Tesla-Modell sind die Belohnung für ihre diesbezügliche Forschung.

Das zweite Team des Tages, hatte kurz vorher seine Anmeldung für diese Kategorie zurückgezogen. Das ZDI hofft jedoch, dass die Teilnehmer ihre Forschungsergebnisse dem Programm dennoch zur Verfügung stellen werden.

Nicht überraschend wurde das Duo Richard Zhu und Amat Cama des Fluoroacetate-Teams zu den neuen „Master of Pwn“ für 2019 gekürt. Die Beiden hatten bereits im Herbst den Pwn2Own Tokyo beherrscht.

Insgesamt lassen sich diese drei Tage des Pwn2Own-Wettbewerbs Vancouver 2019 als großer Erfolg werten. Die Veranstalter vergaben 545.000 $ Preisgeld für 19 einzigartige Schwachstellen in Apple Safari, Microsoft Edge und Windows, VMware Workstation, Mozilla Firefox sowie im Tesla Infotainment-System.

Wie üblich, erhielten die Anbieter die Einzelheiten zu den Fehlern und können nun innerhalb von 90 Tagen Sicherheits-Patches dafür erstellen.


Tesla wird Partner für Hacking-Wettbewerb Pwn2Own 2019

Der diesjährige Hacking-Wettbewerb Pwn2Own wird vom 20. bis 22. März in Vancouver stattfinden und wird von der Zero Day Initiative (ZDI) von Trend Micro organisiert. Die Veranstaltung umfasst in diesem Jahr erstmals eine Automotive-Kategorie.

Die Liste der zu hackenden Geräte wurde in diesem Jahr um ein Tesla Model 3 erweitert. Damit setzt der diesjährige Pwn2Own-Wettbewerb den verstärkten Fokus auf IoT-Geräte (Internet of Things/Internet der Dinge) fort, der bereits den Ende 2018 durchgeführten Pwn2Own Tokyo ausgezeichnet hat. Dort standen erstmals Consumer-IoT-Geräte auf der Liste der anzugreifenden Geräte. Tesla führte als erster Automobilhersteller bereits 2012 Over-the-Air-Updates durch und lieferte seitdem hunderte solcher Updates aus. Die Teilnahme des Unternehmens an dem Wettbewerb stellt einen weiteren Schritt hin zur Ära der vernetzten Geräte dar.

„Seit 2007 ist Pwn2Own zu einem branchenweit führenden Wettbewerb geworden, der die Schwachstellenforschung bei den heute wichtigsten Plattformen fördert“, sagt Udo Schneider, Security Evangelist bei Trend Micro. „Über die Jahre haben wir immer wieder neue Kategorien und Ziele hinzugefügt, um den Fokus der Forscher auf solche Bereiche zu lenken, die für Unternehmen und Verbraucher wichtiger werden. In diesem Jahr arbeiten wir mit einigen der wichtigsten Unternehmen der Technologie-Branche zusammen, um dieses Engagement weiter auszubauen und relevante Schwachstellenforschung zu ermöglichen.“

Anzugreifende Geräte

Die Partnerschaften erweitern die Liste der Ziele des Wettbewerbs um neue Plattformen. Dazu zählen unter anderem Virtualisierungsplattformen, Unternehmensanwendungen und Web-Browser. Die vollständige Liste der anzugreifenden Geräte umfasst die Kategorien Automotive, Virtualisierung, Browser sowie Unternehmensanwendungen und serverseitige Funktionen. Einzelheiten dazu finden Sie hier.

Fazit

Mit der diesjährigen Ausweitung des Pwn2Own kommt Trend Micro dem Ziel näher, durch Partnerschaften mit den wichtigsten Anbietern in diesen Bereichen die vernetzte Welt sicherer zu machen. Das Unternehmen hat dazu vor Kurzem mehrere Initiativen verkündet, unter anderem ein Joint Venture mit Moxa, sowie ein Programm, mit dem IoT-Hersteller die Sicherheit ihrer Geräte während des Entwicklungsprozesses verbessern können.

Android Backdoor kann heimlich Audio & Video aufzeichnen – und mehr

von Lenart Bermejo, Jordan Pan und Cedric Pernet

Der Informationen stehlende RETADUP Wurm, der israelische Krankenhäuser angegriffen hatte, ist Teil einer Attacke, die breitangelegt ist, als ursprünglich angenommen – zumindest bezüglich der Auswirkungen. Der Angriff wurde von einer noch gefährlicheren Bedrohung begleitet – einer Android-Schadsoftware, die ein Mobilgerät übernehmen kann. Trend Micro hat sie als ANDROIDOS_GHOSTCTRL.OPS/ANDROIDOS_GHOSTCTRL.OPSA erkannt und den Backdoor GhostCtrl genannt, weil er unbemerkt eine Reihe von Funktionen auf dem betroffenen Gerät kontrollieren kann.

Weiterlesen

Fake Super Mario Run App stiehlt Kreditkarteninformationen

Originalbeitrag von Jordan Pan, Mobile Threats Analyst

Bereits im Dezember letzten Jahres berichtete Trend Micro über gefälschte Apps, die die Popularität des mobilen Spiels Super Mario Run nutzten, um Schadsoftware zu verteilen. Nun haben die Sicherheitsforscher noch mehr bösartige Android Apps gefunden, die denselben Trick anwenden und Kreditkarteninformationen der Nutzer stehlen.
Weiterlesen

Umbreon Linux-Rootkit zielt auf x86- und ARM-Systeme

Originalbeitrag von Fernando Mercês, Senior Threat Researcher
Re-Blog von blog.trendmicro.de

Ransomeware04-200x200

Trend Micros Sicherheitsforscher erhielten kürzlich von einem Partner des Vertrauens Samples einer neuen Rootkit-Familie. Um dieser Gefahr entgegen zu wirken, liefert der Blog eine Analyse des Rootkits, und Trend Micro stellt auch die Samples der Industrie zur Verfügung.

Die Rootkit-Familie Umbreon (ELF_UMBREON, gleicher Name wie Pokémon) zielt auf Linux-Systeme mit Intel- und ARM-Prozessoren, sodass die Reichweite der Bedrohung auch Embedded Devices mit einschliesst.

Die Entwicklung von Umbreon begann Anfang 2015, doch waren die Entwickler im cyberkriminellen Untergrund mindestens seit 2013 aktiv. In Untergrund-Foren und IRC-Kanälen wird behauptet, dass Umbreon schwer zu entdecken ist.

Umbreon wird vom Angreifer per Hand auf betroffene Geräte oder Server installiert. Danach kann dieser das Gerät kontrollieren.
Weiterlesen

Mit Waffen spielt man nicht…

Beitrag von Raimund Genes, Chief Technology Officer

Beim „Internet der Dinge“ (englisch auch „Internet-of-Everything“) denken viele an „hippe“ Gegenstände des täglichen Lebens: SmartWatches, intelligente Heizungssteuerungen, Fitnesstracker oder Autos mit WLAN. Dabei wird häufig übersehen, dass damit im Grunde jedes Gerät gemeint sein kann, mit dem man elektronisch kommunizieren kann. Dazu gehören auch Waffen in den verschiedensten Ausprägungen.

Weiterlesen