Hackerangriffe - Gefahrenmeldungen im Internet

[Utopia]

Massiver DDOS-Angriff auf Wikipedia

IoT-Geräte dürften einen DDOS-Angriff auf Wikimedia ermöglicht haben. Zunächst in Deutschland und dann überall war auch Wikipedia zeitweise unerreichbar.

Ausfälle von Wikimedia und damit Wikipedia gab es zunächst in Deutschland und dann in aller Welt. (Bild: dpa, Boris Rössler) Unbekannte Täter haben die Server des spendenfinanzierten Wikimedia-Projekts, zu dem auch die Online-Enzyklopädie Wikipedia gehört, sabotiert. Freitag um etwa 20 Uhr begann ein massiver DDOS-Angriff, der etwa neun Stunden dauern sollte. Zunächst stiegen die Latenzen für Nutzer auf den Amerika-Kontinenten stark an, dann wurden die deutschsprachigen Angebote gestört. In der Folge sorgte die mutwillige Sabotage für Ausfälle bei allen Sprachversionen Wikimedias. In den frühen Morgenstunden war dann Schluss. Über ein neu eingerichtetes Twitter-Konto begründeten die mutmaßlichen Täter ihre Online-Randale damit, "neue Geräte testen" zu wollen. Courtesy of Internet of Things Den Angaben zu Folge nutzen sie Geräte des Internet der Dinge (IoT). Immer mehr Verbraucher und Unternehmen nehmen vernetzte Geräte in Betrieb, die sich durch mangelhafte Sicherheitsmaßnahmen auszeichnen und kaum Updates erfahren. Das hilft Verbrechern ungemein, die fremde IoT-Geräte für ihre Zwecke missbrauchen, ohne dass die Eigentümer davon etwas mitbekommen. Häufig besteht die beste Abhilfe darin, vernetzte Dinge offline zu nehmen und dem Recycling zuzuführen. Die Wikipedia-Saboteure haben ihre IoT-Gerätearmee inzwischen auf diverse Streamingdienste losgelassen. (ds)

[Utopia]

Malware legt Rheinmetall-Produktion in Amerika lahm

Der deutsche Rheinmetall-Konzern meldet Befall mit Schadsoftware samt Produktionsausfall an drei Standorten in Amerika. Man rechnet mit wochenlangen Problemen.

Der deutsche Rüstungskonzern und Automobilzulieferer Rheinmetall kämpft an drei Standorten in Nord- und Südamerika mit Malware-Befall. Die Produktion in den Werken der Automobilzulieferer-Sparte des Unternehmens (Rheinmetall Automotive AG) in Brasilien, Mexiko und den USA sei durch Malware-Attacken auf die IT-Infrastruktur erheblich gestört, teilte Rheinmetall am Donnerstag mit.

Auslieferung wohl wochenlang beeinträchtigt
In der Mitteilung heißt es, die Probleme hätten am Dienstagabend begonnen und hätten sich auf die Herstellungsprozesse in den Werken der drei genannten Standorte ausgewirkt. Jedoch seien nach derzeitigem Kenntnisstand die IT-Systeme anderer Konzernteile nicht betroffen. Noch könne man bereits hergestellte Waren an Kunden ausliefern, danach jedoch wirke sich die Unterbrechung in der Produktion auf den Lagerbestand aus. Wie lange dies andauern werde, sei noch nicht abzusehen – mittelfristig gehe man von Lieferproblemen in den nächsten zwei bis vier Wochen aus.

Das Unternehmen geht nicht auf die Bezeichnung der Malware oder den Infektionsweg ein, auch die Art des erlittenen Schadens (etwa Dateiverschlüsselung durch Ransomware) wird nicht genannt. Selbstverständlich arbeite man mit allen verfügbaren Kräften an der Behebung der Probleme.

Mehrere Millionen Euro Schaden – pro Woche
Da es sich um eine Pflichtmitteilung für Anleger auf den Kapitalmärkten handelt, nennt Rheinmetall in der Nachricht auch die hochgerechnete Schadenssumme: Man erwarte einen Abzug vom Betriebsergebnis zwischen 3 Millionen und 4 Millionen Euro pro Woche – beginnend allerdings ab der zweiten Woche des Malware-Befalls, das wäre ab dem kommenden Dienstag. Die Automotive-Sparte firmierte früher unter der Bezeichnung Kolbenschmidt Pierburg AG und hat ihre Hauptsitze in Neckarsulm und Neuss; die Düsseldorfer Rheinmetall AG gibt als Mutterkonzern die Pflichtmitteilung heraus.

Schadsoftware richtet in zahlreichen Unternehmen großen Schaden an. So hat etwa kürzlich der US-Bundesstaat Louisiana den Notstand ausgerufen. Mehrere Krankenhäuser in zwei deutschen Bundesländern waren im Juli lahmgelegt, ebenso die komplette Stadtverwaltung einer Kleinstadt in Niedersachsen – und auch Heise war von einem Emotet-Befall betroffen. Insbesondere gezielte Infektionen von Firmen mit Ransomware lohnen sich offenbar für Kriminelle: Die Zahl der Angriffe hat sich inzwischen nahezu vervierfacht.

[Deckard666]

NordVPN bestätigt, dass es gehackt wurde (2019-10-21)

Google Translate Übersetzung:

NordVPN, ein virtueller privater Netzwerkanbieter, der verspricht, "Ihre Privatsphäre online zu schützen", hat bestätigt, dass es gehackt wurde.

Die Zulassung erfolgt nach Gerüchten, dass das Unternehmen verletzt wurde. Es stellte sich heraus, dass bei NordVPN ein abgelaufener interner privater Schlüssel verfügbar war, sodass möglicherweise jeder seine eigenen Server auslagern konnte, um NordVPN nachzuahmen.

VPN-Anbieter werden immer beliebter, da sie angeblich die Privatsphäre Ihres Internetanbieters schützen und Websites besuchen, die Ihren Internet-Browserverkehr betreffen. Deshalb nutzen Journalisten und Aktivisten diese Dienste häufig, insbesondere wenn sie in feindlichen Staaten arbeiten. Diese Anbieter leiten Ihren gesamten Internetverkehr über eine verschlüsselte Pipe. Dadurch wird es für jeden im Internet schwieriger, festzustellen, welche Websites Sie besuchen oder welche Apps Sie verwenden. Oft bedeutet dies jedoch, dass Sie Ihren Browserverlauf von Ihrem Internetanbieter auf Ihren VPN-Anbieter verlagern müssen. Dies hat viele Anbieter einer Prüfung unterzogen, da häufig nicht klar ist, ob jeder Anbieter jede Website protokolliert, die ein Benutzer besucht.

NordVPN hat seinerseits eine Null-Log-Richtlinie festgelegt. "Wir erfassen, sammeln oder teilen Ihre privaten Daten nicht", so das Unternehmen.

Die Sicherheitsverletzung kann jedoch Alarm auslösen, da Hacker möglicherweise auf einige Benutzerdaten zugreifen konnten.

NordVPN teilte TechCrunch mit, dass im März 2018 auf eines seiner Rechenzentren zugegriffen wurde. „Auf eines der Rechenzentren in Finnland, von denen wir unsere Server mieten, wurde ohne Autorisierung zugegriffen“, sagte NordVPN-Sprecherin Laura Tyrell.

Der Angreifer erlangte Zugriff auf den Server, der seit etwa einem Monat aktiv war, indem er ein unsicheres Remoteverwaltungssystem ausnutzte, das vom Rechenzentrumsanbieter zurückgelassen wurde. NordVPN sagte, es sei nicht bekannt, dass ein solches System existiert.

NordVPN hat den Rechenzentrumsanbieter nicht benannt.

„Der Server selbst enthielt keine Benutzeraktivitätsprotokolle. Keine unserer Anwendungen sendet vom Benutzer erstellte Anmeldeinformationen zur Authentifizierung, sodass Benutzernamen und Kennwörter ebenfalls nicht abgefangen werden konnten “, sagte der Sprecher. "Aus dem gleichen Grund war die einzige Möglichkeit, den Website-Verkehr zu missbrauchen, die Durchführung eines personalisierten und komplizierten Man-in-the-Middle-Angriffs zum Abfangen einer einzelnen Verbindung, die versuchte, auf NordVPN zuzugreifen."

Nach Angaben des Sprechers konnte der abgelaufene private Schlüssel nicht zum Entschlüsseln des VPN-Verkehrs auf einem anderen Server verwendet werden.

NordVPN teilte mit, dass es "vor einigen Monaten" von der Sicherheitsverletzung erfahren habe, der Sprecher sagte jedoch, die Sicherheitsverletzung sei bis heute nicht bekannt gegeben worden, da das Unternehmen "100% sicher sein wollte, dass jede Komponente in unserer Infrastruktur sicher ist".

Ein hochrangiger Sicherheitsforscher, mit dem wir gesprochen haben, der die Aussage und andere Beweise für den Verstoß überprüfte, jedoch darum bat, nicht genannt zu werden, da er für ein Unternehmen arbeitet, das die Erlaubnis benötigt, mit der Presse zu sprechen, bezeichnete diese Ergebnisse als "beunruhigend".

"Obwohl dies nicht bestätigt ist und wir weitere forensische Beweise erwarten, ist dies ein Hinweis auf eine vollständige Remote-Kompromittierung der Systeme dieses Anbieters", sagte der Sicherheitsforscher. "Das sollte jeden sehr betreffen, der diese speziellen Dienste nutzt oder bewirbt."

Laut NordVPN ist kein anderer Server in unserem Netzwerk betroffen.

Der Sicherheitsforscher warnte jedoch, dass NordVPN das größere Problem des möglichen Netzwerkzugriffs des Angreifers ignoriere. "Ihr Auto wurde gestohlen und auf eine Vergnügungsfahrt mitgenommen, und Sie streiten darüber, welche Tasten im Radio gedrückt wurden?", Sagte der Forscher.

Das Unternehmen bestätigte, Intrusion Detection-Systeme installiert zu haben, eine beliebte Technologie, mit der Unternehmen frühzeitige Sicherheitsverletzungen erkennen. "Niemand konnte etwas über ein nicht bekannt gegebenes Fernverwaltungssystem wissen, das vom [Rechenzentrums] -Anbieter hinterlassen wurde", sagte der Sprecher.

NordVPN hat dies bestritten. „Wir behandeln VPN-Server in unserer übrigen Infrastruktur als nicht vertrauenswürdig. Es ist nicht möglich, von einem kompromittierten VPN-Server aus auf andere VPN-Server, Benutzerdatenbanken oder andere Server zuzugreifen “, sagte der Sprecher.

"Sie gaben Millionen für Werbung aus, aber anscheinend nichts für effektive Verteidigungssicherheit", sagte der Forscher.

NordVPN wurde kürzlich von TechRadar und PCMag empfohlen. CNET beschrieb es als seinen "Lieblings" -VPN-Anbieter.

Es wird auch angenommen, dass mehrere andere VPN-Anbieter zur gleichen Zeit verletzt wurden. Ähnliche Datensätze, die online veröffentlicht und von TechCrunch gesehen wurden, lassen vermuten, dass TorGuard und VikingVPN ebenfalls kompromittiert wurden.

Ein Sprecher von TorGuard teilte TechCrunch mit, dass 2017 ein „einzelner Server“ kompromittiert wurde, der Zugriff auf VPN-Daten jedoch abgelehnt wurde. Im Anschluss an einen Blog-Beitrag im Mai gab TorGuard eine ausführliche Erklärung ab, in der der Verstoß zum ersten Mal aufgedeckt wurde.

Aktualisiert mit Kommentar von TorGuard und erneut mit zusätzlichem Kommentar von NordVPN.


Artikel im englischen Original

[S.E.T.I]

Seit Heute (Donnerstag) Vormittag gibt es offenbar immer wieder Ausfälle der ORF-Internetseite.

Die Internetseite des ORF dürfte seit einigen Stunden mit technischen problemen zu tun haben. Mal geht die Seite kurz, dann ist diese gleich wieder wegg. Ob es sich dabei um Interne technische probleme handelt oder evtl. Angriffe von Aussen sind ist derzeit noch nicht bekannt.

Auf der Facebook Seite des Orf gibt es bis dato noch keine Offizielle reaktion auf diese Ausfälle:



Ruft man die Webseite des ORF auf kommt immer wieder diese Meldung:

https://news.orf.at/

[Utopia]

Wenn Angreifer Computer schon vor dem Windows-Start drangsalieren, hat das fatale Folgen und AV-Software ist oft machtlos. Die NSA gibt Tipps zur Absicherung.

Dem Auslandsgeheimdienst der USA National Security Agency (NSA) liegt viel an der Sicherheit von Computern der eigenen Regierung: In einem aktuellen Bericht sprechen sie sich unter anderem für die Nutzung der Schutzfunktion Secure Boot aus und geben Tipps zur Einrichtung und Betrieb. Davon profitieren auch Privat-Nutzer.

Secure Boot ist Bestandteil des Unified Extensible Firmware Interface (UEFI). Das bildet die direkte Schnittstelle zwischen der Hardware und dem Betriebssystem. Secure Boot setzt schon vor dem Start von Windows an und prüft etwa, ob der Bootloader korrekt signiert ist. Hat ein Angreifer daran herumgespielt, erkennt Secure Boot das. Im Anschluss kann der Mechanismus den Start des Systems verweigern und so schlimmeres verhindern.

Die Gefahr
Nimmt ein Angreifer auf UEFI-Ebene Modifizierungen vor, kann das verhängnisvolle Auswirkungen haben. So könnte der Computer beispielsweise eine mit Schadcode (Rootkit) präparierte Version von Windows starten ohne, dass das Opfer davon etwas mitbekommt. In vielen Fällen sind Viren-Scanner machtlos, da der Code (Bootkit) bereits vor dem Start von Windows und somit auch des Scanners Unheil angerichtet hat. Ein derartig attackierter Computer gilt nach allen Regeln der Kunst als kompromittiert.

Um solche Attacken einzudämmen, hat die NSA nun einen 39-seitigen Bericht mit Tipps zur Secure-Boot-Nutzung veröffentlicht. Darin erklären die Autoren neben der Funktionsweise auch, wie man Secure Boot optimal konfiguriert und welche Tipps es für Admins gibt, die Funktion trotz möglicher Inkompatibilitäten mit Hard- oder Software dennoch zu aktivieren. Dabei gehen die Autoren auch in die Tiefe und erläutern unter anderem die Erzeugung von Schlüsseln und Zertifikaten mit OpenSSL, um diese im Secure-Boot-Kontext einzusetzen.

Ratschläge eines Geheimdienstes
Als Grundvoraussetzung müssen BIOS-Systeme auf UEFI migriert werden. Ansonsten steht Secure Boot erst gar nicht zur Verfügung. Ist das gegeben, sollte sichergestellt sein, dass die Funktion auf allen Computern eines Unternehmens aktiv ist. Ansonsten gibt es Schlupflöcher. Außerdem sollten Admins den UEFI-Zugriff mit sicheren Passwörtern schützen und die Firmware regelmäßig auf den aktuellen Stand bringen. Weitere Tipps kann man im Bericht nachlesen.

Anfang Juli 2020 gab die NSA bereits Tipps, wie man sicherer im Homeoffice arbeitet.
(des)