Nächste Panne bei Facebook

Forscher von Microsoft fanden eine Lücke in dem Mechanismus, der Facebook-Benutzer vor Clickjacking-Angriffen schützen soll. Bei Clickjacking handelt es sich um ein Täuschungsmanöver, bei dem ein Angreifer auf die Seite von Facebook einblendet und teilweise mit eigenen Inhalten überdeckt. Ein Angreifer kann so das Facebook-Konto des Opfers komplett übernehmen und alles damit machen, was der legitime Benutzer auch darf, also sämtliche Kontoeinstellungen inklusive Sicherheitseinstellungen ändern und Nachrichten mit dem Namen des Opfers versenden.

Schützen kann man sich vor diese Art Angriffe mit den gleichen Maßnahmen, die auch gegen die Cross-Site-Request-Forgery-Schwachstelle helfen und das geht wie folgt:

1. Melden Sie sich bei Facebook ab und deaktivieren Sie die Einstellung „angemeldet bleiben“ beim Einloggen. So haben Sie selbst die Kontrolle darüber, wann Sie bei Facebook angemeldet sein wollen und wann nicht.
2. Schließen Sie alle Browserfenster und Tabs bevor Sie sich auf Facebook anmelden und melden Sie sich ab, wenn Sie eine andere Seite besuchen wollen.
3. Melden Sie sich niemals bei Facebook an, wenn sie auf einer Fremden Webseite dazu aufgefordert werden und erlauben Sie keiner fremden Seite, sich mit Facebook in Verbindung zu setzten, sollten Sie dazu aufgefordert werden.

Laut Angaben der Forscher wurde Facebook bereits informiert.

Nun auch Cross-Site-Scripting-Schwachstelle in ICQ

Nun wurde eine ähnliche Cross-Site-Scripting-Schwachstelle in ICQ entdeckt, wie sie bereits in Skype nachgewiesen wurde. Benutzer können auch hier JavaScript-Code in ihr Profil einfügen und da dieser im Client beim Anzeigen des Profils nicht richtig kodiert wird,  wird er ausgeführt und das offenbar im lokalen Kontext. Das heißt, dass es Angreifern so prinzipiell sogar möglich ist, fremden Code auf dem Rechner des Opfers auszuführen.

Ausnützen der Cross-Site-Scripting-Schwachstelle im ICQ-Client. Quelle: heise Security

Schützen kann man sich vor dieser Art Angriff nicht. Sobald man sich das Profil ansieht, ist es auch schon passiert. Man kann das Risiko reduzieren, indem man sich keine Profile von unbekannten Leuten ansieht, bis ICQ das Problem behebt.

McAfee: 2011 mehr Schadsoftware im Umlauf als jemals zuvor

Der Antivirushersteller McAfee identifizierte im ersten Quartal 2011 mehr Schadsoftware als je zuvor.  In diesem Zeitraum hat McAfee 6 Millionen unterschiedliche Beispiele von Schadsoftware,  also Viren, Würmer, Trojaner, Scareware etc. (eine Beschreibung der unterschiedlichen Arten von Schadsoftware findet sich unter anderem hier) entdeckt. Gefälschte Virenscanner, die keinen Schutz bieten aber dennoch bezahlt werden wollen, sind inzwischen auch sehr beliebt. Ganze 350.000 unterschiedliche Exemplare wurden allein im März registriert.

Neben PCs werden auch Mobile Endgeräte (Handys, Tablets etc.) immer beliebter bei Autoren von Schadsoftware. Inzwischen hat sich Google’s Android-Plattform als zweitbeliebteste Plattform für Schadsoftware hinter Symbian etabliert – bezogen auf das erste Quartal 2011. Betrachtet man sämtliche jemals identifizierte Schadsoftware für Mobile Endgeräte ist Android auf Platz 3 hinter Symbian und Java 2 ME aufgestiegen.

Schadsoftware pro Plattform insgesamt. Quelle: McAfee Threats Report: First Quarter 2011

Ein neuer Trend sind Banken-Trojaner, also Schadsoftware die Passwörter und andere persönliche Daten entwendet. Verteilt werden diese Trojaner durch Spam-Mails, die sich als E-Mails von Firmen wie UPS, FedEx, USPS und IRS tarnen.

Neuerdings besonders beliebt sind gefälschte Seiten über außergewöhnliche Ereignisse in den Schlagzeilen wie beispielsweise das Erdbeben und der Tsunami in Japan, beliebte Sportereignisse etc. Im Schnitt werden pro Tag 8.600 solcher Seiten, die vortäuschen, Neuigkeiten zu enthalten und den Browser des Besucher stattdessen mit Schadsoftware infizieren oder dem Besucher gefälschte Produkte unterjubeln wollen,  ins Netz gestellt. Ergebnisse für die 100 häufigsten Suchanfragen des jeweiligen Tages sind zu 50% bösartige Seiten und enthalten im Durchschnitt mehr als zwei Links zu bösartigen Seiten.

Wieder Schwachstellen in SOHO-Routern – diesmal UPC betroffen

Nach den Sicherheitsproblemen bei Telekom-Austria-Modems sind nun von der UPC Österreich verteilte Geräte betroffen. Diesmal kann der Angreifer über WLAN Zugriff auf die Netzwerkkonfigurationsoberfläche des Geräts bekommen.

Betroffen sind Kunden, die einen Router vom Typ Thomson TWG850-4U [der Ursprüngliche angegebene Gerätetyp TWG870U ist offenbar falsch, siehe unten] erhalten haben. Dieser baut nämlich nicht nur ein, sondern gleich zwei WLAN-Netze auf. Neben dem vom Nutzer eingerichteten und verwalteten WLAN wird ein Netz mit der Kennung „UPC Multimedia“ erstellt, das seine Kennung (SSID) verbirgt, also nach außen hin unsichtbar ist. Nicht nur ist bei allen ausgelieferten Routern dieses Typs die SSID gleich, sondern auch der Schlüssel für dieses. Dadurch erhalten Angreifer nicht nur Zugriff auf die Internetverbindung des Kunden, sondern auch auf die Konfigurationsoberfläche des Routers, über die sie sich Zugriff auf das private Netz des Kunden verschaffen können. Dort kann ein Angreifer unter anderem den WLAN-Zugangsschlüssel (WPA-PSK) ausgelesen und kritische Konfigurationsparameter nach belieben verändern.

Dieses Sicherheitsproblem ist bereits seit 2009 bekannt. Österreichweit nutzen laut Pressemitteilungen von UPC über 250.000 Kunden das betroffene Angebot.
Update 27.07:
Mittlerweile gibt es eine offizielle Stellungnahme von UPC:

Die angesprochene Sicherheitslücke der von UPC Kunden verwendeten Thomson Modems wurde bereits, nachdem das Problem bei UPC in den Niederlanden erkannt wurde, mit einer aktualisierten Firmware, die auch in Österreich im Einsatz ist, beseitigt. Seither ist dieses „Guest Network“ zwar ersichtlich, aber deaktiviert. Der Kunde hat auch keine Möglichkeit dieses Netz zu aktivieren. UPC ist die Untersuchungsmethode der SBA Research nicht bekannt. Anlässlich der Anschuldigungen hat UPC intensiv die jeweiligen WLAN Modems getestet und kann bestätigen, dass die Sicherheitslücke bei den UPC Modems mit der aktualisierten Firmware nicht mehr besteht. Modems, die am Netz von UPC hängen, werden regelmäßig upgedatet, wodurch die Geräte immer am neuesten Stand sind. Zudem möchten wir festhalten, dass nicht 250.000, sondern rund 10.000 Stück des besagten Thomson Modems von UPC in Österreich in Verwendung sind.

Nach der Stellungnahme von UPC erklärte SBA Research nochmals dass die Darstellung von UPC nicht korrekt sei. Die beschriebene Sicherheitslücke sei auf den Modems noch immer vorhanden.

Update 28.07:

Die Sache wird immer verwirrender. Laut heise Security und futurezone handelt es sich nicht um das Modell TWG870U sondern TWG850-4U und nun soll die UPC bestätigt und zugegeben haben, dass 100.000 dieser Geräte im Umlauf sind und das Problem noch bestehe.

Neue Sicherheitsprobleme bei Facebook

Zur Zeit wird Facebook wieder einmal von zahlreichen Sicherheitsproblemen geplagt. Das erste ist eine Cross-Site-Request-Forgery-Schwachstelle die der „Finder“ vor ein paar Tagen veröffentlicht hat. Man kann also davon ausgehen, dass sie bald ausgenutzt wird, sofern Facebook nicht schnell darauf reagiert. Diese Schwachstelle ermöglicht es einem Angreifer unter gewissen Umständen Nachrichten unter dem Namen des Opfers zu versenden.

Das ganze funktioniert folgendermaßen (eine detailliertere Beschreibung von Cross-Site-Request-Forgery-Schwachstellen befindet sich in meinem Buch): Damit der Angriff funktioniert, muss sich das Opfer bei Facebook anmelden und dann auf eine präparierte Seite des Angreifers besuchen. Natürlich ist diese Seite geschickt getarnt, sodass der Ahnungslose Besucher nicht merkt, dass er in die Falle tappt. Weitere Aktivitäten des Benutzers sind nicht nötig denn jetzt ist es schon passiert. Die Seite enthält nämlich Code, der mit den Zugangsdaten des Benutzers im Hintergrund auf das Facebook-Konto desselben zugreift und dort eine Nachricht eingibt und absendet.

Schützen kann man sich vor dieser Art Angriffe auf folgende Weise:

1. Melden Sie sich bei Facebook ab und deaktivieren Sie die Einstellung „angemeldet bleiben“ beim Einloggen. So haben Sie selbst die Kontrolle darüber, wann Sie bei Facebook angemeldet sein wollen und wann nicht.
2. Schließen Sie alle Browserfenster und Tabs bevor Sie sich auf Facebook anmelden und melden Sie sich ab, wenn Sie eine andere Seite besuchen wollen.

Das zweite Problem ist ein Trojaner, der sich zur Zeit auf Facebook ausbreitet. Dieser Trojaner verbirgt sich in präparierten Facebook-Nachrichten, die einen vermeintlichen Link auf ein Video enthält. Klickt nun ein Besucher auf diesen Link, öffnet sich eine Seite, die Youtube täuschen echt nachempfunden ist, enthält ein Video mit dem Namen des Besuchers im Titel und gefälschte Kommentare von dessen Facebook-Freunden. Der Trojaner missbraucht dann die Möglichkeit von Facebook, Freunde von Freunden zu sehen und er verwendet diese Namen um den Betrug glaubwürdiger zu machen. Die gefälschten Kommentare drücken Ermutigung oder Enttäuschung aus, um das Interesse das Opfers zu erwecken.
Die gefälschte Youtube-Seite fordert daraufhin den Benutzer auf, eine vermeintliche Aktualisierung für den Flash-Player herunterzuladen und zu installieren. Hinter dieser „Aktualisierung“ steckt dann der eigentliche Trojaner, der sich in das Betriebssystem einnistet, Nachrichten der Windows-Firewall, von Windows-Update und dem Virenscanner unterdrückt und ein Popup-Fenster anzeigt, indem er den Benutzer zu einem Neustart seines Computers auffordert.
Interessant daran ist, dass er dutzende Virenscanner täuschend echt nachahmen kann, während der eigentliche Virenscanner still und heimlich für das Deinstallieren vorgemerkt wird. Der Trojaner verwendet das Programm bcdedit.exe um den Computer beim Neustart in den Reparaturmodus zu versetzten, wo die eigentliche Deinstallation geschieht. Nach einem nochmaligen Neustart ahmt dann der gefälschte Virenscanner das deinstallierte Original nach. So wiegt sich das Opfer weiter in Sicherheit, während der Trojaner unbemerkt noch weitere Schadsoftware aus dem Netz nachläd.
„Die infizierten Computer werden von Gangstern für eine große Anzahl von illegalen Zwecken missbraucht und die Funktionalität des Trojaners wird laufend durch Nachladen von Modulen erweitert. All das geschieht während der Benutzer denkt, er sei durch seinen Virenscanner geschützt.“, so ein Forscher von BitDefender, der den Trojaner aufgestöbert hat.

Schützen kann man sich vor diesem Trojaner, indem man Nachrichten darauf überprüft, ob diese dem Stil und der Sprache des Freundes entsprechen. Weiters sollte man prinzipiell nichts installiert, was man nicht kennt. Bis die Virenscanner diesen Trojaner zuverlässig identifizieren können, wird es wohl noch etwas dauern, allerdings sollte man sich sowieso nie zu 100% auf diese verlassen.

Alle zwei Minuten ein Angriff auf Webseiten

In dieser Studie werteten Forscher 10 Millionen Angriffe auf Webseiten über einen Zeitraum von 6 Monaten aus. Es wurden dabei 27 Angriffe pro Stunde verzeichnet, was einer Rate von beinahe einem Angriff alle zwei Minuten entspricht. Bei automatisierten Angriffen stieg die Zahl auf bis zu 25.000 Angriffe pro Stunde, was 7 Attacken pro Sekunde entspricht. Angegriffen werden überwiegend die häufigsten Schwachstellen (Cross-Site Scripting oder xss, Directory-Traversal, SQL-Injection oder sqli), die sich leicht aufspüren und ausnützen lassen. Mit rfi ist Remote File Inclusion gemeint, also das Hochladen eigener Skripte (PHP, JSP, ASP, Perl oder was auch immer der Webserver unterstützt) durch den Angreifer auf den Webserver des Opfers. Das gelingt in der Regel durch einen unsicher programmierten Upload-Mechanismus.

AnonAustria stellet GIS ein Ultimatum

Nachdem der österreichische Arm der Hackergruppe AnonAustria (ich persönlich bin überzeugt, dass es sich dabei um einen ziemlich jungen Einzeltäter handelt) die Webseiten der SPÖ und der FPÖ erfolgreich angriff und die Zugangsdaten veröffentlichte (sie sind übrigens immer noch auf PasteHTML.com zugänglich), nahm sich AnonAustria vor ein Paar Tagen die Webseite des GIS (das österreichische Pendant zum deutschen GEZ) vor. Laut eigenen Angaben wurden dabei 211,695 Datensätze (davon 95,954 mit Kontodaten) von ORF-Hörern und -Sehern entwendet.

Nun droht die Hackergruppe in einem Ultimatum damit, Kontaktdaten aller ermittelten Gebührenzahler zu veröffentlichen, sollte das GIS bis heue (25.07.2011), 18 Uhr nicht das wahre Ausmaß des Datendiebstahls öffentlich eingestehen [Das GIS hat sich inzwischen dem Ultimatum gebeugt, siehe Ende des Artikels].

Die/der Hacker kamen/kam übrigens über eine leicht zu findende und auszunützende SQL-Injection-Schwachstelle an die Daten. Durch hinzufügen von…

' or 1=1'

an eine Abfrage ermöglichte die Webseite der GIS den/dem Angreifern/Angreifer offenbar vollen Zugang zu den Kontaktdaten aller ORF-Gebührenzahler. Laut eigenen Angaben meldete AonAustria diese Schwachstelle schon vor Monaten dem GIS und als letztere nicht auf die Warnung reagierte und das Problem auch nicht behob, sah sich AonAustria laut eigenen Angaben gezwungen, einzuschreiten und einige der erbeuteten Daten zu veröffentlichen.

Dieser Vorfall zeigt wieder einmal, wie wenig Verständnis dem Thema IT-Sicherheit entgegengebracht wird. Die Annahme des Presse-Redakteurs, dass das Verschlüsseln der Kundendaten dieselben geschützt hätte, ist  falsch, da die Webanwendung selbst fehlerhaft programmiert war, wodurch sich die Verschlüsselung leicht umgehen ließe (siehe Kapitel 6 meines Buches). Die übliche Reaktion, nämlich nach den Behörden zu rufen und für mehr „Schutz“ zu sorgen, hilf noch weniger. Die einzige Möglichkeit, solche Einbrüche zu verhindern, ist die Webanwendung abzusichern! Jede andere Maßnahme ist schlicht zwecklos, den die Schwachstelle ist so leicht auszunutzen, dass sie der nächste selbsternannte „Datenschützer“ ausnutzen würde, zögen die Behörden AnonAustria für immer aus dem Verkehr.

Die Meinung einiger Sicherheitsexperten, dass Hackergruppen wie LulzSec oder Anonymous das Internet langfristig sicherer machten, teile ich übrigens nicht. Es hängt nämlich davon ab, wie die betroffenen Webseitenbetreiber damit umgehen und viele haben den Ernst der Lage auch nach einem Angriff nicht erkannt. Nur so lässt sich erklären, dass die entwendeten Daten immer noch im Internet zugänglich sind (siehe oben). Viele Webseitenbetreiber werden sich also einfach damit begnügen, nach der Polizei zu rufen und weiter nichts zu unternehmen, während für Leute, deren persönliche Daten veröffentlicht werden, tatsächlich ein beträchtlicher Schaden entstehen kann. Die Behörden ihrerseits kennen nur eine Patendlösung (siehe Paul Watzlawicks Vom Schlechten des Guten: oder Hekates Lösungen), von der sie sich die Lösung für jedes denkbare Sicherheitsproblem erhoffen, nämlich mehr Überwachungsbefugnisse, und dass, obwohl sie die sensiblen Daten, die sie bisher schon sammeln, nicht wirksam schützen können (siehe der Vorfall beim deutsche Zoll).

Letztlich darf aber nicht vergessen werden, dass ein Angriff auf eine Webseite immer eine kriminelle Handlung darstellt (sofern der Betreiber einen Angriff nicht selbst bei einem Sicherheitsdienstleister in Auftrag gibt) – egal wie einfach der Angriff auch durchzuführen ist. Letztlich kann nur der Gesetzgeber durch Einfordern von verbindlichen Regeln dafür sorgen, dass Seitenbetreiber sensible Daten ausreichend schützen.

Bei diesem Zeitungsständer wird niemand daran gehindert, eine oder alle Zeitungen ohne zu Zahlen zu entnehmen. Rein rechtlich gesehen ist letzteres allerdings verboten. Man muss also zahlen, auch wenn der Ständer niemanden davon abhält, nicht zu zahlen. Die Zeitungsherausgeber haben sich natürlich längst damit abgefunden, dass nur ein Bruchteil derer, die eine Zeitung entnehmen, auch tatsächlich zahlt.
Viele Webseitenbetreiber verhalten sich meist ohne es zu wissen genauso. Durch verwundbare Webanwendungen stehen alle gespeicherten Informationen de facto für jedermann frei zur Verfügung. Zu hoffen, dass sich jeder an die Spielregeln hält, ist illusorisch – das gilt für die physische Welt genauso wie für die virtuelle.

Update: GIS beugt sich dem Ultimatum
…und räumt ein, dass tatsächlich 214.000 Datensätze geklaut wurden, davon 96.000 mit Bankdaten. Es sind also nicht alle 3.5 Millionen Gebührenzahler betroffen sondern nur jene, die sich in der Vergangenheit auf der Webseite An- oder Umgemeledet haben.

Kurz bevor das Ultimatum an die GIS gestellt wurde, veröffentlichte AnonAustria übrigens noch den Datensatz von ORF-Generaldirektor Alexander Wrabetz, der offensichtlich eine Ummeldung über die Webseite der GIS vorgenommen hatte. Die betroffene Webseite ist derzeit offline. GIS-Sprecher Denk bestätigt, dass die Seite in nächster Zeit wieder online gestellt werde, allerdings ohne der Funktion für GIS-Kunden, sich online an- oder umzumelden. Zur Zeit werde mit einer neu gegründeten Task Force an der Verbesserung der derzeitigen Sicherheitsmaßnahmen gearbeitet, sodass ein derartiger Vorfall nicht mehr passieren könnte.

Update 27.07.2011: GIS entschuldigt sich bei Betroffenen

In einem Rundmail an betroffene Kunden informiert die GIS derzeit über den entstandenen Datenverlust.  Laut GIS-Schreiben werden gemeinsam mit dem Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (das ist  das österreichische Pendant zum deutschen Bundesnachrichtendienst, hat aber weniger Befugnisse als letzterer) sowie spezialisierten IT-Unternehmen weitere Sicherungskonzepte implementiert, um derartige Angriffe in Zukunft besser abwehren zu können.

Eine Liste gängiger SQL-Injection-Scanner

In vielen Fällen benötigt man kein spezielles Werkzeug, um SQL-Injection-Schwachstellen auszunutzen. Will man jedoch Blind-SQL-Injection-Schwachstellen ausnützen oder beispielsweise eigenen Code in den Datenbankserver einschleusen, kommt man in der Regel um einen SQL-Injection-Scanner nicht herum. Coresec hat kürzlich eine Liste gängiger, frei verfügbarer Scanner zusammengestellt. Die Bandbreite an Features reicht vom automatischen Aufspüren von Schwachstellen bis zum Ausnutzen derselben – beispielsweise um mit ein paar Kommandos volle Kontrolle über den Datenbankserver zu erlangen (wie man einen VNC-Server auf einem Datenbankserver über eine SQL-Injection-Schwachstelle installiert, ist hier beschrieben). Selbverständlich kennen einige dieser Scanner auch Techniken, mit denen Sie WAFs und Datenbankfirewalls umgehen können.

Verbreitete Irrtümer in der Beurteilung von Risiken – nicht nur in der Informationstechnologie

Im September 2010 gestaltete der Philosoph und Moderator Gert Scobel eine Sendung zum Thema Risikoforschung (die Sendung ist auch als MP3-Datei oder als Podcast auf iTunes nachzuhören). Alle genannten Überlegungen und Einflüsse gelten natürlich auch für die Risiken des Missbrauchs des Internets und der Informationstechnologie (neudeutsch „Cyber Threads“), deshalb sei diese Sendung allen ans Herz gelegt, die sich für Informationssicherheit interessieren.

Der Unterschied ist allerdings, dass im Gegensatz zu anderen Katastrophen (weder Finanzkrisen, Bankencrashs noch Naturkatastrophen sind wirklich neu – zumindest wenn man längere Zeiträume betrachtet) die Bedrohungen aus dem Internet noch relativ neu sind und die Menschen noch keine passenden Strategien gefunden haben, damit umzugehen. So ignorieren manche Menschen diese Gefahren völlig, wählen leicht zu ermittelnde Zugangsdaten, betreiben Webseiten ohne den entferntesten Gedanken an Sicherheit und veröffentlichen wissentlich und unwissentlich alles im Netz, was dort nichts verloren hat. Andere Menschen begegnen diesen Bedrohungen mit großer Angst und lehnen beispielsweise Telebanking prinzipiell ab. Andere folgen den „Heilsversprechen“ der IT-Sicherheitsindustrie und geben ein Vermögen für Sicherheitsprodukte aus, die sie möglicherweise nur unzureichend oder gar nicht schützen. In Kapitel 3 meines Buches erläutere ich verbreitete Irrtümer in der Beurteilung von Risiken der Informationstechnologie und beschreibe gängige Strategien, diese Irrtümer zu vermeiden.

SQL-Injection-Scanner aus 99 Zeilen Python-Code

Miroslav Stampar wollte zeigen, wie einfach es ist, kommerzielle Scanner von SQL-Injection-Schwachstellen zu überbieten und schrieb einen SQL-Injection-Scanner, der aus lediglich 99 Zeilen Python-Code besteht. Das Ergebnis nennt sich DSSS (Damn Small SQLi Scanner) und ist auf GitHub veröffentlicht.