Kategorie: News | Seite 34 | HiSolutions Research

28. August 201926. November 2019News

23 auf einen Streich – Ransomware schlägt koordinierter zu

Kommunen in der westlichen Welt, insbesondere den USA, klagen seit längerem über Ransomware-Angriffe, welche in der Vergangenheit bereits des Öfteren ganze Stadtverwaltungen lahmgelegt haben. Diesmal hat es 23 kleine texanische Städte gleichzeitig getroffen. Angesichts dessen kann nicht mehr von Zufallstreffern gesprochen werden, vielmehr muss von einem koordinierten Angriff ausgegangen werden. Aufgrund des Zwischenfalls wurde die zweithöchste Stufe (“Level 2 Escalated Response”) des dortigen Katastrophenschutzamtes (Department of Emergency Management) ausgelöst.

Auch die HiSolutions-Notfallhotline verzeichnet seit geraumer Zeit eine zunehmende Professionalisierung der Angriffe.

https://www.cnbc.com/2019/08/19/alarm-in-texas-as-23-towns-hit-by-coordinated-ransomware-attack.html

28. August 201926. November 2019News

Lieber ver- als entsichert: Jedes fünfte Unternehmen plant Cyberdeckung

Ein Artikel im Handelsblatt gibt einen aktuellen Einblick in den zuletzt stark gewachsenen Markt der Cyberversicherungen. Laut Eco-Verband plant jedes fünfte Unternehmen in Deutschland den Abschluss einer solchen Police, welche nicht nur die Betriebsunterbrechung und die Haftpflicht im Fall eines Datenmissbrauchs übernimmt, sondern im Idealfall auch die Kosten für Krisenmanagement, IT-Forensik, rechtlichen Beistand und Wiederherstellung der Systeme. Der Anbieter Hiscox etwa, der für Risikobewertung, Incident-Response und Krisenmanagement exklusiv mit HiSolutions zusammenarbeitet, hat zwischen 2016 und 2018 weltweit rund 2.000 Schadensfälle reguliert. Teuerstes Ereignis in Deutschland war ein Angriff auf eine Digitalagentur, bei der ein Angreifer eine Woche lang die Systeme lahmgelegt und Besucher von Kundenwebseiten auf Pornoangebote umgeleitet hatte. Neben dem Reputationsschaden beliefen sich die Kosten für Abwehr und Reparaturen damals auf fast drei Millionen Euro.

https://www.handelsblatt.com/finanzen/banken-versicherungen/cybersicherheit-versicherung-gegen-hacker-so-sichern-sich-unternehmen-ab/24894312.html

28. August 201926. November 2019News

Hätte, hätte, Supply Chain – Insider-Skandal bei AT&T

Insider-Angriffe sind unbeliebt – insbesondere natürlich bei den (potenziellen) Opfern. Nicht nur wegen der möglichen gravierenden Folgen; vielmehr bereitet schon das Nachdenken und Sprechen darüber Schmerzen, wollen sich viele doch die Vorstellung von Vertrauen und Integrität innerhalb der eigenen Mitarbeiterschaft bewahren. Eine aktuelle Verhaftungswelle beim amerikanischen Mobilfunk- und Kommunikationsriesen AT&T rüttelt nun wach: Eine Reihe von Mitarbeitern wurde hier bestochen, in großem Maßstab SIM-Locks aufzuheben. In diesem Fall stellt das „nur“ einen wirtschaftlichen Schaden für den Anbieter dar. Derselbe Angriffsvektor ließe sich aber genauso leicht für Angriffe auf Daten von Kunden oder Kommunikationsverbindungen nutzen. Dies wirft nicht zuletzt tiefere Fragen in Bezug auf Supply Chain Security auf.

https://www.wired.com/story/att-insiders-bribed-unlock-phones/

28. August 201926. November 2019News

Bio != gesund: Millionen biometrische Merkmale ungeschützt im Netz

Interessanterweise gilt in manchen Gebieten Biometrie immer noch als geeignetes Mittel, um Zugriffsschutz auf besonders sensible Bereiche oder Daten zu implementieren. Dass dieser Glaube Gefahren birgt, zeigt eindrucksvoll ein Leak der Fingerabdrücke und Gesichtserkennungsdaten, die für über eine Million Menschen unverschlüsselt und ungehasht im Internet abrufbar waren.

Das web-basierte(!) biometrische Schließsystem Biostar 2 wird von über 5.000 Organisationen in 83 Ländern genutzt, darunter Regierungen, Banken, Rüstungsproduzenten und die Metropolitan Police von Großbritannien. Über eine relativ simple Manipulation einer URL, welche eine Elasticsearch-Datenbank abfragt, ließen sich 23 Gigabyte sensibler Daten abgreifen – inklusive Echtzeit-Informationen über weltweite Zugriffe der Nutzer.

https://www.theguardian.com/technology/2019/aug/14/major-breach-found-in-biometrics-system-used-by-banks-uk-police-and-defence-firms

28. August 201926. November 2019News

Kinky Fun for Attackers: Dating Apps leaken Privatestes

Über die Dating-App „3fun“ soll man „lokale kinky, offene Menschen“ finden können. Doch wie Ken Munro vom Unternehmen Pen Test Partners aufzeigte, konnten durch eklatante Sicherheitslücken die privatesten Daten von mehr als 1,5 Millionen Menschen des Gruppen-Dating-Dienstes potenziell extrahiert werden, inklusive Bilder, Präferenzen – und Lokation. Letztere war laut den Forschern bei einigen Nutzern auf das Weiße Haus, den US-Supreme-Court und die Downing Street Nr. 10 gesetzt, was aber nicht zwangsweise der Wahrheit entsprechen muss.

https://www.pentestpartners.com/security-blog/group-sex-app-leaks-locations-pictures-and-other-personal-details-identifies-users-in-white-house-and-supreme-court/

28. August 201926. November 2019News

NULL != Nichts. Scherzkeks stellt sich selbst ein Bein

Ein Prank (Scherz) des amerikanischen Hackers „Droogie“, die automatische Kfz-Kennzeichenerkennung zu foppen, ist gewaltig schiefgegangen. Zwar speicherte das System der Behörde DMV sein selbst gewähltes Kennzeichen brav wörtlich als die Zeichenkette „NULL“ ab, die er beantragt und erhalten hatte. Wie er auf der Konferenz Black Hat berichtete, ordnete das System aber in dem Moment, als er tatsächlich einmal „geblitzt“ wurde, ihm automatisch alle Geschwindigkeitsüberschreitungsvergehen zu, die kein korrekt erkanntes Kennzeichen enthielten (Wert (NULL) in der Datenbank). Wie es mit den über 12.000 USD an ihm zugewiesenen Strafen weitergeht, ist noch in Diskussion – ebenso wie die Frage, ob Droogie nun sein Kennzeichen ändern muss.

https://mashable.com/article/dmv-vanity-license-plate-def-con-backfire/?europe=true

28. August 201926. November 2019News

Lesetipps August 2019

Offene Bücher

Onboarding neuer Mitarbeiter im Bereich der Security ist eine Herausforderung – und einer der wesentlichen Faktoren für eine erfolgreiche, langfristige Zusammenarbeit. Moderne „remote first“ / „remote only“-Firmen wie GitLab sind inzwischen dazu übergegangen, Prozessbeschreibungen und Handbücher öffentlich zu machen. So können sich nicht nur zukünftige Mitarbeiter, Bewerber oder Interessenten ein sehr genaues Bild über die Arbeitsbedingungen machen, sondern die ganze Branche profitieren. Ein wahres Füllhorn von Informationen und Best Practices zu Themen wie Endpoint Security, IAM und Zero Trust bieten etwa folgende Einstiegsseiten:

Onboarding Startseite: https://about.gitlab.com/handbook/general-onboarding/
Onboarding Security: https://gitlab.com/gitlab-com/people-ops/employment/blob/master/.gitlab/issue_templates/onboarding.md#for-security-only
Security Handbook: https://about.gitlab.com/handbook/security/

Tiefe Theorien

Die Security- und DevOps-Vordenkerin Kelly Shortridge setzt in ihrem neusten Blogeintrag auf ihren jüngsten Black Hat-Vortrag „Controlled Chaos – The Inevitable Marriage of DevOps & Security“ noch einmal ein Schippchen drauf: In „When Prospect Theory Meets Chaos Engineering“ verbindet sie virtuos Psychologie, Chaostheorie und Security, um einen Weg zu beschreiben, wie eine kulturelle Veränderung in Richtung „Dinge werden gehackt werden“ (things will be pwned) helfen kann, angemessenere Risikoentscheidungen zu treffen.

https://swagitda.com/blog/posts/when-prospect-theory-meets-chaos-engineering

Ausgeseitete Kampfzonen

Hacker-Zines (Fan-/Liebhaberzeitschriften) sind tot? Keineswegs, wie eine neue kostenlose Publikation zeigt, die der bei Google in Lohn und Brot stehende polnische Sicherheitsforscher Gynvael Coldwind und Friends herausgeben. Das besondere bei „Paged Out“ ist, dass die Artikel zu Themen wie „programming (especially programming tricks!), hacking, security hacking, retro computers, modern computers, electronics, demoscene, and other similar topics“ jeweils nur eine Seite lang sind. Ideale Pausenlektüre!

https://pagedout.institute/

23. Juli 201914. August 2019News

Endspurt vor dem Brexit? Rekord-Datenschutzbußgelder in Großbritannien

Die britische Datenschutzaufsichtsbehörde hat wegen eines Datenschutzvorfalls ein Bußgeld über 205 Millionen Euro gegen British Airways verhängt. Interessanterweise hatten diese den Vorfall selbst gemeldet, weswegen die Firma Widerspruch gegen die Entscheidung einlegen will. Ein weiteres Bußgeld von rund 110 Millionen Euro droht Marriott International. Auch hier ist der Grund ein Datenschutzvorfall.
Aber nicht nur auf der Noch-EU-Insel wird es ernst: Die Niederländer haben gegen ein Krankenhaus ein Bußgeld von 460.000 Euro verhängt. Grund war, dass die Patientenakte eines Prominenten zu vielen Personen zugänglich gemacht wurde (Art. 32 DSGVO).

https://www.heise.de/security/meldung/Marriott-Daten-von-500-Millionen-Hotelgaesten-abgegriffen-4236576.html

https://www.spiegel.de/netzwelt/netzpolitik/british-airways-millionenstrafe-wegen-datenpanne-a-1276270.html

https://autoriteitpersoonsgegevens.nl/nl/nieuws/haga-beboet-voor-onvoldoende-interne-beveiliging-pati%C3%ABntendossiers