Kategorie: News

Das Ende der Magnetbänder wurde schon aus verschiedenen Gründen angekündigt – seien es Virtual Tape Librarys oder Cloud-Back-ups. Ungeachtet dessen spielen sie weiter ihre Vorteile beim Back-up aus, und dazu passt die beruhigende Nachricht des LTO-Konsortiums: 2023 vertrieben die drei Hersteller dieses Bandtyps in Summe mehr Bandkapazität als je zuvor. Gerade bei Offline-Back-ups, die in Zeiten von Ransomware für Firmen überlebenswichtig sind, und bei der Archivierung können die Bänder punkten.

Ein Band der aktuellen Generation LTO-9 kann komprimiert 45 TB fassen und mit 1 GBit/s beschrieben werden. Und dazu kann man es leicht auswerfen und sicher verwahren.

Regulatorische Vorgaben zum Umgang mit IT-Risiken helfen, branchenweit ein gleiches Mindestmaß herbeizuführen. Aber dabei kann auch schnell ein „Zuviel“ an konkurrierenden Vorgaben entstehen. Daher ging ein Aufatmen durch die Finanzbranche, als die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) in ihrem Juni-Rundschreiben ankündigte, dass mit dem Inkrafttreten der europäischen DORA-Verordnung Anfang nächsten Jahres die bisherigen Regeln der BAIT auslaufen.

Wer bisher bereits die nationalen Regeln der BaFin umgesetzt hat, setzt damit auch schon einen guten Teil der DORA-Anforderungen um. Aber es gibt Abweichungen im Detail und gänzlich neue Themen. Im Bereich des Outsourcings gibt es beispielsweise neue Anforderungen an das Notfallmanagement der Dienstleister und zu Exit-Strategien, falls es bei einem Dienstleister zu Problemen kommen sollte. Auch die Vorgaben zu Schulungen und Übungen sind strenger als zuvor. Was unsere Kollegen bei Kunden auch beobachten, ist die Unsicherheit darüber, wie einzelne Regeln konkret ausgelegt werden sollen. Es ist also noch einiges zu tun, um bis zum Inkrafttreten am 17.01.2025 alles umgesetzt zu haben. HiSolutions begleitet Sie gerne dabei, Ihre Sicherheitsdisziplinen auf das DORA-Level zu heben und effizient miteinander zu verzahnen.

Informationen zu DORA: https://www.bafin.de/DE/Aufsicht/DORA/DORA_node.html

Juni-Rundschreiben der BaFin: https://www.bafin.de/SharedDocs/Downloads/DE/Rundschreiben/dl_2024-05-29_MaRisk_Anschreiben_an_die_Verbaende_pdf_BA.pdf

Zum DORA-Beratungsangebot von HiSolutions: https://www.hisolutions.com/dora

Die folgende Geschichte klingt erst mal wenig passend für unseren Digest: Bei eBay wurde der Firmenausweis der Apple-Mitarbeiterin Nummer 10 zum Verkauf angeboten. Der Zugang zum heutigen Hauptsitz Apple Park ist damit wohl kaum möglich, aber für Sammler sind solche Originale sehr wertvoll. Aber stand dort wirklich ein Original zum Verkauf? Cabel Sasser, der sich öfter mit der Aufdeckung von gefälschten Erinnerungsstücken beschäftigt, stellte sich und später auch dem Verkäufer diese Frage.

Vermutlich ahnen Sie schon die Antwort, daher nehmen wir uns ein Artefakt der Unterhaltung heraus: eine deutsche Rechnung, mit der der Verkäufer die Provenienz beweisen wollte. Werfen Sie doch mal einen Blick auf die Rechnung und zählen Sie, wie viele Dinge Ihnen auffallen, die komplett falsch sind oder die Sie so nicht auf einer Rechnung des DRK erwarten würden. Da kommt einiges zusammen, aber lassen Sie uns gleich noch den Spieß umdrehen: Wie viele der Fehler haben Sie schon auf einer regulären privaten oder beruflichen Rechnung gesehen? Sicherlich nicht so geballt wie hier, aber einzeln passiert das schon mal.

Die Erkennung von gefälschten Nachrichten und Rechnungen bleibt ein schwieriges Feld – womit wir wieder bei unserem Thema Sicherheit und Prävention von Phishing und CEO-Fraud sind. Vielleicht können Sie besagte Rechnung auch gut als Aufhänger für die nächste Diskussion zur Awareness nutzen.

Zum Bild der gefälschten Rechnung: https://cabel.com/2024/05/16/the-forged-apple-employee-badge/#jp-carousel-4219

Der Blogartikel mit mehr Kontext und der Auflösung: https://cabel.com/2024/05/16/the-forged-apple-employee-badge/

Wer kennt es nicht: ein neues System, eine neue Anwendung, eine neue Komponente. Und weil der Hersteller ein lauffähiges Produkt ausliefern möchte, ist es schon mal vorkonfiguriert – aber nicht wie der Anwender vielleicht denkt, maximal sicher, sondern funktional. So ist der Log-in erst mal „admin/admin“ und die Erreichbarkeit auf „jeder“ eingestellt. Mit den richtigen Suchmaschinen lassen sich solche Installationen auch leicht ausfindig machen.

Solche Fehler können entweder harmlos sein, weil zum Glück noch ein Perimeter-Schutz das Schlimmste verhindert hat oder teuer werden, weil man seinen AWS S3 Bucket öffentlich les- und schreibbar gemacht hat.

https://medium.com/@maciej.pocwierz/how-an-empty-s3-bucket-can-make-your-aws-bill-explode-934a383cb8b1

Das Vereinigte Königreich hat das Thema Standardpasswörter nun gesetzlich geregelt. Die Verwendung von Standardpasswörtern für IoT-Geräte (Internet of Things) wurde verboten. IoT-Geräte sind vernetzte Geräte, die in unserem Alltag immer häufiger anzutreffen sind, wie z. B. Smart-Home-Geräte, Kameras, Babyphones und andere intelligente Geräte. Hersteller von IoT-Geräten müssen sicherstellen, dass ihre Produkte bei der erstmaligen Verwendung ein individuelles Passwort erfordern, anstatt ein voreingestelltes Standardpasswort zu verwenden. Dieser Schritt soll die Sicherheit von IoT-Geräten erhöhen und die Anfälligkeit für einen unbefugten Zugriff verringern. Standardpasswörter sind oft leicht zu erraten oder werden von Angreifern anhand bekannter Listen ausgetestet. Die Verwendung individueller Passwörter erhöht die Sicherheit und minimiert das Risiko von Datenschutzverletzungen. Die Einführung dieses Gesetzes ist eine Reaktion auf die wachsenden Sicherheitsbedenken im Zusammenhang mit vernetzten Geräten.

https://thehackernews.com/2024/04/new-uk-law-bans-default-passwords-on.html

Forscher von SafeBreach haben Schwachstellen in Sicherheitsprodukten von Microsoft und Kaspersky entdeckt, die es ermöglichen, Dateien aus der Ferne zu löschen. Die Schwachstellen betreffen Microsoft Defender und Kasperskys Endpoint Detection and Response (EDR). Beide Programme verwenden Byte-Signaturen, um Malware zu erkennen. Die Forscher haben eine Methode entwickelt, um Falsch-Positive-Indikatoren für schädliche Dateien zu erzeugen und diese dann von EDR löschen zu lassen. Dies könnte dazu führen, dass Datenbanken oder virtuelle Maschinen aus der Ferne gelöscht werden. Das Löschen der Dateien durch EDR kann nach Angaben der Forscher nicht rückgängig gemacht werden. Die genauen Auswirkungen dieser Schwachstellen sind noch unbekannt, da die Forscher aus Angst vor den möglichen Folgen keine umfassenden Tests durchgeführt haben.

Byte-Signaturen sind eindeutige Sequenzen von Bytes in Dateien. Die Forscher haben eine Methode entwickelt, um diese Signaturen in legitime Dateien einzufügen und EDR dazu zu bringen, diese Dateien als infiziert zu erkennen. Wenn EDR so konfiguriert ist, dass infizierte Dateien gelöscht werden, kann dies dazu führen, dass ganze Datenbanken oder virtuelle Maschinen remote gelöscht werden.

https://www.theregister.com/2024/04/22/edr_attack_remote_data_deletion

Am 01.05.2024 gab Dropbox, Inc. bekannt, dass ein unautorisierter Zugriff auf die Produktionsumgebung von Dropbox Sign (ehemals HelloSign) stattgefunden hat. Weitere Untersuchungen ergaben, dass der Angreifer auf Daten aller Dropbox-Sign-Nutzer wie E-Mail-Adressen und Benutzernamen sowie auf allgemeine Kontoeinstellungen zugreifen konnte. Bei einigen Nutzern wurden auch Telefonnummern, gehashte Passwörter und bestimmte Authentifizierungsinformationen wie API-Schlüssel, OAuth-Token und Multi-Faktor-Authentifizierung kompromittiert. Bisher gibt es keine Hinweise darauf, dass der Angreifer Zugriff auf Inhalte der Benutzerkonten wie Verträge oder Vorlagen oder auf Zahlungsinformationen hatte. Die Untersuchung ist noch nicht abgeschlossen, aber es gibt keine Anzeichen dafür, dass andere Dropbox-Produkte betroffen sind.

https://www.board-cybersecurity.com/incidents/tracker/20240501-dropbox-inc-cybersecurity-incident/

Sodinokibi/REvil Affiliate wegen seiner Rolle in 700-Millionen-Dollar-Ransomware-System verurteilt

Ein ukrainischer Staatsbürger wurde zu 13 Jahren und sieben Monaten Haft und zur Zahlung von mehr als 16 Millionen US-Dollar Schadensersatz verurteilt. Er war an mehr als 2.500 Ransomware-Angriffen beteiligt und forderte mehr als 700 Millionen US-Dollar Lösegeld. Gerichtsdokumenten zufolge führte Yaroslav Vasinskyi, auch bekannt als „Rabotnik, 24“, Tausende Ransomware-Angriffe mit der Variante Sodinokibi/REvil durch.

https://www.justice.gov/opa/pr/sodinokibirevil-affiliate-sentenced-role-700m-ransomware-scheme

Operation PANDORA schließt 12 -Callcenter für Telefonbetrug

Am 18.04.2024 führten deutsche, albanische, bosnisch-herzegowinische, kosovarische und libanesische Polizeikräfte eine Razzia in zwölf Callcentern durch, die als Quelle Tausender täglicher Betrugsanrufe identifiziert wurden. Dabei wurden 21 Personen festgenommen und ein kriminelles Netzwerk zerschlagen, das Tausende von Opfern mit verschiedenen Methoden betrogen hatte. Die Methoden reichten von schockierenden, falschen Polizeianrufen über manipulierende Anlagebetrügereien bis hin zu herzzerreißenden Liebesbetrügereien. In Deutschland wurden im Rahmen der Operation PANDORA umfangreiche Ermittlungen durchgeführt, die zur Identifizierung von 39 Verdächtigen führten.

https://www.europol.europa.eu/media-press/newsroom/news/operation-pandora-shuts-down-12-phone-fraud-call-centres

Chinesisch, eine Sprache mit Zehntausenden von Schriftzeichen, von denen mehr als etwa 4.000 gebräuchlich sind, stellt eine besondere Herausforderung für die Tastatureingabe dar. Im digitalen Zeitalter wurde hierfür eine Reihe unterschiedlicher Tastatursysteme entwickelt. Im Idealfall ermöglichen diese kreativen Ansätze für die digitale Eingabe die einfache Phonetisierung und Transliteration einer hochkomplexen Sprache über ein kompaktes, oft QWERTY-artiges Tastaturformat.

Eine neue Studie zeigt, dass praktisch alle beliebten chinesischen Smartphone-Tastaturen anfällig für Spionage und Lauschangriffe sind. Obwohl einige spezifische Fehler behoben wurden, deuten die Ergebnisse darauf hin, dass die weltweit entwickelten Systeme größere Schwachstellen aufweisen. App-Entwickler sollten sich bewusst sein, dass die von chinesischen Nutzern in ihre Apps eingegebenen Daten jahrelang ungeschützt waren.

https://spectrum.ieee.org/amp/chinese-pinyin-keyboard-software-exploits-2667871162

Die Cloud-Computing-Landschaft hat sich in den letzten Jahren erheblich weiterentwickelt und verschiedene Sandboxes eingeführt, um den unterschiedlichen Anforderungen moderner Cloud-Anwendungen gerecht zu werden. Zu diesen Sandboxen gehören containerbasierte Technologien wie Docker und gVisor, microVM-basierte Lösungen wie Firecracker und sicherheitsorientierte Sandboxen auf der Grundlage von Trusted Execution Environments (TEEs) wie Intel SGX und AMD SEV. Die Praxis, mehrere Clients auf einer gemeinsamen physischen Hardware zu platzieren, wirft jedoch Sicherheits- und Datenschutzbedenken auf, insbesondere im Hinblick auf Seitenkanalangriffe. So wurde die Möglichkeit untersucht, Container über CPU-Frequenzsensoren in Intel- und AMD-CPUs mit Fingerabdrücken zu versehen. Eine wichtige Voraussetzung für diesen Angriff ist, dass die aktuelle CPU-Frequenzinformation von Angreifern im Userspace abgerufen werden kann. Docker-Images weisen eine eindeutige Frequenzsignatur auf, die es erlaubt, verschiedene Container mit einer Genauigkeit von bis zu 84,5 % zu unterscheiden, selbst wenn mehrere Container gleichzeitig auf verschiedenen Kernen laufen. Die empirischen Ergebnisse zeigen, dass diese Angriffe auch gegen die Sandboxen gVisor von Google, Firecracker von AWS und TEE-basierte Plattformen wie Gramine (mit Intel SGX) und AMD SEV in weniger als 40 Sekunden mit einer Genauigkeit von über 70 % erfolgreich durchgeführt werden können. Eine auf Rauschinjektion basierende Gegenmaßnahme kann den vorgeschlagenen Angriff in Cloud-Umgebungen entschärfen.

https://www.ece.iastate.edu/bgulmez/files/2024/04/Dynamic_Frequency_Based_Side_Channel_Attack_against_Modern_Sandbox_Environments.pdf

Bereits im Februar-Digest hatten wir über den Angriff Midnight Blizzards und die damit einhergehenden Verfehlungen Microsofts berichtet. In der Zwischenzeit hat sich die Lage noch weiter verschärft, nachdem bekannt wurde, dass ein im Angriff gestohlener Schlüssel dazu berechtigte, in vielen Cloud-Diensten Microsofts Zugangstoken für Benutzerkonten anlegen zu können. Dieser Master-Key ist zwar nun gesperrt – es bestand zeitweise jedoch die Möglichkeit des Anlegens von Hintertür-Accounts in Cloud- und teilweise auch OnPrem-Applikationen des Anbieters.

Ein Review Board der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA), dem Pendant des deutschen BSI, hat den Vorfall nun noch einmal genauer unter die Lupe genommen und Microsofts Fehler in Form eines Berichtes aufbereitet.

Der Bericht wirft Microsoft vielfaches Versagen bei der Cybersicherheit vor und betont, dass der Technologieriese den Angriff nicht selbst entdeckt hat, sondern erst durch einen Kunden darauf aufmerksam gemacht wurde. Der Bericht untergräbt weiter das Vertrauen in Microsofts Sicherheitskultur durch das Aufdecken falscher Behauptungen bezüglich der Ursachenfindung des Vorfalls und fordert das Unternehmen auf, eine kulturelle Veränderung hin zu mehr Sicherheit, Verantwortlichkeit und Transparenz voranzutreiben.

Unser Digest vom Februar: https://www.hisolutions.com/detail/digest-februar-2024

Bericht der CISA: https://www.cisa.gov/resources-tools/resources/cyber-safety-review-board-releases-report-microsoft-online-exchange-incident-summer-2023