Comretix Blog

Die IT-Sicherheitsforscher von Arctic Wolf haben erhöhte Aktivitäten der Akira- und Fog-Ransomware beobachtet. Sie haben Schwachstellen in Sonicwalls SSL-VPNs für den Einstieg in Netzwerke missbraucht.

Anzeige

In einer ausführlichen Analyse erörtern die Arctiv-Wolf-Analysten, dass sie mindestens 30 Einbrüche mit Akira und Fog quer durch alle möglichen Branchen seit dem frühen August beobachtet haben. Sie alle haben gemein, dass Sonicwalls SSL-VPN früh in der Ereigniskette auftaucht.

Wie die IT-Forscher erklären, kamen die bösartigen VPN-Log-ins aus Netzwerken, die mit VPS-Hosting (Virtuelle Private Server) in Zusammenhang stehen. Das deutet darauf hin, dass entweder bei den Hosting-Providern Maschinen geknackt und missbraucht wurden, oder möglicherweise auch von den Cyberkriminellen direkt gemietet wurden. Die IP-Adressen lieferten einen guten Ansatzpunkt für die Verteidigung vor den Angriffen, um sie zu entdecken und zu blockieren.

Die Sonicwall-Geräte, durch die die Täter einbrechen konnten, waren allesamt nicht gegen die Schwachstelle CVE-2024-40766 gepatcht – mit einem CVSS-Wert von 9.3 gilt sie als kritisches Risiko. Anfang September warnte Sonicwall, dass diese Sicherheitslücke in den SSL-VPNs bereits aktiv angegriffen wird, und wies nochmals auf die verfügbaren Updates hin, die das Sicherheitsleck stopfen. Allerdings kann Arctic Wolf nicht konkret sagen, ob es tatsächlich diese Schwachstelle ist, die bei den Ransomware-Angriffen missbraucht wurden – aber der Patch-Stand liefert zumindest ein Indiz.

Sicherheitsforscher des AWS Security Team haben eine Phishing-Kampagne gestoppt, bei der tausende gefälschte AWS-Domains genutzt wurden. Amazon hat seit der Entdeckung der Kampagne massenweise Domains abgeschaltet. Die AWS-Sicherheitsforscher und das Computer Emergency Response Team der Ukraine, CERT-UA, bezichtigen die russische Cyberkriminellen-Gruppierung APT29. Die Angreifer haben demnach versucht, mit den gefälschten AWS-Domains Anmeldedaten von ukrainischsprachigen Zielen zu erbeuten.

Anzeige

Die gefälschten AWS-URLs dienten offenbar als Köder. Nachdem die Opfer auf den Link einer solchen URL geklickt hatten, landeten sie auf einer Malware-Downloadseite, die einen sogenannten RDP-Trojaner installiert, der Anmeldedaten von Windows-Systemen stiehlt.

Amazons Chief Information Security Officer CJ Moses schrieb in einem Posting auf LinkedIn, dass Amazon selbst nicht im Visier der Angreifer war. Auch zielten die Angriffe nicht auf Anmeldedaten von AWS-Kunden ab. Stattdessen hatten die Angreifer Ziele mit Verbindungen zu Regierungsbehörden, Unternehmen und dem ukrainischen Militär im Visier. Laut dem AWS-CISO entspricht das Vorgehen der Gruppe in diesem Fall nicht ihrem sonstigen Verhalten: APT29 verfolgte sonst eher einen enger gefassten Ansatz – dieses Mal seien die Phishingmails an viele Ziele verschickt worden.

Das ukrainische CERT hat ein Advisory mit weiteren Details zu dem Fall veröffentlicht. Cybercrime spielt im Krieg Russlands gegen die Ukraine auf beiden Seiten eine Rolle. Im Juni etwa machten die ukrainischen Behörden Personen dingfest, die sie der Cyberkriminalität verdächtigten, die mutmaßlich im Dienst russischer Auftraggeber handelten. Und laut einem Bericht der russischen Nachrichtenagentur Ria Novosti strebt Russland offenbar die Schaffung einer Cybersicherheitsbehörde an.

Der Taskforce "Operation Magnus" ist ein empfindlicher Schlag gegen ein weltweit agierendes Malware-Netzwerk gelungen. Dabei handele es sich global betrachtet um eine der größten Malware-Plattformen. Daran waren unter anderem die niederländische Polizei, das FBI und Strafermittler aus Australien beteiligt.

Anzeige

Wie aus einer Pressemitteilung hervorgeht, hat die Agentur der EU für justizielle Zusammenarbeit Eurojust die Ermittlungen koordiniert. Dabei wurden unter anderem drei Server in den Niederlanden aus dem Verkehr gezogen. Außerdem hat die Polizei zwei Verdächtige in Belgien festgenommen. Überdies haben die Ermittler Kommunikationskanäle der Kriminellen stillgelegt. Die Mitteilung liest sich so, als wäre bislang nicht das komplette Netzwerk lahmgelegt.

Den Ermittlern zufolge sollen die Kriminellen über ihr Malware-Netzwerk die Infostealer Redline und Meta weltweit an Millionen Opfer verteilt haben. Derartige Trojaner sind auf Log-in-Daten von Opfern aus. Diese werden dann oft im Darknet zum Verkauf angeboten. Darunter fallen Daten wie Nutzernamen nebst Passwörtern von Onlineaccounts, Cookies und Wallets für Kryptowährung. Derartige Daten dienen unter anderem für Betrug, aber auch Spionage.

Die Ermittler geben an, dass sie im Besitz von internen Daten der Kriminellen sind. Darunter sind unter anderem IP-Adressen, Passwörter und Sourcecode der Infostealer. Nun beabsichtigen sie, die Daten auszuwerten, um die Ermittlungen voranzutreiben. Davor warnen sie die Kriminellen in einem Video auf einer extra für Operation Magnus angelegten Website. Es ist davon auszugehen, dass die Ermittler in den kommenden Tagen weitere Server offline nehmen und Personen verhaften.

Das Raspberry-Pi-Projekt hat das daran angepasste Raspberry Pi OS aktualisiert. Die wichtigste Neuerung darin ist die Unterstützung von Wayland auf allen Raspberry-Pi-Modellen. Auch sonst gibt es einige kleinere Verbesserungen, etwa bei der Unterstützung von Touch-Displays.

Anzeige

Wie die Raspberry-Pi-OS-Maintainer in einem Artikel erklären, soll Wayland das betagte X Window System ablösen. Wayland verspreche mehr Geschwindigkeit und Sicherheit. Unter anderem, da die Apps nicht alle mit dem Display-Server kommunizieren, sondern Wayland diese auf Compositor-Ebene isoliert, können diese einander nicht beobachten. Daher war im vergangenen Jahr der Wechsel zu Wayland mit dem Compositor "wayfire" eine der größeren Neuerungen, die jedoch nur für die leistungsstärkeren und neueren Raspberry 4 und 5 zur Verfügung stand.

Bei der Suche nach einem besseren Compositor, der auch eher mit den Zielen der Raspberry-Pi-Maintainer zusammenpasst, sind sie auf "labwc" gestoßen. Das basiere auf einem Satz an Bibliotheken, die unter dem Namen "wlroots" die Grundfunktionen eines Wayland-Systems bereitstellen. Ein darauf basierender Wayland-Compositor müsse das Rad nicht neu erfinden, weshalb die Maintainer die Entscheidung zur Umstellung getroffen haben. Die meiste Zeit des vergangenen Jahres haben sie damit verbracht, labwc auf den Raspberry-Pi-Desktop zu portieren. Die Entwickler von labwc und wlroots haben dabei kräftig mitgeholfen. Am Ende der Bemühungen steht nun Wayland auf allen Raspberry-Pi-Modellen zur Verfügung.

Nach einem Update einer bestehenden Bookworm-Installation fragt Raspberry Pi OS, ob die Nutzer auf labwc wechseln oder bei wayfire verbleiben wollen. Die Entwickler empfehlen ausdrücklich den Wechsel auf labwc. Kommende Updates erhalten keinen weiteren Support für wayfire. Bisherige wayfire-Nutzer auf Raspi 4- und 5-Boards sollten keine Änderungen bemerken, außer einigen fehlenden Animationen, die die Maintainer noch nicht in labwc umgesetzt haben. Auch diejenigen, die jetzt noch X einsetzen, sollten wechseln. Die mitgelieferte Xwayland-Bibliothek liefert eine virtuelle X-Implementierung, durch die sonst nicht mit Wayland kompatible Apps trotzdem laufen können. Damit lassen sich ältere Apps weiternutzen, und dennoch die Vorteile von den jüngsten Sicherheits- und Performance-Updates einstreichen. Sollten Probleme auftreten, sei zudem jederzeit ein Wechsel zurück zu X möglich. Der Aufruf an der Kommandozeile von "raspi-config" mittels sudo raspi-config hat dafür unter "6 Advanced Options" die Option "W1 X11 Openbox window manager with X11 backend" im Unterpunkt "A6 Wayland"; nach einem Neustart des Raspis läuft dann wieder X.

Apple hat neben seinen großen Updates auf iOS 18.1, iPadOS 18.1, macOS 15.1, tvOS 18.1, watchOS 11.1 sowie visionOS 2.1 auch ältere Betriebssysteme mit Aktualisierungen versorgt. Seit Montagabend stehen nun auch macOS 14.7.1 (Sonoma), macOS 13.7.1 (Ventura) sowie iOS 17.7.1 und iPadOS 17.7.1 zum Download bereit. Wie üblich gibt es hier keine neuen Features, dafür eine ganze Reihe von Sicherheitsfixes, weshalb ein schnelles Einspielen angeraten ist. Eine einzelne Aktualisierung für den Apple-Browser Safari gab es hingegen nicht, was verwirrt, weil in macOS 15.1 mehrere Fehlerbehebungen für Bugs in der Browser-Engine WebKit stecken.

Anzeige

macOS 14.7.1 enthält fast 40 Fixes, die zahlreiche Bereiche betreffen. Darunter sind AppleMobileFileIntegrity, CUPS, DiskArbitration, Find My (sensible Ortsdaten lesbar), PackageKit, der Kernel sowie Siri (Auslesen sensibler Daten durch eine App in einer Sandbox). Drei weitere Fehler in NetworkExtension, Security und Spotlight benennt Apple nicht näher.

Auch die Beschreibungen der Fehler, die von der Modifizierung geschützter Systembereiche über Denial-of-Service-Angriffe bis hin zum Auslesen privater Informationen reichen, fallen leider seit kurzem sehr knapp aus. Warum Apple so vorgeht, ist unklar. macOS 13.7.1 kommt mit über 30 Fixes und drei nicht näher ausgeführten Problemstellen. Auch hier gibt es Lücken problematischer Art. iOS 17.7.1 und iPadOS 17.7.1 enthalten 16 Fixes plus drei nicht näher ausgeführte (die auch in den beiden alten macOS-Versionen behandelt wurden).

Apple hat inzwischen auch die Listen mit den in macOS 15.1, iOS 18.1 und iPadOS 18.1 sowie watchOS 11.1, tvOS 18.1 und visionOS 2.1 enthaltenen sicherheitskritischen Änderungen publiziert. In Sequoia behebt Apple fast 50 Fehler, in iOS 18.1 und iPadOS 18.1 sind es knapp 25. In Sequoia konnten Angreifer unter anderem sensible Dateien verändern (PackageKit), Kontakte auslesen (Fotos), Teile der Private-Browsing-History auslesen (Safari) oder sensible Ortsdaten auslesen (Find My). Auch Denial-of-Service-Angriffe und die Modifizierung von Systemteilen waren möglich.

Anzeige

Der IT-Sicherheitstag an der Westfälischen Hochschule Gelsenkirchen zeigt am 21. November, wie Sicherheitsverantwortliche, Security-Experten und IT-Projektleiter mit der steigenden Komplexität der Systeme in ihren Unternehmen umgehen können. Dass das Zusammenspiel der Komponenten im Systemverbund leicht aus dem Tritt gerät, hat zuletzt der Crowdstrike-Vorfall gezeigt.

Das Programm des IT-Sicherheitstags bietet den Teilnehmern dabei viele Möglichkeiten, sich untereinander und mit den Referenten zu vernetzen – letztere stehen in offenen Diskussionsrunden zur Beantwortung der drängendsten Fragen bereit. Veranstalter sind das Institut für Internetsicherheit und die heise academy.

Neben einer allgemeinen Einordnung zu Sicherheitswerkzeugen und Technologien, mit der Unternehmen die Komplexität managen können, beleuchtet eine Panel-Diskussion, wie man den regulatorischen Anforderungen begegnet und gegenüber sich ständig wandelnden Bedrohungen wettbewerbsfähig und resilient bleibt. Außerdem geht es darum, wie man seine empfindlichen Unternehmensdaten clientseitig verschlüsselt, damit das Lagern der Daten bei Cloudanbietern zu weniger Kopfschmerzen führt. Ein weiterer Vortrag zeigt, wie man digitale Signaturen nutzt, um seine Unternehmenskommunikation gegen Spear-Phishing-Angriffe zu wappnen.

Besonders ärgerlich ist es, wenn man selbst abgesichert ist, es aber einen Dienstleister in der eigenen Supply Chain trifft, von dem aus sich der Angriff ins eigene Netz ausbreitet. Auch im Zuge von NIS2 und dem Cyber Resilience Act (CRA) der EU müssen sich Unternehmen Gedanken über die Sicherheit ihrer IT-Lieferkette machen oder sich bewusst sein, dass sie ein wichtiges Kettenglied für andere Firmen darstellen. Die Software Bill of Materials (SBOM) hilft Unternehmen, die Anforderungen in Verträge und Prozesse zu integrieren, um rechtliche Risiken zu minimieren und die Sicherheit ihrer IT-Lieferketten zu gewährleisten.

Sie arbeiten in einem kleinen bis mittelgroßen Unternehmen (KMU) und möchten Ihre Sicherheit verbessern? In unserem iX-Workshop Effiziente IT-Sicherheit für kleine und mittlere Unternehmen erhalten Sie an zwei Vormittagen sinnvolle Ansätze für einen kosteneffizienten Schutz und lernen praxisnahe Lösungen und Strategien kennen – speziell auf die Bedürfnisse von KMUs zugeschnitten.

Anzeige

Ausgehend von der aktuellen Bedrohungslage im Bereich der Informationstechnologie erläutern Ihnen unsere Sicherheitsexperten, welche konkreten Schritte Sie unternehmen können, um Ihr Unternehmen abzusichern. Sie erfahren, wie Sie auch mit begrenzten Ressourcen effiziente Maßnahmen ergreifen können, um Ihre IT-Sicherheit zu verbessern und Risiken zu minimieren. Neben grundlegenden Tätigkeiten, Best Practices und typischen Fallstricken werden auch praktische Meilensteine für Ihre Projektplanung vorgestellt.

Dieser Einführungsworkshop legt den Fokus auf einen allgemeinen Überblick über die relevanten Themen und Technologien. Diskussionen dienen der Veranschaulichung der Inhalte und Sie haben die Möglichkeit, sich aktiv einzubringen und Fragen zu stellen. Trainer dieses Kurses sind Sicherheitsexperten der secuvera GmbH: Ann-Kathrin Udvary - leitende Cybersicherheitsberaterin und Viktor Rechel - leitender Cybersicherheitsberater.

Der Workshop richtet sich an Unternehmen mit 10 bis 1.000 Mitarbeitenden, die über kein oder nur ein rudimentäres Informationssicherheits-Managementsystem (ISMS) verfügen. Dabei spielt es keine Rolle, ob Sie Ihre IT-Administration selbst durchführen oder an einen IT-Dienstleister ausgelagert haben. Er dient als Einführung in das Thema Cyber- und IT-Sicherheit und richtet sich daher vorrangig an diejenigen, die in ihrer Firma für Geschäftsrisiken, Strategie und/oder Administration zuständig sind.

Bodyguards und Angestellte von Geheimdiensten, die für den Schutz von Staatsoberhäuptern zuständig sind, teilen ihre Fitnessaktivitäten gerne über Strava und geben damit deren Aufenthaltsorte preis. Das hat die französische Zeitung Le Monde herausgefunden und weist darauf hin, dass das zugrunde liegende Problem bereits vor sechs Jahren erkannt, aber weiterhin nicht vollständig behoben wurde. Bestätigt wurde das mögliche Sicherheitsrisiko demnach für US-Präsident Joe Biden, seine Vize Kamala Harris, den Ex-Präsidenten Donald Trump, Frankreichs Präsidenten Emmanuel Macron und sein russisches Pendant Wladimir Putin. Auch Jill Biden und Melania Trump seien betroffen.

Anzeige

Le Monde hat nach eigenen Angaben 26 Angestellte des Secret Service der USA, 12 der französischen Groupe de sécurité de la présidence de la République und sechs des Schutzdiensts FSO des russischen Präsidenten identifiziert, die ihre Fitnessaktivitäten öffentlich auf Strava teilen. Darüber lasse sich nachvollziehen, wo sie und ihre Staatschefs sich aufhalten. Im Falle von Macron sei auf diesem Weg ein Wochenendausflug erkennbar, der nicht publik gemacht worden war. Außerdem würden die Bodyguards auf diesem Weg ungewollt etwa ihre Wohnorte und private Gewohnheiten enthüllen, was sie potenziell für Erpressungsversuche angreifbar mache.

Mit den potenziell gefährlichen Daten konfrontiert, die auf diesem Weg einsehbar gemacht werden, hätten sowohl die Zuständigen in den USA als auch jene in Frankreich abgewiegelt. Behörden seien über die Aufenthaltsorte von Macron & Co. informiert und für eine ausreichende Absicherung sei immer gesorgt. Das Risiko "ist nicht existent", wird Macrons Büro zitiert. Auch der Secret Service meint demnach, dass Aufenthaltsorte regelmäßig publik gemacht würden und man keine Auswirkung auf die Sicherheit sehe. Trotzdem solle das Personal über die mögliche Gefahrenquelle informiert werden. Le Monde sieht aber ein Risiko, etwa wenn die Leibwache vorab zu geheimen Aufenthaltsorten reist und die dann über Strava enthüllt.

Die Enthüllung, die Le Monde unter dem Titel StravaLeaks jetzt öffentlich macht, ruft ähnliche aus den vergangenen Jahren in Erinnerung. Ihren Anfang hatten die im Jahr 2018 genommen, als bemerkt wurde, dass sportliche Soldaten und Soldatinnen über Aktivitätstracker eigentlich vertrauliche Daten über sich, ihre Kameraden und ihre Armeen offenlegen. Auf einer "Global Heatmap" von Strava zur Visualisierung von mehr als einer Milliarde Aktivitäten waren auch Daten von westlichen Soldaten etwa in Afghanistan enthalten. Dadurch ließen sich etwa vormals unbekannte Außenposten erkennen. Auch vier Jahre später hatte Strava noch sensible Informationen über Militärangehörige und Geheimdienste offengelegt.

Die Fluglinie Delta Airlines macht Ernst: Sie hat bei einem Bezirksgericht an ihrem Firmensitz im US-Bundesstaat Georgia Klage gegen CrowdStrike eingereicht. Der Grund der Klage ist keine Überraschung, Delta hätte gern Schadenersatz für die Ereignisse rund um den IT-Großausfall am 19. Juli.

Anzeige

Das fehlerhafte Signatur-Update für CrowdStrikes "Falcon"-Sicherheitssoftware hatte die Reisepläne von mehr als einer Million Delta-Kunden durcheinandergebracht und für 7000 Flugstornierungen gesorgt. Die dadurch entstandenen Umsatzeinbußen und die Kosten der Reparaturmaßnahmen möchte man sich nun von CrowdStrike zurückholen. Über 500 Millionen US-Dollar soll der IT-Dienstleister zahlen, wenn es nach den Anwälten der Fluglinie geht. Verantwortlich für das Desaster war ein trivialer Programmierfehler.

CrowdStrike indes winkt ab und wählte in einer Erklärung gegenüber dem US-Sender CNBC deutliche Worte. Die Ansprüche der Fluglinie basierten auf widerlegten Falschinformationen, zeigten Schwierigkeiten beim Verständnis moderner Cybersicherheit auf und spiegelten den verzweifelten Versuch wider, die Schuld abzuwälzen. Delta habe es versäumt, die antiquierte IT-Landschaft zu modernisieren.

Auch Microsoft hatte bereits im August ins selbe Horn geblasen und konstatierte damals, Delta habe im Gegensatz zu Konkurrenten wie American und United Airlines Erneuerungen seiner Systeme verschlafen und die lange Ausfallzeit so selbst verschuldet.

IBM App Connect Enterprise Certified Container ist mit bestimmten Einstellungen verwundbar und Angreifer können an zwei Schwachstellen ansetzen. Admins sollten sicherstellen, dass eine gegen mögliche Attacken abgesicherte Version installiert ist.

Anzeige

Unternehmen setzen die Integrationssoftware ein, um Geschäftsinformationen über mehrere Hardware- und Softwareplattformen hinweg zu verarbeiten. Nun haben die Entwickler einer Warnmeldung zufolge zwei Sicherheitslücken (CVE-2024-48948 "hoch", CVE-2024-48949 "hoch") im Elliptic-Modul von Node.js zum Überprüfen von Signaturen geschlossen.

Davon sind aber nur Instanzen bedroht, die COS S3 Storage nutzen. Ist das der Fall, können Angreifer etwa mit speziell präparierten Hash-Anfragen Sicherheitseinschränkungen umgehen und sich so unberechtigt Zugriff verschaffen. Darüber hinaus ist es möglich, dass gültige Signature im Zuge eines Angriffs als nicht vertrauenswürdig abgewiesen werden.

Die Entwickler geben an, die Problematik in App Connect Enterprise Certified Container 11.6.0 (Continuous Delivery) geschlossen zu haben. Außerdem müssen Admins sicherstellen, dass alle Dashboard-Komponenten mindestens die Version 12.0.12.2-r1 aufweisen.

In VMware Tanzu Spring Security können Angreifer eine kritische Sicherheitslücke missbrauchen, um Autorisierungsregeln zu umgehen. Aktualisierte Software steht bereit, die das Sicherheitsleck stopft.

Anzeige

Bei Spring Security handelt es sich um ein weitreichend konfigurierbares Authentifizierungs- und Zugriffskontroll-Framework, das quasi den Standard zur Sicherung von Spring-basierten Anwendungen darstellt. In einer Sicherheitsmitteilung warnen die Spring-Security-Entwickler, dass unter gewissen Umständen in Spring Webflux-Anwendungen, die Spring-Security-Autorisierungsregeln auf statistische Ressourcen einsetzen, jene Regeln umgehbar sind (CVE-2024-38821, CVSS 9.1, Risiko "kritisch"). Konkret müsse es eine Webflux-Anwendung sein, die den Support für statische Ressourcen von Spring nutzt und eine "nicht alles erlauben"-Regel für diese statischen Ressourcen anwende.

Die Sicherheitslücke betrifft Spring Security 5.7.0-5.7.12, 5.8.0-5.8.14, 6.0.0-6.0.12, 6.1.0-6.1.10, 6.2.0-6.2.6, 6.3.0-6.3.3 sowie ältere, inzwischen nicht mehr unterstützte Versionen. Die Versionen 5.7.13, 5.8.15, 6.0.13 und 6.1.11 sind mit Enterprise-Support erhältlich. Die aktualisierten Fassungen 6.2.7 und 6.3.4 stehen als Open Source Software zur Verfügung.

Wer Spring Security einsetzt, sollte die nun verfügbaren Aktualisierungen zügig herunterladen und installieren, da die damit geschlossene Sicherheitslücke als kritisches Risiko eingeordnet wurde. Andernfalls hätten Angreifer ein leichtes Spiel, die Schwachstelle zu missbrauchen.

Das IT-Sicherheitsunternehmen Zscaler hat die ThreatLabz-Analyse der vergangenen 12 Monate bezüglich mobiler Malware herausgegeben. Heraus stechen etwa die fast acht Millionen Mal installierten Malware-infizierten Apps. Von denen hat Zscaler mehr als 200 im Google Play Store entdeckt.

Anzeige

Der Report lässt sich nach Angabe von E-Mail-Adresse und Namen bei Zscaler herunterladen. Einige Erkenntnisse heben die Verfasser hervor. So haben sie eine Zunahme von 29 Prozent bei mobiler Banking-Malware ausgemacht, und sogar eine 111-Prozent-Zunahme bei Spyware im Zeitraum der letzten 12 Monate. Knapp die Hälfte der mobilen Angriffe machten demnach Trojaner aus. Die finanzielle Motivation zeige sich auch darin, dass die Malware oftmals in der Lage ist, Multi-Faktor-Authentifizierung zu umgehen und oftmals Phishing-Versuche starte, etwa mit gefälschten Log-in-Seiten für unterschiedliche Finanzinstitutionen.

Im Google Play Store hat Zscaler demnach in dem Beobachtungszeitraum mehr als 200 bösartige Apps aufgespürt. Sie kommen zusammen auf fast acht Millionen Installationen. Als Beispiel heben die Autoren die Anatsa-Malware hervor, die in Asien und Europa aktiv sei und sich oftmals als PDF- oder QR-Code-Reader-Apps tarnen, um den bösartigen Code zu verteilen. Anatsa greife mehr als 650 Finanzinstitutionen weltweit an und reiche damit bis nach Deutschland, Finnland, Spanien, Singapur und Südkorea.

Am häufigsten werden die Bereiche Industrie und Bildung mit mobiler Malware angegriffen, gefolgt von Produktion. Die globale Verteilung überrascht ein wenig: Indien ist mit Abstand das am häufigsten mit Mobile-Malware attackierte Land, gefolgt von den USA und schließlich Kanada. Erst an vierter Stelle steht mit den Niederlanden ein europäisches Land. Deutschland taucht in den Top Ten laut der Zscaler-Messung nicht auf.

Die Zero Day Initiative (ZDI) von Trend Micro hat den Hacker-Wettbewerb Pwn2Own dieses Jahr in Irland veranstaltet. In der vergangenen Woche konnten IT-Sicherheitsforscher dort Prämien für die erfolgreiche Ausnutzung von Zero-Day-Sicherheitslücken einstreichen. Dieses Jahr hätten die Preisgelder erstmals die Gesamtsummer von einer Million US-Dollar überstiegen, die die Gewinner für mehr als 70 Zero-Days einstreichen konnten.

Anzeige

Unter anderem standen Geräte der Internet-of-Things-Klasse, Network-Attached-Storage-Systeme (NAS), Mobiltelefone oder Drucker auf der Liste der angegriffenen Geräte. Am ersten Tag gelang es Teilnehmern etwa, NAS von QNAP oder Synology, Netzwerkdrucker von Canon und HP, Sonos-Lautsprecher, die Kameras Ubiquiti AI Bullet und Lorex 2K WiFi zu knacken. Insgesamt wurden bereits für mehr als 50 Zero-Days Prämien in Höhe von 516.000 US-Dollar ausgezahlt.

Am zweiten Tag kamen weitere 358.000 US-Dollar an Preisgeldern hinzu. IT-Forschern gelang die unbefugte Installation einer App nach der Erlangung des Zugriffs auf eine Shell beim Samsung Galaxy S24. Weitere erfolgreiche Angriffe zeigten sie auf Sicherheitslücken in Canon- und HP-Druckern, Sonos-Speakern sowie QNAP- und Synology-NAS.

Am dritten Tag gelang den Teilnehmern etwa das Kompromittieren von QNAP- und Synology-NAS sowie Lexmark-Druckern. Außerdem kam es zur Vorführung von Bugs, die andere Gruppen ebenfalls gefunden und schon an den Vortagen gezeigt hatten, sogenannte Kollisionen. Am vierten Tag gab es weitere solche Kollisionen, aber eine weitere Gruppe führte vor, wie sie Zugriff auf ein QNAP-NAS und von dort weiter auf einen Lexmark-Drucker erlangten. Ein weiteres Team zeigte zudem eine direkt missbrauchte Lücke in dem Lexmark-Drucker.

Nvidia hat Sicherheitslücken in den Treibern zu den Grafikkarten entdeckt. Sie ermöglichen Angreifern unter anderem, ihre Rechte im System auszuweiten. Aktualisierte Treiber stehen bereit, die die Schwachsstellen ausbessern.

Anzeige

In einer Sicherheitsmitteilung listet Nvidia die einzelnen Sicherheitslücken und ihre Auswirkungen auf. Sie betreffen Geforce-Grafikkarten sowie Nvidia Quadro, RTX, NVS und Karten mit Tesla-Streamingprozessoren. Die Treiber sind sowohl in den Linux- als auch den Windows-Versionen anfällig.

Informationen zu den Schwachstellen selbst hält Nvidia dezent zurück. Die gravierendste Sicherheitslücke beschreiben die Entwickler etwa folgendermaßen: Nvidia GPU Display-Treiber für Linux und Windows enthalten eine Schwachstelle, die Angreifern mit Zugriffsrechten die Ausweitung ihrer Rechte ermöglicht. Ein erfolgreicher Missbrauch der Schwachstelle könnte zur Ausführung von Code, einem Denial-of-Service, Rechteausweitung, Informationsabfluss oder Datenmanipulation führen (CVE‑2024‑0126, CVSS 8.2, Risiko "hoch"). Es fehlen jedoch etwaige Details, worin die Lücke genau besteht und wie sie sich missbrauchen lässt, wie Angriffe aussehen würden und wie Betroffene diese erkennen könnten.

Weitere fünf Sicherheitslücken finden sich demnach im Windows-Treiber im Usemode-Code, die Nutzern ohne signifikante Rechte im System etwa Lesezugriffe außerhalb vorgesehener Grenzen ermöglichen (CVE‑2024‑0117, CVE‑2024‑0118, CVE‑2024‑0119, CVE‑2024‑0120, CVE‑2024‑0121; alle CVSS 7.8, hoch). Die Auswirkungen sind im Wesentlichen dieselben wie bei der schwerwiegendsten Sicherheitslücke.

Sind Webanwendungen nicht ausreichend geschützt, werden sie früher oder später das Ziel von Angriffen und öffnen so die Tür zu sensiblen Daten und internen Unternehmensnetzwerken. Über die häufigsten Sicherheitslücken informiert das Open Web Application Security Project (OWASP®) in seinen Top Ten Web Application Security Risks.

Anzeige

Im iX-Workshop OWASP Top 10®: Kritische Sicherheitsrisiken für Webanwendungen verstehen erklärt und demonstriert Björn Kaidel die Schwachstellen aus der Top-10-Rangliste und ihre Auswirkungen. Sie lernen dabei nicht nur die Risiken kennen, sondern erfahren auch, wie Sie Schwachstellen in der eigenen IT aufspüren und beheben können, um sich so bestmöglich gegen Cyberattacken und Datendiebstahl zu schützen. Es handelt sich um einen Grundlagenworkshop, Vorwissen zum Thema Webanwendungssicherheit wird nicht benötigt.

Sicherheitsexperte Björn Kaidel arbeitet bei der secuvera GmbH in den Bereichen Penetrationstests und Prüfstelle, wo er unter anderem eine Sicherheitsmethodik für einen internationalen Großkunden mitentwickelt und Produktprüfungen durchgeführt hat.

Der Workshop richtet sich an Entwickler, Product Owner, Sicherheitsverantwortliche, Softwarearchitekten und Admins. Ein grundlegendes Verständnis von Webanwendungen sowie Grundkenntnisse in Programmierung und Informationssicherheit werden vorausgesetzt.

Der Bundestag lässt prüfen, ob die Abgeordneten und ihre Mitarbeiter auf Lockmails im Rahmen von Phishing-Attacken hereinfallen. Die Büros von Politikern aller Fraktionen sollen in den vergangenen Tagen eine Reihe von E-Mails erhalten haben, die vermeintlich von der Parlamentsverwaltung stammten, schreibt der Spiegel. Wer auf einen darin enthaltenen Link geklickt habe, sei auf einer angesteuerten Webseite aufgefordert worden, persönliche Informationen wie Passwörter einzugeben.

Anzeige

Die Phishing-Kampagne ist dem Bericht zufolge Teil eines offiziellen Penetrationstests. Ziel sei es, der IT-Sicherheit im Bundestag verdeckt auf den Zahn zu fühlen. Die Kommission für Informations- und Kommunikationstechnologien (IuK) des Ältestenrats habe diese Maßnahme beschlossen. Inzwischen seien alle Abgeordneten mit einem Schreiben der IT-Sicherheit des Bundestags über die Hintergründe der Aktion aufgeklärt worden.

Viele Empfänger sind auf die verdächtigen E-Mails nicht hereingefallen. Sie hätten diese "wie vorgesehen" an eine Meldestelle weitergeleitet oder sich an die IT-Hotline des Bundestags gewandt, zitiert der Spiegel aus dem Schreiben. Ein solcher Umgang sei für eine wirkungsvolle Abwehr wirklicher Phishing-Kampagnen "unbedingt notwendig". Offenbar waren aber nicht alle Betroffenen sensibilisiert genug: An all diejenigen, "die Links in den E-Mails angeklickt" und dabei gegebenenfalls Anmeldeinformationen eingegeben haben, geht der Appell, "das Passwort vorsorglich zu ändern".

"Es ist gut, dass sich alle Verfassungsorgane im Lichte stark gestiegener Bedrohungslagen zur Aufgabe machen, die eigene Resilienz zu erhöhen", lobte der Grünen-Fraktionsvize Konstantin von Notz die unangekündigten Proben. "Hierfür ist Sensibilität gegenüber stark gestiegenen Risiken ein wichtiger Baustein." Der 53-Jährige gehört der IuK-Kommission des Parlaments an, war also vermutlich prinzipiell über das Vorhaben im Bilde.

Die gefundene Sicherheitslücke basiert auf der Testsoftware der Wi-Fi Alliance auf den Routern, die es Angreifern ermöglicht, nahezu beliebigen Code mit Adminrechten auszuführen. Die Wi-Fi-Test-Suite ist eine Plattform, die von der Wi-Fi Alliance entwickelt wurde und das automatisierte Testen von Wi-Fi-Komponenten erlaubt. Während die Open-Source-Komponenten des Toolkits frei erhältlich sind, steht das vollständige Paket nur Mitgliedern der WiFi Alliance zur Verfügung.

Anzeige

Das CERT Coordination Center (CERT/CC) stellte fest, dass die Wi-Fi-Test-Suite normalerweise nicht für den Einsatz in Produktionsumgebungen vorgesehen ist. Dennoch wurde die Software auf ausgelieferten Arcadyan-Routern entdeckt. Die Forscher identifizierten bei der Analyse der Schwachstelle einen Command-Injection-Fehler (CVE-2024-41992). Dieser kann es Angreifern ermöglichen, die vollständige Kontrolle über betroffene Router zu übernehmen.

„Mit einem Zugriff darauf kann der Angreifer Systemeinstellungen ändern, kritische Netzwerkdienste unterbrechen oder das Gerät vollständig zurücksetzen. Diese Aktionen können zu einer Kompromittierung von Netzwerkdaten und einem potenziellen Ausfall des Dienstes für alle Benutzer führen", so die Sicherheitsexperten in einer Gefahreneinschätzung. Inzwischen wurde die Sicherheitslücke von unterschiedlichen Onlineportalen wie Cybersecuritynews und TheHackerNews veröffentlicht.

Bis ein Herstellerpatch zur Verfügung steht, empfehlen die Experten, vorhandene Arcadyan-Router auf vorhandene Installationen der Wi-Fi-Test-Suite zu prüfen. Falls die Suite installiert ist, bereinigt eine vollständige Entfernung das Sicherheitsproblem nachhaltig. Wo die Funktionen der Suite im Einsatz sind und ein Entfernen daher nicht in Frage kommt, soll ein Update auf die Release 9.0 der Suite das Risiko des Missbrauchs verhindern.

Die Ransomware-Gruppe Black Basta operiert weltweit und ist dafür bekannt, Benutzer mit E-Mail-Spam zu überhäufen und sich dabei als Helpdesk-Mitarbeiter auszugeben, um Daten abzugreifen und Zugänge auszuspähen. Diese Methode wurde nun offenbar dahingehend verändert, dass Microsoft Teams-Chatnachrichten dazu verwendet werden, Kontakt mit Mitarbeitern in Unternehmen aufzunehmen.

Anzeige

Wie das Cybersicherheitsunternehmen ReliaQuest meldete, arbeitet Black Basta bei der neuen Methode mit Microsoft Teams-Chatnachrichten, um Mitarbeiter und Mitarbeiterinnen von Unternehmen in Gespräche zu verwickeln. Dabei geben sich die Kriminellen als Support-, Administrator- oder Helpdesk-Mitarbeiter aus, um sich das Vertrauen der Opfer zu erschleichen.

Teilweise sollen Mitarbeiter von Unternehmen durch die Black Basta-Gruppe zu MS Teams-Chatgruppen eingeladen worden sein. Einmal in der Gruppe im Gespräch war es offenbar leicht, Kontakte zu knüpfen. Über QR-Codes wird dann versucht, die Mitarbeiter auf externe Seiten zu locken. Diese sind dabei auf die betreffende Zielorganisation zugeschnitten und häufig nur die genaue Prüfung der Subdomain von echten Unternehmensseiten zu unterscheiden.

Um sich vor der neuen Phishing-Methode zu schützen, empfiehlt ReliaQuest mehrere Maßnahmen. Dazu gehören das Blockieren von verdächtigen Domains und Subdomains, die Sperrung der Kommunikation von externen Benutzern innerhalb von Microsoft Teams sowie die saubere Definition von vertrauenswürdigen Domänen. ReliaQuest empfiehlt auch, die Protokollfunktion in MS Teams zu aktivieren, um das frühzeitige Erkennen und die Untersuchung von Vorfällen zu erleichtern.

Der State of the API Report 2024 von Postman stellt fest, dass Unternehmen APIs zunehmend als Produkt behandeln und gezielt entwickeln, vermarkten und monetarisieren. Bei den Nutzern, die Schnittstellen einbinden, bleiben Sicherheitsaspekte oft auf der Strecke.

Anzeige

Die API-Plattform Postman, die selbst Dienste zur API-Vermarktung anbietet, hat für den Report über 5600 Softwareentwicklerinnen und -entwickler befragt, von denen 62 Prozent an kostenpflichtigen Schnittstellen arbeiten. 21 Prozent der befragten Unternehmen erzielen sogar über dreiviertel ihres jährlichen Gesamtumsatzes mit ihren öffentlichen APIs. Selbst große TK-Provider kommen auf den Geschmack.

OpenAI macht in diesem Jahr bereits 79 Prozent des API-Traffics der Postman-Plattform aus.

(Bild: Postman, State oft he API Report 2024)

Verschlüsselungsalgorithmen sind in den allermeisten Fällen gar nicht dazu da, geheime Botschaften zu verbergen. Viel öfter dient Krytopgraphie dazu, geschäftliche Transaktionen abzusichern, Personen im Internet zu authentifizieren oder dafür zu sorgen, dass wirklich nur Updates aus verlässlichen Quellen eingespielt werden.

Anzeige

Umso beunruhigender wirkt da der Gedanke, dass die Sicherheit herkömmlicher Verschlüsselungsverfahren ausschließlich darauf beruht, dass ihre Entschlüsselung sehr, sehr viel Rechenzeit beansprucht. Was mit klassischen Computern Tausende Jahre dauern würde, ließe sich – zumindest theoretisch – mit Quantencomputern aber sehr viel schneller bewerkstelligen. Bislang gibt es aber noch keine Quantencomputer, die mächtig genug wären, um das zu bewerkstelligen.

Jetzt hat ein chinesisches Forschungsteam prinzipiell gezeigt, wie sich ein moderner Verschlüsselungsalgorithmus mithilfe eines Quantencomputers aushebeln lässt. Das berichtet das Branchenportal The Quantum Insider. Demnach haben die Forschenden zwar keine konkreten Passcodes geknackt. Die chinesische Zeitung South China Morning Post wertet den Angriff jedoch als "reale und erhebliche Bedrohung" für Sektoren, wie das Bankwesen und das Militär.

Ermöglicht wurde der erfolgreiche Angriff zudem nicht durch einen universellen Quantencomputer, sondern durch einen sogenannten "Quanten Annealer" des kanadischen Herstellers D-Wave. Das Unternehmen war weltweit das Erste, das kommerziell verfügbare Quantencomputer anbot. Allerdings lassen sich auf den D-Wave-Quantenprozessoren eigentlich nur spezielle Optimierungsprobleme lösen. Die Kunst der Programmierer besteht darin, die konkreten zu lösenden Probleme zunächst in Optimierungsprobleme umzuformen, damit sie mit einem D-Wave-Prozessor gelöst werden können. Technische Einzelheiten des Angriffs beschreiben Wang Chao von der Universität Shanghai und sein Team in einem Beitrag für das Chinese Journal of Computers.