Schlüsselwort-Archiv: Cyberkriminelle\

Die meisten Menschen auf der ganzen Welt sind seit etwa drei Monaten eingesperrt! Sie gehören bestimmt auch dazu, daher bin ich mir sicher, dass Sie in den letzten Monaten vieles über einen konkreten Film gehört haben: Und täglich grüßt das Murmeltier ist nämlich keine Komödie mehr! Dann das Wetter: Wenn es noch nass und winterlich ist, ist es deprimierend für alle (abgesehen von der Erfahrung, zuhause eingesperrt zu sein). Wenn es besser und sommerlich wird, bleibt es auch weiterhin eine Enttäuschung für alle, da niemand hinausgehen kann, um das prima Wetter zu genießen!

Dennoch nehme ich an, dass es vielleicht ein Trost ist, dass wir alle im selben Boot sitzen. Vielleicht. Aber wir sind gesetzestreue Menschen. Was ist mit den Cyberkriminellen? Wie geht es ihnen wohl zu Hause? Nun, ich habe neulich einige Statistiken und Trends dazu veröffentlicht. Heute möchte ich weitere Daten veröffentlichen, denn ja, Cyberkriminelle handeln schnell. // Ach ja, und übrigens, wenn Sie an weiteren Cyber-Nachrichten von der dunklen Seite interessiert sind, verpassen Sie nicht diesen Tag, der alle Beiträge sammelt.

Zuerst einmal ein paar mehr Statistiken – aktualisierte und beruhigende dazu…

Im März und vor allem im April sprang die gesamte Cyberkriminalität sprunghaft an; im Mai ist sie jedoch wieder stark zurückgegangen – bis etwa auf das Niveau vor der Coronakrise im Januar-Februar:

Gleichzeitig haben wir einen stetigen Rückgang aller Malware, die mit dem Coronavirus in Verbindung stehen, verzeichnet:

// Mit „Malware, die mit dem Coronavirus in Verbindung stehen“ sind Cyberattacken gemeint, die das Coronavirus-Thema in irgendeiner Weise dazu benutzt haben, um kriminellen Ziele zu erreichen.

Es scheint also, dass die Nachrichten vielversprechend sind. Die Cyberschurken treiben weniger als früher ihr Unwesen. Was die Statistiken jedoch nicht zeigen, ist das warum; oder – was tun sie stattdessen? Sicherlich haben sie sich nicht den ganzen Monat Mai freigenommen, der in vielen Teilen der Welt eine recht hohe Zahl von freien Tagen hat, einschließlich der Tage, an denen das Ende des Zweiten Weltkriegs gefeiert wird. Nein, das kann nicht sein. Was dann?…

Leider weiß ich es nicht. Sie erzählen mir ja nichts über ihre kriminellen Geschäftspläne. Aber ich habe meine eigene Hypothese: Vielleicht haben sie es im April so sehr übertrieben, dass sie sich im Mai eine Auszeit nehmen mussten, um ihren „Fang“, also die Masse an Daten, zu analysieren. Es braucht nämlich durchaus etwas Zeit, um sie zu sichten und richtig zu monetarisieren. Das ist nur eine Vermutung, aber durchaus möglich.

Deshalb glaube ich, dass es noch zu früh ist, um sich in der neuen „Normalität“ in Sicherheit zu wiegen. Cyber-Bösewichte haben schon immer gehackt, hacken immer noch und werden auch in der Zukunft hacken. Und alle verschiedenen Arten von Hacks nutzen immer noch die Panik rund um Corona aus, um ihnen bei ihren bösen Taten zu helfen. Viele APT-Gruppen haben es zum Beispiel in Phishing-E-Mails verwendet. Es gibt jedoch einige besondere Verwendungen des Coronavirus als Leitmotiv (apropos, es gibt auch einige Angriffe, die das Coronavirus nicht als Köder verwenden), die besonders hervorgehoben werden müssen:

So hat in letzter Zeit zum Beispiel die Hackergruppe Transparent Tribe (über die wir kürzlich einen APT-Bericht geschrieben haben), die sich auf Angriffe auf indische Unternehmen, den öffentlichen Sektor und militärische Einrichtungen spezialisiert, noch weitere, dunklere Schritte gewagt. Sie haben sich als die offizielle indische Coronavirus-App, die auf allen Geräten im Land installiert werden muss, ausgegeben, um Android-Backdoors zu verbreiten. Und es sieht so aus, als würden sie Ziele angreifen, die beim Mlitär arbeiten.

Am 20. April wurde auf dem 4chan-Forum ein Beitrag über ein Leak von Logins und Passwörtern des Instituts für Virologie von Wuhan veröffentlicht. Kurz darauf gab es in vielen Beiträgen auf verschiedenen Social-Media-Plattformen einen Aufschrei (und auch viel Medientrubel) über angeblich durchgesickerte Daten nicht nur vom Wuhan-Institut, sondern auch von der WHO, der Weltbank, der Gates Foundation und anderen Organisationen. Unsere eigene interne Untersuchung des Leaks ergab, dass die meisten Daten aus älteren Leaks stammten. Darüber hinaus wurden die Informationen, die in verschiedenen Foren gepostet wurden, meist als vermutlicher Beweis für eine absichtliche Verbreitung von SARS-CoV-2 / COVID-19 herangezogen. Im Großen und Ganzen sieht es nach echten gefälschten (!) Nachrichten mit politischen Untertönen aus. Wer da wohl dahintersteckt?

Quelle

Die nächste Nachricht steht nicht direkt mit dem Coronavirus in Verbindung; allerdings wurden viele der gehackten Supercomputer zur Erforschung von COVID-19 genutzt, so dass die Forschung verlangsamt wurde. Wie auch immer…

Eines Tages, Anfang Mitte Mai, wurden mehrere Supercomputer weltweit gleichzeitig gehackt. Archer in Edinburgh, das deutsche bwHPC, das Swiss National Supercomputing Centre (das derzeit das Coronavirus-Protein analysiert) und viele weitere Hochleistungsrechenzentren in Europa, Nordamerika und China. Unsere Analyse zeigte, wie die Cyberkriminellen Backdoors benutzten, um… Krypto-Währung zu minen! All das Superhacken von Supercomputern nur deswegen? Sicherlich nicht. Da Cryptomining heutzutage wohl kaum der profitabelste Bereich der Cyberkriminalität ist, bleibt die Frage nach einem Grund: Was hatten sie wirklich vor? Ein Testlauf für etwas viel Größeres, das noch kommen wird? Und wieder einmal bleibt das Wer und Warum ein Rätsel.

Eine interessante, in Forbes veröffentlichte Untersuchung behauptet, dass Xiaomi-Smartphones die Internet-Links und Suchanfragen aller Benutzer zusammen mit Metadaten über ihre Geräte an… die Server von Alibaba gesendet haben! Jepp, der Forscher installierte seinen eigenen Browser auf seinem Telefon und das hat er entdeckt. Xiaomi dementiert natürlich alles, versprach aber trotzdem ein Software-Update und fügte ein Kontrollkästchen hinzu, mit dem die Benutzer sich gegen das Senden von Daten entscheiden können.

Source

Und zu guter Letzt noch ein weiteres Unternehmen, dessen Ruf kürzlich aufgrund von Sicherheitsproblemen einen weiteren Imageschaden erlitt: Zoom. Die Probleme waren so eklatant schlimm, dass ich beschloss, ihre Software (seit Beginn des Corona-Lockdowns) nur auf einem „leeren“ Computer zu verwenden, sofern ich zur Benutzung von Zoom gezwungen wurde. Trotzdem muss man es Zoom lassen – in zwei Monaten haben sie die Dinge wirklich geändert. Mit jedem Patch verbessern sie die Sicherheit, und sie haben ein gutes Bug-Bounty-Programm gestartet (unter der Leitung von Katie Moussouris, die ein solches Programm zuvor bei Microsoft eingeführt hatte). Und erst kürzlich gab Zoom bekannt, dass es den Kryptodienst Keybase zum Schutz der übermittelten Daten kaufen wird. Ich hoffe also, dass Zoom ein gutes Beispiel dafür wird, wie eine gute Einstellung zur Sicherheit zum Geschäftserfolg führt – und dass sogar Zoom den Weg auf meinen „Kampf“-Laptop findet). Gut gemacht, Zoom!

Und das war’s für heute. Wenn weitere Cyber-Meldungen von der Quarantäne-Front auftauchen, werde ich Sie bald darauf auf den neuesten Stand bringen. Und jetzt… zurück an die Arbeit!

Hallo zusammen!

Es folgt ein weiterer Beitrag aus meiner Serie „gelegentliche iNews„, alias „Cyber-News von der dunklen Seite“ – dieser Artikel beschäftigt sich mit einigen der Vorträge, die ich mir letzten Monat auf unserem jährlichen Security Analyst Summit in Singapur ansehen durfte.

Unsere jährliche SAS-Konferenz zeichnet sich vor allem durch die höchstinteressanten Vorträge unserer geladenen Experten aus aller Welt aus, bei der Analysten, im Gegensatz zu anderen geopolitisch korrekten Konferenzen, Entdeckungen über jede beliebige Cyberbedrohung mit dem Publikum teilen; und das völlig unabhängig von dem Ursprung dieser Bedrohungen. Denn Malware ist und bleibt Malware, und Nutzer haben ein Recht darauf, vor allen ihrer Arten geschützt zu werden, ohne Rücksicht auf die erklärte Bedeutung der Absichten der dahinterstehenden Organisationen, Gruppen etc. Erinnern Sie sich noch an den „Bumerangeffekt„?

Und wenn bestimmte Medienkanäle als Reaktion auf diese prinzipientreue Position offensichtlich Lügen über uns verbreiten, dann sei es so. Und es sind nicht nur unsere Prinzipien, die angegriffen werden, weil wir praktizieren, was wir predigen: Wir sind der Konkurrenz weit voraus, wenn es um die Anzahl gelöster Cyberspionage-Operationen geht. Und wir planen nicht, unsere Einstellung und Position in irgendeiner Weise zum Nachteil unserer Nutzer zu ändern.

Im Anschluss folgt eine Zusammenfassungen der großartigsten Untersuchungen und Analysen, die Cyber-Experten aus aller Welt auf dem diesjährigen SAS vorgetragen haben. Darf ich vorstellen? Die interessantesten, schockierendsten, gruseligsten und verrücktesten Vorträge der SAS-Konferenz 2019:

1. TajMahal

Im vergangenen Jahr haben wir einen Angriff auf eine diplomatische Organisation aus Zentralasien entdeckt. Natürlich sollte es für eine solche Organisation keine Überraschung sein, dass Cyberkriminelle besonderes Interesse an ihr zeigen. Es ist kein Geheimnis, dass Informationssysteme von Botschaften, Konsulaten und diplomatischen Vertretungen für andere Staaten und ihre Geheimdienste oder generell für Bösewichte mit ausreichenden technischen Fähigkeiten und finanziellen Mitteln schon immer von Interesse waren. Ja, wir alle haben Spionageromane gelesen. Aber in diesem Fall gab es eine interessante Neuigkeit: Und zwar wurde für die Angriffe auf diese Organisation ein zweiter, wahrhaftiger ‚TajMahal‘ errichtet – und zwar in Form einer APT-Plattform mit unzähligen Plug-ins (das Ausmaß war selbst für uns überraschend), die für jegliche Arten von Angriffsszenarien unter Verwendung verschiedener Tools verwendet wurden.

Die Plattform besteht aus zwei Hauptpaketen: Tokyo und Yokohama. Bei Tokyo handelt es sich um die primäre Backdoor, die darüber hinaus die Zustellfunktion des letzteren Schadprogramms erfüllt. Yokohama hat eine sehr umfangreiche Funktionalität: den Diebstahl von Cookies, das Abfangen von Dokumenten aus der Druckerwarteschlange, die Aufzeichnung von VoIP-Anrufen (einschließlich WhatsApp und FaceTime), das Erstellen von Screenshots und vieles mehr. Das TajMahal-Framework ist seit mindestens fünf Jahren aktiv und seine Komplexität lässt vermuten, dass es entweder noch weitere, bisher unbekannte Opfer oder weitere Versionen dieser Malware gibt – oder möglicherweise beides.

Weitere Details zu diesem ausgereiften APT-Framework finden Sie hier.

2. Gaza-Cybergang

Wir haben erstmals im Jahr 2015 über die Gaza-Cybergang berichtet, obwohl dieses arabischsprachige, politisch motivierte Kollektiv interagierender Gruppen von Cyberkriminellen bereits seit 2012 aktiv ist. Ihren Fokus legt(e) die Cybergang dabei hauptsächlich auf Ziele im Nahen Osten und in Zentralasien. Die Mehrheit der Angriffe fanden in den palästinensischen Gebieten, Jordanien, Israel und dem Libanon statt. Besonderes Interesse zeigte die Gaza-Cybergang bislang an Botschaften, Regierungsstellen, Medien und Journalisten, Aktivisten, politischen Parteien und Einzelpersonen sowie Bildungseinrichtungen, Banken, Gesundheitsorganisationen und Vertragsunternehmen.

Die Gruppe besteht aus mindestens drei Untergruppen, die ähnliche Absichten und Zielsetzungen verfolgen, aber unterschiedliche Werkzeuge und Techniken einsetzen. Über zwei der Gruppen – mit erstzunehmenden technischen Fähigkeiten – haben wir bereits hier und hier berichtet. Die dritte Untergruppe – MoleRATs – wurde erstmals auf dem SAS 2019 vorgestellt und ist maßgeblich an der Operation SneakyPastes beteiligt gewesen (SneakyPastes leitet sich von der starken Nutzung von Paste-Sites durch die Angreifer ab).

Ihre mehrstufigen Angriffe beginnen mit maßlosem Phishing: eine E-Mail zu einem aktuellen politischen Thema, die scheinbar irgendeine Art von Verhandlungsprotokollen oder Korrespondenzen einer scheinbar legitimen, respektierten Organisation enthält. Ein ungeschulter Büroangestellter öffnet derartige Anhänge, ohne darüber nachzudenken. Sobald dieser Fall eintritt, startet die auf den ersten Blick harmlose (aber tatsächlich mit Malware versehene) Datei eine Reihe von Infektionsversuchen. Sobald sich die Cyberkriminellen im System befinden, verbergen sie die Präsenz der Malware vor AV-Lösungen und gehen dann schrittweise in weitere Angriffsstadien über.

Schlussendlich wird auf dem Zielgerät ein RAT installiert, der nicht nur ein Ass im Ärmel hat: er kann Dateien ganz einfach herunter- und hochladen, Anwendungen ausführen, nach Dokumenten suchen und Daten verschlüsseln. Er findet zudem alle .pdf-, .doc-, .docx-, und .xlsx-Dateien auf dem System, speichert diese in Ordnen für temporäre Dateien, klassifiziert, archiviert und verschlüsselt diese und sendet sie dann über Domain-Strings an den C&C-Server. Und so, meine Damen und Herren, funktioniert Spionage im Jahr 2019!

Sie möchten mehr darüber erfahren? Kein Problem!

3. Finanzbetrug und digitale Klone

Wenn Sie glauben, dass all unsere Untersuchungen lediglich Angriffe betreffen, die scheinbar direkt aus einem Detektiv-, Spionage- oder Sci-Fi-Roman stammen, denken Sie noch einmal genauer darüber nach. Denn die dritte Untersuchung, von der ich Ihnen erzählen möchte, betrifft unglaublich viele Menschen. Eine ganz simple Form des Cybercrimes, die so alltäglich geworden ist, dass die Medien einfach nicht mehr darüber berichten. Obwohl das mehr als angebracht wäre! Die Rede ist vom guten alten Finanzbetrug. Laut einer zuverlässigen Quelle beliefen sich die Verluste durch Kreditkartenbetrug im Jahr 2018 auf rund 24 Milliarden US-Dollar. Ja -Sie haben richtig gelesen : M-I-L-L-I-A-R-D-E-N! Zum Vergleich: Das jährliche Budget der NASA liegt bei rund 21,5 Milliarden US-Dollar, während die Olympischen Spiele in Tokio 25 Milliarden Dollar kosten!

Für den heutigen, modernen Kreditkartenbetrug wurde ein neuer Begriff erfunden: Carding. Obwohl Banken und Zahlungssysteme dem Thema Sicherheit besondere Aufmerksamkeit schenken, entwickeln die Betrüger ständig neue Tools, um Geld über Bankkarten zu stehlen.

Unser Experte Sergey Lozhkin berichtete auf dem SAS 2019 über eine völlig andere Art des Finanzbetrugs. Er entdeckte einen ganzen Markt namens Genesis im Darknet, auf dem gestohlene „digitale Fingerabdrücke“ gekauft und verkauft werden. Hierbei handelt es sich im Wesentlichen um Datenpakete mit dem Online-Verhalten eines Nutzers sowie seinem digitalen Fingerabdruck – der Verlauf besuchter Seiten, Informationen über das Betriebssystem, den Browser und so weiter. Wofür all das benötigt wird? Nun ja, es sind eben Daten wie diese, die von verschiedenen Online-Systemen zur Nutzerverifizierung zum Schutz vor Betrug verwendet werden. Wenn also ein digitaler Fingerabdruck mit dem vorher verwendeten Fingerabdruck übereinstimmt, „erkennt“ die Sicherheitslösung die Person und genehmigt die Transaktion – beispielsweise einen Kauf im Onlineshop oder eine Überweisung via Online-Banking. Der Preis für einen solchen digitalen Fingerabdruck variiert je nach Datenvolumen zwischen fünf und 200 US-Dollar.

Wie werden solche Fingerabdrücke gesammelt ? Mit der Verwendung verschiedener Schadprogramme. So kann sich Malware beispielsweise auf Ihrem Computer einschleichen und unbemerkt alle erreichbaren Daten sammeln – während Sie davon rein gar nichts bemerken.

Zudem haben Betrüger eine andere Methode entwickelt, um Schutzlösungen zu täuschen und zu umgehen: sie geben sich vor dem System als völlig neuer Nutzer aus. Dies kann mithilfe eines speziellen Dienstes namens Sphere erfolgen, mit dem eine digitale ID samt ihrer Parameter zurückgesetzt werden kann. Somit ist der Kriminelle in den Augen der Schutzlösung völlig „clean“.

Was können wir dagegen tun? Zum einen müssen sich Banken kontinuierlich über die neuesten Cyber-Betrugsmethoden informieren und ausnahmslos die Zwei-Faktor-Authentifizierung verwenden. In Zukunft werden sie wahrscheinlich auch noch biometrische Daten, Fingerabdrücke, Iriserkennung usw. als zusätzliche Schutzmaßnahme auf ihre Liste schreiben müssen. In der Zwischenzeit möchten wir Ihnen zum wahrscheinlich zehntausendsten Mal folgenden Rat mit auf den Weg geben: Gehen Sie vorsichtig mit Ihren Daten (Passwörter, Bankkartennummern, Verwendung von Computern an öffentlichen Orten und Gebrauch von öffentlichen WLAN-Hotspots) um. Und verwenden Sie eine gute Sicherheitslösung, die alle schädlichen Faktoren erkennt, die es möglicherweise auf Ihre digitale Identität abgesehen haben.

4. „The secret power of YARA“

Gegen Ende des diesjährigen SAS hielt Vitaly Kamluk eine Pecha-Kucha-Präsentation (20 Folien á 20 Sekunden) über die Fähigkeiten von YARA (eine Art Suchmaschine, die nach Attributen in ausführbaren Dateien sucht).

In diesem Vortrag namens „The Secret Power of YARA“ wandte er seine speziellen Jedi-Kräfte auf dieses spezifische Tool an… das Endergebnis war ein ASCII-Art-Kunstwerk! Das Publikum konnte seinen Augen kaum trauen. Aber das war noch längst nicht alles – unter Anwendung zusätzlicher Magie, übernahm im selben ASCII-Regime plötzlich der erste Teil der Computerspiel-Serie DOOM den Bildschirm! Das Publikum war gebannt, hypnotisiert, fasziniert … Sehen Sie selbst!

5. Was, wenn …

Im abschließenden SAS-Vortrag gab der Direktor unseres GReAT, Costin Raiu, dem Publikum die Gelegenheit, über theoretisch mögliche Methoden der Malware-Penetration und über mögliche Verschleierungsmethoden auf tiefster Hardwareebene nachzudenken. Was machen wir, wenn diese Hypothesen tatsächlich zur Realität werden? Und wie kann die Cybersicherheitsbranche darauf reagieren? Darum ging es bei Costins Präsentation – eine Art Benutzerhandbuch für Start-ups auf diesem Terrain.

Das waren die „Greatest Hits“ des SAS 2019. Wir freuen uns schon auf nächstes Jahr!

PS: Auf der SAS-Konferenz 2019 wurden rund 70 Präsentationen gehalten, und dies hier waren lediglich die „Auserwählten“, die es ins Finale geschafft haben. Ich könnte Ihnen nicht von allen Vorträgen auf diesem Blog berichten, aber in Kürze sollte das vollständige Konferenzvideo auf unserem YouTube-Kanal zur Verfügung stehen!

Hallo Leute!

Hier kommt mein nächster Beitrag in meiner Kolumne „Cyber-Schreckensnachrichten“ – die, in der ich Sie über das Grauen aus der digitalen Welt auf dem Laufenden halte.

Seit den letzten „Schreckensnachrichten“ ist viel passiert, das Aufmerksamkeit verdient. Ganz genau, der Fluss der Schrecken ist von einem Bergrinnsal zu einem Niagara geworden. Und sie werden immer mehr…

Als Veteran der Cyberabwehr kann ich Ihnen sagen, dass in vergangenen Zeiten globale Katastrophen vielleicht über ein halbes Jahr diskutiert wurden. Während der Fluss der Nachrichten jetzt einem Lachs in Laichzeit gleicht: Overload! Es sind so viele, dass es sich gar nicht erst lohnt, sie zu erwähnen, da sie so schnell zu den Nachrichten von gestern gehören, bevor man „digitaler Over-DDoSe“ sagen kann. Ich hörte, wie sie letztens Mega-Corporation X hackten und alles stahlen; selbst der Hamster vom Chef wurde von einer Drohne entführt…

Jedenfalls steigt der Fluss der Cyberskandale immer weiter an, und daher sind auch meine Beiträge zu solchen Skandalen mehr geworden. In der Vergangenheit waren es drei von vier Blogbeiträgen. Heute: sieben!

Stehen Popcorn/Kaffee/Bier bereit? Dann kann´s ja losgehen…

1) Infizieren Sie einen Freund und erhalten Sie Ihre blockierten Dateien kostenlos zurück.

Read on: Cyber-News: Infizieren eines Freundes, Neustarten von Boeings, Löcher ohne Authentifizierung und vieles mehr

Es ist wie es ist: der Mensch ist ein faules Wesen. Ist es möglich, nichts zu tun, dann tut er auch nichts. Jedoch ist das paradoxerweise eine gute Sache, da Faulheit… der Motor des Fortschritts ist! Was? Wie das? Nun, gilt ein Job als zu hart oder langwierig oder komplex für Menschen, geben bestimmte faule (aber gewissenhafte) Menschen (Homo Bequemis? 😀 ) den Job einer Maschine! In der Cybersicherheit nennen wir das Optimierung.

Analyse von Millionen von schädlichen Dateien und Webseiten jeden Tag, „Impfungen“ gegen zukünftige Bedrohungen entwickeln, für immer proaktiven Schutz verbessern und dutzende anderer kritischer Aufgaben lösen – all das ist ohne Automation einfach unmöglich. Und maschinelles Lernen ist eins der Hauptkonzepte in der Automation.

Automation gibt es in der Cybersicherheit schon seit Beginn (der Cybersicherheit an sich). Ich erinnere mich z. B. daran, wie ich in den frühen 2000ern einen Code für einen Roboter schrieb, um eingehende Malwarebeispiele zu analysieren: der Roboter schiebt die entdeckten Dateien in die entsprechenden Ordner unserer wachsenden Malware-Sammlung, die auf seinem (des Roboters) Urteil bezüglich ihrer (die Dateien!) Eigenschaften basiert. Es war schwer, sich vorzustellen – selbst damals – dass ich das manuell machen musste!

Heutzutage ist es nicht genug, Robotern präzise Anweisungen für Aufgaben zu geben, die sie verrichten sollen. Stattdessen müssen die Anweisungen für Aufgaben ungenau gegeben werden. Ja, ganz genau!

Zum Beispiel: „Finde die menschlichen Gesichter auf diesem Foto“. Hierfür beschreiben Sie nicht, wie menschliche Gesichter ausgesucht werden und wie man menschliche Gesichter von denen von Hunden unterscheidet. Stattdessen zeigen Sie dem Roboter mehrere Fotos und fügen hinzu: ‚Diese Dinge hier sind Menschen und das hier sind Hunde; und jetzt mach deine Arbeit‘! Und das ist kurz gesagt die ‚Freiheit der Kreativität‘, die sich selbst maschinelles Lernen nennt.

Read on: Faulheit, Cybersicherheit und Maschinelles Lernen

Ein kurzer Blick auf die Nachrichten der letzten Tage und man möchte geradezu nach einem Geigerzähler greifen. Einige der letzten neuen Vorfälle sind einfach sehr besorgniserregend. Oder reagiere ich über? Also eins nach dem anderen …

Schreckensnachricht Nummer 1: Apokalypse verhindert — fürs Erste.

Foto mit freundlicher Genehmigung von Wikipedia

Berichten zufolge, wurde das IT-System der B-Einheit des Kernkraftwerks Gundremmingen in Schwaben, Bayern — genau zum dreißigsten Jahrestag der Tschernobylkatastrophe! — mit Malware infiziert. Allerdings wurde auch berichtet, dass es keinen Grund zur Besorgnis gibt, da zu keiner Zeit Gefahr bestand. Alles in Ordnung, wir können ruhig schlafen, alles ist unter Kontrolle, das Gefährdungsniveau könnte nicht niedriger sein.

Nachdem Sie sich den Schweiß von der Stirn gewischt und einmal tief durchgeatmet haben, lesen Sie weiter …

… und hier bekommen Sie noch ein paar Details zum Zwischenfall. Es scheint so, als wäre alles in Ordnung: die Strahlung in der Umgebung stieg schließlich nicht an — das ist das Wichtigste, oder? Wenn Sie weiter lesen …

… dann werden Sie herausfinden, dass das infizierte System (das nicht mit dem Internet verbunden war) dazu dient, um den Antriebsmechanismus der Kernbrennstäbe zu kontrollieren. Hier müssen Sie sich die Augen reiben und das nochmal langsam lesen …

WIE BITTE?

Read on: Cyber-Schreckensnachrichten: Infizierte Kernkraftwerke, Cyberbankräuber und Stauanlagenhacker

Vor ein paar Tagen kündigte Microsoft eine großangelegte Razzia von No-IP an, einem Dynamic-DNS-Service, in dessen Folge 22 Domains beschlagnahmt wurden. Die Jungs aus Redmond sagten aus, gute Gründe dafür zu haben: No-IP habe auf den Seiten alle möglichen unerwünschten Schadprogramme; No-IP sei eine Brutstätte für Cyberkriminelle; No-IP sei ein Epizentrum für zielgerichtete Attacken; und No-IP arbeite nie mit anderen zusammen, um das ganze Übel auszumerzen.

Wie bei den meisten Konflikten, haben beide Seiten die üblichen widersprüchlichen Mitteilungen veröffentlicht: „Es ist sein Fehler – nein, sie hat angefangen“.

No-IP sagte, der Service sei sauber und immer bereit, beim Kampf gegen Cyberangriffe zu kooperieren, während die Kunden der Firma sehr verärgert über die Razzia seien und sie für einen illegalen Angriff auf ein legales Unternehmen hielten – vor allem, da es möglich sei, praktisch überall Schadprogramme zu finden, so dass die gerichtliche Störung eines Dienstes einfach nicht gerechtfertigt sei.

Ist es legal, einen Dienst zu schließen, wenn dort #Schadprogramme gefunden werden?… Wenn man die überall finden kann?…

Und die Razzia war sehr weitreichend: Über vier Millionen Seiten wurden aus dem Web genommen, neben schädlichen allerdings auch harmlose Seiten. Insgesamt waren 1,8 Millionen Anwender davon betroffen. Microsoft versucht, die Spreu vom Weizen zu trennen und die sauberen Seiten wieder online zu bringen; allerdings beschweren sich nach wie vor viele Anwender über Störungen.

Herauszufinden, wer Schuld an dem Ganzen hat, ist eine undankbare und wahrscheinlich hoffnungslose Aufgabe. Solch investigativen Journalismus überlasse ich… den Journalisten. Stattdessen möchte ich Ihnen einige Denkanstöße geben: trockene, rohe Fakten und Zahlen – und vielleicht/hoffentlich kommen Sie dann zu Ihren eigenen Schlussfolgerungen bezüglich der Legalität und Sittlichkeit der Microsoft-Aktion…

1) Die Schließung der 22 No-IP-Domains betraf die Operationen von etwa 25 Prozent der zielgerichteten Attacken, die wir beobachten. Das sind Tausende Spionageaktionen und cyberkriminelle Angriffe der letzten drei Jahre. Ungefähr ein Viertel davon hat mindestens ein Command-and-Control-Center (C&C) bei diesem Hosting-Anbieter. So nutzen zum Beispiel Hackergruppen wie die Syrian Electronic Army und Gaza Team ausschließlich No-IP, während die Gruppe Turla den Anbieter für 90 Prozent seiner Seiten nutzt.

2) Wir können bestätigen, dass No-IP von allen großen Anbietern am schlechtesten kooperiert. So hat die Firma zum Beispiel all unsere E-Mails zu einem Botnetz-Sinkholing ignoriert.

3) Unsere Analyse aktueller Schadprogramme zeigt, dass No-IP oft von Cyberkriminellen für Bontetz-Control-Center genutzt wird. Eine einfache Suche über Virustotal bestätigt das mit harten Zahlen: Insgesamt stammen 4,5 Millionen einzigartige Schadprogramm-Samples von No-IP.

4) Allerdings zeigen die aktuellen Zahlen unserer Security-Cloud (KSN) weniger eindeutige Ergebnisse. Hier eine Tabelle mit entdeckten Cyberattacken von Dutzenden der größten Anbieter dynamischer DNS-Dienste:

Read on: Jenseits von Gut und Böse?

Wer sind diese Menschen? Ein Tipp: Schauen Sie einmal, was die häufigste Krawattenfarbe ist – das könnte Ihnen helfen…

Diese Menschen werden nie mit Ihnen zu tun haben, und Sie werden nichts mit ihnen zu tun haben. Hoffentlich.

Doch die Mitglieder der Internet-Minderheit, die Geld von Online-Banken stehlen, E-Mail-Konten mit Spams verstopfen, Webseiten hacken, gefälschte Kreditkarten mit gestohlenen Kartennummern produzieren usw. – diese Personen sollten diese Hoffnung nicht haben. Denn diese Anzugträger haben ein bestimmtes, brennendes… fast schon besessenes, berufliches Interesse an genau dieser Internet-Minderheit.

Diese Damen und Herrennahmen am ersten eurasischen INTERPOL-Treffen teil – einem Forum, bei dem es ausschließlich um den Kampf gegen Cyberverbrechen ging. Die Teilnehmer sind diejenigen, die genau festlegen werden, wie die europäischen und asiatischen Abteilungen von INTERPOL zunächst Cyber-Betrüger und kurz darauf dann auch die kleineren Fische (die Cyber-Betrüger von Morgen) fassen werden.

Read on: Cyberkriminelle aufgepasst: CYBERPOL kommt…

Beginnen wir erst einmal mit einer kurzen Rückblende…:

Es gibt keinen hundertprozentigen Schutz. Das wissen Sie wahrscheinlich mittlerweile. Tatsache ist, dass sogar die zuverlässigste Antiviren-Lösung manchmal von professionellen Angriffen ausgetrickst wird. Das alleine ist schlimm genug, noch schlimmer ist, dass weniger gute Antiviren-Lösungen regelmäßig von den Schädlingen ausgebootet werden.

Wenn sie es möchten, können sich wirklich professionelle Kriminelle in so ziemlich alles einhacken; zum Glück gibt es nicht viele solcher Cyber-Moriartys. In den meisten Fällen werden Cyber-Übergriffe von stinknormalen Programmieren ausgeführt, die anscheinend Richtig und Falsch verwechseln – verführt von ihrer eigenen Habgier denken sie, dass sie damit schon durchkommen werden (falsch gedacht!). Diese risikobereiten Jungs haben keine umfassenden kriminellen Cyber-Erfahrungen, um die besten Verteidigungsanlagen zu hacken, doch sie können sehr gut in Computer eindringen, die entweder gar nicht geschützt sind oder einen Schutz wie ein Küchensieb haben. Und leider gibt es weltweit nicht gerade wenige solcher Computer.

Die Logik hinter all dem ist eigentlich ganz einfach:

Je besser der Schutz, desto besser ist natürlich auch die Verteidigung. Gleichzeitig gilt aber auch: Je professioneller der Angriff, desto eher wird eine bessere Verteidigung durchbrochen.

Mit den mittlerweile 2,5 Milliarden Internet-Anwendern potenziellen Opfern, kommt diese Logik zu folgendem einfachen Ergebnis:

Kriminelle benötigen heute keine Super-Mega-Nachschlüssel mehr, um in gut gesicherte Tresore einzudringen (vor allem, wenn in solchen Tresoren oft recht gruseliges/seltsames/gefährliches Zeug liegt, von dem man besser nichts weiß). Es ist viel einfacher – und günstiger –, in etwas viel Unkomplizierteres einzudringen (etwa das Netzwerk des Nachbarn), denn dort sind die Verteidigungsanlagen viel, viel leichter zu umgehen, und die Lagerstätten besser auszukundschaften.

Sie sehen schon, wohin das führt: Für den durchschnittlichen Hacker ist es sinnlos, den ganzen Ärger auf sich zu nehmen, und mega-professionelle Attacken zu planen und durchzuführen. Auch wird er sich kaum von Windows auf Mac verlegen. Es ist viel effektiver, ein Flächenbombardement zu starten, bei dem man ohne zielgerichtete Angriffe so viele Opfer wie möglich erreicht. Dazu braucht es nicht viel Vorbereitung oder Gehirnschmalz.

Je besser der Schutz, desto uninteressanter ist etwas für die bösen Jungs. Sie werden nicht extra versuchen, einzubrechen, wenn sie auch woanders – viel angreifbarere – Opfer finden.

Nun möchte ich Ihnen etwas vorstellen, das Cyberkriminelle davon abhält, Ihren Computer anzugreifen und lieber nach anderen potenziellen Opfern zu suchen, bei denen so etwas nicht zu finden ist. Ja, es ist mal wieder Zeit für einen interessanten Blick unter die Motorhaube unserer Antiviren-Lösungen, bei dem Sie mehr darüber erfahren, wie das K in Ihrer Taskleiste die Cyberkriminellen abhält – und zwar über die Emulation, die Sie vor zukünftigen Bedrohungen schützt.

Read on: Emulieren, um zu löschen