Thema: Das Web als Waffe ...

[ritschibie]

Der Einsatz der Malware Stuxnet gegen iranische Atomanlagen war ein kriegerischer Akt und damit ein Verstoß gegen das Völkerrecht. Zu dem Ergebnis kommt eine internationale Gruppe aus 20 Experten, die im Auftrag einer Nato-Dienststelle eine Studie über Cyberwar erstellt hat.

Das rund 300 Seiten dicke Tallinn Manual on the International Law Applicable to Cyber Warfare, kurz Tallinn Manual, wurde vom Cooperative Cyber Defence Centre of Excellence (CCDCOE) der Nato in Auftrag gegeben. Das CCDCOE hat seinen Sitz in der estnischen Hauptstadt Tallinn - daher der Name Tallinn Manual. Es kann von der CCDCOE-Website kostenlos heruntergeladen werden.

Der ganze Artikel

Quelle: www.golem.de

[SiLæncer]

Der deutsche IT-Experte Ralph Langner hat drei Jahre nach dem ersten Auftauchen der Cyber-Waffe Stuxnet eine abschließende Analyse des Schädlings vorgelegt. Die wichtigste Erkenntnis: Stuxnet besteht eigentlich aus zwei unterschiedlichen und voneinander unabhängigen Schädlingen, von denen der ältere deutlich heimtückischer ist.

In einem 36-seitigen PDF mit dem Titel "To Kill a Centrifuge" beschreibt Langner ausführlich, welche Fähigkeiten die wahrscheinlich von Israel und den USA entwickelte Software hat. Den älteren, gegen den für die Druckregelung zuständigen Siemens Controller S7-417 gerichteten Teil datiert der Experte auf das Jahr 2005. Erst 2008 oder 2009 sei dann der nach dem Bekanntwerden von Stuxnet hinlänglich beschriebene Teil dazu gekommen. Dieser richtete sich gegen den Geschwindigkeitsregler (Siemens S7-316) und brachte die seinerzeit viel diskutierten vier Zero-Day-Exploits und das gefälschte digitale Zertifikat mit.

Der ganze Artikel

Quelle : www.heise.de

[SiLæncer]

Der EU-Rat hat seine Position zur geplanten Richtlinie für die Netz- und Informationssicherheit abgesteckt und will im April mit dem EU-Parlament darüber verhandeln. Private Online-Anbieter müssten demnach kooperieren.

Behörden und Ämter sollen nach dem Willen der EU-Staaten nicht verpflichtet werden, Sicherheits- und Datenschutzpannen sowie IT-Angriffe zu melden. Auf diese Linie zur geplanten Richtlinie für die Netzwerk- und Informationssicherheit hat sich der EU-Rat geeinigt. Zugleich hat der Ausschuss der Ständigen Vertreter der Mitgliedstaaten das Mandat an die lettische Ratspräsidentschaft erteilt, die Gespräche mit dem EU-Parlament über einen Kompromiss Ende April fortzuführen. Einigen sich beide Seiten, müssen der Ministerrat und die Abgeordneten den Entwurf nur noch formell absegnen.

Die jüngsten Verhandlungspapiere mit den Vorschlägen aller beteiligter Instanzen von voriger Woche hat die Bürgerrechtsorganisation Statewatch veröffentlicht. Die Regierungen stellen sich damit gegen den Plan der EU-Kommission, dass die Meldeauflagen auch für den öffentlichen Sektor gelten sollten. Das befürworten auch das Parlament, das seine Korrekturvorschläge bereits vor einem Jahr in 1. Lesung festgezurrt hatte, und der deutsche Regierungsentwurf für ein IT-Sicherheitsgesetz.

Anders als die Volksvertreter will der Rat, dass auch Betreiber von Internetknoten, Online-Anbieter von Zahlungs- und Geschäftsverkehr, soziale Netzwerke, Suchmaschinen oder Cloud-Dienste Sicherheitsvorfälle melden und geeignete Abwehrstrategien parat haben müssen. Die Mitgliedsstaaten selbst sollen Meldesysteme einrichten. Beteiligt werden müssten "kompetente Behörden" wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) hierzulande sowie spezielle "Computer Security Incident Response Teams" (CSIRTs). Deren Einrichtung hat der Rat als Zusatz zu bestehenden "Computer Emergency Response Teams" (CERTs) ins Spiel gebracht.

Einmal im Jahr müssten die Ansprechpartner in den Ländern einen anonymisierten Bericht über erhaltene Hinweise und entsprechend eingeleitete Maßnahmen an eine EU-Kooperationsgruppe schicken. Die Öffentlichkeit soll nur von "einzelnen" Pannen erfahren, wenn eine entsprechend große Aufmerksamkeit nötig ist, um einen einschlägigen Vorfall zu verhindern oder mit einem solchen fertig zu werden. Der europäischen Sicherheitsbehörde Enisa möchte es der Rat freistellen, mit den EU-Ländern Empfehlungen, Richtlinien und Standards zur IT-Sicherheit auszuarbeiten.

Quelle : www.heise.de

[SiLæncer]

Zwei Cyberspionage-Gruppen kamen sich in die Quere und attackierten sich wechselseitig. Sicherheitsforscher sehen hier einen neuen Trend, bei dem sich Hacker-Gruppen gezielt gegenseitig anfeinden.

Die Cyber-Spione der APT-Gruppen (Advanced Persistent Threat) Hellsing und Naikon sind beide im asiatisch-pazifischen Raum aktiv und haben anscheinend eine Art Konkurrenzkampf ausgefochten. Demnach beharkten sich beide Gruppen gegenseitig mit Phishing-Mails, wie Sicherheitsforscher von Kaspersky Lab berichten.

Den Beginn der Auseinandersetzung bildete eine Phishing-Mail von Naikon an Hellsing. Letztere Gruppe wollte die Echtheit der Mail überprüfen, erhielt aber keine zufriedenstellende Antwort; die Auskunft war in schlechtem English verfasst. Kurzerhand ging Hellsing zum Gegenangriff über und schickte Naikon ebenfalls eine E-Mail mit einem Schadprogramm in Anhang. Die Sicherheitsforscher gehen davon aus, dass Hellsing die Identitäten hinter der Naikon-Gruppe aufdecken wollte.

Der Konflikt brachte die Sicherheitsforscher erst auf die Spur von Hellsing, die bisher im Verborgenen operiert haben. Die Cyberspione haben Kaspersky Lab zufolge knapp 20 Organisationen im Visier und infizieren Systeme mit einer maßgeschneiderten Backdoor. Mit dieser kann Hellsing Daten hoch- und herunterladen; die Backdoor soll sich auch selbst deinstallieren können.

Hellsing operiere in Malaysia, auf den Philipinen, Indien, Indonesien und den USA und hat es in erster Linie auf Informationen aus Regierungs- und diplomatischen Einrichtungen abgesehen.

Die Sicherheitsforscher von Kaspersky Lab gehen in diesem Fall erstmals von einem vorsätzlichen Angriff aus, bisher habe man ausschließlich beobachten können, dass sich APT-Gruppen unabsichtlich in die Quere gekommen sind.

Quelle : www.heise.de

[SiLæncer]

Mit einer weltweiten Polizei-Aktion wurde das Hacker-Forum Darkode vom Netz genommen. Auf Darkode wurden Tools, Exploits und ähnliches ausgetauscht. Laut Europol war es das bedeutendste englischsprachige Forum seiner Art.

In einer internationalen Aktion haben Sicherheitsbehörden das Forum Darkode ausgehoben, das Cyberkriminellen als Marktplatz diente. Bei der von der US-Polizeibehörde FBI angeführten Operation wurden weltweit zahlreiche Verdächtige verhaftet. Neben dem FBI koordinierte auch Europol die Aktion; insgesamt waren Ermittler aus 20 Ländern waren beteiligt.

70 Menschen seien festgenommen worden oder würden gesucht, heißt es seitens der US-Behörden. Europol spricht von 28 Verhaftungen, 37 Hausdurchsuchungen und zahlreichen Beschlagnahmungen. Einem 27-Jährigen aus Schweden wird vorgeworfen, ein Administrator von Darkode gewesen zu sein und selbst Schad-Software zum Aufbau von Botnetzen geschrieben zu haben.

"Hornissennest krimineller Hacker"

"Wir haben ein Hornissennest krimineller Hacker auseinandergenommen“, kommentierte einer der US-Strafverfolger die Aktion. Unter den weltweit rund 800 kriminellen Internet-Foren sei es ein besonders gefährliches gewesen, heißt es in der Mitteilung des FBI.

Das 2007 gegründete Forum Darkode war laut Europol das bedeutendste englischsprachige Forum dieser Art. Ansonsten wird das Feld eher von russischsprachigen Foren dominiert. Zwischen 250 und 300 Mitglieder sollen bei Darkode ihre Exploits, Schad-Software, gestohlenen Daten und ähnliches ausgetauscht haben. Auch die Hackergruppe Lizard Squad soll zu den Mitgliedern gehört haben.

Dem FBI zufolge war die Mitgliedschaft nur auf Einladung möglich, wobei jeder potenzielle Kandidat einen Hintergrund-Check durchlaufen musste. Wie es den Ermittlern gelang, sich in diesen elitären Kreis einzuschmuggeln, ist offen. Die Mitteilung des FBI spricht von Infiltration, nennt aber keine Details.

Quelle : www.heise.de

[SiLæncer]

Zwei Informatikervereinigungen kritisieren Pläne von Verteidigungsministerin Ursula von der Leyen scharf, die Bundeswehr zur Kriegsführung im Internet zu ertüchtigen. Stattdessen sei die Cyberverteidigung zu stärken.

Die Gesellschaft für Informatik (GI) und das Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung (FIfF) stemmen sich gegen die geplante neue "Cyber-Sicherheitsstrategie" der Bundeswehr. Die dürfe nicht für die Kriegsführung im Internet "massiv aufgerüstet" werden, betonte Hartmut Pohl, Sprecher des GI-Arbeitskreises "Datenschutz und IT-Sicherheit", am Mittwoch. Das Vorhaben von Bundesverteidigungsministerin Ursula von der Leyen (CDU), die Bundeswehr mit "offensiven Cyberfähigkeiten" zu versehen, müsse gestoppt werden.

Verstoß gegen Genfer Konvention

Das FIfF wittert in der Initiative gar eine Ankündigung, künftig "wissentlich gegen die Genfer Konvention verstoßen zu wollen". Es wäre ein Skandal, hiesige IT-Fachkräfte "zu missbrauchen und zwangszuverpflichten, um eine Sicherheitsstrategie zu unterstützen, die gegen Völkerrecht verstößt", meint Sylvia Johnigk, Sprecherin der von dem Forum initiierten Kampagne Cyberpeace. Die Risiken und Gefahren, die von einer derart offensiven Sicherheitsstrategie im Cyberspace ausgingen, müssten öffentlich diskutiert werden.

Der Bundeswehr soll etwa gestattet werden, bei Auslandsmissionen die Nutzung von Internet und Mobilfunk durch den Gegner "einzuschränken, gegebenenfalls sogar auszuschalten", heißt es in Medienberichten über ein "Geheimdokument" von der Leyens. Zudem liebäugele die Ministerin damit, Reservesoldaten aus der IT-Wirtschaft "in hoheitlichem Auftrag" im Cybernotfall hinzuziehen.

Angriff nicht die beste Verteidigung

Für präzise Kriegsoperationen im Internet seien ein Arsenal unterschiedlich wirkender Cyberwaffen und umfangreiche Kenntnisse über geheim gehaltene Schwachstellen nötig, warnt das FIfF. Damit würden Chancen vertan, diese zu schließen, "um unsere IT-Systeme sicherer zu machen". Deutschland sei aktuell nicht in der Lage, sein Parlament vor IT-Attacken zu schützen. Da bringe es nichts, nach dem Motto: "Angriff ist die beste Verteidigung" zu handeln.

Der aktuelle Stand der IT-Sicherheit in Deutschland sei wegen der fehlenden Abwehrsicherheit der Bundesrepublik desolat, meint auch Pohl von der GI. Die Verteidigungsbemühungen gegen Spionage- und Sabotageangriffe aus dem Internet müssten daher massiv ausgebaut werden. Die Grundschutzpflichten aus dem IT-Sicherheitsgesetz dürften nicht auf Betreiber kritischer Infrastrukturen beschränkt bleiben. Bestehende Nicht-Angriffspakte in der EU und innerhalb der Nato müssten aufs Internet ausgeweitet werden. Für diskussionswürdig hält Pohl dagegen die Idee des Verteidigungsressorts, dass Unternehmen im Verteidigungsfall Fachkräfte abstellen müssten.

Quelle : www.heise.de

[SiLæncer]

Darkode, ein Malware-Marktplatz für Cyberkriminelle, wurde nach einer Polizeirazzia wiederbelebt und setzt nun auf verschärfte Sicherheitsvorkehrungen.

Künftig sollen Hacker wieder Tools, Exploits und Schad-Software auf Darkode austauschen können, denn das laut Europol bedeutendste englischsprachige Forum dieser Art soll wieder online gehen. Das "Hornissennest krimineller Hacker" Darkode wurde vor zwei Wochen vom FBI und Europol ausgehoben.

Dem Forums-Administrator Sp3cial1st zufolge wurden im Zuge der Polizei-Aktion nur neue Mitglieder und Hacker festgenommen, die schon vor Jahren aus der Szene ausgestiegen sind. Dementsprechend plane man, die Wiederaufnahme des Betriebs mit alteingesessenen Mitgliedern zu realisieren.

Besser gegen Spitzel abgesichert

Zudem bezeichnet Sp3cial1st alle Mitglieder, die in den vergangenen acht Monaten beigetreten sind, als Spitzel. Damit die Hacker im Forum unter sich bleiben, habe man die Sicherheitsvorkehrungen verschärft. Der Beitritt soll weiterhin nur mit einer Einladung möglich sein. Alle aktiven Nutzer sollen automatisch eine Einladung erhalten.

Das Forum soll ausschließlich im anonymisierten Tor-Netzwerk mittels Nutzer-spezifischer Web-Adressen zu finden sein. Zudem wollen die Betreiber den jeweiligen Darkode-Account mit einer Bitcoin-Wallet verbinden, die dann auch zur Authentifizierung im Forum dienen soll. Nutzerdaten sollen ausschließlich gehasht auf den Servern liegen.

Durch diese Maßnahmen wollen die Admins sicherstellen, dass man keine Accounts kapern kann, denn neben dem individuellen Tor-Zugang müsste ein Angreifer auch den privaten Bitcoin-Schlüssel kennen. Außerdem sei es nun einfacher die Aktivitäten von Mitglieder effizienter zu überwachen, um etwaige Spitzel zu entlarven.

Quelle : www.heise.de

[SiLæncer]

Nach dem Vorgehen von Europol und dem FBI gegen Darkode, sollte die wiederbelebte Version des Malware-Marktplatzes sicherer für Nutzer werden. Doch einem Sicherheitsforscher zufolge ist das Gegenteil der Fall.

Das Hacker-Forum zum Erstehen von etwa Exploits und Schad-Software Darkode ist wieder da. Der Forums-Admin Sp3cial1ist versprach im Juli dieses Jahres mehr Sicherheit für Nutzer. Dem Kryptologen Loucif Kharouni von Damballa zufolge hapert es aber an der Umsetzung. Aufgrund dessen benotet er das Hacker-Forum mit der Schulnote 6.

Zugriff nicht immer anonym

Darkode ist ab sofort im Tor-Netzwerk zu finden, das soll einen anonymen Zugriff garantieren. Doch der Hidden Service ist mittels dem Onion.to-Proxy auch über das öffentliche Internet mit herkömmlichen Webbrowsern erreichbar. In diesem Fall ist die Anonymität der Nutzers nicht gegeben, denn der Hidden Service und Onion.to sehen die IP-Adresse des Besuchers.

Bei seinen Untersuchungen hatte Kharouni eigenen Angaben zufolge über die Suchseite Zugriff auf das Forum; zu diesem Zeitpunkt war er nicht eingeloggt. Darauf haben die Admins von Darkode bereits reagiert und eine Log-in-Maske vorgeschaltet, wie heise Security festgestellt hat.

Jabber-Chat schlecht konfiguriert

Darkode-Mitglieder steht Kharouni zufolge ein Jabber-Service zur Verfügung. Der Server soll in Russland stehen und nicht optimal konfiguriert sein. So las er etwa zum Einsatz kommende Software aus, die verschiedene Schwachstellen aufweist. Zudem konnte er eigenen Angaben zufolge über den Default-Port 9090 auf die Anmeldemaske der Admin-Oberfläche des Jabber-Services zugreifen. Darüber hinaus seien noch neun weitere Ports offen.

Im Forum gebe es kaum Diskussionen und in Verbindung mit den Sicherheitsmängeln bezweifelt Kharouni, dass Darkode jemals wieder zum laut Europol bedeutendsten englischsprachigen Hacker-Forum aufsteigen wird.

Quelle : www.heise.de