Kategorie Archiv: Angriff

Erneut Casino überfallen

Nach dem spektakulären Raubüberfall auf ein Pokerturnier im Berliner Grand Hyatt Anfang März haben am Sonntag zehn maskierte Männer ein Casino in Basel überfallen. Die Täter erbeuteten dabei mehrere 100.000 Franken und Euro, wie die Polizei mitteilten. Das berichtete der österreichische Fernsehsender ORF.

Bei dem Überfall war erneut Old School Trumpf: Die Vermummten stürmten nach Angaben der Staatsanwaltschaft das Gebäude, indem einer von ihnen mit einem Vorschlaghammer die Eingangstüren zertrümmerte, während seine mit Maschinenpistolen und Pistolen bewaffneten Komplizen in den Eingangsbereich rannten und nach einigen Schüssen in die Decke die Beute einsammelten. Anschließend flohen sie über die nahe Grenze nach Frankreich.

Windows 7 mit Internet Explorer 8 in 2 Minuten gehackt

Zwei Hacker haben auf der CanSecWest gestern je 10.000$ gewonnen. Der deutsche Hacker Nils hatte einen Weg gefunden, um über ein Exploit für Firefox 3.6 die Schutzfunktionen DEP und ASLR zu umgehen. Dem Niederländer Vreugdenhil war es gelungen, mit einer Kombination aus zwei Exploits zunächst ASLR und dann ebenfalls DEP zu überwinden. Er hatte dafür den Internet Explorer 8 angegriffen. Beide Hacks wurden auf einem vollständig gepatchten 64-bit Windows 7 durchgeführt. Nils und Vreugdenhil erhielten neben den 10.000$ jeweils das gehackte Notebook und einen Freifahrschein für die diesjährige DefCon Konferenz in Las Vegas.

Computerworld Security berichtete: „Es waren zwei Exploits“, sagte Vreugdenhil zu seinem unüblichen Angriff. „Ich hätte auch nur eines verwenden können, das hätte aber zu lange gedauert.“ Durch die Verwendung dieser speziellen Technik konnte er den Rechner in nur wenig mehr als zwei Minuten übernehmen. Hätte er nur ein Exploit genutzt, hätte er 50 bis 60 Minuten benötigt.*

* Keine offiziellen Übersetzungen aus dem Englischen. Die Original-Zitate finden Sie über die angegebenen Links oder in der englischen Version.

Franzose hackt Obama’s Twitter Account

Msnbc berichtet, dass ein Franzose verhaftet wurde, weil er den Twitter Account mehrerer bekannter Persönlichkeiten gehackt hat, darunter der US-Präsident Barack Obama und Britney Spears. Dem 25-jährigen Mann, der sich HackerCroll nennt, ging es dabei ganz schlicht um den Thrill hinter der Sache. Die Französische Polizei hatte einen Tipp vom FBI bekommen.

„Er denkt, dass er gut darin ist und er ist es“, sagte eine Sprecherin des Französischen Büros für Online-Betrug.

£100,000 bei Cracker Wettkampf

The Register berichtet von einem Wettbewerb, bei dem versucht werden soll, ein Victorinox-Taschenmesser mit Security-USB-Stick zu cracken. Wer es schafft bekommt £100,000. Man muss dazu in den Londoner Shop von Victorinox gehen und bekommt zwei Stunden Zeit. Ich glaube, das schafft keiner. Ich glaube aber, dass es ziemlich viele Leute danach versuchen werden. Also sozusagen außer Konkurrenz. Außerdem finde ich, dass Schweizer Produkte und Datensicherheit im Moment keine so gute Kombination sind. Also wirklich: Wer denkt sich bloß solche Werbekampagnen aus? Hoffentlich hat die Werbeagentur nicht kurz davor den ultimativen, gehärteten, Hochsicherheits-USB-Stick entworfen, von dem ich berichtet hatte…

Firefox Schwachstelle: Das BSI zieht nach

Oder wie Heise titelt: „Sicherheit nach Behördenart“. Die aktuelle Warnung des vom BSI betriebenen Bürger-CERTs, bis zum Erscheinen von Firefox 3.6.2 lieber „alternative Browser“ einzusetzen, sei in vielerlei Hinsicht verunglückt. Zunächst wird bemängelt, dass dieser Ratschlag ziemlich spät käme: Firefox 3.6.2 wurde gestern veröffentlicht und die BSI-Warnung ist vom 18.03. Von der Schwachstelle selbst wurde aber bereits Mitte Februar berichtet. Naja, in der National Vulnerability Database hat die Schwachstelle auch erst seit dem 19.03. die offizielle Nummer CVE-2010-1028.

Weiterer Kritikpunkt: Die Umstiegsempfehlung lässt offen, „welchen „alternativen Browser“ der verunsicherte Bürger denn nun verwenden soll.“ Die Gefahr sei hoch, dass die Sicherheitsexperten vom Bürger-CERT den Bürger vom Regen direkt in die Traufe schicken würden. Was man dem BSI jedoch nicht vorwirft ist eine einseitige Parteinahme: Erst im Januar riet die Behörde noch von der Nutzung des Internet Explorer Abstand zu nehmen.

Der Heise Autor fragt sich, „wann das Bürger-CERT mit zufällig eingestreuten Proporz-Warnungen von Opera und Chrome abraten wird  – oder ob das BSI vielleicht sogar demnächst den monatlichen Browser-Wechsel als Sicherheitsfunktion propagiert.“

Mozilla bestätigt Firefox-Schwachstelle

Am 18.02 hatte Secunia die Schwachstelle im Advisory SA38608 beschrieben. Einzige Quelle für die Schwachstelle war Evgeny Legerov. Auf meine Nachfrage hatte Secunia bestätigt, dass sie selbst keine Tests durchgeführt hätten, die Quelle aber bisher verlässlich gewesen sei. Daniel Veditz von Mozilla schrieb noch am 27.02.: „Definitiv noch keine Angriffe beobachtet, also können Sie mit Firefox vertrauensvoll weiter surfen.“* Zwischenzeitlich tauchte an einigen Stellen der Begriff Hoax auf. Am 18.03. dann bestätigte Mozilla die Schwachstelle:

„Mozilla wurde durch Evgeny Legerov kontaktiert, dem Security Researcher, der das Bug aus dem Secunia Advisory entdeckt hat. Er hat uns mit genügend Details versorgt, um das Problem zu analysieren und zu reproduzieren. Die Schwachstelle wurde als kritisch bewertet und kann durch einen Angreifer zur Remote Code Execution ausgenutzt werden.“*

Secunia hat nun reagiert und den Zweiflern in seinem Corporate-Blog geantwortet:

„Einige Leute waren sehr eifrig darin, zu behaupten, dass es sich bei der Schwachstelle um eine Fake handelte. In unserem Forum genauso wie im Mozilla-Forum – Mozilla hat jetzt allerdings die Schwachstelle in einer Beta-Version gefixt. Das Fix wird auch in der kommenden Version 3.6.2 enthalten sein.“*

Chief Security Specialist, Carsten Eiram, berichtet in dem Beitrag, warum von Anfang an klar war, das alles klar war. Das Bild wäre runder, wenn man ebenso selbstsicher aufgetreten wäre, als Mozilla die Schwachstelle noch nicht bestätigt hatte.

* Keine offiziellen Übersetzungen aus dem Englischen. Die Original-Zitate finden Sie über die angegebenen Links oder in der englischen Version.