zur Navigation springen

Sicherheitslücken der Woche : Heimlich die PIN ausspähen

vom

Aktuell und auch für Laien verständlich: Shz.de sammelt hier jeden Mittwoch die neuesten Sicherheitslücken.

Sicherheitslücke von 02.09.2014

Heimlich die PIN  ausspähen: Mit der iPhone-Wärmebildkamera FLIR One lässt sich sehr leicht die PIN ermittlen. Das berichtet Blogger Mark Rober in einem YouTube-Video. Es handelt sich um ein Zubehör, das sich auf die Kamera aufsetzen lässt. Auf Videos und Fotos lassen sich so Temperaturen anzeigen.

Hacker könnten mit dieser Funktion kurz nach der Eingabe Fotos von Beispielsweise EC-Karten-Automaten machen. Auf den Bildern sind dann nicht nur die Nummer des Codes zu sehen, sondern anhand des Wärmegrades auch die Reihenfolge.

Die FLIR One sieht aus, wie eine Schutzhülle für das iPhone. In den USA ist das Zubehör bereits im Handel und für 350 US-Dollar zu haben. Mark Rober demonstriert die Funktion in seinem Video in einem Geschäft. Beim Bezahlen hält er sein Smartphone mit der Wärmebild-App unauffälig über das Nummernfeld des EC-Terminals. Erschreckend einfach hat er so den Zugangscode ermittelt. Das Video zeigt aber auch, wie man diesen Trick unterbinden kann: Beim Eingeben müssen Kunden einfach zeitgleich auch andere Tasten berühren.

Sicherheitslücke vom 19.08.2014

Gefährliche cab-Dateien: Dass von zip- oder exe-Dateien in E-Mails große Gefahren ausgehen können, haben inzwischen viele Anwender schon einmal gehört. Allerdings geht ein PC-Bedrohung bei weitem nicht nur von diesen beiden Dateiformaten aus, warnt die Verbraucherzentrale Bayern. Momentan fielen massenhaft Virenmails mit einem cab-Anhang auf. Bei cab-Dateien handelt es sich um komprimierte Archivdateien, die sich beim Anklicken selbst entpacken und ihren Inhalt installieren können. Aus diesem Grund werden sie genau wie auch zip- oder exe-Dateien von Angreifern eingesetzt. Anhänge in dubiosen Mails oder in Nachrichten mit unbekanntem Absender sollten deshalb grundsätzlich gar nicht geöffnet werden – auch nicht, wenn Drohszenarien oder angebliche Inhalte, die neugierig machen, zum Öffnen reizen.

Sicherheitslücken vom 12.08.2014:

Abofallen-Betrüger streuen falsche Urteile: Wer eine Mahnung oder eine Abmahnung bekommt, gibt die Namen von Kanzleien oder fordernden Unternehmen oft in eine Suchmaschine ein. Diesen Reflex nutzen derzeit Abofallen-Betrüger aus, indem sie falsche Urteile und Aktenzeichen im Netz streuen, warnt die Verbraucherzentrale Sachsen-Anhalt. Die Premium Media Service Ltd. und die Pable Domainverwaltung Wien versuchten dadurch, Verbraucher einzuschüchtern und den Eindruck zu erwecken, dass auf dubiosen Rezept- und Routenplaner-Portalen rechtsgültige Verträge zustande gekommen sind. In keinem Fall sollten Betroffene Zahlungen leisten.

Schwachstelle in Spotify-App: Nutzer von Spotify auf Android-Smartphones sollten die App dringend aktualisieren. Davor warnt der Anbieter von Sicherheitssoftware Trend Micro. Grund ist eine Sicherheitslücke in der Version 1.1.1 der Musik-Streaming-App. Sie ermögliche Cyberkriminellen, Werbeanzeigen auf den Geräten zu manipulieren und für Phishing-Angriffe auszunutzen. Spotify hat die Lücke in der aktuellen Version geschlossen. Sie kann im Google Play Store unter http://bit.ly/1umXlB2 herunter geladen werden.  sh:z shz.de/netzwelt/luecke

Sicherheitslücken vom 29.07.2014:

Warnung vor WhatsApp-E-Mail: Derzeit sind wieder eine Reihe von Spam-E-Mails im Umlauf. Neueste Masche: Unseriöse Anbieter verschicken Nachrichten im Namen des Messenger-Dienstes WhatsApp. Exemplare dieser Spam-Mails schickten Nutzer dem Onlineportal Mimikama. Darin heißt es, dass der Nutzer eine Nachricht von Lina Berger (Auch andere Frauennamen werden genutzt) nicht empfangen konnte. Es folgt die Aufforderung, auf einen Link zu klicken. Der Link führt jedoch auf ein Erotik-Portal in einem an WhatsApp angelehnten Layout. Der Empfänger wird aufgefordert, sich in dem Portal anzumelden, um besagte Nachricht lesen zu können. Bis auf die Optik hat das Portal zum Messenger-Dienst WhatsApp allerdings keinerlei Bezug. Ein Blick in die Geschäftsbedingungen zeige, dass es sich bei dem Portal um ein kostenpflichtiges Angebot handelt, heißt es auf Mimikama.

Gefälschte Ikea-E-Mail mit Trojaner: Auch Ikea-Kunden geraten in das Visier von E-Mail-Betrügern. Das Sicherheitsunternehmen Ikarus warnt vor täuschend echt aussehenden Bestellbestätigungen im Namen des Möbelhauses. In deren Anhang befindet sich Schadsoftware. Das perfekt formulierte und gestaltete Schreiben zeige, wie professionell solche Täter mittlerweile vorgehen. Die E-Mail bestätigt vermeintliche Bestellungen und kündigt deren Anlieferung an. Weitere Details enthalte der Anhang in einer Zip-Datei. Laut Ikarus infiziert sich der Rechner mit einem Trojaner, wenn Nutzer diesen Anhang öffnen. tfl  shz.de/netzwelt/luecke

Sicherheitslücke vom 22.07.2014:

Sprachsteuerung kann teuer werden: „Ok, Google: Wähle teure Premium-Rufnummer.“ Manche Sprachbefehle würde ein normaler Nutzer niemals ausführen, Angreifer könnten sie aber nutzen, um Smartphones ohne das Wissen ihrer Eigentümer zum Beispiel teure Rufnummern anwählen zu lassen. Chinesische Forscher haben eine Methode veröffentlicht, unerkannt Kommandos auf Android-Geräten auszuführen. Dazu entwickelten sie einer Forschungsarbeit zufolge ein Programm namens „VoicEmployer“, das mit aufgezeichneten Sprachbefehlen den digitalen Assistenten Google Now dazu bringen kann, Telefonnummern anzurufen. Die Verfasser des Bericht gaben an, mit ihrem Programm auch SMS und E-Mails fälschen oder persönliche Nutzerinformationen abrufen zu können. Ziel des Forschungsprojekts sei gewesen, die möglichen Gefahren aufzuzeigen, die von Programmen ausgehen, die eigentlich keinen Zugang zu sensiblen Telefonfunktionen haben. Nach Ansicht der Wissenschaftler zeige ihre App, die ohne Berechtigungen auskommt, dass auch solche Programme ein Sicherheitsrisiko sein können. Den Angaben zufolge funktioniert die Methode nur bei Telefonen zuverlässig, die nicht durch einen Sperrcode geschützt sind. Als Schutz vor ähnlichen Programmen sollten Nutzer also ihr Telefon mindestens mit einem Sperrcode sichern. Außerdem sollten nur Programme aus vertrauenswürdigen Quellen wie den offiziellen Appstores installiert werden. (dpa)

Sicherheitslücken vom 30.06.2014:

Sicherheitslücke bei Android: In älteren Versionen von Googles mobilem Betriebssystem Android gibt es eine Sicherheitslücke. Nach einem Bericht von „Heise Security“ könnten Angreifer über eine Schwachstelle in der Schlüsselverwaltung Schadcode auf Smartphones ausführen. Betroffen sind alle Android-Versionen vor der aktuellen Version 4.4 (Kitkat). Hinweise auf ein erfolgreiches Ausnutzen der Lücke gibt es bisher aber nicht. Im aktuellen Android wurde die Lücke geschlossen. Alle älteren Android-Versionen der Nummern 4.3 und älter sind ohne  Update theoretisch weiter angreifbar. Nutzer, deren Telefonhersteller keine Updates mehr anbieten, haben die Möglichkeit, per Root-Zugriff eine modifizierte Version des Betriebssystems aufzuspielen. Eine Alternative zu gängigenVersionen  ist das kostenlose Mod Cyanogen.

Sicherheitslücken vom 23.06.2014:

Vorinstallierter Trojaner: Bei diesem Smartphone gibt es einen Virus ab Werk. Nachdem Sicherheitsexperten von G Data ein Spionageprogramm auf dem Billig-Smartphone N9500 entdeckten, haben zahlreiche Händler reagiert. Amazon, eBay und andere Shops entfernten das Gerät vom Hersteller Star aus dem Sortiment. Der Computerschädling versteckt sich in der Firmware des Android-Handys. Er ist als Google-Play-Store-Dienst getarnt und Teil der vorinstallierten Geräte-Software. Das Spionageprogramm arbeitet im Hintergrund und ist für Nutzer nicht zu entdecken. Unbemerkt vom Anwender sendet das Smartphone persönliche Daten an einen in China befindlichen Server und ist in der Lage, heimlich weitere Anwendungen verdeckt zu installieren. So können persönliche Daten abgerufen, Gespräche belauscht, Online-Banking Daten, E-Mails und SMS gelesen oder Kamera und Mikrofon ferngesteuert werden, berichten die Sicherheitsforscher von G Data. Bei dem Smartphone handelt es sich um eine Kopie des Galaxy S4 von Samsung. Bei großen Online-Händlern konnten Kunden es bereits zu Preisen zwischen 130 und 165 Euro erwerben.

Falsche Mails von Amazon:  Internetbetrüger versuchen derzeit gezielt an Daten von Amazon-Kunden zu kommen. Das berichtet der Fachblog Mimikama. Opfer erhalten eine täuschend echt aufgemacht E-Mail, die dazu auffordert, den eigenen Amazon-Account zu verifizieren. Darin heißt es, dass Amazon nach dem Hacker-Angriff auf eBay seine Kunden bittet, die eigenen Kontodaten zu bestätigen. Doch der in der Nachricht enthaltene Link zum Onlineshop leitet den Empfänger auf eine gefälschte Anmelde-Seite. Sie ist an der URL www.safer-german.com zu erkennen. Die dort eingegebenen Kontodaten werden direkt an die Internetbetrüger geleitet.

Sicherheitslücken vom 04.06.2014:

Spam-Mails mit WM-Bezug: Große Ereignisse werfen ihre Schatten voraus – auch im negativen Sinne. Vor Beginn der Fußball-WM in Brasilien im Juni kursieren Spam-Mails, mit denen Online-Kriminelle versuchen, Schadsoftware auf Rechner zu schleusen oder dort Daten abzugreifen, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Wer also Nachrichten mit WM-Bezug von unbekannten Absendern erhält, sollte die Mail schnellstens löschen.

Schwachstelle in Huawei-Routern: Gleich mehrere Sicherheitslücken ermöglichen es, Router des Herstellers Huawei über das Internet zu kapern. Einem Bericht der FH St. Pöten zufolge betrifft das die Modelle (b593u-12 und b593s-22). Die Forscher empfehlen Benutzern der Modems, das aktuelleste Firmware-Update zu instellieren.

Sicherheitslücke vom 28.05.2014:

Leere WM-Versprechen in gefährlichen Spam-Mails: Große Ereignisse werfen ihre Schatten voraus - auch im negativen Sinne. Vor Beginn der Fußball-WM in Brasilien im Juni kursieren Spam-Mails, mit denen Online-Kriminelle versuchen, Schadsoftware auf Rechner zu schleusen oder dort Daten abzugreifen, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Wer also Nachrichten mit WM-Bezug von unbekannten Absendern erhält, die etwa mit angeblichen Angeboten wie Tickets locken, sollte darin keine Links anklicken und auch keine Anhänge öffnen, sondern die Mail direkt löschen. Inzwischen stehen dem BSI zufolge auch erste Webseiten im Netz, auf denen gefälschte Ticket zu überzogenen Preisen angeboten werden.

Sicherheitslücken vom 27.05.2014:

Gefährliches Merkblatt des BSI: Über gefälschte E-Mails mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als Absender versuchen Onlinekriminelle derzeit Schadsoftware auf Rechner zu schleusen. In den Nachrichten mit dem Betreff "Information" sollen Empfänger angeblich ein Merkblatt mit Sicherheitsempfehlungen im Anhang vorfinden. In Wirklichkeit handelt es sich aber um ein Schadprogramm, das sich beim Anklicken automatisch installiert, warnt das BSI. Nutzer sollten den Anhang keinesfalls öffnen, die Mail nicht beantworten und am besten direkt löschen.

Avast-Forum gehackt: Nach einem Hackerangriff auf das Forum des Virenscanner-Anbieters Avast müssen dort angemeldete Nutzer ihr Passwort ändern. Bei der Attacke seien neben leicht verschlüsselten Passwörtern auch Nicknamen, Benutzernamen und E-Mail-Adressen gestohlen worden, wie das tschechische Unternehmen mitteilt. Wegen der nur leichten Verschlüsselung sei es nicht ausgeschlossen, dass die Datendiebe an die Klartext-Passwörter gelangen. Wer das gleiche Passwort für andere Dienste nutzt, sollte es auch dort ändern.

Gefährlicher Trick für XP-Updates: Eigentlich hat Microsoft den Support für Windows XP Anfang April eingestellt. Auf vielen Webseiten findet sich zurzeit aber ein Trick, mit dem Nutzer des Betriebssystems trotzdem an wichtige Sicherheitsupdates kommen sollen. Gerade Computerlaien sollten davon aber besser die Finger lassen, rät „Heise.de“. Denn die Updates sind für Bankautomaten udn Kassensysteme gedacht. Ob sie  auch reguläre Rechner vor Angriffen schützen, sei unklar.

Sicherheitslücke vom 22.05.2014

Trick für neue XP-Updates möglicherweise gefährlich Eigentlich hat Microsoft den Support für Windows XP Anfang April eingestellt. Auf vielen Webseiten findet sich zurzeit aber ein Trick, mit dem Nutzer des Betriebssystems trotzdem an wichtige Sicherheitsupdates kommen sollen. Gerade Computerlaien sollten davon aber besser die Finger lassen, rät "Heise.de". Für den Trick müssen Nutzer eine Änderung an der sogenannten Windows-Registrierung vornehmen - danach lädt das Betriebssystem wieder Patches herunter.Dabei handelt es sich den Angaben nach aber um Updates für die sogenannte POSReady-Version von Windows. Sie kommt vor allem auf Bankautomaten und Kassensystemen zum Einsatz. Ob die Updates auch reguläre Rechner vor Angriffen schützen oder dort überhaupt funktionieren, ist unklar.

Ebay-Nutzer sollen Passwörter nach Hackerangriff ändern Ebay ruft seine Nutzer nach einem Hackerangriff dazu auf, ihre Passwörter zu ändern. Bei der Attacke zwischen Ende Februar und Anfang März sei eine Datenbank mit verschlüsselten Passwörtern und anderen Daten angezapft worden, erklärte der Online-Handelsspezialist am Mittwoch. Es sei jedoch kein Anstieg betrügerischer Aktivitäten auf Ebay erkennbar. Es gebe auch keine Hinweise darauf, dass Bank- oder Kreditkartendaten gestohlen worden seien, da diese getrennt in einem verschlüsselten Format aufbewahrt würden. Die Bezahltochter PayPal speichere ihre Daten verschlüsselt in einem eigenen Netzwerk. „Dennoch ist es am besten, die Passwörter zu ändern“, teilte Ebay am Sitz im kalifornischen San Jose mit. Nutzer, die das gleiche Passwort auf anderen Websites verwendeten, sollten diese ebenfalls ändern.

Sicherheitslücken vom 21.05.2014

Angriffe auf mobiles Online-Banking: Bei Bankgeschäften über das Smartphone ist Vorsicht angebracht. Über das mTAN-Verfahren können sich Hacker Zugang zum Konto verschaffen.   Die Bank schickt ihren Kunden dabei einen Code (TAN) auf das Mobiltelefon, mit dem sie ausgefüllte Überweisungen im Internet bestätigen müssen. Der Antivirus-Hersteller Kaspersky berichtet, dass Kriminelle mit Schadsoftware wie dem Android-Trojaner FakeToken die per SMS gesendete TAN abfangen können.

Gefälschte iTunes-Rechnungen: Derzeit sind Phishing-Mails im Namen von Apple unterwegs. Sie kommen als gefälschte iTunes-Rechnung für das populäre Spiel „Candy Crush Saga“ in die Postfächer der Nutzer. Den Empfängern werden „Extrazüge“ in Höhe von 89 Cent in Rechnung gestellt. Das Portal „Mac&i“,  dem einige Exemplare der Phishing-Mails vorliegen,  berichtet, dass die getesteten Mails keine Schadsoftware enthalten oder auf Phishingseiten im Web verlinken. Die Aktion könnte aber dazu dienen, E-Mail-Adressen aus Spamlisten auf ihre Gültigkeit zu überprüfen.

zur Startseite

von
erstellt am 20.Mai.2014 | 01:15 Uhr

Gefällt Ihnen dieser Beitrag? Dann teilen Sie ihn bitte in den sozialen Medien - und folgen uns auch auf Twitter und Facebook:

Diskutieren Sie mit.

Leserkommentare anzeigen