SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 05.08.2010

-----------------------------------------------------------------------

Guten Tag,
Sie schrecken davor zurueck, online Einkaeufe zu taetigen oder
Bankgeschaefte zu erledigen? Es ist Ihnen zu unsicher, Ihre Daten ueber
das Internet zu uebermitteln? Das muss bald nicht mehr so sein: Denn am
1. November 2010 wird der neue Personalausweis eingefuehrt. Mit ihm wird
ein Standard-Identitaetsausweis fuer die digitale Welt geschaffen, mit
dem Sie sich online schnell, einfach und sicher ausweisen koennen.
Ausserdem koennen Sie mit dem neuen Personalausweis digitale Dokumente
rechtsverbindlich unterschreiben. Wo der neue Personalausweis eingesetzt
werden kann und was Sie dazu benoetigen, erfahren Sie im aktuellen
Brennpunkt auf der BSI-FUER-BUERGER-Seite
https://www.bsi-fuer-buerger.de/BSIFB/DE/Home/home_node.html. Weitere
Meldungen rund um die Sicherheit im Internet finden Sie wie immer in
unserem Newsletter. Spannende Lektuere und sichere Stunden im globalen
Netz wuenscht Ihnen
Ihr BUERGER-CERT-Team

-----------------------------------------------------------------------

Die Themen dieses Newsletters:

1. Gefaehrliche PDFs: Schwachstelle im mobilen Apple Betriebssystem iOS
2. Ausgetrickst: Gefaelschte Antivirensoftware verbreitet sich ueber vermeintliches Firefox-Update
3. Unter Kontrolle: Sicherheitsluecke in QuickTime entdeckt
4. Falschaussage: Sprachcomputer locken Verbraucher auf 0900er-Nummern
5. Unerwuenschter Nebeneffekt: Vorsicht vor Gratis-Spielen im Web
6. Gefahr gebannt: Microsoft-Patch beseitigt aktuelle Sicherheitsluecke
7. Fitter Browser: Apple beseitigt Sicherheitsprobleme in Safari
8. Manipulierte Webseiten: Firefox in Version 3.6.8 erschienen
9. Frisches Update: Google schliesst Luecken in Chrome
10. Absturzgefaehrdet: Luecke im Instant Messenger Pidgin geschlossen
11. Ausweis fuer die digitale Welt: BSI veroeffentlicht Brennpunkt zum neuen Personalausweis
12. Paypal ganz vorne: Alle 20 Sekunden ein Phishing-Angriff
13. Festplatten ausbauen!: Datenspionage bei Computerreparatur

-----------------------------------------------------------------------

1. STOERENFRIEDE: Schwachstelle im mobilen Apple Betriebssystem iOS

Gefaehrliche PDFs
Im Betriebssystem iOS, das in den Geraeten zur mobilen Kommunikation
und Internetnutzung iPhone, iPad und iPod Touch des Herstellers Apple
eingesetzt wird, existieren zwei kritische Schwachstellen, fuer die
bislang noch kein Patch zur Verfuegung steht. Bereits das Oeffnen einer
manipulierten Internetseite beim mobilen Surfen oder das Anklicken eines
praeparierten PDF-Dokuments reicht aus, um das mobile Geraet mit
Schadsoftware zu infizieren. Potenziellen Angreifern ist damit der
Zugriff auf das komplette System mit Administratorrechten moeglich.
Derzeit ist kein Sicherheitsupdate vom Hersteller verfuegbar. Bis zur
Veroeffentlichung eines Updates empfiehlt das Buerger-CERT PDF-Dokumente
nicht auf mobilen iOS-Geraeten zu oeffnen, weder von Webseiten noch aus
E-Mails oder anderen Applikationen heraus. Ebenso sollte die Nutzung des
mobilen Browsers auf dem Endgeraet auf vertrauenswuerdige Webseiten
beschraenkt werden. Hyperlinks in E-Mails oder auf Webseiten (auch aus
Suchmaschinen) sollten nur geoeffnet werden, wenn diese aus
vertrauenswuerdigen Quellen stammen. Sobald ein Update zur Verfuegung
steht, sollte dieses umgehend eingespielt werden. Antworten auf die
wichtigsten Fragen finden Sie auf der BSI-FUER-BUERGER-Seite
https://www.bsi-fuer-buerger.de/ContentBSIFB/Aktuelles/FAQ-Betriebssystem-IOS.html.


2. STOERENFRIEDE: Gefaelschte Antivirensoftware verbreitet sich ueber vermeintliches Firefox-Update

Ausgetrickst
Betrueger nutzen derzeit eine vermeintliche Firefox-Update-Meldung, um
gefaelschte Antivirensoftware zu verbreiten. Dies meldet das
IT-Sicherheitsunternehmen F-Secure http://www.f-secure.com. Ueber eine
Webseite wird dem Nutzer mitgeteilt, dass der Browser Firefox
aktualisiert wurde. Allerdings muesse man auch noch den Adobe
Flash-Player updaten. Fuehrt der Nutzer die auf der Seite angebotene
Datei ff-update.exe aus, installiert sich jedoch gefaelschte
Antivirensoftware auf dem Rechner. Anwender sollten Updates
grundsaetzlich nur von den Original-Herstellerseiten herunterladen. Mehr
Infos zu gefaelschter Antivirensoftware gibt es auf der
BSI-FUER-BUERGER-Seite
https://www.bsi-fuer-buerger.de/BSIFB/DE/ITSicherheit/AbzockerUndSpione/FalscheAntivirensoftware/falscheantivirensoftware_node.html.


3. STOERENFRIEDE: Sicherheitsluecke in QuickTime entdeckt

Unter Kontrolle
Eine Schwachstelle in Apples Media Player QuickTime ermoeglicht
Angreifern, Schadcode im Kontext des angemeldeten Benutzers auszufuehren
oder die Anwendung zum Absturz zu bringen. Dazu genuegt das Oeffnen
einer praeparierten Datei im SMIL-Format oder der Besuch einer
manipulierten Webseite. Ein Update, dass die Luecke schliesst, gibt es
bislang nicht. Das Buerger-CERT raet dazu, keine Dateien im SMIL-Format
zu oeffnen und keine Links aus nicht vertrauenswuerdiger Quelle
anzuklicken. Sobald ein Update zur Verfuegung steht, sollte dieses
zuegig eingespielt werden.


4. STOERENFRIEDE: Sprachcomputer locken Verbraucher auf 0900er-Nummern

Falschaussage
Die Sueddeutsche Zeitung http://www.sueddeutsche.de/geld berichtet
ueber ein internes Papier der Bundesnetzagentur, in dem von einer Flut
von Buergerbeschwerden wegen betruegerischer Telefonanrufe die Rede ist.
Immer mehr Kriminelle verschickten von Sprachcomputern erzeugte
Telefonnachrichten: Sie lockten die Menschen mit dem Gewinn eines teuren
Autos und wuerden um Rueckruf unter einer 0900er-Nummer bitten. Dort
landet man jedoch in teuren Warteschleifen. Zu viele
Ermittlungsverfahren wegen solcher Delikte wuerden von den
Staatsanwaltschaften eingestellt, beklagt die Bundesnetzagentur.
Verbraucherschuetzer halten die juristischen Moeglichkeiten, gegen diese
betruegerischen Angebote vorzugehen, fuer zu gering. Denn unerlaubte
Werbeanrufe stellen keine Straftat, sondern nur eine Ordnungswidrigkeit
dar.


5. STOERENFRIEDE: Vorsicht vor Gratis-Spielen im Web

Unerwuenschter Nebeneffekt
Kostenlose Browserspiele erfreuen sich grosser Beliebtheit, etwa als
Pausenfueller auf der Arbeit. Sie koennen ganz einfach aus dem Netz
heruntergeladen werden. Doch Vorsicht: Ueber die Spiele-Seiten kann man
sich auch Schadcode auf den Rechner laden, etwa ueber vermeintliche
Treiber, die man zum Spielen angeblich benoetigt und installieren soll.
Bei den Spielen muessen ausserdem haeufig Aktive Inhalte aktiviert sein,
um sie nutzen zu koennen. Ueber Aktive Inhalte koennen jedoch
Spionageprogramme oder andere Schadsoftware auf dem Rechner installiert
werden. Das BSI raet dazu, Aktive Inhalte generell auszuschalten und nur
bei vertrauenswuerdigen Webseiten bewusst wieder anzuschalten.


6. SCHUTZMASSNAHMEN: Microsoft-Patch beseitigt aktuelle
Sicherheitsluecke

Gefahr gebannt
Mit einem ausserplanmaessigen Patch schliesst Microsoft nun eine
Sicherheitsluecke in der Windows Shell, vor deren Gefahrenpotenzial das
BSI schon vor zwei Wochen gewarnt hat. Angreifer koennen Verknuepfungen,
so genannte LNK-Dateien ueber im Windows Explorer angezeigte Icons, als
Einfallstore nutzen. Gefahr besteht bereits, wenn nur der Inhalt eines
mobilen Datentraegers wie z.B. eines USB-Stick angesehen wird. Die
Schwachstelle kann aber auch ueber Netzlaufwerke und den Standard WebDAV
(Web-based Distributed Authoring and Versioning) sowie praeparierten
Dokumenten ausgenutzt werden, so dass auch Angriffe via Internet oder
E-Mail moeglich sind. Ausserdem koennen Angreifer den Schadcode auch in
bestimmte Dokumente, wie etwa Microsoft Office-Dateien, einbetten. Das
Buerger-CERT empfiehlt Nutzern der Windows Betriebssysteme XP (SP3) bis
Windows 7 sowie der Version Server 2008 R2 und Server 2003 dringend,
das Update mit der Nummer MS10-046 zu installieren, das auf der
Microsoft-Webseite
http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx
bereit steht. Jene Nutzer, die eine von Microsoft zwischenzeitlich
angebotene provisorische Hilfsloesung (Fix-it-Tool) angewendet hatten,
muessen das Tool "Disable Workaround" nach dem Einspielen des oben
genannten Patches installieren. Dadurch werden die Programm- und
Dateisymbole wieder vollstaendig dargestellt, die durch das
"Fix-it"-Tool nur noch als einheitliche weisse Symbole angezeigt wurden.
Zur Beseitigung der Schwachstelle ist ein Neustart von Microsoft Windows
erforderlich.


7. SCHUTZMASSNAHMEN: Apple beseitigt Sicherheitsprobleme in Safari

Fitter Browser
Die Versionen 5.0.1 und 4.1.1 des Internet-Browsers Safari von Apple
bieten Schutz vor Angreifern, die unter Ausnutzung von mehreren
Schwachstellen in den Vorversionen auf fremde Rechner eindringen
konnten. So war es Angreifern moeglich, mithilfe praeparierter Webseiten
und RSS-Feeds Computer auszuspionieren oder fern zu steuern. Unter Mac
OS X und Microsoft Windows werden die aktuellen Versionen ueber die
jeweiligen Funktionen zur Software-Aktualisierung eingespielt. Darueber
hinaus steht das Update auch auf der Apple-Webseite
http://support.apple.com/downloads zum Download bereit.


8. SCHUTZMASSNAHMEN: Firefox in Version 3.6.8 erschienen

Manipulierte Webseiten
Mozilla hat Version 3.6.8 fuer seinen Browser Firefox veroeffentlicht.
Eine Schwachstelle ermoeglichte Angreifern, mithilfe von manipulierten
Webseiten Schadcode auf fremden Rechnern auszufuehren. Anwender sollten
das Update umgehend einspielen. Dies geschieht am einfachsten ueber die
integrierte Update-Funktion (Menue "Hilfe", "Nach Updates suchen").
Alternativ kann Firefox 3.6.8 auch von der Mozilla-Webseite
http://www.mozilla.com/de heruntergeladen werden.


9. SCHUTZMASSNAHMEN: Google schliesst Luecken in Chrome

Frisches Update
Mit der Version 5.0.375.125 beseitigt Google mehrere Schwachstellen in
seinem Browser Chrome. Die Sicherheitsluecken lassen sich durch einen
Angreifer mithilfe von manipulierten Webseiten ausnutzen, um
Schadsoftware auf einen Rechner zu schleusen und auszufuehren. Nutzern
wird geraten, Chrome zuegig auf die Version 5.0.375.125 zu
aktualisieren. Dies erfolgt durch die automatische Update-Funktion des
Browsers.


10. SCHUTZMASSNAHMEN: Luecke im Instant Messenger Pidgin geschlossen

Absturzgefaehrdet
Eine Schwachstelle im Instant Messenger Pidgin ermoeglicht Angreifern,
die Anwendung zum Absturz zu bringen. Der Angriff erfolgt ueber
praeparierte X-Status-Nachrichten. Der X-Status ist ein variabler
Instant Messaging Status, dessen Text sich durch den Nutzer anpassen
laesst. Anwender sollten die aktuelle Pidgin-Version 2.7.2 zuegig
installieren. Diese steht auf der Hersteller-Webseite
http://www.pidgin.im/ zum Download bereit.


11. PRISMA: BSI veroeffentlicht Brennpunkt zum neuen Personalausweis

Ausweis fuer die digitale Welt
Am 1. November 2010 wird der neue Personalausweis eingefuehrt. Um Sie
rechtzeitig ueber die Aenderungen und neuen Funktionen zu informieren,
hat das BSI einen Brennpunkt zu dem Thema veroeffentlicht. Mit dem neuen
Dokument wird ein Standard-Identitaetsausweis fuer die digitale Welt
geschaffen, mit dem man sich online schnell, einfach und sicher
ausweisen kann. Zusaetzlich ist es mit dem neuen Personalausweis
moeglich, digitale Dokumente rechtsverbindlich zu unterschreiben. Der
neue Ausweis enthaelt einen Chip, auf dem neben den persoenlichen Daten
auch das Foto sowie eine PIN-Nummer digital gespeichert sind. Diese
Funktion bietet die Moeglichkeit, sich eindeutig gegenueber Diensten im
Internet auszuweisen, indem man die auf dem Chip digital gespeicherten
Daten online an Behoerden und Unternehmen uebermittelt. Detaillierte
Infos zu den Funktionsmoeglichkeiten des neuen Ausweises gibt es auf der
BSI-FUER-BUERGER-Seite
https://www.bsi-fuer-buerger.de/BSIFB/DE/Aktuelles/Brennpunkt/brennpunkt_node.html.


12. PRISMA: Alle 20 Sekunden ein Phishing-Angriff

Paypal ganz vorne
Nach Analysen des IT-Sicherheitsunternehmens eleven
http://www.eleven.de werden deutsche E-Mail-Empfaenger alle 20
Sekunden Opfer eines Phishing-Angriffs. Die Analyse basiert auf
Untersuchungen des E-Mail-Verkehrs im Juni 2010. Beliebteste Ziele der
Datenfischer sind Online-Bezahldienste, gefolgt von den Nutzerkonten
sozialer Netzwerke. Besonders Nutzer des Bezahldienstes PayPal waren
massiven Phishing-Angriffen ausgesetzt: 96,1 Prozent der
Phishing-E-Mails hatten das Thema PayPal. Den E-Mails war ein
HTML-Formular beigefuegt, in das der Empfaenger seine Daten wie PayPal-
oder Kreditkarten-Passwort eintragen sollte. Mehr Infos zu Phishing gibt
es auf der BSI-FUER-BUERGER-Seite
https://www.bsi-fuer-buerger.de/BSIFB/DE/Themen/Phishing/phishing_node.html.


13. PRISMA: Datenspionage bei Computerreparatur

Festplatten ausbauen!
Erschreckend: Wie ein Test der Zeitschrift Computerbild
http://www.computerbild.de zeigt, nehmen es PC-Techniker mit der
Privatsphaere ihrer Kunden haeufig nicht so genau. Die Redaktion
schickte elf Computer unter Tarnnamen in Reparatur. Vorher hatte sie ein
Programm auf den Rechnern installiert, das aufzeichnete, was genau die
Techniker mit dem Computer machten. Bei mehr als der Haelfte der PCs
sahen sich die Techniker private Daten, Fotos und Videos an. In einem
Fall wurden sogar Daten kopiert. Lediglich ein Servicetechniker griff
nicht auf private Kundendaten zu. Um solche Eingriffe in die
Privatsphaere zu vermeiden, sollte die Festplatte ausgebaut werden,
bevor der Rechner zur Reparatur geht.



-----------------------------------------------------------------------

Dieser Newsletter ist ein kostenloses Service-Angebot des Buerger-CERT.
Er erscheint im Abstand von 14 Tagen. Die Informationen werden vom
Bundesamt fuer Sicherheit in der Informationstechnik,
http://www.bsi.bund.de, mit groesster Sorgfalt recherchiert und
aufbereitet. Dennoch kann eine Gewaehr oder Haftung fuer die
Vollstaendigkeit und Richtigkeit nicht uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, den
Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de