SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 15.09.2011

-----------------------------------------------------------------------

Guten Tag,
vertrauliche Informationen - ob geschaeftlich oder persoenlich - ueber
das Internet zu teilen ist nicht ohne Risiko. Per SSL-Verschluesselung
und vertrauenswuerdigem Zertifikat gesicherte Internetverbindungen
helfen deshalb, Online-Bankgeschaefte, Software-Downloads und Zugriffe
auf E-Mail-Postfaecher vor Manipulationen durch Unbefugte zu schuetzen.
Ein gut funktionierendes System - bis Hacker es nun schafften diese
Schutzmassnahme erfolgreich auzuhebeln. Mehr Informationen dazu sowie
weitere Meldungen rund um die Sicherheit im WWW finden Sie wie immer in
unserem Newsletter. Spannende Lektuere und sichere Stunden im globalen
Netz wuenscht Ihnen
Ihr BUERGER-CERT-Team

-----------------------------------------------------------------------

Die Themen dieses Newsletters:

1. Truegerische Sicherheit: Hacker missbrauchen gestohlene SSL-Zertifikate
2. Falscher Helfer: Antivirensoftware "Open Cloud Antivirus" ist Scareware
3. Frontalangriff: Windows-Wurm "Morto" nutzt schwache Passwoerter aus
4. Spiel mit dem Datenschutz: Sicherheitsluecken bei Browsergame-Anbieter Zynga
5. Microsoft schliesst 15 Sicherheitsluecken: Windows, Office und Server-Software betroffen
6. Bewegungsmelder: Smartphone-Beschleunigungssensor zeichnet Tastatureingaben auf
7. Smartphone-Sicherheit: Was tun bei Verlust des mobilen Endgeraetes?
8. Internet-Verweigerer: Fast jeder fuenfte Deutsche ist nie im Internet

-----------------------------------------------------------------------

1. STOERENFRIEDE: Hacker missbrauchen gestohlene SSL-Zertifikate

Truegerische Sicherheit
Das "s" in der Buchstabenfolge "https" steht fuer "secure" und
kennzeichnet verschluesselte und damit gesicherte Internetverbindungen -
etwa beim Onlinebanking. Zusaetzlich soll ein Zertifikat belegen, dass
der kontaktierte Webserver tatsaechlich dem Unternehmen gehoert, dessen
Website der Anwender besucht. Nun haben Cyberkriminelle die Server von
Zertifizierungstellen gehackt, um sich selbst Zertifikate austellen zu
koennen.Mit falschen Zertifikaten koennen sie Internetnutzern die
Serioesitaet einer Seite vortaeuschen und sogenannte
Man-in-the-Middle-Angriffe starten. Dabei steht der Besitzer des
gefaelschten Zertifikats im uebertragenen Sinn zwischen seinen Opfern
und gibt jeweils vor, der eigentlich gewuenschte Kommunikationspartner
zu sein. Die Opfer bemerken von der Manipulation nichts. Der Hacker kann
den gesamten Datenverkehr einsehen, protokollieren und manipulieren.
Betroffen ist etwa der niederlaendische Zertifikar DigiNotar. Dem
IT-Magazin heise.de
http://www.heise.de/newsticker/meldung/DigiNotar-Hack-GlobalSign-stellt-vorerst-keine-Zertifikate-mehr-aus-1338162.html
zufolge wurden hier rund 530 falsche Zertifikate fuer Domains u.a. von
Facebook, Google, Microsoft (Windows Update), Mozilla, Twitter,
Wordpress, Yahoo und diverser Geheimdienste ausgestellt. Es gebe zudem
Hinweise, das auch die Zertifikare GlobalSign und Comodo gehackt wurden.
Laut heise.de stellen DigiNotar und GlobalSign derzeit keine Zertifkate
mehr aus (Stand 13.09.2011). Betroffene Unternehmen nutzen nun
alternative Zertifikate. Anwender koennen den gefaelschten Zertifikaten
das Vertrauen entziehen, indem sie ihre Software und ihr Betriebssystem
aktualisieren und danach bei Seitenaufrufen Sicherheitswarnungen des
Browsers beachten.


2. STOERENFRIEDE: Antivirensoftware "Open Cloud Antivirus" ist Scareware

Falscher Helfer
Ausgerechnet Anwender, die sich ein Antivirenprogramm aus dem Internet
herunterladen, koennen dabei zu Opfern einer Scareware-Attacke werden.
Wie der Softwarehersteller Panda Security
http://pandanews.de/2011/09/01/panda-warnt-open-cloud-antivirus-ist-rogueware/
meldet, missbrauchen mutmassliche Cyberkriminelle dazu eine nachgebaute
Variante des kostenlosen Antivirenprogramms "Panda Cloud Antivirus". Die
Scareware kursiert unter dem Namen "Open Cloud Antivirus" im Netz. Wer
das Programm nutzt, bekommt vermeintliche Infektionen seines Rechners
aufgezeigt und wird zum Kauf einer nutzlosen Vollversion aufgefordert.
BSI FUER BUERGER raet Anwendern, Antivirensoftware grundsaetzlich nur
ueber serioese Anbieter zu beziehen. Weitere Informationen zu falscher
Antivirensoftware gibt es auf BSI FUER BUERGER
https://www.bsi-fuer-buerger.de/BSIFB/DE/GefahrenImNetz/FalscheAntivirensoftware/falscheantivirensoftware_node.html


3. STOERENFRIEDE: Windows-Wurm "Morto" nutzt schwache Passwoerter aus

Frontalangriff
Viele Schadprogramme nutzen Sicherheitsluecken in Programmen, um quasi
durch die Hintertuer Computer zu befallen. Der Wurm "Morto" waehlt den
direkten Weg - in dem er gaengige und damit unsichere Passwoerter
ausprobiert und sich so Zugang zu Systemen verschafft. Laut den
Softwareherstellern Microsoft
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Worm%3AWin32%2FMorto.A
und F-Secure http://www.f-secure.com/weblog/archives/00002227.html
befaellt "Morto" (auch "Morto.A" oder "Morto.B" genannt) Windows-Rechner
mit aktivierter Remote-Desktop-Funktion in Netzwerken. Mit Passwoertern,
wie "12345" oder "admin", versucht "Morto" sich als Administrator auf
den Rechnern anzumelden. Wie der IT-News-Dienst golem.de
http://www.golem.de/1108/86044.html berichtet, war das Schadprogramm
mit dieser Strategie bereits erfolgreich. Die Website BSI FUER BUERGER
haelt Tipps und Informationen
https://www.bsi-fuer-buerger.de/BSIFB/DE/MeinPC/Passwoerter/passwoerter_node.html
zum Thema Passwortsicherheit bereit.


4. STOERENFRIEDE: Sicherheitsluecken bei Browsergame-Anbieter Zynga

Spiel mit dem Datenschutz
Das US-Unternehmen Zynga gehoert zu den groessten Anbietern von
Browserspielen weltweit. Spiele wie "FarmVille", "Mafia Wars" oder
"ZyngaPoker" werden von ueber 215 Millionen Kunden im Monat gespielt.
Die Spiele laufen im Browser innerhalb sozialer Netzwerke wie Facebook
oder MySpace und auf Zynga-Websites. Das Web-Portal "Sicherheit-Online"
will nun Sicherheitsluecken auf den Zynga-Servern aufgedeckt haben.
Demnach sei es gelungen diverse Angriffsmethoden zu simulieren, auch ein
Phishing-Angriff sei geglueckt. "(Mit Test-Accounts) konnten wir die
Kontrolluebernahme des Facebookprofils, sowie saemtliche, sensible
Informationen des Nutzers erreichen", heisst es in der Mitteilung
http://www.sicherheit-online.org/Aktuelle-Themen/Facebook-Zynga-232-Millionen-User-gefahrdet.html.
Eine Stellungnahme von Zynga zu den Vorwuerfen steht noch aus.
Informationen zum sicheren Umgang mit Onlinespielen gibt es auf BSI FUER
BUERGER
https://www.bsi-fuer-buerger.de/BSIFB/DE/SicherheitImNetz/Computerspiele/Sicherheitsfragen/sicherheitsfragen_node.html.


5. SCHUTZMASSNAHMEN: Windows, Office und Server-Software betroffen

Microsoft schliesst 15 Sicherheitsluecken
Mit der Veroeffentlichung des monatlichen Sicherheitsupdates schliesst
Microsoft im September 15 Sicherheitsluecken in den Produkten Windows
und Office. Betroffen sind auch jeweils die Serverversionen. Alle
Sicherheits-Updates werden von Microsoft als "wichtig" eingestuft.
Angreifer koennten sich Zugang zu Office-Servern wie Sharepoint, Groove
und Forms sowie den Windows-Servern 2003, 2008 und 2008 R2 verschaffen
und Rechte erschleichen. Zudem sollen Service-Packs fuer zahlreiche
Windows XP-, Vista- und Office-Versionen Sicherheitsluecken schliessen,
die das Ausfuehren von Schadcode ermoeglichten. Betroffen sind auch
Office-Versionen fuer Mac. Die umgehende Installation der von Microsoft
bereitgestellten Sicherheitsupdates ist empfehlenswert, um eine
Ausnutzung der Sicherheitsluecken zu verhindern. Dies geschieht am
einfachsten ueber einen Besuch der "Windows Update"-Website
http://www.windowsupdate.com/.


6. PRISMA: Smartphone-Beschleunigungssensor zeichnet Tastatureingaben auf

Bewegungsmelder
Forschern ist es gelungen, ueber den Beschleunigungssensor eines
Android-Smartphones die Eingabe von Ziffern auf einem Ziffernblock zu
registrieren. Darueber berichtet Heise Security
http://www.heise.de/security/meldung/Beschleunigungssensor-spioniert-Smartphone-Tastatur-aus-1326115.html.
Je nachdem, welche Ziffer auf dem Smartphone beruehrt wird, misst der
Beschleunigungssensor eine andere Bewegung des Smartphones. Die von den
Forschern programmierte App kann diese Bewegung dann einer Ziffer
zuordnen. Das funktionierte in den Versuchen mit einer Genauigkeit von
rund 70 Prozent. Obwohl das Erkennen ueber den Beschleunigungssensor
bisher nur fuer Ziffern und nur auf Smartphones mit
Android-Betriebssystem funktioniert, konnten die Forscher das Potenzial
dieser Technik zeigen: Spionage-Apps und Websites koennten ohne
Erlaubnis des Smartphone-Anwenders dessen Eingaben aufzeichnen. Eine
englischsprachige Praesentation der Forschungsergebnisse gibt es auch
als Video zum Download
http://www.usenix.org/media/events/hotsec11/tech/videos/cai.mp4 (MP4;
54,7 MB).


7. PRISMA: Was tun bei Verlust des mobilen Endgeraetes?

Smartphone-Sicherheit
Auf Smartphones befinden sich oft vertrauliche Daten - manchmal
persoenliche, manchmal aber auch Unternehmensdaten, die auf keinen Fall
in falsche Haende geraten duerfen. Geht das Smartphone verloren, koennen
Privatpersonen und Unternehmen Massnahmen ergreifen, um diese Daten zu
schuetzen oder zu loeschen, raet das IT-Fachmagazin Computerwoche
http://www.computerwoche.de/security/2484575/. Diese umfassen etwa das
Fernsteuern des Smartphones, was spezielle Apps oder Server-Anwendungen
ermoeglichen. Auch koennten verlorene oder gestohlene Smartphones
mithilfe von Lokalisierungsdiensten geortet werden. Unternehmen sollten
zudem ein Endgeraetemanagement etablieren, mit dem sich alle
Unternehmens-Smartphones verwalten lassen, raet "Computerwoche". In
jedem Fall sei es wichtig, vertrauliche Daten auf Smartphones zu
verschluesseln. Weitere Informationen zur Sicherheit von Smartphones
bietet (in erster Linie fuer Unternehmen) auch die Broschuere "Mobile
Endgeraete und mobile Applikationen: Sicherheitsgefaehrdungen und
Schutzmassnahmen"
https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/MobilEndgeraete/mobile_endgeraete_pdf.pdf?__blob=publicationFile
des BSI.


8. PRISMA: Fast jeder fuenfte Deutsche ist nie im Internet

Internet-Verweigerer
Fast jeder fuenfte Deutsche zwischen 16 und 74 Jahren hat noch nie das
Internet genutzt. Das teilt das Statistische Bundesamt
http://www.destatis.de/jetspeed/portal/cms/Sites/destatis/Internet/DE/Presse/pm/2011/09/PD11__319__63931,templateId=renderPrint.psml
mit. Insgesamt waren 17 Prozent der Deutschen dieser Altersgruppe noch
nie online. In der Altersklasse 55 bis 74 Jahre sind es 42 Prozent. Es
sind also vor allem die aelteren Menschen, die wenig bis keine Erfahrung
mit dem Internet haben. Weniger Nicht-Surfer als in Deutschland gibt es
nur in Grossbritannien (13 Prozent), Finnland, Daenemark, Niederlande,
Luxemburg und Schweden (7 Prozent) sind weniger Menschen offline als in
Deutschland. Schlusslicht in der Liste der EU-27-Laender ist Rumaenien:
Hier haben 57 Prozent aller Einwohner zwischen 16 und 74 Jahren noch nie
das Internet genutzt.



-----------------------------------------------------------------------

Dieser Newsletter ist ein kostenloses Service-Angebot des Buerger-CERT.
Er erscheint im Abstand von 14 Tagen. Die Informationen werden vom
Bundesamt fuer Sicherheit in der Informationstechnik,
http://www.bsi.bund.de, mit groesster Sorgfalt recherchiert und
aufbereitet. Dennoch kann eine Gewaehr oder Haftung fuer die
Vollstaendigkeit und Richtigkeit nicht uebernommen werden.

Unter http://www.buerger-cert.de haben Sie die Moeglichkeit, den
Newsletter zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de