Wenn Microsoft zweimal klingelt

Der Postmann war es nicht, aber angeblich Microsoft: Gestern hatte ich eine unbekannte Telefonnummer mit dänischer Vorwahl in der Telefonliste entdeckt. Heute hatte eine andere Nummer aus Dänemark angerufen und ich hatte mir die Zeit genommen den Anruf anzunehmen. Es ist der übliche Trick, dass sich der Anrufende als Microsoft-Mitarbeiter ausgibt und wegen einem Vorfall (Virenbefall usw.) versucht Zugriff auf den Rechner zu bekommen über ein Fernwartungs-Tool. Leider hatte ich gerade keine passende VM parat, um den angeblichen Microsoft-Mitarbeiter ein wenig zu ärgern :-)

Hier die beiden Nummern:

• +45 309954317
• +45 320390251

Vermutlich sind die aber gespoofed, ich werde sie aber trotzdem bei mir sperren. Da meine Festnetznummer nicht im Telefonbuch steht, ist die Frage woher sie diese Nummer haben. Entweder geistern irgendwo im Darknet Datensätze mit meinen Kontaktdaten oder sie probieren einfach Blöcke mit Telefonnummern durch.

Es gibt mittlerweile genügend Hinweise im Internet über diese Betrugsmasche, auch direkt von Microsoft: Warnung: Betrüger geben sich als Microsoft-Mitarbeitende aus. Also weiterhin wachsam sein und aufpassen - Holzauge sei wachsam!

Mirai Botnet Tracker

Zwei Sicherheitsforscher haben einen Botnet-Tracker-Dienst eingerichtet (via Twitter oder Website erreichbar). Passend dazu aus heise online: Kriminelle bieten Mirai-Botnetz mit 400.000 IoT-Geräten zur Miete an.

Und laut einem anderen Sicherheitsforscher dauerte es 98 Sekunden bis zur Infektion als er in einem speziellen Versuchsaufbau eine IP-Kamera an das Internet angeschlossen hatte (98 Sekunden bis zur Infektion: IoT-Botnetz im Selbstversuch).

Was lehrt uns das? Einfach blind alles an das Internet und an irgendwelche Clouddienste anschließen, hilft bestimmt, wenn man Teil eines weltweiten Botnetzes sein möchte.

You have been pwned

Es kam mir schon etwas merkwürdig vor, dass nach einer Mail von no-reply@dropboxmail.com man seine Passwort ändern soll, wenn dies vor 2012 erstellt worden ist. Ich dachte zuerst, dass dies eine Phishing-Mail sei, aber diese war zur Abwechslung echt. In der Mail steht noch, dass man zu einer Passwortänderung aufgefordert wird, wenn man sich das nächste Mal einloggt. Eine Forderung zur Passwortänderung kam aber nicht bei der nächsten Anmeldung, so dass ich annahm, dass alles ok sei. Erst durch den heise-online-Artikel Gestohlene Dropbox-Passwörter offenbar echt und den Link auf https://haveibeenpwned.com/ konnte ich feststellen, dass sich wohl mein Passwort tatsächlich in der DB der gestohlenen Passwörter von Dropbox befindet. Zum Glück benutze ich eigentlich Dropbox nicht und habe eine eigene Mailadresse und ein spezielles Passwort dafür, von daher ist das weniger schlimm, aber trotzdem ärgerlich,

In dem Zuge bin ich dann auch darauf gekommen, dass vermutlich meine alten Last.fm-Zugangsdaten ebenfalls in dunklen Kreisen zirkulieren (heise-online: Erbeutete Daten von Last.fm-Kunden kursieren offenbar im Netz), nachdem an diese von mir eigentlich nicht mehr genutzte Mailadresse in letzter Zeit öfters Spam-Mails kamen.

Links dazu: 

• Gestohlene Dropbox-Passwörter offenbar echt
• Erbeutete Daten von Last.fm-Kunden kursieren offenbar im Netz
• ';--have i been pwned?

Dauerhafte Anmeldung bei Facebook

Facebook hat vor kurzem die Option abgeschafft, dass man nicht dauerhaft angemeldet bleiben möchte. Dies scheint leider niemanden weiter groß zu stören. Abgesehen davon, dass diverse andere Websites mich darüber "verfolgen" können über die Facebook-Kekse, diverse Click-Jacking-Attacken möglich sind und man sich jedesmal bewusst manuell abmelden muss, scheint dies wohl für die Mehrheit kein Problem darzustellen (O-Ton: Ich habe ja nichts zu verbergen). Mir aber geht das gehörig auf den Cookie/Keks!

Privacy Option abgeschafft beim Firefox?

Offensichtlich gab es in den letzten Firefox-Versionen eine Änderung in den Privacy Einstellungen. Ich hatte hier bisher immer beim Punkt Accept third-party cookies den Eintrag ask me every time ausgewählt, da ich selbst bestimmen wollte, wer von mir einen Keks bekommt und wer nicht. Mit Erstaunen sah ich bei der Überprüfung der Optionen nach dem aktuellen Update, dass es diese Option nicht mehr gibt. Im Nachhinein fiel mir dann auch ein, dass ich schon länger nicht mehr gefragt wurde, ob ich Kekse temporär/dauerhaft/nie zulassen will für eine Website. Meine Begeisterung hält sich in Grenzen. Wahrscheinlich wurde diese Option in einer der Firefox 40er Versionen abgeschafft.

Handcraft patched bash fixed ShellShock

• Source code of bash 4.3
• bash 4.3 patches (apply all of them)

handcraft patched bash 4.3.25(1)

Sinn und zweck einer Firewall

Wenn eine Firewall (im IT-technische Sinn) wörtlich genommen wird (als Feuerschutzwand), dann kann leicht das hier herauskommen:

Diese lagen heute morgen auf meinem Schreibtisch, frisch aus Dahej, Indien eingetroffen. Ursprünglich hiess es, dass die Firewalls defekt wären. Auf meine Nachfrage, was denn defekt sei (um beim Hersteller einen Austausch/RMA zu bekommen), bekam ich leider keine Antwort. Als ich darum darum, dass diese mir geschickt werden, um mir den Defekt näher anschauen zu können, wusste ich noch nicht, was mich hier erwartet. Die Dinger können direkt in die Recycling-Tonne und sind  wohl eher was für die Kundenversicherung, falls vorhanden.

Informationen über NTP-basierte DoS Angriffe

Da ich in den letzten Tagen vermehrt mit NTP-basierten DDoS-Angriffen zu tun hatte, hier ein paar Infos und Links zu dem Thema (NTP DoS reflection attacks):

• NTP DoS reflection attacks
• Understanding and mitigating NTP-based DDoS attacks
• NTP-Reflection: Cloudflare meldet massiven DDoS-Angriff
• Secure NTP Template

Thoughts about BSD-derived Telnet Daemon and IronPort

Since end of December 2011 a classical buffer overflow was detected for BSD-derived Telnet Daemons, some people were curious if the IronPort/Cisco telnetd will be prone to the same vulnerability. Since I knew that the IronPort operating system (AsyncOS) is somehow BSD based the chance would be great. hdmoore from Rapid7 (to which Metasploit belongs) acknowledged that the telnetd is a stock FreeBSD telnetd and the exploit for the BSD telnetd of Metasploit is working on IronPort's AsyncOS. But since this isn't a really security hole (every common-sense IronPort administrator should have disabled telnet, shouldn't he?), this exploit is a good way to explore the world of AsyncOS until IronPort/Cisco will fix it. I tried the exploit with Metasploit and it works smooth out of the box. And I was astonished that AsyncOS is really a stock FreeBSD system with some special adaptions for mail and security (I only write of the ESA - email security appliance, but I think this will lalso work for the WSA - web security appliance). But I didn't manage to setup a user with root shell (e.g. with ssh logins), the IronPort guys have done a good job with hardening the OS. But maybe my FreeBSD skill are to limited to get it and/or I am only a poor hacker.

SecurID-Token ohne Sicherheitslücken

Eine sicherlich sinnvolle Verwendung von RSA SecurID-Tokens!

(gefunden bei: Mach flott den Schrott)

THC-SSL-DoS

Vorhin hatte ich kurz Gelegenheit das neue Denial-of-Service-Tool anzutesten (heise Security: Neues Denial-of-Service-Tool legt verschlüsselnde Server lahm):

top - 13:49:46 up 23:09,  1 user,  load average: 33.01, 15.90, 6.27
Tasks: 129 total,  18 running, 111 sleeping,   0 stopped,   0 zombie
Cpu(s): 97.4% us,  1.7% sy,  0.0% ni,  0.0% id,  0.0% wa,  0.0% hi,  1.0%
si
Mem:    515980k total,   432760k used,    83220k free,   141592k buffers
Swap:   530104k total,        0k used,   530104k free,    90688k cached

  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
11717 wwwrun    16   0 32268  12m 8812 S  2.0  2.4   0:03.75 httpd2-prefork
11668 wwwrun    16   0 32392  12m 8840 S  1.6  2.4   0:05.85 httpd2-prefork
11709 wwwrun    16   0 32268  12m 8820 S  1.6  2.4   0:04.10 httpd2-prefork
11713 wwwrun    16   0 32268  12m 8816 S  1.6  2.4   0:03.70 httpd2-prefork
11734 wwwrun    16   0 32268  12m 8812 S  1.6  2.4   0:03.95 httpd2-prefork
11740 wwwrun    16   0 32268  11m 8812 S  1.6  2.4   0:03.43 httpd2-prefork

(thc-ssl auf VM gegen Apache2 mit mod_ssl auf P3)

Ihre Kreditkarte wird ausgesetzt

Ach herrje, jetzt hat es mich auch erwischt: Meine Kreditkarte von Sparkasee wurde "ausgesetzt" (ich dachte immer, dass es Aussetzen nur im Bundestag unter Kohls Ära gab). An der Mail hängt interessanterweise eine ZIP-Datei, in welcher sich die HTML-Datei "Erstellen Sie Ihren Code fur MasterCard SecureCode oder Verified by VISA .html" befindet. Die HTML-Datei führt dann zu dem Server mit der IP 174.140.171.37, welcher irgendwo in den USA bei "DirectSpace Networks, LLC. DSNETWORKS-001" gehostet wird. Blöd nur für die Phisher, dass der Server nicht antwortet auf HTTP-Anfragen. Vielleicht wurde er schneller abgeschaltet, als die Phishing-Mail unterwegs war und den Phishern lieb sein dürfte. Die Mail an an sich ist im normalen Text codiert und nicht in HTML (wie das heute leider so unnötigerweise überhand nimmt), lediglich der Anhang im ZIP-Format ist eine HTML-Datei. Man muss aber schon aktiv diesen Anhang anklicken, um dann die HTML-Datei anzusehen und damit auf den Phishingserver umgeleitet zu werden. Hier noch der Original Wortlaut der Mail:

Date: Thu, 22 Sep 2011 15:08:25 +0200
From: Sparkasee 
To: support@she.net
Subject: Ihre Kreditkarte wird ausgesetzt.
Parts/Attachments:
   1 Shown     29 lines  Text
   2          1.3 KB     Application
----------------------------------------

Sehr geehrte Sparkasse Card,

Ihre Kreditkarte wird ausgesetzt, weil wir gemerkt haben, haben
Sie nicht Aktivieren Sie Verified by Visa - MasterSecure Code.

Aktivieren Sie Verified by Visa - MasterSecure Code, um Sie gegen
unbefugtes Einkaufe, wenn shoppin Online schnell und einfach.

Zu Ihrem Schutz haben wir Ihre Kredit Warenkorb ausgesetzt. 
So aktivieren Sie Ihre Karte herunterladen Befestigung und
das Formular ausfullen und folgen Sie den Anweisungen zur Aktualisierung
Ihre Kreditkarte.

Hinweis: Wenn nicht von 20 September 2011 abgeschlossen ist,
werden wir gezwungen sein, Ihre Karte, weil sie für betrugerische
Transaktionen verwendet werden konnen.

Bitte laden Sie herunter und entpacken Sie das Formular im Anhang
dieser E-Mail und öffnen Sie sie in einem Web-Browser.

Wir bedanken uns für Ihre Kooperation in dieser Angelegenheit.


sparkasse.de 2011   Alle Rechte vorbehalten. Vervielfaltigung nur
mit Genehmigung der Sparkassen-Finanzportal GmbH.
sparkasee@sparkasse-heidelberg.de

Die Mail kam übrigens aus Chile von der IP-Adresse 200.55.216.180.

Zugemacht

Dass manche Internet- provider Angst haben, weil momentan das Chaos Computer Camp 2011 in Finowfurt stattfindet, kann ich ja noch verstehen. Dass dann aber Provider genau zu diesem Zeitpunkt nicht nur ihre Router zumachen, sondern auch noch Verbindungen zu den Kundensystemen dahinter kappen ohne darüber zu informieren, da hört bei mir das Verständnis auf. Da hat wohl jemand die Hose ziemlich vollgehabt und ein wenig überreagiert. Und der CCC muss als Ausrede für Unfähigkeit herhalten!

25 Jahre Computerviren: Mikko Hyppönen: Fighting viruses, defending the net

Ich kann mich dunkel an eine alte DOS 3.3 Diskette erinnern, die noch irgendwie zuhause ihr verseuchtes Dasein fristet. Mal kruscheln, ob ich die noch irgendwo finde.

(Linktipp via bebal)

Scan as Scan can

 Nachdem das gute und bewährte Knoppicilin als Live-Virenscanner-CD einer neueren Version mit dem neuen Namen Desinfec't letztes Jahr weichen musste, machte sich doch leichter Unmut breit, da Desinfec't sich doch irgendwie mehr wie "Defec't" anfühlte (Scanner konnten nicht gestartet werden, Updates funktionierten nicht, teilweise Totalabsturz des Systems - und das bei Linux!). Auf der Suche nach einer Alternativen. Bei dieser Suche bin ich dann auch auf das Projekt SARDU (Multi-boot CD /DVD and USB) gestossen, welches einen interessanten Eindruck macht. Eine Multiboot CD/DVD mit allen möglichen Live-CDs inkl. 10 Rettungssysteme/Live-CDs von namhaften AV-Herstellern? Das klingt doch schon fast wieder zu gut.

Hacking in Action

Aktuell auf SecurityTube zu finden: Metasploit Megaprimer Teil 1 bis 16.

Got root: DLL-Hijacking

Wie vor einigen Tagen von HD Moore veröffentlich, zieht momentan die neu entdeckte DLL-Sicherheitslücke in Windows grössere Kreise. Wer gerne sehen möchte, wie man diese Lücke ausnutzt, kann sich dies hier in einem netten Video anschauen:

(KB: We can't fix this one - Microsoft DLL Hijacking Exploit from Offensive Security on Vimeo)

We've got root!

Trüber Fischer: Blick auf Skipfish

Heise online hat einen Blick auf Googles Skipfish (ein Web-App-Scanner) geworfen: Im Trüben fischen: Ein erster Blick auf Googles Web-Application-Scanner Skipfish. Im wesentlichen decken sich die Tests mit meinen eigenen kurzen Tests: Das Ding ist höllenschnell, kann aber schwachbrüstige Webserver lahmlegen durch zuviele Anfragen und erzeugt ziemlich viel Netzwerkverkehr. Und durch die vielen False-Positive-Meldungen ist das Teil auch nicht so richtig brauchbar, da dadurch wieder zuviel Handarbeit anfällt. Vielleicht bessert sich das ja in einer der nächsten Versionen.

Weltmarktführer

Es ist schon ein merkwürdiges Gefühl, die Werbung für diesen Film zu sehen Weltmarkführer - Die Geschichte des Tan Siekmann, wenn man bedenkt, dass ich vor Urzeiten auch mal in deren Firmenhallen weilte (für eine Schulung) auf einer Burg in Nordhessen und seither Biodata autorisierter Firewall Trainer (BAFT) Nr. 96-125 bin. Tan Siekmann ist in der Zeit auch schon mal extra zu mir in die Firma eingeflogen (mit eigenem Flugzeug) wegen eines Großkundenprojektes.

Gestolpert bin darüber über den heise Artikel Zehn Jahre Dotcom-Bust: Als die Blase platzte, in dem Biodata eben auch Erwähnung findet. Den Film selbst habe ich noch nicht gesehen, kann mir also darüber auch kein Urteil erlauben.

Vodafone verteilt Schadsoftware

Wer sich über Vodafone das Smartphone HTC Magic bestellt, sollte momentan aufpassen, da Vodafone dieses mit dem Trojaner vorinstalliert ausliefert, welcher sich dann auf allen PCs verteilt, an denen das Smartphone angeschlossen wird. Und der heimische PC wird dadurch Mitglied des Mariposa Botnet: Vodafone distributes Mariposa botnet. Auch wenn das Mariposa Botnet schon am 3.3.2010 dicht gemacht wurde, wirft die Auslieferung des Smartphones mit einem Trojaner ein eher merkwürdigs Bild auf die Qualitätssicherung von Vodafone. Passend dazu auch der heutige Artikel von heise online: Der Smartphone-Bot, der mit dem App-Update kam. Smartphones liefern eine neue und zusätzliche Klasse der Sicherheitsgefährdung.

Und wer nun meint, mit einem "einfachen" Handy wäre er sicherer, der sollte sich den Bericht aus der Fernsehsendung [W] wie Wissen Der gläserne Handy-Nutzer anschauen (dies ist zwar nun nichts Neues, aber ab und an müssen die Leute wohl auch wieder daran erinnert werden).

---

Nachtrag vom 10.03.2010: Nun auch bei heise: Vodafone Smartphone ab Werk mit Bot Mariposa.