SICHER • INFORMIERT vom 22.11.2018

Ausgabe: 24/2018

Inhalt

 

Störenfriede—————–

1. Leak: Nutzerpasswörter bei Instagram im Klartext einsehbar 2. Phishing: Neue Methoden setzen auf Betrug per Telefon 3. Banking-Trojaner: Weiterentwickelte Variante von Trickbot im Umlauf

 

 

Schutzmaßnahmen—————–

4. Adobe: Sicherheitslücken in Photoshop und Flash Player 5. Microsoft: Patches für mehrere Programme stehen bereit 6. Google Chrome: Browser angreifbar 7. VMWare: Schwachstellen entdeckt

 

 

Prisma—————–

8. BSI-Studie „SiSyPHuS“: Analyse der sicherheitskritischen Funktionen in Windows 10 9. Log-in: Mehr Sicherheit durch Zwei-Faktor-Authentisierung 10. Smart Home: Richtlinie für mehr Router-Sicherheit 11. Digitale Seite: BSI stellt sich auf Jobmesse „bonding“ vor

 

Liebe Leserinnen, liebe Leser,

 

die Vorweihnachtszeit ist die Zeit der Besinnlichkeit und Einkaufslust. Im Internet locken Händler mit Rabatten, wie der Cyber-Monday-Woche, die aktuell und noch bis zum kommenden Montag, den 26. November stattfindet. Die Zahlmethode per hinterlegter Konto- oder Kreditkartendaten bietet Cyber-Kriminellen potenzielle Einfallstore. Zusätzlichen Schutz bietet Bürgerinnen und Bürger beispielsweise die Zwei-Faktor-Authentisierung beim Log-In oder Bezahlvorgang, die viele Online-Shops – meist versteckt – zusätzlich anbieten. Um online trotzdem beruhigt einkaufen zu können, zeigen wir in diesem Newsletter, worauf Sie gerade im Bereich Online-Shopping achten und wie Sie sich gegen Cyber-Kriminelle wappnen sollten.

 

Wir wünschen Ihnen eine spannende Lektüre.

 

Ihr Bürger-CERT-Team

 

 

—————————————————-

Störenfriede

 

 

1. Leak: Nutzerpasswörter bei Instagram im Klartext einsehbar

 

Auf Instagram ist es zu einer Datenpanne gekommen, wie Heise Online berichtet. Die Social-Media-Plattform ermöglicht es seinen Mitgliedern zwar, ihre Daten auf DSGVO-Konformität hin zu prüfen, doch während der Anmeldung beim betreffenden Tool „Download your data“ sei das Nutzerpasswort im Klartext in der Browser-URL zu sehen gewesen und ist demnach in dieser Form auch auf den Unternehmensservern gespeichert worden. Für Fremde war das Passwort offenbar nicht einsehbar; die Sicherheitslücke ist mittlerweile geschlossen. Betroffen waren laut Instagram nur wenige Nutzerinnen und Nutzer, die auch umgehend informiert worden seien. Um jedes Risiko auszuschließen, wird Instagram-Nutzern dazu geraten, ein neues Passwort zu vergeben.

 

Ein gut gewähltes, regelmäßig aktualisiertes Passwort ist grundlegend für die sichere Nutzung jeglicher Login-basierter Anwendungen im Netz. Was Bürgerinnen und Bürger bei der Wahl des Passwortes beachten sollten, hat BSI für Bürger hier zusammengestellt: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Passwoerter/passwoerter_node.html

 

Zur Meldung von Heise Online: Instagram: DSGVO-Tool verrät Nutzerpasswörter im Klartext: https://www.heise.de/security/meldung/Instagram-DSGVO-Tool-verraet-Nutzerpasswoerter-im-Klartext-4224308.html

 

 

2. Phishing: Neue Methoden setzen auf Betrug per Telefon

 

Zwischen Juli und September dieses Jahres machte Phishing die Hälfte aller registrierten Angriffsversuche aus. Das sind 70 Prozent mehr als noch im zweiten Quartal 2017. Das meldet ZDNet und beruft sich dabei auf einen aktuellen Bericht der Sicherheitsfirma RSA. Vermutlich handelt es sich dabei um eine Art Vorarbeit der Betrüger, um mit den so erbeuteten Daten insbesondere an den Shopping-Tagen Black Friday und Cyber Monday unter falschem Namen einzukaufen. Zusätzlich feilen die Kriminellen bereits an neuen Phishing-Methoden. Mit sogenanntem Vishing oder Voice Phishing versuchen sie per Telefon, zum Teil auch über automatisierte Sprachansagen, Informationen und Daten zu erbeuten. Zudem verleiten die Betrüger ihre Opfer mit „SEO-Poisoning“ und irreführenden Informationen dazu, selbst zum Hörer zu greifen. Beispielsweise verteilen sie auf tadellosen Webseiten, Online-Supportforen und Social Media falsche Telefonnummern.

 

Wie die Betrüger bei Phishing vorgehen und wie Sie sich schützen können, lesen Sie bei BSI für Bürger: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/SpamPhishingCo/Phishing/phishing_node.html#doc6596368bodyText3

 

Zur Meldung von ZDNet: RSA: Black Friday und Cyber Monday lösen Phishing-Welle aus: https://www.zdnet.de/88347311/rsa-black-friday-und-cyber-monday-loesen-phishing-welle-aus/

 

 

3. Banking-Trojaner: Weiterentwickelte Variante von Trickbot im Umlauf

 

Der seit einigen Jahren bekannte Malware Trickbot wurde offenbar weiterentwickelt. Ursprünglich war er ein reiner Banking-Trojaner. Nun greift die Schadsoftware neben Bankdaten auch Passwörter, Cookies, Browser-Historien und sogar Autofill-Informationen ab, berichtet com!professional. Die Kriminellen verbreiten Trickbot in der Regel per E-Mail. Will das Opfer die Excel-Datei im Anhang öffnen, erhält es eine Benachrichtigung, dass vor dem Download entsprechende Berechtigungen erteilt werden müssten. Im nächsten Schritt installiert die Malware ein weiteres Modul, mit dem die Kriminellen Passwörter, Anmeldedaten und weitere Informationen aus den Programmen Microsoft Outlook, Filezilla, WinSCP, Google Chrome, Mozilla Firefox, Internet Explorer und Microsoft Edge stehlen und ihre Malware stetig aktualisieren können.

 

Wie Schadprogramme funktionieren und warum man als Nutzerin oder Nutzer gerade Download-Dateien stets kritisch prüfen sollte, beschreibt BSI für Bürger hier: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/Schadprogramme/schadprogramme.html

 

Zur Meldung von com!professional: Banking-Trojaner Trickbot ist noch gefährlicher geworden: https://www.com-magazin.de/news/trojaner/banking-trojaner-trickbot-gefaehrlicher-1621050.html

 

 

—————————————————-

Schutzmaßnahmen

 

 

4. Adobe: Sicherheitslücken in Photoshop und Flash Player

 

Bei Adobe Flash Player wurde eine Schwachstelle geschlossen, die es ermöglicht, Informationen offenzulegen. Betroffen sind folgende Systeme: Adobe Flash Player, Adobe Flash Player for Chrome Users sowie Adobe Flash Player for Linux, die älter als Version 31.0.0.148 sind.

 

Auch bei Adobes Bildbearbeitungsprogramm Photoshop sollten Nutzerinnen und Nutzer Sicherheitsupdates umgehend durchführen. Andernfalls könnten Informationen offengelegt werden. Betroffen sind die Versionen Adobe Photoshop kleiner 19.1.7 sowie Adobe Photoshop kleiner 20.0.

 

Eine weitere Schwachstelle erlaubt das Ausführen von beliebigem Programmcode mit Benutzerrechten. Aufgrund der Kritikalität der Schwachstelle bietet Adobe hierfür außerplanmäßige Updates an. Bürger-CERT empfiehlt die zeitnahe Installation der vom Hersteller bereitgestellten Sicherheitsupdates, um die Schwachstellen zu schließen.

 

Lesen Sie die Warnmeldungen hier:

 

Adobe Flash Player: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0172.html

 

Adobe Photoshop: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0174.html

 

Adobe Flash Player: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0176.html

 

 

5. Microsoft: Patches für mehrere Programme stehen bereit

 

Microsoft hat zu seinem monatlichen Patch-Tuesday Sicherheitslücken in verschiedenen Systemen geschlossen. So stellt Microsoft für sein Betriebssystem Windows verschiedene Sicherheitsupdates bereit. Sie verhindern unter anderem, dass Kriminelle Cross-Site-Scripting-Angriffe durchführen, vertrauliche Daten einsehen oder ihre Privilegien erweitern können. Betroffen sind folgende Versionen: Microsoft Windows 10, Microsoft Windows 7 SP1, Microsoft Windows 8.1, Microsoft Windows RT 8.1, Microsoft Windows Server 2008 R2 for Itanium-based Systems Service Pack 1 SP2 sowie Microsoft Windows Server 2008 R2 Service Pack 1 SP2.

 

Zudem weisen Microsofts Office-Produkte Excel, Outlook sowie Word Sicherheitslücken auf. Verzichten Nutzerinnen und Nutzer auf die verfügbaren Updates, ermöglichen sie Angreifern beispielsweise, vertrauliche Daten einzusehen oder Schadcode zur Ausführung zu bringen. Der Internet Explorer ist wieder sicherer mit den Updates für die Versionen 9, 10 und 11, die größere Sicherheitslecks schließen. Für Microsoft Edge und ChakraCore liegen ebenfalls aktuelle Updates vor.

 

Alle Microsoft-Warnmeldungen finden Bürgerinnen und Bürger auf diesen Seiten:

 

Windows: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0171.html

 

Office: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0168.html

 

Internet Explorer: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0169.html

 

Edge/ChakraCore: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0170.html

 

 

6. Google Chrome: Browser angreifbar

 

Nutzerinnen und Nutzer, die mit Google Chrome vor Version 70.0.3538.110 surfen, sollten die jetzt verfügbaren Updates aufspielen. Andernfalls lassen sie Internet-Betrügern die Chance, nicht näher spezifizierte Angriffe auszuführen.

 

Die gesamte Meldung ist auf der Webpräsenz von Bürger-CERT nachzulesen: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0175.html

 

 

7. VMWare: Schwachstellen entdeckt

 

Bei der Virtualisierungssoftware VMWare gilt es, mehrere Lücken zu schließen. Betroffen sind die Versionen VMware ESXi 6.0, 6.5 und 6.7 sowie VMware Workstation 14.x und VMware Workstation 15.x. Wer nicht patcht, riskiert, dass Angreifer beliebigen Programmcode ausführen oder Informationen offenlegen.

 

Zur Meldung geht es hier: https://www.bsi-fuer-buerger.de/SharedDocs/Warnmeldungen/DE/TW/2018/11/warnmeldung_tw-t18-0166.html

 

 

—————————————————-

Prisma

 

 

8. BSI-Studie „SiSyPHuS“: Analyse der sicherheitskritischen Funktionen in Windows 10

 

Windows ist eines der meist genutzten Betriebssysteme – im geschäftlichen wie privaten Umfeld. Ein aktuelles Projekt des BSI widmet sich daher umfassenden Sicherheitsanalysen der sicherheitskritischen Funktionen in Windows 10. Der nun veröffentlichte erste Teil der Untersuchung analysiert die umfangreiche Sammlung von Nutzerdaten. Darauf aufbauend werden Empfehlungen entwickelt, wie das System von technisch affinen Nutzern möglichst sicher und die Privatsphäre der privaten wie geschäftlichen Nutzer schützend eingesetzt werden kann, bzw. welche Rahmenbedingungen hierfür erfüllt sein müssen.

 

Weitere Informationen zum Projekt SiSyPHuS Win 10 (Studie zu Systemintegrität, Protokollierung, Härtung und Sicherheitsfunktionen in Windows 10) des BSI können Interessierte auf der Webseite des BSI einsehen: https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/SiSyPHuS_Win10/SiSyPHuS_node.html

 

 

9. Log-in: Mehr Sicherheit durch Zwei-Faktor-Authentisierung

 

Ende November locken viele Online-Händler mit Rabattaktionen, wie am „Cyber Monday“. Bezahlt wird meist mit wenigen Klicks über bereits hinterlegte Konto- oder Kreditkartendaten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine aktuelle Spam-Welle mit Bezug zu den Aktionstagen registriert und weist daher auf die Bedeutung der Zwei-Faktor-Authentisierung hin, die zusätzlichen Schutz bieten kann. Hier geben Nutzerinnen und Nutzer nicht nur ein Passwort ein, sondern authentisieren sich noch über einen zweiten Faktor, beispielsweise mit einem Fingerabdruck oder die Eingabe einer über ein zweites Endgerät übertragenen PIN.

 

Was genau hinter diesem Login-Verfahren steckt und wie Bürgerinnen und Bürger sie für das Online-Banking nutzen können, hat BSI für Bürger zusammengefasst: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/Zwei_Faktor_Authentisierung/Zwei-Faktor-Authentisierung_node.html

 

Weitere Infos zum Thema Zwei-Faktor-Authentisierung in der Podcast-Reihe „Ins Internet – mit Sicherheit“ https://www.bsi.bund.de/SharedDocs/Audio/DE/BSIfB/2FA-zwei-faktor-authentisierung.html und der Video-Reihe „IT-Sicherheit verständlich erklärt“: https://www.bsi.bund.de/SharedDocs/Videos/DE/BSIFB/2FA-zwei-faktor-authentisierung.html

 

 

10. Smart Home: Richtlinie für mehr Router-Sicherheit

 

Das vernetzte Zuhause, auch Smart Home genannt, verschafft seinen Bewohnern zahlreiche Vorteile. Von automatischen Lichtanlagen über Alarmsysteme bis hin zu aus der Ferne steuerbaren Elektrogeräten gestalten sie den Alltag bequemer. Das Herzstück des smarten Zuhauses ist der Router. Hier laufen alle Informationen und Daten zusammen, die im Netzwerk oder über das Internet ausgetauscht werden. Wer Zugriff auf den Router hat, der hat oftmals auch Zugriff auf die privaten Daten. Um Unberechtigten den Zutritt zu verwehren, muss er gesichert werden. Nun hat das BSI die Technische Richtlinie „Secure Broadband Router“ (TR-03148) veröffentlicht. Sie richtet sich vor allem an die Hersteller von Breitband-Routern und definiert ein Mindestmaß an IT-Sicherheitsmaßnahmen, die für Router im Endkundenbereich umgesetzt sein sollten. Die Richtlinie stellt auch einen Schritt in Richtung eines IT-Sicherheitskennzeichens dar. Verbraucherinnen und Verbraucher sollen mit ihr die Möglichkeit erhalten, sich ein besseres Bild der Sicherheitseigenschaften der Geräte zu verschaffen.

 

Die gesamte Pressemitteilung können Sie hier nachlesen: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2018/TR-Router_16112018.html

 

An einigen Stellen wurde Kritik an dieser Technischen Richtlinie geäußert, wozu das BSI Stellung bezogen hat. Die Stellungnahme finden Sie hier: https://www.bsi.bund.de/DE/Presse/Kurzmeldungen/Meldungen/Reaktion_Router_21112018.html

 

 

11. Digitale Seite: BSI stellt sich auf Jobmesse „bonding“ vor

 

Besucherinnen und Besucher der Firmenkontaktmesse „bonding“ können sich vor Ort über das BSI als Arbeitgeber informieren. Die Messe findet vom 3. bis 5. Dezember 2018 in Aachen statt. Ein Team des BSI ist am Montag, den 3. Dezember am Stand D14 vertreten. Insgesamt 402 Firmen stellen auf der studentischen Firmenkontaktmesse aus. Abgesehen von dem Messeauftritt engagiert sich das BSI auf vielfältige Weise in der studentischen Nachwuchsförderung, etwa um IT-Nachwuchs im gehobenen Dienst zu fördern. So unterstützt es mit einem speziellen Förderprogramm für IT-Talente Bachelor-Studierende mit einer Beihilfe und garantiert ihnen im Anschluss an ihr Studium eine Festanstellung. Die Bewerbungsfrist für dieses Programm endet am 3. Dezember 2018.

 

Weitere Informationen zur bonding und dem Messestand des BSI vor Ort gibt es hier: https://aachen.firmenkontaktmesse.de/aussteller/

 

Details zur Studienförderungen für IT-Talente bieten die Karriereseiten des BSI: https://www.bsi.bund.de/DE/DasBSI/Jobs/Studierende/Studienfoerderung/studienfoerderung_node.html

____________________________________________________________________________________________________

Über den folgenden Link können Sie den Newsletter wieder abbestellen.

https://www.bsi.bund.de/BSIFB/DE/Service/Buerger-CERT/Newsletter/abbestellen/newsletter_abbestellen_node.html

Besuchen Sie uns auch auf:

https://www.bsi-fuer-buerger.de

https://www.facebook.com/bsi.fuer.buerger

https://www.twitter.com/BSI_Presse

 

 

Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn