HiSolutions Cybersecurity Digest Mai 2024
GPS Jamming in Europa
Liebe Leserin, lieber Leser,
Im letzten Monat hat uns die Berichterstattung über die xz-Backdoor gezeigt, dass auch kleine unscheinbare Bibliotheken das Potenzial haben, großen Schaden anzurichten. Diesen Monat hat uns die Berichterstattung über aktuelles GPS-Jamming sensibilisiert, dass auch "Immer-Da"-Dienste (ubiquitäre Basisdienste) nicht für gegeben hingenommen werden können.
Die Themen dieser Ausgabe sind:
- GPS Jamming in Europa
- Default-Konfig
- Schwachstellen in Microsoft Defender und Kaspersky EDR ermöglichen Dateilöschung aus der Ferne
- Dropbox, Inc. meldet Cybersecurity-Verletzung: Unautorisierter Zugriff auf Dropbox-Sign-Nutzerdaten
- Urteile gegen Cyber-Kriminelle
- Chinesische Smartphone-Tastaturen: Sicherheitslücken und Spionagegefahr
- Seitenkanal des Monats
Wir wünschen Ihnen viel Spaß beim Lesen – Ihr Feedback ist wie immer herzlich willkommen!
Mit besten Grüßen
Holger von Rhein
GPS Jamming in Europa
Durch aktuelle Vorkommnisse von GPS-Jamming und GPS-Spoofing wurde uns mal wieder vor Augen geführt, dass auch ubiquitäre Basisdienste ein Risiko beinhalten.
Erinnern wir uns zunächst daran, was GPS (Global Positioning System) eigentlich ist: Eine Vielzahl von Satelliten, die gleichmäßig über den Globus verteilt sind, senden in sehr kurzen Abständen ihre Position und die aktuelle Uhrzeit. Am Boden befinden sich Empfänger, die aus den Signalen von mindestens vier Satelliten ihre eigene Position bestimmen können. Als Nebeneffekt kennt der GPS-Empfänger auch die aktuelle Uhrzeit. Schutzmaßnahmen gegen gezielte Störungen sind in der zivilen Verwendung nicht vorgesehen.
Wie bei jedem Funksignal gibt es zwei grundlegende Angriffsarten: Jamming und Spoofing. Beim Jamming wird ein Störsender aufgebaut, der ein stärkeres Signal aussendet als die regulären Sender. Dieser sendet dann wahlweise ein Rauschen oder gezielte Signale aus, um nur bestimmte Elemente des ursprünglichen Signals zu überlagern. Beim Spoofing werden sogenannte Fake-Sender aufgebaut, die sich als reguläre Sender ausgeben, aber Signale senden, die einem eigenen Zweck dienen.
Neben GPS funktionieren diese Angriffe vom Prinzip her z. B. auch bei Mobilfunk, Wifi, Bluetooth und DECT. Der eine oder andere Funkstandard ist auf der Netzwerk- oder Transportschicht mit Maßnahmen zur Spoofing-Erkennung ausgestattet, die es dem Fake-Sender erschweren, sich als regulärer Sender auszugeben. Da GPS nicht über solche Maßnahmen verfügt, behelfen sich die GPS-Empfänger mit einem Ausreißertest, bei dem Signale, die zu stark von den anderen Signalen abweichen, aussortiert werden. Wenn es aber mehr falsche als richtige Sender gibt, werden die richtigen aussortiert. Manche GPS-Empfänger verwerfen daher alle GPS-Signale, wenn zu viele Ausreißer vorhanden sind. Die Folge ist, dass dann die eigene Position nicht mehr über GPS bestimmt werden kann.
Darüber hinaus könnten GPS-Empfänger statt Rundstrahlantennen auch Richtfunkantennen verwenden und diese so ausrichten, dass sich Fake- oder Jamming-Sender immer über dem GPS-Empfänger befinden müssten. Dies könnte dann aber immer noch mit Drohnen oder satellitengestützten Fake-Sendern überlistet werden.
Wenn man sich das anschaut, wird schnell klar, dass der Angriff auf GPS möglich, aber nicht billig ist. Und so hat sich GPS zu einem ubiquitären Basisdienst entwickelt und findet Einsatz
- in der Landwirtschaft, um die exakte Position von Traktoren und anderen landwirtschaftlichen Maschinen zu bestimmen
- im Umweltschutz und in der Forschung, um Tierbewegungen zu verfolgen, Ökosysteme zu kartieren und Umweltveränderungen zu überwachen,
- im Flottenmanagement, um Firmen-Fahrzeuge zu verfolgen, Routen zu optimieren und die Auslieferung von Waren zu verbessern,
- beim Sport und Fitness in Wearables wie Smartwatches und Fitnesstrackern, um Aktivitäten wie Laufen, Radfahren und Wandern aufzuzeichnen,
- beim Geocaching, um an bestimmten Koordinaten versteckte Behälter zu finden,
- in der Zeit- und Frequenzsynchronisation als Referenz für genaue Zeit- und Frequenzmessungen,
- bei Bauprojekten und der Vermessung, um Baustellen zu planen, Maschinen zu steuern und Gebäude genau zu vermessen
und vieles mehr.
Nur wenige Organisationen planen Alternativen für den Fall, dass GPS ausfällt. Ein Beispiel ist ein Flughafen in Estland: hier war eine GPS-gesteuerte Landung der Flugzeuge notwendig. In der Umgebung sind jedoch GPS-Störsender aktiv. Es wird allgemein vermutet, dass in diesem Fall Russland der Verursacher ist und die GPS-Störung/-Manipulation Teil der hybriden Kriegsführung ist.
https://www.zeit.de/digital/2024-05/gps-jamming-estland-russland-flugverkehr-infrastruktur
Dachte man am Anfang noch, dass sich niemand die Mühe machen wird, so hat man nun einen Kollateralschaden, weil keine Alternativen vorbereitet wurden. Dies sollte jedem eine Warnung sein, der auch bei sich ubiquitäre Basisdienste einsetzt, ohne eine Risikoabschätzung gemacht zu haben, als Kollateralschaden zu enden. Wer betrachtet denn z. B. seine Cloud-Dienstleister als ubiquitäre Basisdienste?
Default-Konfig
Wer kennt es nicht: ein neues System, eine neue Anwendung, eine neue Komponente. Und weil der Hersteller ein lauffähiges Produkt ausliefern möchte, ist es schon mal vorkonfiguriert – aber nicht wie der Anwender vielleicht denkt, maximal sicher, sondern funktional. So ist der Log-in erst mal „admin/admin“ und die Erreichbarkeit auf „jeder“ eingestellt. Mit den richtigen Suchmaschinen lassen sich solche Installationen auch leicht ausfindig machen.
Solche Fehler können entweder harmlos sein, weil zum Glück noch ein Perimeter-Schutz das Schlimmste verhindert hat oder teuer werden, weil man seinen AWS S3 Bucket öffentlich les- und schreibbar gemacht hat.
Das Vereinigte Königreich hat das Thema Standardpasswörter nun gesetzlich geregelt. Die Verwendung von Standardpasswörtern für IoT-Geräte (Internet of Things) wurde verboten. IoT-Geräte sind vernetzte Geräte, die in unserem Alltag immer häufiger anzutreffen sind, wie z. B. Smart-Home-Geräte, Kameras, Babyphones und andere intelligente Geräte. Hersteller von IoT-Geräten müssen sicherstellen, dass ihre Produkte bei der erstmaligen Verwendung ein individuelles Passwort erfordern, anstatt ein voreingestelltes Standardpasswort zu verwenden. Dieser Schritt soll die Sicherheit von IoT-Geräten erhöhen und die Anfälligkeit für einen unbefugten Zugriff verringern. Standardpasswörter sind oft leicht zu erraten oder werden von Angreifern anhand bekannter Listen ausgetestet. Die Verwendung individueller Passwörter erhöht die Sicherheit und minimiert das Risiko von Datenschutzverletzungen. Die Einführung dieses Gesetzes ist eine Reaktion auf die wachsenden Sicherheitsbedenken im Zusammenhang mit vernetzten Geräten.
https://thehackernews.com/2024/04/new-uk-law-bans-default-passwords-on.html
Schwachstellen in Microsoft Defender und Kaspersky EDR ermöglichen Dateilöschung aus der Ferne
Forscher von SafeBreach haben Schwachstellen in Sicherheitsprodukten von Microsoft und Kaspersky entdeckt, die es ermöglichen, Dateien aus der Ferne zu löschen. Die Schwachstellen betreffen Microsoft Defender und Kasperskys Endpoint Detection and Response (EDR). Beide Programme verwenden Byte-Signaturen, um Malware zu erkennen. Die Forscher haben eine Methode entwickelt, um Falsch-Positive-Indikatoren für schädliche Dateien zu erzeugen und diese dann von EDR löschen zu lassen. Dies könnte dazu führen, dass Datenbanken oder virtuelle Maschinen aus der Ferne gelöscht werden. Das Löschen der Dateien durch EDR kann nach Angaben der Forscher nicht rückgängig gemacht werden. Die genauen Auswirkungen dieser Schwachstellen sind noch unbekannt, da die Forscher aus Angst vor den möglichen Folgen keine umfassenden Tests durchgeführt haben.
Byte-Signaturen sind eindeutige Sequenzen von Bytes in Dateien. Die Forscher haben eine Methode entwickelt, um diese Signaturen in legitime Dateien einzufügen und EDR dazu zu bringen, diese Dateien als infiziert zu erkennen. Wenn EDR so konfiguriert ist, dass infizierte Dateien gelöscht werden, kann dies dazu führen, dass ganze Datenbanken oder virtuelle Maschinen remote gelöscht werden.
https://www.theregister.com/2024/04/22/edr_attack_remote_data_deletion/
Dropbox, Inc. meldet Cybersecurity-Verletzung: Unautorisierter Zugriff auf Dropbox-Sign-Nutzerdaten
Am 01.05.2024 gab Dropbox, Inc. bekannt, dass ein unautorisierter Zugriff auf die Produktionsumgebung von Dropbox Sign (ehemals HelloSign) stattgefunden hat. Weitere Untersuchungen ergaben, dass der Angreifer auf Daten aller Dropbox-Sign-Nutzer wie E-Mail-Adressen und Benutzernamen sowie auf allgemeine Kontoeinstellungen zugreifen konnte. Bei einigen Nutzern wurden auch Telefonnummern, gehashte Passwörter und bestimmte Authentifizierungsinformationen wie API-Schlüssel, OAuth-Token und Multi-Faktor-Authentifizierung kompromittiert. Bisher gibt es keine Hinweise darauf, dass der Angreifer Zugriff auf Inhalte der Benutzerkonten wie Verträge oder Vorlagen oder auf Zahlungsinformationen hatte. Die Untersuchung ist noch nicht abgeschlossen, aber es gibt keine Anzeichen dafür, dass andere Dropbox-Produkte betroffen sind.
https://www.board-cybersecurity.com/incidents/tracker/20240501-dropbox-inc-cybersecurity-incident/
Urteile gegen Cyber-Kriminelle
Sodinokibi/REvil Affiliate wegen seiner Rolle in 700-Millionen-Dollar-Ransomware-System verurteilt
Ein ukrainischer Staatsbürger wurde zu 13 Jahren und sieben Monaten Haft und zur Zahlung von mehr als 16 Millionen US-Dollar Schadensersatz verurteilt. Er war an mehr als 2.500 Ransomware-Angriffen beteiligt und forderte mehr als 700 Millionen US-Dollar Lösegeld. Gerichtsdokumenten zufolge führte Yaroslav Vasinskyi, auch bekannt als „Rabotnik, 24“, Tausende Ransomware-Angriffe mit der Variante Sodinokibi/REvil durch.
https://www.justice.gov/opa/pr/sodinokibirevil-affiliate-sentenced-role-700m-ransomware-scheme
Operation PANDORA schließt 12 -Callcenter für Telefonbetrug
Am 18.04.2024 führten deutsche, albanische, bosnisch-herzegowinische, kosovarische und libanesische Polizeikräfte eine Razzia in zwölf Callcentern durch, die als Quelle Tausender täglicher Betrugsanrufe identifiziert wurden. Dabei wurden 21 Personen festgenommen und ein kriminelles Netzwerk zerschlagen, das Tausende von Opfern mit verschiedenen Methoden betrogen hatte. Die Methoden reichten von schockierenden, falschen Polizeianrufen über manipulierende Anlagebetrügereien bis hin zu herzzerreißenden Liebesbetrügereien. In Deutschland wurden im Rahmen der Operation PANDORA umfangreiche Ermittlungen durchgeführt, die zur Identifizierung von 39 Verdächtigen führten.
Chinesische Smartphone-Tastaturen: Sicherheitslücken und Spionagegefahr
Chinesisch, eine Sprache mit Zehntausenden von Schriftzeichen, von denen mehr als etwa 4.000 gebräuchlich sind, stellt eine besondere Herausforderung für die Tastatureingabe dar. Im digitalen Zeitalter wurde hierfür eine Reihe unterschiedlicher Tastatursysteme entwickelt. Im Idealfall ermöglichen diese kreativen Ansätze für die digitale Eingabe die einfache Phonetisierung und Transliteration einer hochkomplexen Sprache über ein kompaktes, oft QWERTY-artiges Tastaturformat.
Eine neue Studie zeigt, dass praktisch alle beliebten chinesischen Smartphone-Tastaturen anfällig für Spionage und Lauschangriffe sind. Obwohl einige spezifische Fehler behoben wurden, deuten die Ergebnisse darauf hin, dass die weltweit entwickelten Systeme größere Schwachstellen aufweisen. App-Entwickler sollten sich bewusst sein, dass die von chinesischen Nutzern in ihre Apps eingegebenen Daten jahrelang ungeschützt waren.
https://spectrum.ieee.org/amp/chinese-pinyin-keyboard-software-exploits-2667871162
Seitenkanal des Monats
Die Cloud-Computing-Landschaft hat sich in den letzten Jahren erheblich weiterentwickelt und verschiedene Sandboxes eingeführt, um den unterschiedlichen Anforderungen moderner Cloud-Anwendungen gerecht zu werden. Zu diesen Sandboxen gehören containerbasierte Technologien wie Docker und gVisor, microVM-basierte Lösungen wie Firecracker und sicherheitsorientierte Sandboxen auf der Grundlage von Trusted Execution Environments (TEEs) wie Intel SGX und AMD SEV. Die Praxis, mehrere Clients auf einer gemeinsamen physischen Hardware zu platzieren, wirft jedoch Sicherheits- und Datenschutzbedenken auf, insbesondere im Hinblick auf Seitenkanalangriffe. So wurde die Möglichkeit untersucht, Container über CPU-Frequenzsensoren in Intel- und AMD-CPUs mit Fingerabdrücken zu versehen. Eine wichtige Voraussetzung für diesen Angriff ist, dass die aktuelle CPU-Frequenzinformation von Angreifern im Userspace abgerufen werden kann. Docker-Images weisen eine eindeutige Frequenzsignatur auf, die es erlaubt, verschiedene Container mit einer Genauigkeit von bis zu 84,5 % zu unterscheiden, selbst wenn mehrere Container gleichzeitig auf verschiedenen Kernen laufen. Die empirischen Ergebnisse zeigen, dass diese Angriffe auch gegen die Sandboxen gVisor von Google, Firecracker von AWS und TEE-basierte Plattformen wie Gramine (mit Intel SGX) und AMD SEV in weniger als 40 Sekunden mit einer Genauigkeit von über 70 % erfolgreich durchgeführt werden können. Eine auf Rauschinjektion basierende Gegenmaßnahme kann den vorgeschlagenen Angriff in Cloud-Umgebungen entschärfen.
Schulung zum BSI-BCM-Praktiker | 04.-07.06.2024 | remote
In einer vernetzten Welt sind Institutionen – von Behörden bis zu Unternehmen jeder Größe – zunehmend komplexen Risiken ausgesetzt. Betriebsunterbrechungen, Notfälle und unerwartete Krisen können schwerwiegende Auswirkungen haben. Deshalb ist ein robustes Business Continuity Management (BCM) unerlässlich.
Unsere Schulung zum BCM-Praktiker vermittelt fundierte Kenntnisse und praktische Kompetenzen, um BCM-Strategien zu entwickeln, zu implementieren und effektiv zu steuern – und so die Resilienz Ihrer Institution zu stärken.
Der inhaltliche Aufbau der viertägigen Schulung orientiert sich am Curriculum des BSI und wird von unseren erfahrenen BCM-Experten mit vielen Best Practices angereichert.
Die Schulung schließt mit einer Prüfung ab, die den individuellen Lernfortschritt überprüft. Mit Bestehen erhalten Teilnehmende ein BSI-Zertifikat zum BCM-Praktiker.
https://www.hisolutions.com/security-consulting/academy#c13049
Kompetenztraining Stabsarbeit | 06.06.2024 | Berlin
Die Mitglieder eines Krisenstabs sehen sich in Krisenlagen besonderen und zum Teil individuellen Herausforderungen gegenüber, die im Arbeitsalltag selten anzutreffen sind. Unklare Informationslagen, hohes Kommunikationsaufkommen und enormer Entscheidungsdruck sind dabei ebenso typische Gegebenheiten wie das anspruchsvolle Zusammenarbeiten verschiedener Persönlichkeiten in einer besonderen Bewältigungsorganisation. Diese Umstände erfordern neben organisatorischen Maßnahmen des Krisenmanagements auch gesonderte Kompetenzen der Stabsmitglieder. Ebendiese lassen sich schulen, indem die Funktionsträger aus ihrem Alltag herausgezogen und in Krisenlagen versetzt werden. So können sie wertvolle, praxisnahe Erfahrungen sammeln und sich auf den konkreten Ereignisfall vorbereiten.
In der Veranstaltung „Kompetenztraining Stabsarbeit“ kommen die Funktionsträger besonderer Aufbauorganisationen verschiedener Institutionen zusammen, um unabhängig vom eigenen beruflichen Umfeld die persönlichen Fähigkeiten zu verbessern.
https://www.hisolutions.com/security-consulting/academy#c12565
Treffen Sie uns auf der PITS 2024 – Public-IT-Security | 12./13.06.2024 | Berlin
Die Public-IT-Security (PITS) 2024 widmet sich voll und ganz dem Thema Security Performance Management. Die Veranstaltung bringt IT-Verantwortliche von verschiedenen Organisationen, Behörden, Unternehmen und der Wissenschaft zusammen, um sich über neue Trends und Strategien im Bereich der IT-Sicherheit auszutauschen. Die Veranstaltung kombiniert bewährte Traditionen mit modernen Sicherheitskonzepten und bietet Raum für einen interdisziplinären Dialog über die Zukunft der Sicherheit im digitalen Zeitalter.
Sie finden unsere Experten auf der Ausstellungsfläche an Stand 9 und als Gestalter des Forum 13 am 13.06. zum Thema „Möglichkeiten zum pragmatischen und sicheren Einsatz von cloud-basierten Leistungen in der ö. V.“.
https://www.public-it-security.de/programm2024/
Der nächste HiSolutions Cybersecurity Digest erscheint Mitte Juni 2024.
Lesen Sie hier auch alle HiSolutions Cybersecurity Digests der letzten Monate.
Kontaktieren Sie uns gern mit Rückfragen und Anregungen!