Android Lücke Strandhogg 2.0 und Gegenmaßnahmen

Im Mai hat Google in Android eine Sicherheitslücke in seinen Geräten geschlossen. Die Lücke CVE-2020-0096 ist auch als Strandhogg 2.0 bekannt und betrifft alle Android Versionen.

Strandhogg 2.0 hängt sich an beliebige Apps und versucht über diese erhöhte Rechte auf dem Smartphone zu erreichen. Für Nutzer möchte also die vertrauenswürdige und bekannte App weitere Rechte einfordern (z.B. Adressbuch Zugriff, Geräteadmin oder Kamera). Der Nutzer ist prinzipiell bereit seiner bekannten Streaming- oder Banking-App diese Rechte einzuräumen und kann nicht erkennen, dass diese Rechte von einer Malware angefordert und genutzt werden.

Welche Gegenmaßnahmen sind möglich?

  1. Installieren Sie die aktuellen Updates (Mai 2020) auf Ihrem Android Smartphone
    Diese ist insbesondere bei Geräten schwierig, die Updates nicht direkt von Google erhalten und daher sehr zeitverzögert Updates verteilt bekommen.
  2. Nutzen Sie Apps aus dem offiziellen PlayStore
    Sog. Sideload Apps aus Downloadarchiven dritter sind besonders Anfällig für böswillige Modifikationen und werden auch nicht von Google überprüft. Der Sideload benötigt zudem die Freischaltung der Entwickler Einstellungen, welches Prüfmechanismen auf dem Smartphone umgeht.
  3. Verwenden Sie einen Malwareschutz
    Empfehlenswert ist ein professioneller und verwalteter Schutz. OZ-IT bietet dazu einen Service mit AdaptiveDefense 360 von Pandasecurity.
  4. Nutzen Sie Mobile Device Management
    Gerade in Unternehmensumfeld ist es wichtig, eine Überblick über seine Angriffsvektoren zu haben. Ein Management der mobilen Endgeräte zeigt den Sicherheitsstand der verwendeten Betriebssysteme auf und gibt einen Überblick der installieren Softwarepakte. Zudem kann korrigierend auf alle Geräte des Unternehmens eingewirkt werden.

Alle diese Maßnahmen verringern die Wahrscheinlichkeit einer Infektion mit Schädlingen. Ein kontinuierliches Audit und eine Bewertung durch Spezialisten ist zwingend notwendig. Durch die verwalteten Services von OZ-IT erhalten Kunden eine professionelle Überwachung Ihrer Netze und Endgeräte auf höchstem Niveau. Rufen Sie uns an und nehmen Kontakt mit uns auf.

Weitere Informationen zur Lücke Strandhogg 2.0 (CVE-2020-0096)

BSI CB-K20/0421
https://www.bsi.bund.de/SharedDocs/Warnmeldungen/DE/CB/2020/05/warnmeldung_cb-k20-0421.html

Heise StrandHogg 2.0: Der bösere Zwilling einer älteren Android-Lücke
https://www.heise.de/security/meldung/StrandHogg-2-0-Der-boesere-Zwilling-einer-aelteren-Android-Luecke-4765958.html

Achtung GAN Alarm

Der Begriff GAN (Generative Adversarial Networks, zu Deutsch etwa generisch erzeugende Netzwerke) kommt aus dem Feld des Maschinen-Lernen und wird heute häufig in der Anwendung von künstlicher Intelligenz (KI oder AI) verwendet.

Grob gesprochen besteht das GAN aus einem Generator (Erzeuger von Werten) und einem Diskriminator (Bewerter von Werten). Mit diesen beiden beteiligten kann ein GAN Musik komponieren (s. https://magenta.tensorflow.org/gansynth) oder auch Bilder malen (s. https://youtu.be/2P1PCzLAoaA). Ein GAN kann also, je nach Komplexität und Training, lernen und das Erlernte anwenden. Wir kennen im Alltag GANs an Hotlines, die unsere Fragen erkennen und beantworten, bei der Post für die Erkennung von (handschriftlichen) Adressen oder in einem selbst fahrenden / KI unterstützten Fahrzeug bei der Erkennung von Verkehrsströmen und und -regeln.

Geschmacklich bedenklich ist das erstellen von Deep-Fakes mit KI (s. https://youtu.be/jlBNF1SucLo) oder auch das mittlerweile eingestellte Projekt Deep-Nude (s. https://www.heise.de/newsticker/meldung/DeepNude-Machine-Learning-Algorithmus-zieht-Frauen-auf-Fotos-aus-4458330.html).

Aber das ist erst die Spitze des Eisbergs. Generative Adversarial Networks können gezielt Netzwerkschutzmechanismen wie Firewall, Antivirenprogramme und Intrusion Prevention Systems (Einbruchverhinderungssysteme) ausspionieren und überlisten. Diese Möglichkeiten zeigte Dr. Bernd Kosch im Rahmen der Tagung Informationssicherheit und der Online-Woche bei Fujitsu NEXT e.V. .

Bei diesem Angriff werden KI Systeme gezielt auf eine bestimmte Technologie angesetzt, um herauszufinden, bei welchen Mustern Schutzsysteme (Firewalls etc.) anschlagen. Nun lernt das GAN eine bestimmte Menge „Digitales Rauschen“ dem Datenverkehr beizumischen, bis das das Zielsystem den Datenverkehr als zulässig bewertet und passieren lässt.

Solche Angriffe sind in der Regel nicht mehr dazu gedacht eine bestimmte Firewallserie eines Herstellers zu überwinden, sondern gezielt in einzelne Netzwerke einzubrechen. Die geringe Verbreitung dieser vom GAN erzeugten Muster werden auch die Hersteller der Schutzsysteme in der Regel nicht auf den Plan rufen, da das Ziel der Angreifer ist, unbemerkt bei ihren Opfern einzudringen. Ein erfolgreicher Zugang zum Zielsystem kann dann viele Schadroutinen zur Folge haben. Unbemerkter Diebstahl von Patenten (Industriespionage), Verändern von Daten beim Opfer (Sabotage) oder das Verschlüsseln von Netzwerken (Erpressung) sind nur einige der denkbaren Szenarien.

Der gesamte Vortrag von Dr. Bernd Kosch findet sich für Mitglieder von Fujitsu NEXT e.V. im Downloadbereich der Mitgliederplattform.

Wie kann ich mich und mein Netzwerk schützen?

Einen 100% Schutz gibt es gerade gegen KI Angreifer nicht. Aber hier ein paar Tipps, um es den Angreifern schwerer zu machen:

  1. Nutzen Sie mehrstufige Abwehrsysteme
  2. Verwenden Sie DMZ (Demilitarisierte Zonen im Netzwerk)
  3. Setzen Sie auf gemanagte Systeme durch Spezialisten
  4. Schulen Sie sich und Ihre Mitarbeiter
  5. Vernetzen Sie sich mit weiteren Anwendungsunternehmen

Als OZ-IT helfen wir Ihnen gerne bei der richtigen Lösung und übernehmen auch den Betrieb für Sie. Nutzen Sie zudem das Expertennetzwerk, um sich mit anderen Unternehmen auszutauschen. Wir freuen uns auf Ihren Anruf und Ihre Mail.

Effektiver Netzwerkschutz und was tun wenn’s brennt

Angriffe auf Rechenzentren und Netzwerke nehmen durch Covid-19 drastisch zu. Es wird versucht in großem Stil in Netze und Rechenzentren einzudringen. Dazu werden die verteilten HomeOffice Strukturen ausgenutzt, um Informationen zu erbeuten oder Schaden zuzufügen.

Vorsorge ist besser als Schadensbegrenzung

Mit unseren leistungsstarken Partnern sorgen wir bei unseren Kunden für die Bereitstellung führender Technologien für den Netzwerk- und Datenschutz. Unsere Managed Service Angebote sorgen bei unseren Kunden nicht nur dafür, dass die Hard- und Software auf dem aktuellen Stand der Technik sind, sondern wir überwachen proaktiv Netzwerk, Rechner und Server. Damit ist eine schnelle Reaktion zugesichert und die Angriffsvektoren werden so weit wie möglich minimiert.

… aber was tun, wenn der Sicherheitsvorfall eingetreten ist?

Vielen Kunden verwalten Ihre IT-Sicherheit mit eigenem Personal, welches viele Aufgaben neben der eigentlichen IT-Sicherheit wahrnehmen muss. Ggf. ist der IT-Verantwortliche hauptberuflich in einer Sachbearbeitung beschäftigt und kümmert sich nur in Teilzeit um die Unternehmens-IT. Für alle diese Kunden haben wir ein paar Tipps zusammengestellt, wie Sie dieser Stresssituation begegnen können.

  1. Bewahren Sie Ruhe
  2. Idealerweise nehmen Sie Ihre Technisch Organisatorischen Maßnahmen für diesen Vorfall zur Hand. (TOMs müssten durch die DSGVO definiert worden sein)
  3. Sichern Sie Ihre Backups. So vermeiden Sie es dringend Offline Datensicherungen mit dem Netz zu verbinden, wenn Sie einen Verschlüsselungstrojaner noch nicht besiegt haben.
  4. Trennen Sie Ihr Netzwerk vom Internet. Wenn Sie verschiedene Segmente besitzen, trennen Sie diese.
  5. WICHTG: Schalten Sie Router, Gateways und Firewall nicht aus. Trennen SIe nur die Netzverbindungen. Nutzen Sie ggf. auch Isolations-Funktionen Ihrer Sicherheits-Software.
  6. Analysieren Sie den Vorfall. Auch hier gilt, vermeiden Sie Reboots oder AdHoc-Maßnahmen ohne gesichertes Prozedere, denn das verbaut Ihnen Schritt 7
  7. Holen Sie sich externe Hilfe. Die Mitigation von IT-Sicherheitsvorfällen kann komplex werden und interne Kräfte überfordern. Nutzen Sie externe Expertise. Schalten Sie ggf. Behörden ein. Sowohl externe Spezialisten und Behörden benötigen Systeme, die noch die ursprüngliche Informationen zum Angriff enthalten.
  8. Prüfen Sie Meldepflichten und passen Sie Ihre Prozesse an.

Kontakte für Sicherheitsvorfälle

Gerne helfen wir von OZ-IT mit unserer Expertise, um auch akute Angriffe abzuwehren. Nehmen Sie Kontakt zu uns auf.

Wenden Sie sich an der Cybercrime Kompetenzzentrum des LKA NRW
https://polizei.nrw/artikel/das-cybercrime-kompetenzzentrum-beim-lka-nrw (Die Ermittler besuchen geschädigte Unternehmen in zivil und diskret.)

Bauen Sie langfristig Wissen auf und tauschen Sie sich mit anderen IT-Verantwortlichen aus.
Der Expertenkreis Informationssicherheit bietet hochwertigen Austausch in Live- und Onlineveranstaltungen
https://www.fujitsu-next.com/expertentreffen/next-arbeitskreise/informationssicherheitsmanagement/cat.listevents/2020/05/15/-.html

Wir unterstützen Sie bei der richtig Strategie zu Ihrer IT-Sicherheit. Rufen Sie uns an, bevor Sie einen Sicherheitsvorfall in Ihrem Haus haben.

Wissen: TOR Browser

Das Darknet – unbekannte Weiten…

Damit könnte man das Verständnis vieler Nutzer zum TOR Browser beschreiben, aber dass der TOR Browser „böse“ ist und das Darknet repräsentiert ist nicht ganz richtig.

TOR steht als Abkürzung für The Onion Ring und symbolisiert damit die vielschichtigen Anonymisierungs- und Verschlüsselungstechniken dieses Browsers. Die zu Grunde liegende Idee ist, jedem Menschen die Möglichkeit zu geben, seine Meinung frei zu äußern und sich im Internet zu bewegen, ohne dass man durch hinterlassene Spuren Angst vor Gewalt und Unterdrückung haben muss.

Stellen Sie sich zum Beispiel vor, sie möchten in einem totalitären und repressiven Staat ihre Religion ausüben, welche aber nicht von der Herrschenden Minderheit geduldet wird. Sie müssten vielmehr mit Verfolgung und Tod für sich und ihre Angehörigen rechnen, wenn Verbindungen von ihnen zu solch einer Gemeinschaft herausgefunden würden. Hier kann ihnen TOR einen sicheren und verschleierten Zugang zu ihrer Gemeinde ermöglichen.

Vereinfacht gesprochen nimmt jeder TOR Nutzer an dem Netzwerk teil und leitet Daten durch Verschlüsselung und Anonymisierung so oft wie möglich weiter. Ein Zurückverfolgen einer Information würde nun bedeuten, dass für jeden Sprung der Nachricht zum folgenden Punkt ein komplexer Algorithmus zurückgerechnet werden muss. Wenn jeder Schritt nur eine Rechenleistung von 1 Jahr benötigen würde, so bräuchte ein Nachverfolgung über 3 Punkte zum Ursprung 3 Jahre.

Heute geht man davon aus, dass ein AES 256 Schlüssel (Also 2^256 Möglichkeiten) mit einem Supercomputer zu dechiffrieren rund 80 Jahre dauern würde. Also eine Information und Ihr Ursprung im hohen Maße uninteressant sein sollten, wenn die Entschlüsselung fertig gerechnet ist.

Auf Grund dieser Hürden, Informationen schnell nachverfolgen zu können, ist TOR in einigen Länder verboten oder dessen Nutzung stark eingeschränkt. So wäre es z.B. auf Grund der Haftung in Deutschland nicht besonders klug, einen sog. Exit-Knoten für TOR zu betreiben, da dieser Knoten für alle als Ursprung des Datenverkehrs sichtbar wäre.

Das führt zu einer weiteren Eigenschaft von TOR: Informationen bleiben innerhalb des Netzwerks. Jeder TOR Browser kann auch als Server konfiguriert werden. Dazu reicht die Installation von TOR und kleine Änderungen in der Konfiguration aus und der betreffende Rechner wird mit einer kryptischen und Zufälligen URL zum Server. Nun kann man darauf HTML Seiten (also Webseiten) zur Verfügung stellen.

Da es keine Adressen xyz.tor gibt und diese nicht in einer regulären Suchmaschine auffindbar sind, werden die Webseiten entweder durch Mund-zu-Mund-Propaganda oder in Spezialsuchmaschinen veröffentlicht. Das Darknet ist also eine Kombination von TOR Browser, TOR Serverdiensten und den Spezialsuchmaschinen.

Eine der kuriosesten Webseiten im Darknet ist Facebook unter der Darknet URI facebookcorewwwi.onion. Viele Webseiten blockieren zudem den Aufruf von bekannten Exit-Knoten. So verweigert Google die Suche, wenn man mit TOR auf www.google.com surft. Sicherlich weil das Anonyme surfen dem Geschäftsmodell von Google entgegensteht. Diese Verdaulichkeit machen sich im hohen Maße Kriminelle zu nutzen, was die Kehrseite dieser hohen Anonymisierung von TOR darstellt.

Bedeutet im Umkehrschluss: Sobald man auf Google über TOR suchen kann, wäre extreme Vorsicht geboten, weil der Konzern dann einen Weg gefunden haben dürfte, die Suchanfragen mit Nutzern in Verbindung zu bringen.

Auch Firmen haben ein großes Interesse daran, dass die eigenen Daten nicht aggregiert und analysiert werden können. Denn das schützt vor Informationssammlern, die gezielte Angriffe auf ein Unternehmen ausrichten schon zu Beginn. Besonders wenn viele Mitarbeiter nicht mehr im eigenen Unternehmen vor Ort sitzen werden diese Verbindungsinformationen über viele Netzwerke transportiert, die nicht im Einflussbereich der Unternehmens-Administration liegen.

Es müssen nicht immer das Darknet und der TOR Browser sein, aber Vertraulichkeit ist an vielen Stellen im regulären Alltag im Netz gefordert. Prinzipiell immer, wenn schon aus Verbindungsdaten eine Profilierung des Nutzers möglich wäre. Ein Hotspot-Betreiber weiß über das Verbindungs-Log zumindest bei welcher Bank Sie Kunde sind, wenn Sie ihre Bankgeschäfte in einem öffentlichen WLAN erledigen (s. auch unseren Blog zur Ananas Attacke). Zusammen mit Ihrer Mailadresse wären Phishing-Angriffe sehr einfach zu verfeinern.

Nutzen Sie daher VPN-Verbindungen in öffentlichen Netzen, um Ihre Verbindungsdaten zu verschleiern. Wir helfen Ihnen mit unseren Lösungen. Also nehmen Sie mit uns Kontakt auf. Mit unseren Partnern halten wir für Sie Awareness-Schulungen ab, halten Vorträge an Schulen und Bildungseinrichtungen und sind gerne jederzeit für einen Dialog mit Ihnen bereit.

Wissen: Pineapple Attacke

Die Pineapple Attack (dt. Ananas Attacke) ist ein Angriffsvektor gegen WLANs mobiler Nutzer und gehört zu den Authentifizierungs-Attacken, konkret ist es eine sog. Man-In-The-Middle Attacke. Der Spitzname Ananas Attacke wurde dadurch geprägt, dass Hacker die ersten (Quasi autarken) Angriffshardwaren in einer Ananas tarnten.

Originale Pineapple Attack von 2008

Heute sind Pineapple Attacks auf dem Markt für rund 100 $ im Formfaktor eines USB Stick zu erhalten und quasi für einen Laien nicht zu entdecken.

Pineapple Nano von Hack5.org

Der Angriff nutz das sog. SSID (Service Set IDentifyer) Broadcast eines jeden WLAN Client aus. Jedes Wifi Gerät sendet in regelmäßigen Abständen Anfragen an erreichbare AccessPoints und „fragt“ diese nach seinen gespeicherten WLANs.

The good boys

In der Regel antworten „gute“ Wifi Access-Points mit einer Ablehnung auf die Anfrage, wenn Sie die gewünschte SSID nicht bereitstellen. Stellt ein regulärer AccessPoint ein SSID mit gleichem Namen bereit, wird nach dem WLAN Kennwort gefragt. Stimmen diese nicht überein (was ein echter Zufall wäre, wenn es so wäre), wird die Verbindung trotzdem abgelehnt.

…and the bad boys

Ein bösartiger AccessPoint (also eine Ananas Attacke) nimmt die angefragte SSID und bestätigt die Frage mit JA und strahlt das angefragte WLAN aus. Damit gibt der Client sein WLAN Kennwort preis. Der Angreifer hat nun das Kennwort des Firmen-WLAN seines Opfers.

Die Angriffsvektoren

Damit aber nicht genug, denn der Angreifer würde damit nur eine Liste aller WLANS mit dazugehörigen Kennwörtern füllen. Das kann schon fatal enden, bedenkt man, ein solcher Angriff wird an Flughäfen, Bahnhöfen oder auf Messen durchgeführt. Der Aufwand in jedes WLAN einbrechen zu wollen, wäre dann aber zu hoch.

Also stellt der Angreifer direkt eine Internetverbindung her und das Opfer merkt den Angriff nicht. Da die Verschlüsselung des WLAN am AccessPoint endet, kann der Angreifer nun jeden Datenverkehr mitlesen. Bei Webseite mit SSL-Verschlüsselung, kann der Angreifen zwar nicht in die Daten einsehen, kann aber aus den Verbindungsprofilen wertvolle Rückschlüsse ziehen.

Wie kann ich mich wehren?

  • halten Sie Ihre WLAN-Liste klein und löschen selten verwendete WLANs (z.B. aus Geschäftsreisen oder Urlauben) regelmäßig
  • Nutzen Sie ein zentrales Management für alle ihre mobilen Geräte
  • Verwenden Sie VPN-Verbindungen zum Sichern Ihrer mobilen Datenverbindungen
  • Bleiben Sie wachsam

Als OZ-IT stellen wir Ihnen Dienste und Lösungen bereit, die Ihre Geräte leistungsfähig absichern. Wir bieten zudem proaktive Überwachungen zu Datenströmen an und geben unseren Kunden Einblicke in mögliche Bedrohungen und zeigen Lösungen auf. Im Rahmen unserer gemanagten Lösungen setzen wir proaktiv alle notwendigen Schritte um und passen den Schutz kontinuierlich für unsere Kunden an. Rufen Sie uns an, wenn auch Sie von unserer Expertise und unserem KnowHow profitieren möchten.

Wissen: VPN

VPN (Virtual Private Network) ist ein Konzept und eine technische Lösung, Datenverkehr in fremden Netzen zu verschlüsseln und somit vor fremdem Zugriff zu schützen.

Ursprünglich dienen VPN dazu, eine gesicherte Verbindung in ein Firmennetzwerk aufzubauen und somit auch außerhalb der geschützten Zone des eigenen Unternehmens Daten und Dienste zu verwenden. Dieser VPN-Tunnel verbirgt alle Daten zwischen dem Sender und Empfänger auf allen Zwischenstationen vor fremdem Zugriff.

Da man nicht nur aus den Daten Rückschlüsse auf den Nutzer und seine Interessen ziehen kann, sondern auch aus den generellen Verbindungsanfragen, der Dauer einer Verbindung und den ggf. übermittelten Daten nutzt man dieses VPN auch sehr gut dazu, das eigene Surfverhalten in fremden Netzen zu verbergen.

Wenn Sie zum Beispiel mit einem SmartPhone in einem öffentlichen Hotspot zu einem sozialen Netzwerk surfen und Ihren Kontostand prüfen, so lässt sich aus den Verbindungsdaten anhand der charakteristischen Muster für Updateserver etc. herausfinden, ob Sie z.B. ein iPhone oder Android Gerät verwenden, dass Sie auf Facebook surfen und bei welcher Bank Sie offensichtlich Ihr Konto führen. Auch wenn die Daten-Verbindungen zu den jeweiligen Partnern über SSL (also https) gesichert sind.

Ein VPN dient also nicht nur zum Fernzugriff auf Unternhmensdaten, sondern schafft auch Sicherheit in mobilen Netzen und Hotspots. Neben der eigenen VPN-Verbindung, die in der Regel Firmen für ihre Mitarbeiter bereitststellen gibt es eine Vielzahl von Anbietern von VPN Diensten. Viele Hersteller von Antivirus-Software bieten mittlerweile einen VPN Dienst in ihren Produkten mit an.

Prominent sind auch die VPN-Lösung im Opera Browser und der auf Firefox basierende TOR Browser. Mit dem TOR Browser werden wir uns in einem gesonderten Beitrag beschäftigen.

Unternehmen sind gut beraten, eine VPN Lösung für Ihre mobilen Mitarbeiter nicht nach dem Zufallsprinzip aufzubauen, sondern ein VPN über alle mobilen Geräte (SmartPhones, Tablets und Laptops) dauerhaft bereitzustellen und auch zu monitoren. Nur so schützen sie ihre Netzwerke vor Angriffen und die Daten in den Unternehmen.

OZ-IT stellt seit über 10 Jahren VPN-Lösungen bei Kunden bereit und verfügt über eine große Expertise im Betrieb und Monitoring von professionellen VPN Lösungen. Rufen Sie uns an und vereinbaren noch heute einen Termin für Ihren Netzwerkschutz.

Sicherung von WLAN Verbindungen

Netzwerkgrenzen verschwinden. Durch Homeoffice und mobile Arbeitsabläufe befinden sich immer mehr Mitarbeiter außerhalb kontrollierter Netzwerkbereiche. Trotzdem müssen Unternehmen die Zuverlässigkeit ihrer Netzwerke und Daten schützen und sicherstellen, dass Daten nicht kompromittiert werden oder Schadsoftware ins Unternehmen gelangt.

Es gibt einige einfache Verhaltensregeln und technische Lösungen, um die Sicherheit auch im verteilten Netzwerk zu erhöhen:

Zu den einzelnen Punkten werden wir in den kommenden Tagen detaillierte Artikel für Sie veröffentlichen. Gerne können Sie mit uns Kontakt aufnehmen, um ein Konzept für Ihre Absicherung zu entwerfen und umzusetzen.

Cookie Consent mit Real Cookie Banner