Woche 40: Die Gefahr im Katzenfoto

Starke Passwörter. Immer starke Passwörter wählen. Dieses Mantra predigen Sicherheitsexperten schon lange. In der aufkommenden vernetzten Welt genügen diese aber vielleicht nicht mehr. Will ein Nutzer etwa per Smartphone-App das Türschloss seines Smarthomes öffnen, werden starke und schwache Passwörter gleichermassen über unsichere Verbindungen wie etwa Bluetooth oder WLAN übermittelt.

Forscher der University of Washington haben sich daher nicht mit Passwörtern, sondern mit deren Übertragung beschäftigt, wie Pressetext schreibt. Ihre Lösung: Körperkontakt. "Ich kann den Türknauf anfassen sowie den Fingerabdruck-Sensor auf meinem Handy berühren und meine geheimen Zugangsdaten durch meinen Körper übertragen, um die Tür zu öffnen, ohne persönliche Informationen über die Luft zu verteilen", sagt Merhdad Hessar, der an der Studie mitarbeitete.

Hierfür haben die Forscher die Fingerabdrucksensoren in den Geräten umfunktioniert. Wenn die Sensoren Fingerabdrücke analysieren, erzeugen sie gemäss dem Bericht Signale zwischen zwei und zehn Megahertz. Signale in dieser Bandbreite wandern problemlos durch den menschlichen Körper. Dieses ausgesendete Signal verwenden die Forscher nun, um Schlösser zu öffnen.

Die gleiche Technologie könnte künftig auch in anderen Bereichen angewendet werden. Wie Pressetext schreibt, könnten so auch interne medizinische Geräte wie etwa Insulinpumpen passwortgeschützt gesteuert werden.

Dresscode verseucht Google Play Store

Die Sicherheitsexperten von Trend Micro haben im Google Play Store nach dem Trojaner Dresscode gesucht. Und ihn gefunden. In 400 verschiedenen, authentisch wirkenden Apps, wie das Unternehmen mitteilt.

Die Malware versteckt sich in Spielen, Skins, Themes und Einstellungs-Boostern. Zu den infizierten Apps gehört auch ein Grand-Theft-Auto-Mod für Minecraft. Wie ZDnet schreibt, wurde diese eine App bis zu 500'000 Mal heruntergeladen. Einmal installiert, kontaktiert der Trojaner den Command-and-Control-Server. Dieser erteilt der Malware neue Marschbefehle und richtet grösseres Übel an.

Dresscode ist nur ein Beispiel unter vielen, wie Trend Micros Mitteilung zu entnehmen ist. Das Unternehmen registrierte insgesamt 16,6 Millionen Schädlinge für Smartphones (Stand: August 2016). Im Vergleich zum Januar sei die Anzahl um 40 Prozent angestiegen. Ferner fand das Unternehmen 3000 Applikationen mit einem verborgenen Trojaner im Play Store.

Mitglieder von Lizard Squad vor Gericht

Das US-amerikanische Justizministerium hat Anklage gegen zwei 19-Jährige erhoben, wie der Sicherheitsblog Krebsonsecurity schreibt. Die jungen Männer sollen zum inneren Zirkel der Hacker-Gruppen Lizard Squad und Poodle-Corp. gehören.

Die Hackergruppen sollen für tausende DDoS-Attacken verantwortlich sein, wie es im Blogeintrag heisst. Teilweise wurden diese auch als Dienstleistungen verkauft. In der Vergangenheit machte Lizard Squad unter anderem mit den Angriffen auf Gaming-Netzwerke wie dem Playstation Store auf sich aufmerksam. Weitere Opfer waren EA Games, das Xbox-Netzwerk und die Server für das Spiel Destiny.

Den Hackern wird auch der Diebstahl von Kreditkartendaten vorgeworfen. Diese verkauften die Cyberkriminellen anschliessend in einem Webshop weiter. Dieser Shop soll gemäss Anklageschrift 3470 Datensätze enthalten haben.

Bei den Angeklagten handelt es sich um einen Amerikaner und einen Niederländer. Beide wurden vergangenen Monat in ihren jeweiligen Heimatländern verhaftet. Ihnen drohen bei Verurteilung bis zu 10 Jahre Haft.

Und die Gefahr, die im Katzenbild lauert

Ein süsses Katzenfoto erscheint in der Mailbox. Schnell anklicken. Was könnte schon Schlimmes dabei passieren? Dass der Spass nicht ganz so harmlos enden könnte, haben nun Sicherheitsexperten von Talos gezeigt.

Sie entdeckten eine Sicherheitslücke im Grafikformat JPEG 2000. Das Format werde etwa bei PDF-Dokumenten verwendet, um Grafiken einzubetten. Die Lücke könnte auch böswillig ausgenutzt werden. Angreifer könnten gemäss Mitteilung etwa E-Mails mit infizierten Anhängen verschicken oder die gefährlichen Bilder in Google Drive oder Dropbox hosten.

Richtig angewandt, lässt sich über die Schwachstelle remote Code ausführen, wie The Register schreibt. Unter der Kontrolle der Hacker.