Woche 46: Ein neues Enfant Terrible für die Branche

Einen Rechner zu hacken, braucht ein gewisses Mass an technischem Fachwissen. Naja, nicht immer. Bei einer unlängst veröffentlichten Linux-Schwachstelle genügt nur ein Bisschen Zeit. 70 Sekunden etwa, wie The Register berichtet. Die benötigte IT-Expertise beschränkt sich darauf zu wissen, wo sich die Enter-Taste auf der Tastatur befindet.

Die Schwachstelle betrifft die Linux-Systeme Debian und Fedora. Drückt man während etwas mehr als einer Minute auf die Enter-Taste, erhält man Zugriff auf das Initial Ram Filesystem (Initramfs). Dabei handelt es sich um ein komprimiertes Archiv, das für den Systemstart benötigte Dateien enthält.

Anschliessend kann der Hacker gemäss des Berichts die Harddisk kopieren, modifizieren oder zerstören. Red Hat stufte die Bedrohung als «moderat» ein. Einer der Gründe für die gemässigte Einschätzung ist, dass der Hacker physisch auf die Geräte zugreifen muss. Ein Patch hat die Sicherheitslücke mittlerweile gestopft.

Entdeckt hatten den Exploit Hector Marco von der University of the West of Scotland und Ismael Ripoll von der Universität Valencia. Die vollständige Beschreibung der Schwachstelle können Interessierte auf Marcos Blog lesen.

"Grösste Sex-Community der Welt" gehackt

Wenn man einen Dienst wie den Adult Friendfinder verwendet, will man das natürlich möglichst nicht an die grosse Glocke hängen. Die Betreiber selbst beschreiben das Portal als "die grösste Sex- und Swinger-Community der Welt". Ausgerechnet dieses Portal wurde nun gehackt, wie ZDnet und andere Medien berichten.

Laut dem Bericht stahlen Cyberkriminelle die Zugangsdaten von 339 Millionen Benutzerkonten. Die Datendiebe wühlten auch in anderen Portalen der gleichen Betreiber herum. Dort hackten sie weitere 73 Millionen Daten. Die Diebe kamen also mit insgesamt 412 Millionen Datensätzen davon. Wer hinter der Attacke steckt, ist noch nicht bekannt.

ZDnet überprüfte die gestohlenen Daten und kontaktierte einige der betroffenen Nutzer. Eines der Opfer – nach eigenen Angaben nutzte der Mann die Website "ein oder zwei Mal" – wollte nicht namentlich erwähnt werden in dem Bericht. Er behauptete jedoch, die Informationen seien gefälscht. Ein weiteres Opfer sagte nur: "Das überrascht mich nun gar nicht".

Der Hack könnte teuer werden für das Unternehmen. Adobe wurde 2013 gehackt. Fast eine halbe Million Kunden waren davon betroffen, wie Eset in seinem Blog schreibt. Adobe muss eine Busse von einer Million US-Dollar zahlen – also rund 2 Dollar pro Kopf. Die gleiche Rechnung würde für Adult Friendfinder eine Strafe von über 800 Millionen Dollar bedeuten.

Noch übler könnte es für Yahoo werden. Wie im September bekannt wurde, entwendeten Unbekannte die Login-Daten von mindestens einer halben Milliarde Benutzer.

Facebook geht auf Shopping Tour im Darknet

Wenn jemand gehackt wird, landen seine Daten in der Regel schnell im Darknet. Dort bieten dubiose Gestalten ganze Listen mit Zugangsdaten wie etwa Passwörtern oder E-Mail-Adressen zum Verkauf an. Wer diese Datensätze kauft und was die Kunden damit machen ist unklar – sofern sie es nicht selber kommunizieren.

Einer der Käufer tat aber genau dies am Web Summit in Lissabon. Der Käufer war Social-Media-Betreiber Facebook, wie Inc.com berichtet. Gemäss Alex Stamos, Facebooks Chief Security Officer, kauft das Unternehmen gestohlene Passwörter auf dem Schwarzmarkt.

Das Ganze soll dem Schutz der eigenen Nutzer dienen. Facebook vergleicht die gekauften Listen mit den Login-Daten der Facebook-Nutzer. Nach eigenen Angaben nur in verschlüsselter Form. So will das Unternehmen erkennen, welche Passwörter mehrfach verwendet werden. Zudem sollen so auch alle kompromittierten Passwörter aus dem System getilgt werden.

Gemäss dem Bericht informierte Facebook bereits Millionen von Nutzern, dass ihre Kennwörter nicht mehr sicher seien. Zur Legalität seiner Handlungen äusserte sich Facebook nicht.

Und die Security-Branche hat ein neues Enfant Terrible

Der britisch-amerikanische Unternehmer John McAfee ist für seine Skandale mindestens so bekannt wie für seine Security-Lösungen. Seit Mai dieses Jahres versucht er sich jedoch scheinbar wieder als seriöser CEO eines IT-Sicherheitsanbieters. Der Security-Branche könnten künftig ruhigere Zeiten bevorstehen.

Für Panik deswegen ist es aber noch zu früh: Der CEO eines US-Start-ups könnte die Lücke füllen, die McAfee hinterlassen hat. Matt Harrigan, Chef von Packet Sled. Harrigan war unglücklich über die Wahl Donald Trumps zum nächsten Präsidenten der USA. Sehr unglücklich.

Harrigan tat seinen Unmut auf Facebook kund. Er werde Trump töten. Er werde ein Scharfschützengewehr kaufen, auf Trump warten und ihn erschiessen. Den Kommentaren folgten einige Kraftausdrücke. Einige an Trump gerichtet. Andere an die USA.

Bald darauf zeigte sich Harrigan auf Twitter reuig. Es sei alles nur ein schlechter Scherz gewesen. Trotz der Entschuldigung wurde er am Tag darauf vom Unternehmen beurlaubt.

Packet Sled nehme derartige Anschuldigungen sehr ernst, teilt das Unternehmen mit. Nach eigenen Angaben informierte das Unternehmen den Secret Service. Mittlerweile hat Harrigan seinen Rücktritt als CEO angekündigt. Ad interim übernimmt CTO Fred Wilmot die Führung von Packet Sled.

Update vom 21.11.2016: Die Einträge auf Facebook sowie der Twitter-Account von Matt Harrigan wurden unterdessen gelöscht.