Woche 36: Wer wählt, was die Wähler wählen?

Die grösste US-amerikanische Wirtschaftsauskunftei, Equifax, ist gehackt worden. Wie das Unternehmen diese Woche bekannt gab, drangen Unbekannte in das System ein. Sie stahlen die Daten von rund 143 Millionen US-Amerikanern, wie das Wall Street Journal berichtet.

Die Hacker entwendeten die Namen der Kunden, deren Geburtsdaten, Adressen und Sozialversicherungsnummern. Das Unternehmen verwaltet zudem Daten zur Kreditwürdigkeit von über 200 Millionen Personen.

Die Hacker sollen bereits im Mai in die Systeme des Unternehmens eingedrungen sein. Entdeckt wurden die Eindringlinge jedoch erst Ende Juli. Die Untersuchungen laufen noch.

Was die Sache noch brisanter macht: Wie Bloomberg berichtet, sollen drei Top-Manager des Unternehmens einen Teil ihrer Aktien kurz vor der Bekanntmachung des Datenklaus verkauft haben. Dabei handelt es sich um den CFO, den President of U.S. Information und dem President of Workforce Solutions.

Das Unternehmen beteuert jedoch, dass die drei betroffenen Manager zu dem Zeitpunkt noch nicht über den Hack informiert waren.

Bitcoin-Hype erfasst Banking-Trojaner

Der US-amerikanische Sicherheitsanbieter Forcepoint hat eine neue Entwicklung unter Banking Trojanern entdeckt. Das Unternehmen befasste sich mit einer Variante namens Trickbot, wie es in einem Blog-Beitrag schreibt.

Die Malware identifizierte eine neue Opferquelle: die Nutzer von Kryptowährungen. Die aktuelle Variante von Trickbot kann auch Gelder anzapfen, die in Accounts von Coinbase.com gespeichert sind. Über die US-amerikanische Handelsplattform können Nutzer Bitcoin, Ethereum und Litecoin in offizielle Währungen tauschen.

Verbreitet wird die Malware mit einer Spamkampagne, die vermeintlich von der CIBC kommt – der Canadian Imperial Bank of Commerce. Seit einem Update in Juli verfügt die Malware auch über Komponenten, die üblicherweise in PC-Würmern vorkommen. Mit diesen kann sie sich selbstständig verbreiten.

Trickbot geistert schon seit Herbst 2016 herum. Zu Beginn attackierte sie lediglich Finanzinstitute in Australien, wie Bleepingcomputer berichtet. Monatlich seien jedoch neue Länder hinzugekommen. Trickbot überlagert die E-Banking-Webportale. Seit Juni 2017 attackiert die Malware auch Paypal-Konten.

Chaos Computer Club hackt deutsche Wahlsoftware

Die Hacker mit Herz, der Chaos Computer Club (CCC), hat einen genaueren Blick auf die deutsche Wahlsoftware namens PC-Wahl geworfen. Das Ergebnis ist ernüchternd. Die Auswertungssoftware, die auch bei der kommenden Bundestagswahl verwendet werden soll, weise "eine Vielfalt erheblicher Mängel und Schwachstellen" auf.

"Elementare Grundsätze der IT-Sicherheit werden in dieser Software nicht beachtet", sagt Linus Neumann, in der Analyse beteiligter Sprecher des CCC. "Die Menge an Angriffsmöglichkeiten und die Schwere der Schwachstellen übertraf unsere schlimmsten Befürchtungen." Über diese Schwachstellen sei es möglich, die Wahlergebnisse zu manipulieren – auch über die Grenzen von Wahlkreisen und Bundesländern hinaus. Und dafür sei noch nicht mal ein staatlich finanziertes Hacker-Team nötig.

Aufgrund der "trivialen Natur" der Schwachstellen müsse davon ausgegangen werden, dass nicht nur der CCC über sie Bescheid weiss. Das Problem liegt gemäss dem Club in dem fehlerhaften Update-Mechanismus. Dieser ermögliche eine One-Click-Kompromittierung und schliesslich eine komplette Übernahme der Software.

Der Chaos Computer Club veröffentlichte die kompletten Ergebnisse in einem 20-seitgen Bericht (PDF). Laut dem Bericht wird die Software bereits seit Jahrzehnten für die Erfassung, Auswertung und Präsentation von Wahlen auf Bundes-, Landes- und Kommunalebene eingesetzt.

Und warum man keine Delphine an sein Smartphone lassen sollte

Wie kann man ein sprachgesteuertes Gerät manipulieren, ohne dass der Besitzer etwas davon mitkriegt? Dieser Frage ging eine Gruppe chinesischer Sicherheitsforscher nach, wie The Register berichtet.

Die Antwort war keine bahnbrechende technische Entwicklung – sondern Delphine. Die Forscher nahmen einen gewöhnlichen Sprachbefehl einer menschlichen Stimme. Und konvertierten diese in den Ultraschallbereich.

Menschen können derartige Töne über 20 Kilohertz nicht wahrnehmen – Smartphones schon. Die Forscher konnten mit dieser Methode Siri, Google Now, Samsung S Voice, Huawei Hivoice, Cortana, Alexa und die Spracherkennung von Audi-Fahrzeugen austricksen.

Die Methode – mit dem treffenden Namen Dolphinattack – ist gemäss der Forschungsarbeit (PDF) effektiv auf Distanzen von bis zu 170 Zentimetern. In ihrem Versuch konnten die Forscher die Smartphones dazu bringen, eine bestimmte Telefonnummer zu wählen, eine Website aufzurufen, den Bildschirm abzudunkeln, was eine Attacke verschleiern könnte, oder das Gerät in den Flugmodus zu versetzen.