Bundesamt für Sicherheit in der Informationstechnik

SICHER • INFORMIERT vom 30.08.2018

Ausgabe: 18/2018

Schnell zum Abschnitt

Liebe Leserinnen, liebe Leser,

mittlerweile sind die Sommerferien in fast allen Bundesländern beendet und etwa eine halbe Million Erstklässler stehen am Anfang ihrer Schullaufbahn. Neben Lesen und Schreiben ist es im Grundschulalter in Zeiten der Digitalisierung auch wichtig, Kindern den richtigen Umgang mit der IT und digitalen Geräten zu vermitteln sowie sie über mögliche Risiken und Gefahren aufzuklären. Deshalb müssen sich Eltern mit der IT-Sicherheit der gekauften IT-Produkte auseinandersetzen und unter anderem dafür sorgen, dass die Software regelmäßig aktualisiert wird.

Welche Gefahren auch für Erwachsene aktuell im WWW lauern und wie Sie sich davor schützen können, erfahren Sie in der aktuellen Ausgabe unseres Newsletters.Wir wünschen Ihnen eine spannende Lektüre.

Ihr Bürger-CERT-Team

Störenfriede

1. Hijacking: Mobile App von "Fortnite Battle Royale" birgt Sicherheitslücke

Die Android-App des beliebten Spiels "Fortnite Battle Royale" wurde ursprünglich mit einer schweren Sicherheitslücke ausgeliefert. Der Hersteller Epic Games bietet sie außerhalb des Googles Play Stores über einen eigenen Installer an. Einem Cyber-Kriminellen wäre es durch die Lücke möglich gewesen, den Installer zu kompromittieren und beliebige Apps mit allen Rechten einzuspielen, wie heise.de berichtet. Bei dem sogenannten Hijacking greift eine Schadsoftware nach dem Download ein und schiebt dem Installer andere Applikationen unter. Dadurch können Angreifer die Kontrolle über ein Android-System übernehmen. Inzwischen gibt es ein Update, das die Lücke geschlossen hat.

Die Sicherheit spielt bei digitalen Spielen eine wachsende Rolle, denn Gamer werden ein immer beliebteres Ziel für Hacker. Umso wichtiger ist es, dass sie sich der Gefahr bewusst sind und sich bestmöglich dagegen schützen. Wie, erläutert BSI für Bürger.

Zur Meldung auf heise.de: Schwachstelle Royale: Fortnite-Installer für Android offen für freies Nachladen

2. Spam: Falsche Bewerbung im Umlauf

Malware-Mails zielen nicht nur auf Privatpersonen. Derzeit ist wieder eine Bewerbungsmail im Umlauf, die im Anhang einen Virus enthält. Im aktuellen Fall heißt die angebliche Bewerberin Sofia Bachmann. Im Laufe der letzten Jahre seien jedoch auch einige andere Namen für solche Mails verwendet worden, warnt spam-info. Falls Sie für Personal und Bewerbungen zuständig sind, seien Sie aufmerksam, wenn verdächtige Mails Sie erreichen.

Ob beruflich oder privat: Spam-Mails gehören zu den häufigsten Ursachen für die Infizierung eines Systems mit einem Schadprogramm. Mit dem 3-Sekunden-Sicherheits-Check von BSI für Bürger können Nutzerinnen und Nutzer das Risiko minimieren, Opfer eines solchen Betruges zu werden.

Zum Artikel auf spam-info: Bewerbung mit Virus: Achtung vor Sofia Bachmann

3. Botnetz: Mirai wächst weiter

Schon im Oktober 2016 hatte die Malware Mirai für Schlagzeilen gesorgt. Eine nun bekannt gewordene neue Variante zeigt, dass die Gefahr sich weiter ausbreitet und noch mehr Geräte und Systeme kompromittieren kann. Nach Angaben von heise.de infiziert die Schadsoftware nun auch Android-basierte Systeme und IoT-Geräte. Anschließend werden sie in ein Botnetz integriert.

Die größte Gefahr besteht hier darin, dass IoT-Geräte oft keine automatischen Sicherheitsupdates erhalten. Deshalb ist es bei IP-Kameras, Routern und weiteren Geräten ratsam, regelmäßig zu kontrollieren, ob ein Patch verfügbar ist. Darüber hinaus empfiehlt es sich, die werksseitigen Zugangsdaten zu ändern und die Fernwartung auszuschalten.

Was ein Botnetz ist und wie Sie sich schützen können, ein Teil davon zu werden, können Sie auf BSI für Bürger nachlesen.

Zum Bericht auf heise.de: Botnetz: Mirai-Malware gefährdet durch Cross-Compiling noch mehr Systeme

4. Trojaner: Diebstahl von Kryptowährung gefährdet auch macOS-Nutzer

Hacker setzen immer stärker auf Angriffe im Zusammenhang mit Kryptowährungen als lukratives Feld. Dabei erweitern sie die Angriffsziele ständig: Eine Hackergruppe hat nun mit Hilfe der Malware AppleJeus eine Kryptowährungsbörse in Asien infiziert, um auf diesem Weg Kryptowährung zu stehlen, wie maclife.de schreibt. Dazu nutzten die Angreifer nicht nur Windows-basierte Schadsoftware, sondern erstmals auch eine macOS-Version. Die Malware gab sich als legitimes Programm aus – erst durch ein Update schleppte sie Malware ein, entwendete Informationen und begann, den Rechner zu manipulieren. Dieser Fall zeigt, dass auch Mac-Nutzerinnen und -Nutzer ins Visier von Kriminellen geraten. Um sich zu schützen, empfehlen wir Ihnen, einen leistungsstarken Antiviren-Scanner zu verwenden und Apps nur aus dem Apple App Store oder anderen verlässlichen Quellen zu installieren.

Schadprogramme wie AppleJeus gelangen in der Regel völlig unbemerkt auf einen Rechner und treiben dort ihr Unwesen. Weitere Informationen zu Schadprogrammen im Allgemeinen finden Sie auf BSI für Bürger.

Zur Meldung von Maclife.de: AppleJeus: Neue Malware will an Kryptowährungsbörsen, auch über macOS

Schutzmaßnahmen

5. Ghostscript: Sicherheitslücken ermöglichen Ausführung von Schadcode

Bei dem Interpreter Ghostscript, der von verschiedenen Software-Lösungen wie ImageMagick und Gimp genutzt wird, wurde eine Schwachstelle gefunden. Das ist deshalb gefährlich, weil Ghostscript weit verbreitet ist und innerhalb beliebter Programme eingesetzt wird. Die Schwachstelle ermöglicht es Angreifern, Schadcode auszuführen. Wie heise online berichtet, können sich Nutzerinnen und Nutzer infizieren, wenn sie ein präpariertes EPS-, PDF-, PostScript- oder XPS-Dokument öffnen. Für diese kritische Sicherheitslücke sind bislang noch keine Patches verfügbar. Sie können sich bislang nur über Umwege schützen, indem Sie etwa die EPS-, PDF-, und XPS-Codes in der Datei policy.xml von Image Magick ausschalten.

Zur Meldung auf heise.de: Bislang kein Patch: Gefährliche Sicherheitslücken im PDF/Postscript-Interpreter Ghostscript

6. phpMyAdmin: Schwachstelle entdeckt

Die Web-Oberfläche phpMyAdmin hat eine Sicherheitslücke, die es einem Angreifer erlaubt, einen Cross-Site-Scripting-Angriff durchzuführen. Mit phpMyAdmin administrieren Nutzerinnen und Nutzer MySQL Datenbanken. Um die Schwachstelle zu schließen, sollten Sie die vom Hersteller bereitgestellten Sicherheitsupdates umgehend installieren. Den Download-Link finden Sie in der Warnmeldung des Bürger-CERT.

7. Photoshop: Update für Bildbearbeitungssoftware

Adobe Photoshop weist mehrere Schwachstellen auf, durch die sich beliebiger Programmcode mit Benutzerrechten ausführen lässt. Betroffen von den Sicherheitslücken sind Photoshop CC 2018 (Version 19.1.5 und früher) für Windows und macOS. Ebenfalls betroffen ist Photoshop CC 2017 18.1.5 und früher. Um die Sicherheitslücke zu schließen, ist es empfehlenswert, die verfügbaren Sicherheitsupdates zeitnah einzuspielen. Weitere Informationen finden Sie im Sicherheitshinweis des Bürger-CERT.

Prisma

8. Smartphone-Verschlüsselung: Veraltete Geräte lassen unberechtigten Zugriff zu

Sicherheitsexperten ist es gelungen, die Verschlüsselungs-Keys von Smartphones und anderen mobilen Geräten innerhalb von Sekunden abzugreifen. Im Unterschied zu früheren Methoden genügte der Zugriff über die verbauten Sensoren – bislang war es nötig, das Gerät selbst zu öffnen. Die neue Technik zeichne dagegen die elektromagnetischen Wellen auf, die während der Entschlüsselung abgestrahlt werden, beschreibt winfuture.de. Mittlerweile haben die Sicherheitsforscher eine Schutzmaßnahme entwickelt, die bereits seit Mai 2018 im Einsatz ist. Deshalb lassen nur noch ältere oder nicht aktualisierte Geräte einen unberechtigten Zugriff mit dieser Methode zu.

Veraltete Endgeräte stellen oftmals ein Risiko dar, weil für ihre Betriebssysteme keine Patches mehr bereitstehen. Ein regelmäßiges Update- und Patch-Management ist aber essenziell für die Sicherheit des Smartphones und der darauf gespeicherten Daten. Deshalb ist es empfehlenswert, auf ein neues Gerät spätestens dann umzusteigen, wenn für das alte keine Patches mehr verfügbar sind. Wer sein altes Gerät gegen ein neues austauscht, sollte jedoch unbedingt seine Daten sichern. Wie das geht, erklärt BSI für Bürger.

Zum Beitrag auf winfuture.de: Forscher knacken Smartphone-Verschlüsselung innerhalb von Sekunden

9. Online-Spiele: Gamer sind beliebte Angriffsziele für Hacker

Mit 370.000 Besuchern hat die Spielemesse Gamescom in Köln in der vergangenen Woche einen neuen Besucher-Rekord erreicht. Durch die steigende Beliebtheit der Games sind die Spieler jedoch immer mehr im Visier von Cyber-Kriminellen. Einige Spiele entfalten erst dann ihren vollen Spielspaß, wenn Nutzerinnen und Nutzer ihre Charaktere durch den Kauf von Objekten besser ausstatten oder sie weitere Spielmodi und Features kaufen. Durch den lebhaften Handel mit virtuellen Gegenständen haben nicht nur diese, sondern auch die Spielwährungen einen realen Wert. Das lockt Internetbetrüger an, die sich an den Spielern mit diversen Tricks bereichern wollen. Von Täuschungsmanövern über das Entwenden von Gegenständen und Spielfiguren bis zum Diebstahl von Nutzerdaten etablieren sich unterschiedliche Betrugspraktiken.

Welche Gefahren drohen, wie Sie diese erkennen und wie Sie sich vor Betrügern schützen können, hat Ihnen BSI für Bürger hier zusammengestellt.

10. Facebook: Achtung Fake-Gewinnspiele

Immer wieder tauchen auf Facebook gefälschte Gewinnspiele auf. Sie suggerieren Nutzerinnen und Nutzern, dass sie anlässlich einer Veranstaltung einen tollen Preis gewinnen können. Aktuell gebe es unter anderem ein Gewinnspiel, das eine Reise nach Mallorca verspreche, in einem anderen Beitrag werde ein Traumhaus verlost, berichtet der Blog mimikama.at. Zu gewinnen gibt es in Wirklichkeit allerdings nichts: Die Betrüger wollen Sie nur zur Teilnahme verführen, um an Ihre Daten zu kommen, denn diese bringen Geld. Zudem lassen sich Seiten mit vielen Likes und Shares gewinnbringend verkaufen. Ein solches Gewinnspiel kann aber auch dazu genutzt werden, um Nutzerinnen und Nutzern beispielsweise ein teures Abo zu verkaufen.

Um nicht in die Falle solcher Betrügereien zu tappen, ist es empfehlenswert, stets mit Vorsicht und gesundem Menschenverstand zu surfen – auch in sozialen Netzwerken. Tipps dazu gibt BSI für Bürger.

Zu den Meldungen auf mimikama.at: Fake-Gewinnspiel: "15x 7-tägige All-Inclusive Reise nach Mallorca" und Fake-Gewinnspiel: "Traumhaus"