Bitdefender

Kommentar zum Hacker-Angriff auf Verisign

Das Verisign Trust-Siegel vermittelt Besuchern, dass ihre Identität bestätigt wurde und ihre Website die Schadprogrammsuche von Verisign bestanden hat. Den nun bekannt gewordenen Hacker-Angriff auf Verisign kommentiert Catalin Cosoi, Chief Security Researcher bei Bitdefender.

„Vor einigen Tagen wurde über Reuters vermeldet, dass Unbekannte erneut in Computersysteme von Verisign eingedrungen sind. Das geht aus einem Bericht hervor, das das Unternehmen bei der US-Börsenaufsicht SEC eingereicht hat. So hatten die Hacker Zugang zu Informationen auf einigen PCs und Servern von Verisign. Bisher sei aber kein Missbrauch der Daten bekannt – so die Verisign-Verantwortlichen.

Derartige Angriffe auf Datenbanken von Konzernen und öffentlichen beziehungsweise staatlichen Einrichtungen werden immer häufiger bekannt. Insbesondere Betreiber von kritischen Infrastrukturen wie Verisign sind gern genommene Ziele. Hier lassen sich viele Hacker nicht lumpen und setzen die mitunter modernsten Angriffsmethoden ein, beispielsweise sogenannte APTs (Advanced Persistent Threats) und Zero-Hour-Threats. So kann die Bedrohung nicht kompiliert werden, bis zu dem Moment, indem sie gestartet wird. Gegen derartige Angriffe kann man sich nur sehr schwer verteidigen.

Hinzu kommt, dass Verisign ein besonders ernster Fall ist. Ein erfolgreicher Angriff kann verheerende Folgen haben. Denn Verisign ist eine der wichtigsten Behörden der Welt, da sie Menschen sicher zu mehr als der Hälfte der weltweiten Websites leiten soll. Ein von Verisign ausgestelltes Zertifikat wird automatisch von Browsern und Betriebssystemen akzeptiert.

Beruhigend zu wissen ist, dass anscheinend kein Angriff auf das Domain-Name-System(DNS)-Netzwerk stattgefunden hat. Das DNS stellt sicher, dass Nutzer auf der richtigen Website landen. Eine Manipulation hätte zur Folge, dass User auf gefährliche beziehungsweise verseuchte Internetseiten umgeleitet werden könnten. Unklar ist, ob der Einbruch auch den Geschäftsbereich SSL-Zertifikate (Secure Socket Layer) betraf. Sensible Transaktionen wie Internetbanking basieren auf dem SSL-Verfahren.

In einer schriftlichen Anhörung vor dem Senat nannte der US-Director of National Intelligence, James Clapper, den Angriff eine Gefahr für eine der grundlegendsten Technologien in der Online-Kommunikation für sensible Transaktionen. Phishing-Attacken erreichten so einen neuen Level.

Am Beispiel von Stuxnet (entdeckt im Juni 2010) wissen wir, dass gestohlene Zertifikate verwendet wurden, um ausgefeilte Malware-Attacken zu starten. Eine gültige digitale Signatur ist eine zentrale Sicherung für 64-Bit-Betriebssysteme, sobald Schadsoftware versucht, sich selbst zu installieren. Ist diese Signatur manipuliert, wird die Malware als ungefährlich (gültig) eingestuft und kann dementsprechend spät oder im Ernstfall nie erkannt werden. Zu bedenken ist: Der Verisign-Hack hat bereits 2010 stattgefunden. Bekannt geworden ist er erst jetzt. Einige besonders fiese Rootkits sind vielleicht also längst im Umlauf.

Alles in allem brauchen wir mehr Details, um zu sehen, was genau passiert während dieser aufeinanderfolgenden Angriffe und welche Daten tatsächlich gestohlen wurden. Zum Abschluss ein Wort zum Worst Case: Würden mehrere Phishing-Attacken mit gültigem Zertifikat Browser manipulieren, könnte ein riesiges Maß an Daten für finanzielle Manipulationen verwendet werden. Aber noch ist keine Panikmache angebracht.“

Catalin Cosoi, Chief Security Researcher, Bitdefender

Verisign Trust-Siegel Wenn das Verisign Trust-Siegel auf einer Webseite angezeigt wird, bedeutet dies, dass:
  • Verisign die Identität des Unternehmens oder der Organisation, das beziehungsweise die das Siegel anzeigt, verifiziert hat.
  • Verisign das Recht des Unternehmens beziehungsweise der Organisation, den Domainnamen der Website zu verwenden, verifiziert hat.
  • die Website die tägliche Schadprogrammsuche von Verisign bestanden hat und keine Schadprogramme entdeckt wurden.
Quelle: Verisign/Symantec Corporation
Foto: Bitdefender

Bitdefender

Rundum-Schutz für Rechner und Handy

Ob PC, Mac, Android-basierendes Smartphone oder Tablet: Bitdefender sorgt mit seiner neu konzipierten Software Sphere 2013 für systemübergreifenden Schutz. User können damit eine unbegrenzte Anzahl an Endgeräten vor Viren, Trojanern, Spyware und Phishing-Attacken schützen.

Foto: Siegfried Fries/ Pixelio.de

IT-Sicherheit im Rückblick

Angriffe auf allen Ebenen

Staatliche Institutionen hissen die weiße Fahne vor den Angreifern aus dem Internet, da sie der Attacken nicht Herr werden – was soll da ein Mittelständler tun? 2015 war ein Seuchenjahr der IT-Sicherheit. Doch 2016 soll das Internet der Dinge Flügge werden.

Foto: Gerd Altmann/Pixelio

Studie von Unisys

Staat soll vor Hackerangriffen schützen

Die deutsche Bevölkerung wünscht mehr Einsatz, um Malware, Datenspionage und Hackerangriffe zu verhindern, so das Ergebnis des diesjährigen Security Index von Unisys. 77 Prozent der Studienteilnehmer sind dafür, dass staatliche Einrichtungen Überwachungswerkzeuge gegen Malware- und Hackerattacken einsetzen.

Bei der Eröffnung des Trainingszentrums (v. l): Florian Haacke, Thomas Kufen, Uwe Tigges, Prof. Dr. Andreas Pinkwart, Arne Schönbohm
Foto: Innogy SE

IT-Sicherheit

Energieversorger lernen Abwehr von Hackerangriffen

Das Energieunternehmen Innogy hat gestern das erste Trainingszentrum für Energieversorger zur Abwehr von Hackerangriffen im deutschsprachigen Raum eröffnet.