» News
Einbruch in Chatserver Matrix.org
Allgemein Ein Angreifer verschaffte sich Zugriff auf die Infrastruktur des dezentralen Chatsystems Matrix. Er oder sie hatte bei der Attacke Zugang zu Nutzerdaten.

Über ein nicht aktualisiertes Testsystem erlangte ein Angreifer Zugang zum Chatserver Matrix.org. Dieser ist der beliebteste Server des eigentlich dezentralen Messaging-Netzwerks Matrix. Der Angreifer hatte Zugriff auf die Datenbanken des Produktionssystems und darüber auch auf gehashte Passwortlisten sowie unverschlüsselte Nachrichten. Laut eigenen Angaben ergatterte der Angreifer auch die PGP-Schlüssel, mit denen die Software-Pakete signiert werden. Er oder sie äußerte sich auf Github.

Wie der Matrix-Hauptentwickler Matthew Hodgson in einem Blogbeitrag auf Matrix.org schreibt, erlangte der Angreifer Mitte März Kontrolle über einen nicht aktualisierten Jenkins-Server. Der dient dazu, neue Software-Versionen automatisiert zu testen. Anfang April brach der Angreifer dann in die produktive Infrastruktur mit dem Matrix-Homeserver ein, indem er ein SSH-Agent-Forwarding umleitete. Erst am 10. April entdeckte das Matrix-Team den Einbruch und setzte am Folgetag die Infrastruktur neu auf. Dadurch war Matrix.org am Donnerstag mehrere Stunden offline. Auch die Signierschlüssel tauschten die Entwickler aus.
Angreifer kommentiert auf Github

Um einen Missbrauch von Access-Tokens zu verhindern, wurden alle Nutzer ausgeloggt. Wer keine Backups der Kommunikations-Schlüssel lokal oder auf den Servern hat, kann Ende-zu-Ende verschlüsselte Chats nicht mehr öffnen. Mittlerweile sei das serverseitige Backup der Schlüssel beim Referenz-Client Riot die Vorgabe-Einstellung.

Auf Github schrieb der Angreifer Kommentare und Details und leitete zuletzt die DNS-Einträge von Matrix.org auf das eigene Github-Repository um. Dort offenbarte eine Aufstellung der jeweiligen Matrix.org-Server die veralteten Kernel-Versionen. Github hat den Benutzeraccount mittlerweile gelöscht.

Passwörter ändern

Nutzer, die ein Konto bei Matrix.org haben, sollten ihre Passwörter ändern. Diese lagen zwar verschlüsselt auf dem Server, aber schwache Passwörter können aus den Hashes errechnet werden. Wer mittels IRC-Bridging auch NickServ-Konten auf Matrix.org verwendet hat, sollte auch das NickServ-Passwort ändern. Hodgson empfiehlt zudem, bei privaten Chats immer auf eine Ende-zu-Ende-Verschlüsselung zu achten.

Anfang 2018 hatte die französische Regierung einen Plan enthüllt, einen sicheren Messenger als Alternative zu WhatsApp und Telegram entwickeln zu lassen. Dabei will sie auch eigene Matrix-Homeserver sowie den auf Matrix aufsetzenden Instant-Messenger Riot einsetzen.
Autor: Predatorfighter | Sonntag 14. 04. 2019 0 Kommentare


FBI-Hack: Rund 4000 Datensätze von US-Polizisten im Netz
Allgemein Eine Hackergruppe hat Namen, Anschriften, E-Mail-Adressen und Telefonnummern von FBI-Agenten ergattert und online gestellt.

Dutzende Dateien mit sensiblen personenbezogenen Informationen von Strafverfolgern und weiteren Ermittlern des FBI sind Hackern in die Hände gefallen. Die Übeltäter sollen einen Teil der abgezogenen Daten auch auf ihrer Webseite veröffentlicht haben, schreibt der Online-Dienst Techcrunch. Es handle sich um rund 4000 Einzeleinträge mit Klarnamen, privaten und dienstlichen E-Mail-Adressen, Berufsbezeichnungen, Telefonnummern und Postanschriften.

Die Hackergruppe und ihre Webadresse nennt das Magazin nicht angesichts der Sensibilität der publizierten Daten. Die Verantwortlichen sollen dem Bericht nach drei Seiten geknackt haben, die mit der FBI National Academy Association (FBINAA) in Zusammenhang stehen. Die Organisation hat es sich zum Ziel gesetzt, Standards, Know-how und die Zusammenarbeit von Strafverfolgungsbehörden in den USA und weltweit zu verbessern. Sie unterhält unter anderem das FBI-Ausbildungszentrum in Quantico im Bundesstaat Virginia.
Webseiten und Plugins nicht auf aktuellem Sicherheitsstand

Offenbar haben sich die Hacker Zugang zu geschlossenen Mitgliederbereichen der FBINAA und verschiedener Untergruppen der Vereinigung verschafft. In einem verschlüsselten Chat mit Techcrunch sollen sie angegeben haben, bekannte Sicherheitsschwachstellen in Form von "öffentlichen Exploits" verwendet zu haben.

Die von ihnen ins Visier genommenen Webseiten scheinen demnach nicht ganz auf dem aktuellen Sicherheitsstand gewesen zu sein und veraltete Plugins verwendet zu haben. Einzelne der betroffenen Homepages verunstaltete die Gruppe auch, die nach eigenen Angaben über zehn Mitglieder zählt. Welche Hacking-Methoden das FBI und andere US-Sicherheitsbehörden verwenden, wollen derweil Bürgerrechtler per Klage herausfinden.
Erfahrung sammeln und Daten zu Geld machen

Angeblich haben die Angreifer insgesamt über 1000 Seiten gehackt und sind noch dabei, die erbeuteten Daten zu strukturieren. Die publik gemachten Informationen sollen als Lockvogel für Interessenten dienen, die weiteres Material kaufen wollen. Insgesamt wollen die Hacker über eine Million Datensätze aus den verschiedensten US-Behörden und Wohlfahrtsorganisationen in ihren Besitz gebracht haben. Sie schließen nicht aus, weitere Informationen davon zunächst gratis auf ihrer Seite verfügbar zu machen. Letztlich gehe es ihnen darum, Erfahrungen zu sammeln und die Daten zu Geld zu machen.

In dem Messenger-Austausch hat die Gruppe laut der Meldung auch Nachweise erbracht, die Sicherheitsmechanismen anderer Webauftritte umgangen zu haben. Dazu sollen Seiten des südostasiatischen Tech-Zulieferers Foxconn gehören. Ein angebotener Link habe zu einem Lotus-basierten Webmail-System mit tausenden Mitarbeitereinträgen inklusive Mail-Adressen und Telefonnummern geführt. (bme)
Autor: Predatorfighter | Sonntag 14. 04. 2019 0 Kommentare


Playstation-Spieler können endlich ihren Online-Namen ändern
Allgemein Lange haben Mitglieder des Playstation Network darauf gewartet, nun können sie ihren Namen beliebig oft ändern. Kostenlos ist das nur das erste Mal.

Ob "Bussibär23" oder "Ralle94": Playstation-4-Spieler, die schon länger mit ihrem Namen im Playstation Network hadern, werden erlöst. Vom 11. April an ist es möglich, die sogenannte Online-ID zu ändern, wie Sony mitteilt. Der erste Namenswechsel ist kostenlos, jeder weitere kostet zehn Euro und für Playstation-Plus-Mitglieder fünf Euro.

Möglich ist die Änderung in den Einstellungen der Playstation 4 unter "Kontoverwaltung/Kontoinformationen/Profil/Online-ID". Alternativ funktioniert sie auch im Browser, wenn man sich bei seinem Konto auf der Playstation-Network-Seite angemeldet hat - und zwar im Menü unter "PSN-Profil". Dort muss man auf "Bearbeiten" neben der Online-ID klicken. In einer FAQ weist Sony darauf hin, dass in manchen Spielen weiterhin die alte ID angezeigt werden könnte. (dahe)
Autor: Predatorfighter | Donnerstag 11. 04. 2019 0 Kommentare




« [ 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 ] »