| |
DB8AS > VIRUS 17.04.12 01:38l 239 Lines 13774 Bytes #999 (0) @ DL
BID : G42DB0EAM007
Read: GUEST DK3UZ DL1LCA
Subj: BSI Newsletter 120413
Path: DB0FHN<DB0FOR<DB0SIF<DB0EAM
Sent: 120416/2327z @:DB0EAM.#HES.DEU.EU [Kassel DB8AS] DB19c1 $:G42DB0EAM007
From: DB8AS @ DB0EAM.#HES.DEU.EU (Jochen)
To: VIRUS @ DL
SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 13.04.2012
Nummer: NL-T12/0007
Die Themen dieses Newsletters:
1. Entwickler warnen vor Nutzung: Falsche VLC-App
2. Android-Bot greift gerootete Smartphones : Umfassender Zugriff
3. Sicherheitslücke in Erweiterung für Google Chrome: Gar nicht hilfreich
4. Updates für Windows und Office: Microsoft Patchday
5. Java-Sicherheitsupdates verfügbar: Trojaner nutzen Schwachstellen
6. Update für Adobe-PDF-Anwendungen: Kritische Schwachstellen
7. Kritik an Datenschutz in Apples iCloud: Verschlüsselt, aber nicht sicher
8. äStalker-App“ vom Markt genommen: äGirls Around Me“
EDITORIAL
Guten Tag,
ein Programm, etwa eine App für das Smartphone, aus dem Internet
herunterzuladen, geht schnell. Sich mit den dazugehörigen
Nutzungsbedingungen, den Programmeigenschaften und den Zugriffsrechten zu
beschäftigen, erfordert hingegen Zeit. Wer sich diese nicht nimmt, läuft
Gefahr, den Überblick zu verlieren und wird womöglich am Ende böse
überrascht. Die aktuellen Warnungen vor und Diskussionen um Apps zeigen,
wie wichtig es ist, den technischen Fortschritt kritisch zu begleiten.
Mehr Infos zu diesem Thema sowie weitere Meldungen rund um die Sicherheit
im WWW finden Sie wie immer in unserem Newsletter. Spannende Lektüre und
sichere Stunden im globalen Netz wünscht Ihnen
Ihr BUERGER-CERT-Team
STÖRENFRIEDE
1. Entwickler warnen vor Nutzung: Falsche VLC-App
In einer
Twitter-Nachricht [https://twitter.com/#!/videolan/status/187498031183171584]
hat das Entwickler-Konsortium VideoLAN vor einer falschen App des
Multimedia-Players VLC gewarnt. Die Anwendung für
Android-Betriebssysteme, die vermutlich Malware enthielt, konnte bis vor
Kurzem in Googles App-Store heruntergeladen werden. Anwender werden
aufgefordert, die Anwendung nicht zu nutzen. Derzeit ist keine offizielle
Version des VLC-Players als App erhältlich. Die Entwickler werden eine
Veröffentlichung zu gegebenem Zeitpunkt bekanntgeben.
2. Android-Bot greift gerootete Smartphones : Umfassender Zugriff
Besitzer eines Android-Smartphones oder Tablet-PCs können das
Betriebssystem ihres Geräts rooten, also so verändern, dass Anwendungen
Rechte erhalten, die über die in den Werkseinstellungen vorgesehenen
hinausgehen. Der Hersteller von Antivirensoftware NQ Mobile hat nun
das Schadprogramm DKFBootKit
entdeckt [http://research.nq.com/?p=391], das auf gerootete Geräte
zugeschnitten ist. Die Variante der DroidKungFu-Malware wird gemeinsam
mit vermeintlich harmlosen und unverdächtigen Apps übertragen, die
Rootrechte benötigen. Nach erfolgter Installation erhält das
Schadprogramm auf diese Weise ebenfalls umfangreiche Rechte und kann ohne
Kenntnis des Anwenders etwa aus der Ferne gesteuert werden und beliebig
Programme auf dem Gerät installieren oder entfernen. NQ Mobile rät
Anwendern, Apps nur aus seriösen Quellen zu beziehen und einen aktuellen
Virenscanner zu installieren.
3. Sicherheitslücke in Erweiterung für Google Chrome: Gar nicht hilfreich
Im offiziellen Chrome Web Store, über den Google Erweiterungen für seinen
Browser Chrome anbietet, ist Malware aufgetaucht. Dies
berichtet das Sicherheitsunternehmen
Kaspersky [http://www.securelist.com/en/blog/208193414/Think_twice_before_installing_Chrome_extensions].
Die Schadprogramme wurden mittlerweile von Google aus dem Store entfernt.
Sie tarnten sich als FlashPlayer und als vermeintliche Erweiterungen für
Facebook-Profile, mit denen Anwender etwa die Farbe ihres Profils
anpassen oder Viren entfernen können sollten. Tatsächlich handelte es
sich um Trojaner, die die Kontrolle über die Profile übernahmen. Die
Malware hat Spam an alle Freunde des gekaperten Anwenderkontos versendet
und für die manipulierten Erweiterungen geworben. Zudem wurden bestimmte
Facebook-Seiten automatisch mit äGefällt mir“ markiert, wofür die
Cyber-Kriminellen laut Kaspersky mutmaßlich Geld bekommen.
Browser-Erweiterungen haben teilweise weitgehende Zugriffsrechte auf die
Daten der Anwender auf Rechnern und im Internet. Allerdings können
Informationen zu den Zugriffrechten im Chrome Web Store bei den einzelnen
Apps unter dem Reiter äDetails“ eingesehen werden.
SCHUTZMASSNAHMEN
4. Updates für Windows und Office: Microsoft Patchday
Der Patchday von Microsoft für den Monat April bringt sechs
Sicherheitsupdates, die insgesamt elf Sicherheitslücken unter anderem in
Windows- und Office-Versionen schließen. Eine als äkritisch“ eingestufte
Schwachstelle findet sich in den Internet Explorer-Versionen 6, 7, 8 und
9. Weitere Updates gibt es für äkritische“ Sicherheitslücken in Office
2003, 2007 und 2010. Alle gefundenen Schwachstellen können von Unbefugten
missbraucht werden, um aus der Ferne Schadcode auf Anwendersystemen
auszuführen. Nähere Erläuterungen zu den einzelnen Patches liefert das
Microsoft Security
Bulletin [http://technet.microsoft.com/en-us/security/bulletin/ms12-apr].
Die Aktualisierungen lassen sich über die äWindows
Update“-Website [http://www.windowsupdate.com/] installieren.
5. Java-Sicherheitsupdates verfügbar: Trojaner nutzen Schwachstellen
Eine kritische Schwachstelle in der Laufzeitumgebung Java betrifft sowohl
Mac- als auch Windows-Anwender. Dies berichten unter anderem
heise.de [http://www.heise.de/security/meldung/Flashback-Trojaner-nutzt-ungepatchte-Java-Luecke-aus-1499277.html]
und
Microsoft [http://blogs.technet.com/b/mmpc/archive/2012/03/20/an-interesting-case-of-jre-sandbox-breach-cve-2012-0507.aspx].
Eine Ausnutzung der Schwachstelle ist bereits über den Besuch von
manipulierten Webseiten möglich. Nach Angaben von
zdnet.de [http://www.zdnet.de/news/41561449/mehr-als-600-000-macs-mit-flashback-trojaner-infiziert.htm]
und
golem.de [http://www.golem.de/news/flashback-trojaner-hat-ueber-eine-halbe-million-macs-unter-kontrolle-1204-90992.html]
sind mittlerweile weltweit rund 600.000 PCs infiziert.
Anwender sollten prüfen, ob sie die Java-Laufzeitumgebung für ihre Arbeit
am PC benötigen. Wer auf Java verzichten kann, sollte dies tun. Unter Mac
OS kann Java über die äJava-Einstellungen“ abgeschaltet werden, unter
Windows erfolgt eine Deinstallation über äStart > Einstellungen >
Systemsteuerung > Programme und Funktionen“. Anwender, die die Software
benötigen, sollten diese gemäß den Möglichkeiten ihres Betriebssystems
auf dem aktuellsten Stand halten. Besonders für Anwender von Microsoft
Windows besteht ein großes Risiko, da die Schwachstelle mittlerweile von
sogenannten Exploit Packs verwendet wird, die der vereinfachten
Generierung von Schadprogrammen dienen. Ob eine aktuelle Java-Version
installiert ist, kann auf der Webseite des Java-Anbieters
Oracle [http://www.java.com/de/download/installed.jsp?detect=jre&try=1]
überprüft werden.
Für Microsoft Windows stehen mit Java Version 6 Update 31 und Version 7
Update 3 seit Februar schützende Updates zur Verfügung, die genutzt
werden sollten. Außerdem sollte in den Java-Einstellungen von Windows die
Option des automatischen Updates angewählt werden.
Auch der Mac-Trojaner äFlashback“ nutzt die kritische Java-Schwachstelle
aus. Flashback ist eine weit entwickelte Schadsoftware, die in Apple Mac
OS X eingebaute Schutzmaßnahmen umgehen kann. Auch Mac OS X-Anwender
haben nun die Möglichkeit, verwundbare Java Versionen zu aktualisieren.
Dies geschieht unter Mac OS X am einfachsten über die integrierte
Funktion äSoftware-Aktualisierung“ des Betriebssystems.
Einen gewissen Schutz bieten die Browser von Mozilla und Google. In der
aktuellen Version von Mozilla Firefox werden unsichere Plugins (zum
Beispiel alte Java-Versionen) gesperrt. In Google Chrome ist Java
standardmäßig deaktiviert, die Ausführung von Java-Inhalten muss vom
Anwender im Bedarfsfall manuell freigegeben werden.
6. Update für Adobe-PDF-Anwendungen: Kritische Schwachstellen
Das Software-Unternehmen Adobe hat Updates für seine
PDF-Anwendungen
veröffentlicht [http://www.adobe.com/support/security/bulletins/apsb12-08.html].
Damit sollen als kritisch eingestufte Sicherheitslücken in den
Programmversionen bis Adobe Reader und Acrobat 10.1.2 unter Windows und
Mac OS X geschlossen werden. Zudem gibt es Aktualisierungen für den
Reader bis zu Version 9.4.6 unter Linux. Die Updates für den Reader und
Acrobat können mittels der automatischen Produktaktualisierung
durchgeführt werden. In der Standardkonfiguration wird regelmäßig
automatisch nach Updates gesucht. Die Überprüfung auf Aktualisierungen
lässt sich jedoch auch manuell aktivieren: äHilfe“ > äNach Updates
suchen“.
PRISMA
7. Kritik an Datenschutz in Apples iCloud: Verschlüsselt, aber nicht
sicher
Die Nutzungsbedingungen für Apples
iCloud [http://www.apple.com/legal/icloud/de/terms.html] geraten in die
Kritik. Nachdem bereits im Januar
computerbild.de [http://www.computerbild.de/artikel/cb-Tests-Software-Test-Telekom-Cloud-Mediencenter-7009906.html]
im Rahmen eines Produktvergleichs die Datenschutzvereinbarung aus
juristischer Sicht negativ bewertet hat, übt nun auch das
US-amerikanische IT-Fachmagazin
arstechnica.com [http://arstechnica.com/apple/news/2012/04/apple-holds-the-master-key-when-it-comes-to-icloud-security-privacy.ars]
Kritik.
Laut
spiegel.de [http://www.spiegel.de/netzwelt/web/0,1518,825687,00.html]
erklärt Apple, dass Dokumente, Backup-Daten, Kontakte, Kalender und
Standortdaten verschlüsselt in der iCloud gespeichert werden. Dass
Anwenderdaten nicht vom Kunden selbst, sondern vom Cloud-Anbieter
verschlüsselt werden, ist nicht ungewöhnlich und die Bedingungen dafür
werden etwa im Eckpunktepapier des BSI zum Thema Cloud
Computing [https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Mindestanforderungen/Eckpunktepapier-Sicherheitsempfehlungen-CloudComputing-Anbieter.pdf?__blob=publicationFile]
beschrieben. Apple nimmt sich jedoch das Recht, die Daten jederzeit
wieder zu entschlüsseln, etwa um sie an Dritte weiterzugeben. So heißt es
in der Datenschutzrichtlinie:
äSie willigen außerdem ein, dass diese Daten in die USA oder in andere
Länder übermittelt werden können, um von Apple, seinen verbundenen
Unternehmen und/oder deren Dienstleistern gespeichert, verarbeitet und
genutzt zu werden.“ Den Zugriff auf das Anwender-Konto und die Weitergabe
der Inhalte behält sich Apple für die Fälle vor, für die ädies
vernünftigerweise erforderlich oder angemessen“ ist bzw. wenn dies
notwendig ist, etwa um Straftaten zu verhindern oder aufzudecken.
8. äStalker-App“ vom Markt genommen: äGirls Around Me“
Nach umfangreicher Kritik in vielen Medien haben die Entwickler der
iOS-App äGirls Around Me“ ihr Produkt aus dem iTunes App-Store entfernt.
Einen umfangreichen Überblick über die Berichterstattung liefern
sueddeutsche.de [http://www.sueddeutsche.de/digital/umstrittenes-programm-girls-around-me-die-app-die-frauen-zum-objekt-macht-1.1327002]
und
zeit.de [http://www.zeit.de/digital/datenschutz/2012-04/app-girls-around-me].
Der Protest gegen die App äGirls Around Me“ richtet sich vor allem gegen
die Verknüpfung öffentlich verfügbarer Daten von Facebook und dem
Lokalisierungsdienst Foursquare, um Anwendern den Standort weiblicher und
männlicher Nutzer dieser Dienste getrennt auf einer Karte anzuzeigen. Die
Anwender der App konnten die angezeigten Personen dann etwa via Facebook
oder direkt persönlich kontaktieren.
Blogs, darunter
cultofmac.com [http://www.cultofmac.com/157641/this-creepy-app-isnt-just-stalking-women-without-their-knowledge-its-a-wake-up-call-about-facebook-privacy/],
kritisierten die App als Werkzeug für Stalker. Die Anwendung erwecke
cultofmac.com zufolge in Namensgebung, Bezeichnung und Aufmachung den
Eindruck, unbekannte Frauen ausfindig machen und verfolgen zu können.
Auch Foursquare ging die App zu weit und der Lokalisierungsdienst entzog
den Entwicklern die Erlaubnis, die Foursquare-Schnittstelle weiter zu
nutzen. Daraufhin musste die Anwendung, die nach Angaben der
Programmierer bis dahin rund 70.000mal heruntergeladen wurde, aus dem
iTunes App-Store genommen werden. Der App-Entwickler hingegen vertrat
gegenüber der Online-Ausgabe des Wall Street
Journal [http://blogs.wsj.com/digits/2012/03/31/girls-around-me-developer-defends-app-after-foursquare-dismissal/]
den Standpunkt, die App nutze nur Daten, die Anwender öffentlich
preisgegeben hätten.
-----------------------------------------------------------------------
Dieser Newsletter "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot
des Bürger-CERT, http://www.buerger-cert.de. Er erscheint im Abstand von 14
Tagen. Die Informationen werden mit größter Sorgfalt recherchiert und
aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit
und Richtigkeit nicht übernommen werden.
Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de
-----------------------------------------------------------------------
Die Veroeffentlichung in PR wurde mir vom BSI genehmigt.
vy 73, Jochen
ax.25 : db8as at db0eam.deu.eu
e-mail: db8as at db0eam.de
Read previous mail | Read next mail
| |
