| |
DB8AS > VIRUS 19.12.13 17:04l 210 Lines 11172 Bytes #999 (0) @ DL
BID : JC3DB0EAM006
Read: DK3UZ GUEST
Subj: BSI Newsletter 131219
Path: DB0FHN<OE2XZR<OE6XPE<DB0RES<DB0OSN<DB0UHI<DB0FC<DB0EAM
Sent: 131219/1454z @:DB0EAM.#HES.DEU.EU [Kassel DB8AS] DB19c1 $:JC3DB0EAM006
From: DB8AS @ DB0EAM.#HES.DEU.EU (Jochen)
To: VIRUS @ DL
SICHER o INFORMIERT
-------------------
Der Newsletter des Bürger-CERT
Ausgabe vom 19.12.2013
Nummer: NL-T13/0026
Die Themen dieses Newsletters:
1. Wordpress: Gefälschtes Plugin verbreitet Schadsoftware
2. Android: Taschenlampen-App gibt vertrauliche Daten weiter
3. Vorsicht Schadsoftware: Gefälschte E-Mails im Namen des BKA im Umlauf
4. Trojaner unterm Weihnachtsbaum?: Lieber sicher online shoppen!
5. Patchdays bei Microsoft und Adobe: Auch Zero-Day-Lücke in Windows und Office wird geschlossen
6. D-Link: Updates für DSR-Router
7. Apple: OS X 10.9.1 "Mavericks" veröffentlicht
8. Sicheres Internet: mit 10 Millionen Euro dotierter EU-Forschungspreis vergeben
9. Phishing: Zwei Millionen Passwörter im Internet entdeckt
10. Nicht nur zum Jahreswechsel: IT-Security-Vorsätze
EDITORIAL
Guten Tag,
sind Sie auch gerade dabei die letzten Weihnachtsgeschenke im Internet zu
besorgen? Leider ist die Vorweihnachtszeit nicht nur Hochsaison für
Online-Einkäufer, sondern auch für Cyber-Kriminelle. Wir weisen Sie noch
einmal auf die wichtigsten Tipps zum Online-Shopping hin, damit Sie unter
Ihrem Weihnachtsbaum keinen Trojaner finden!
Außerdem berichten wir über Spam-Mails, die Schadsoftware verbreiten und
dabei vorgeben vom Bundeskriminalamt zu stammen. Die Mails mit dem
Betreff äVorladungstermin Polizei/BKA“ kursieren derzeit gehäuft.
Und noch ein Hinweis in eigener Sache: Aufgrund der anstehenden Feiertage
erscheint der nächste Bürger-CERT-Newsletter am 9. Januar 2014. Bis dahin
wünschen wir Ihnen frohe Festtage und dass Sie gut und IT-sicher ins neue
Jahr kommen.
Ihr Buerger-CERT-Team
STÖRENFRIEDE
1. Wordpress: Gefälschtes Plugin verbreitet Schadsoftware
Derzeit kursieren erneut
Phishing-Mails [http://blog.sucuri.net/2013/12/phishing-emails-to-install-malicious-wordpress-plugins.html],
die zur Installation eines Gratis-Plugins für die Weblog-Software
Wordpress auffordern. Die Mails werben mit einer Gratisversion eines
üblicherweise kostenpflichtigen Plugins. Tatsächlich verbirgt sich
dahinter jedoch eine Schadsoftware, die sich Zugriff auf den Webserver
verschafft. Die Folge ist, dass sich auch Leser des entsprechenden Blogs
mit Schadcode infizieren können.
Nutzer der Wordpress-Software sollten also besonders wachsam sein und
keinen fragwürdigen Angeboten folgen, die per E-Mail eingehen.
2. Android: Taschenlampen-App gibt vertrauliche Daten weiter
Medienberichten [http://www.golem.de/news/datenschutz-taschenlampen-app-gibt-vertrauliche-daten-weiter-1312-103203.html]
zufolge hat eine Taschenlampen-App für Android Handys unerlaubt Daten
gesammelt und an Dritte weitergegeben. Dies bemängelte jetzt die
US-amerikanische Federal Trade Comission (FTC), die den Hersteller
bereits aufgefordert hat, die mit der App gesammelten Daten unverzüglich
zu löschen. Die kostenlose App äBrightest Flashlight Free“ des
Unternehmens Goldenshores hat unter anderem Standortdaten und die
Gerätekennung zu Werbezwecken an Dritte weitergeleitet. Mehrere Millionen
Nutzer sollen betroffen sein. Sie können zunächst weder verhindern, dass
diese Daten gesammelt, noch bemerken sie, dass diese dann an Dritte
weitergereicht werden.
3. Vorsicht Schadsoftware: Gefälschte E-Mails im Namen des BKA im Umlauf
Das Bundeskriminalamt (BKA) weist auf eine Welle von
Spam-Mails [http://www.bka.de/DE/Presse/Pressemitteilungen/Presse2013/131209__GefaelschteBKAEMails.html]
hin, die das BKA als angeblichen Absender vorgeben und Nutzer per Link
auf eine mit Schadsoftware infizierte Webseite leiten. Der bislang
bekannte Betreff dieser E-Mails lautet "Vorladungstermin Polizei/BKA". In
der gefälschten E-Mail wird mitgeteilt, dass durch das BKA angeblich ein
Sammelverfahren wegen Warenbetruges mittels Internet in mehreren Fällen
angestrebt werde. Der Empfänger wird aufgefordert, einen Link
anzuklicken, um nachzulesen, welche angeblichen Vorwürfe gegen ihn selbst
erhoben werden.
Das BKA weist daraufhin, dass es sich bei diesen Mails um eine Fälschung
handelt. Nutzer sollten in keinem Fall auf den angegebenen Link klicken,
sondern die Mails unverzüglich löschen und ihre Virenschutz-Software auf
dem neuesten Stand halten.
SCHUTZMASSNAHMEN
4. Trojaner unterm Weihnachtsbaum?: Lieber sicher online shoppen!
Alle Jahre wieder steigt im Dezember die Zahl der Einkäufe im Internet:
Laut einer Umfrage des Marktforschungsinstituts GfK plante in diesem Jahr
jeder zweite Deutsche (49 Prozent), mindestens ein Weihnachtsgeschenk
online einzukaufen. Doch die Vorweihnachtszeit ist auch Hochsaison für
Online-Kriminelle. Auf der BSI für Bürger
Webseite [https://www.bsi-fuer-buerger.de/Onlineshopping.html] können
Sie noch einmal die wichtigsten Tipps nachlesen, wie Sie sich vor
Schadsoftware beim Online-Shopping schützen: von Basisschutz bis
Passwortsicherheit, von Online-Bezahlverfahren bis AGBs.
Außerdem noch ein Tipp für diejenigen, die einen neuen Computer unter dem
Weihnachtsbaum finden: Nutzen Sie die Feiertage, um das Gerät in Ruhe
kennen zu lernen und einzurichten. Für die private Nutzung von PCs unter
Windows und Ubuntu, sowie Macs unter Apple OS X Mountain Lion hat das BSI
konkrete Hilfestellungen für eine sichere
Konfiguration [https://www.bsi-fuer-buerger.de/SicherSurfen] erstellt.
5. Patchdays bei Microsoft und Adobe: Auch Zero-Day-Lücke in Windows und
Office wird geschlossen
Mit seinem Dezember-Patchday schließt Microsoft wieder zahlreiche
Sicherheitslücken in seinen Programmen. Betroffen sind unter anderem
Windows, Internet Explorer und Office. Insgesamt stehen elf Updates
bereit, von denen fünf als kritisch eingestuft wurden. Geschlossen wird
auch die seit Anfang November bekannte
Zero-Day-Lücke [https://www.buerger-cert.de/archive?type=widtechnicalwarning&nr=TW-T13-0090]
in Windows, Office und Lync. Nutzer sollten ihre Microsoft Windows
Produkte über die integrierte Update Funktion (Windows Update)
aktualisieren oder die neuesten Versionen von der Microsoft Homepage
herunterladen und installieren. Die ausführlichen Meldungen zu den
einzelnen Updates finden Sie in den Technischen Warnungen
des
Bürger-CERT [https://www.buerger-cert.de/archive?type=WIDTechnicalWarning]
vom 11. Dezember 2013.
6. D-Link: Updates für DSR-Router
Auf seiner Internetseite hat
D-Link [http://more.dlink.de/sicherheit/router.php]
Updates zu verschiedenen DSR-Routermodellen herausgegeben. Für die
Modelle DSR-250N, DSR-500N und DSR-1000N stehen entsprechende
Firmware-updates zur Verfügung. Die neue Firmware schließt die
Sicherheitslücken: äUmgehung der Authentisierung“ und
äPrivilegieneskalation“.
7. Apple: OS X 10.9.1 "Mavericks" veröffentlicht
Das Update beseitigt unter anderem Fehler in Mail, iLife, iWork,
VoiceOver und dem Schlüsselbund.
In dem Update ist auch die neue Version des Webbrowser Safari enthalten
der nun in der Version 7.0.1 vorliegt in der Sicherheitslücken
geschlossen wurden.
Die Hinweise zur Aktualisierung von OS X und Apps aus dem Mac App Store
erhalten Sie im Supportbereich von
Apple [http://support.apple.com/kb/HT1338?viewlocale=de_DE].
PRISMA
8. Sicheres Internet: mit 10 Millionen Euro dotierter EU-Forschungspreis
vergeben
Die Europäische Union hat einen mit 10 Millionen Euro dotierten
Forschungspreis [http://www.uni-saarland.de/nc/aktuelles/artikel/nr/9617.html]
vergeben, der Untersuchungen unterstützen soll, wie das Internet besser
gegen Überwachung geschützt werden kann. Den Preis erhielten vier
Informatik Professoren aus Deutschland von der Universität des
Saarlandes, dem Max-Planck-Institut für Informatik und dem
Max-Planck-Instituts für Softwaresysteme. Sie wollen herausfinden, wie
Anwender besser geschützt werden können, ohne dass die Meinungsfreiheit
oder der Informationsaustausch darunter leiden müssen. Dabei geht es
unter anderem um den Schutz der Privatsphäre (Privacy), den Nachweis, wer
für bestimmte Handlungen im Netz verantwortlich ist (Accountability), die
Einhaltung von Vereinbarungen (Compliance) und das Vertrauen in die
Richtigkeit von Daten und Diensten (Trust).
9. Phishing: Zwei Millionen Passwörter im Internet entdeckt
Sicherheitsforscher der Firma
Trustwave [http://blog.spiderlabs.com/2013/12/look-what-i-found-moar-pony.html]
haben nach eigenen Angaben eine Sammlung von mehr als zwei Millionen
entwendeten Passwörtern im Internet entdeckt. Die Zugangsdaten gehören zu
großen Webseiten wie Yahoo, Facebook, Google, Twitter und LinkedIn. Nach
Angaben der Forscher konnten die Cyber-Kriminellen mit Hilfe eines
Botnetzes bis zu 250.000 Passwörter pro Tag erbeuten. Die Forscher
analysierten die Zugangsdaten und kamen zu dem Ergebnis, dass nur rund 17
Prozent als ausreichend sicher eingestuft werden können. Wie ein sicheres
Passwort aussehen sollte, erfahren Sie unter
www.bsi-fuer-buerger.de/Passwoerter [http://www.bsi-fuer-buerger.de/Passwoerter].
10. Nicht nur zum Jahreswechsel: IT-Security-Vorsätze
Haben auch Sie schon Ihre guten Vorsätze für 2014 geplant oder haben Sie
alle Ihre vorgenommen IT-Sicherheitsziele von 2013 erreicht? Das
IT-Sicherheitsunternehmen GDATA erklärt auf seiner Internetseite
warum Sie das äNeue Jahr“ für gute Vorsätze nutzen
sollten [http://www.gdata.de/securitylab/news/artikel/article/3429-it-security-vorsaetze-fuer-das.html]
äNicht ausreichend abgesicherte PCs und Mobilgeräte machen es
Cyberkriminellen besonders leicht, Nutzer anzugreifen und persönliche
Daten, wie Kreditkarteninformationen oder Zugangsdaten zu
Bezahldienstleistern und Online-Shops zu stehlen“, erklärt Eddy Willems,
G Data Security Evangelist. äDabei sind gerade ungeschlossene
Sicherheitslücken durch veraltete Software und Betriebssysteme und
manipulierte Apps bei Mobilgeräten ein ideales Einfallstor für die Täter.
Nutzer sollten das neue Jahr daher nutzen, um ihren PC, ihr Smartphone
und ihr Tablet umfassend abzusichern“.
-----------------------------------------------------------------------
Dieser Newsletter "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot
des Bürger-CERT, http://www.buerger-cert.de. Er erscheint im Abstand von 14
Tagen. Die Informationen werden mit größter Sorgfalt recherchiert und
aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit
und Richtigkeit nicht übernommen werden.
Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de
-----------------------------------------------------------------------
Die Veroeffentlichung in PR wurde mir vom BSI genehmigt.
vy 73, Jochen
db8as@db0eam.deu.eu
Read previous mail | Read next mail
| |
