Wenn Sie das nächste Mal in einem Hotel übernachten, möchten Sie vielleicht den Riegel der Tür verwenden. Eine Gruppe von Sicherheitsforschern hat diese Woche eine Technik enthüllt, die eine Reihe von Sicherheitslücken ausnutzt, die sich auf 3 Millionen Hotelzimmerschlösser weltweit auswirken. Während das Unternehmen an der Behebung des Problems arbeitet, sind viele der Schlösser weiterhin anfällig für die einzigartige Einbruchstechnik.
Apple hat eine schwere Woche hinter sich. Sicherheitsforscher deckten nicht nur eine große, praktisch nicht zu behebende Schwachstelle in seiner Hardware auf (mehr dazu weiter unten), sondern reichten auch das US-Justizministerium und 16 Generalstaatsanwälte eine Kartellklage gegen den Technologieriesen ein und behaupteten, dass seine Praktiken mit seinem iPhone-Geschäft in Zusammenhang stehen sind rechtswidrig wettbewerbswidrig. Ein Teil der Klage hebt hervor, was Apple als „elastische“ Übernahme von Datenschutz- und Sicherheitsentscheidungen bezeichnet – insbesondere die Ende-zu-Ende-Verschlüsselung von iMessage, die Apple Android-Benutzern nicht zur Verfügung stellen wollte.
Apropos Datenschutz: Eine kürzlich erfolgte Änderung der Cookie-Popup-Benachrichtigungen zeigt, mit wie vielen Unternehmen jede Website Ihre Daten teilt. Eine WIRED-Analyse der 10.000 beliebtesten Websites ergab, dass einige Websites Daten mit mehr als 1.500 Dritten teilen. Mittlerweile ermutigt die Arbeitgeberbewertungsseite Glassdoor, auf der Menschen seit langem anonym über Unternehmen kommentieren können, dazu, ihren richtigen Namen zu verwenden.
Und das ist nicht alles. Jede Woche fassen wir die Neuigkeiten zu Sicherheit und Datenschutz zusammen, auf die wir selbst nicht ausführlich eingehen. Klicken Sie auf die Schlagzeilen, um die vollständigen Geschichten zu lesen. Und bleiben Sie da draußen in Sicherheit.
Einer neuen Studie zufolge enthalten die Chips der M-Serie von Apple einen Fehler, der es einem Angreifer ermöglichen könnte, den Prozessor dazu zu bringen, geheime Ende-zu-Ende-Verschlüsselungsschlüssel auf Macs preiszugeben. Ein von einem Forscherteam entwickelter Exploit mit dem Namen GoFetch, nutzt den sogenannten Data Memory Dependent Prefetcher (DMP) der M-Serie-Chips. Im Speicher eines Computers gespeicherte Daten haben Adressen, und DMPs optimieren den Betrieb des Computers, indem sie die Adresse der Daten vorhersagen, auf die wahrscheinlich als nächstes zugegriffen wird. Der DMP setzt dann „Zeiger“, die zum Auffinden von Datenadressen im Speichercache der Maschine verwendet werden. Auf diese Caches kann ein Angreifer im Rahmen eines sogenannten Seitenkanalangriffs zugreifen. Ein Fehler im DMP ermöglicht es, den DMP dazu zu verleiten, Daten zum Cache hinzuzufügen, wodurch möglicherweise Verschlüsselungsschlüssel offengelegt werden.
Der Fehler, der in den M1-, M2- und M3-Chips von Apple vorhanden ist, kann im Wesentlichen nicht behoben werden, da er im Silizium selbst vorhanden ist. Es gibt Abhilfemaßnahmen, die kryptografische Entwickler entwickeln können, um die Wirksamkeit des Exploits zu verringern Kim Zetter von Zero Day schreibt„Die Quintessenz für die Benutzer ist, dass sie nichts dagegen tun können.“
In einem Brief, der diese Woche an Gouverneure in den gesamten USA geschickt wurde, warnten Beamte der Environmental Protection Agency und des Weißen Hauses, dass Hacker aus dem Iran und China „Wasser- und Abwassersysteme in den gesamten Vereinigten Staaten“ angreifen könnten. In dem von EPA-Administrator Michael Regan und Jake Sullivan, dem nationalen Sicherheitsberater des Weißen Hauses, versandten Brief heißt es, dass Hacker, die mit der Islamischen Revolutionsgarde Irans und der staatlich unterstützten chinesischen Hackergruppe Volt Typhoon in Verbindung stehen, bereits Trinkwassersysteme und andere kritische Infrastrukturen angegriffen haben. Zukünftige Angriffe, heißt es in dem Brief, „haben das Potenzial, die lebenswichtige Lebensader von sauberem und sicherem Trinkwasser zu stören und den betroffenen Gemeinden erhebliche Kosten aufzuerlegen.“
Es gibt eine neue Version einer Wiper-Malware, die russische Hacker offenbar bei Angriffen auf mehrere ukrainische Internet- und Mobilfunkanbieter eingesetzt haben. Synchronisiert AcidPour von Forschern des Sicherheitsunternehmens SentinelOneBei der Malware handelt es sich wahrscheinlich um eine aktualisierte Version der AcidRain-Malware, die im Februar 2022 das Viasat-Satellitensystem lahmlegte und die militärische Kommunikation der Ukraine stark beeinträchtigte. Laut SentinelOnes Analyse von AcidPour verfügt die Malware über „erweiterte Fähigkeiten“, die es ihr ermöglichen könnten, „eingebettete Geräte wie Netzwerke, IoT, große Speicher (RAIDs) und möglicherweise ICS-Geräte, auf denen Linux x86-Distributionen ausgeführt werden, besser zu deaktivieren“. Die Forscher teilen CyberScoop mit, dass AcidPour für weitreichendere Angriffe verwendet werden könnte.
Volt Typhoon ist nicht die einzige mit China verbundene Hackergruppe, die weitreichende Verwüstungen anrichtet. Forscher des Sicherheitsunternehmens TrendMicro haben eine Hacking-Kampagne einer Gruppe namens Earth Krahang aufgedeckt, die sich gegen 116 Organisationen in 48 Ländern richtet. Davon ist es Earth Krahang gelungen, 70 Organisationen zu durchbrechen, darunter 48 Regierungsstellen. Laut TrendMicro verschaffen sich die Hacker Zugang über anfällige Server mit Internetverbindung oder über Spear-Phishing-Angriffe. Anschließend nutzen sie den Zugriff auf die Zielsysteme, um Spionage zu betreiben und die Infrastruktur der Opfer für weitere Angriffe zu beschlagnahmen. Trend Micro, das Earth Krahang seit Anfang 2022 überwacht, sagt auch, es habe „potenzielle Verbindungen“ zwischen der Gruppe und I-Soon gefunden, einem chinesischen Hack-for-Hire-Unternehmen, das kürzlich durch ein mysteriöses Leck interner Dokumente aufgedeckt wurde.