BSI: Mehrere Millionen Internet Konten durch Botnetze geknackt TIPP

[Bogomir]

Nachdem es gestern auch durch die Nachrichten bekannt gemacht wurde, waren die Server der BSI, bei denen die Überprüfung der eigenen Mailadressen möglich ist hoffnungslos überlastet.

Seit Dezember 2013 war den Behörden bekannt, dass etwa 16.000.000 Mailadressen und deren Passwörter in Listen im Internet kursieren.
Gesammelt wurden diese Daten durch BOT-Netze. Nicht offengelegt wurde, ob die Daten dabei über Fishing, bzw. Trojaner erfasst und gesammelt wurden, oder ob es sich dabei auch um aufgekaufte Mailadressen handelt.

Anstatt die Listen zu veröffentlichen, oder die Betroffenen per Mail anzuschreiben hat die BSI eine Webseite geschaltet in der etwaige Betroffene überprüfen können, ob die dort angegebene Mailadresse auch auf der Liste enthalten ist.

Funktionieren tut das ganze folgendermaßen:

nachdem eine zu überprüfende Mailadresse eingegeben wurde und die Einverständniserklärung bestätigt wird überprüft der Server, ob die angegebene Mailadresse in der Liste enthalten ist. Bei einem Treffer wird die Mailadresse angeschrieben und über das mögliche Hijacking des Kontos informiert. Um die Echtheit der Mail zu überprüfen wird ein Sicherheitscode in der Mail übermittelt, der auch beim Start des Testes auf der Webseite angezeigt wird.​

Quelle: Heise.de: BSI warnt vor gehijackten Benutzerdaten

Sollte es zu einer Treffermail kommen sind folgende Aktionen angeraten:

- Aktualisieren der Scansoftware auf möglich betroffenen Rechnern
- Scannen auf Viren / Malware der Rechner auf denen der Zugriff auf diese Mailkonten stattgefunden haben können
- Ändern der Passworte der betroffenen Konten (also weg von "12345678" oder "passwort")
- Ändern der Passworte bei Webseitenaccounts, die mit dieser Mailadresse verbunden sind (auch soziale Netzwerke, oder gar das FSB)
- Aktualisieren der Betriebssysteme auf aktuelle Bugfixings​

Um sich weniger angreifbar zu machen sollten bestimmte Empfehlungen eingehalten werden:

- keine simplen Passworte verwenden
- für jede Anmeldung ein anderes Passwort verwenden
- regelmäßige Aktualisierung des Betriebssystems und der Scansoftware
- möglichst kein Verwenden von Kontenaufrufen (User/Passwort) in Hotspots, oder öffentlichen Netzen
- regelmäßiges Wechseln der Passworte​

In den entsprechenden Kreisen kursieren schon seit langem Listen mit Kreditkartendaten / Mail-Passworten und Webaccounts. Das was hier ans Tageslicht gekommen ist ist daher nur die "Spitze des Eisberges"

Ich frage mich natürlich, wie aktuell der Datenbestand dieser Liste ist. Informationen, die vielleicht vor einem Jahrzehnt entstanden sind haben heutzutage oftmals keine Relevanz mehr. Dazu gibt die BSI keine Angaben.

Nichts desto Trotz... wieder mal ein deutliches Warnzeichen, nicht leichtfertig mit dem Thema Sicherheit umzugehen

 

[SonyFan]

Beim BSI sitzen ja wohl die ganz schlauen.
Gesetzt den Fall ich bin betroffen.
Meine Mailadresse ist dabei.
Wurde abgefischt.
Wenn der geneigte Angler mein Passwort inkl Mailadresse hat, wird er doch in paar Minuten alles ändern so das ich keinen Zugriff mehr auf die Mailadresse habe.

Wie soll ich dann denn die Mail vom BSI empfangen?
Ich habe doch gar keinen Zugriff mehr auf die betroffene Mailadresse!

Oder mache ich da einen Denkfehler?

 

[NeHe]

Oder mache ich da einen Denkfehler?

Ich denke schon

Denn Ziel ist nicht, die Mailaddy zu übernehmen, sondern vom Eigentümer unbemerkt mit zu nutzen, entweder zur Massenspamverteilung oder z.Bsp. zum "bequemen Shopping". Da nützt es dem Hijacker nichts, wenn es bemerkt wird.

Das ist mir vor paar Jahren mit einer GMX-Mailaddy passiert (nach so einer lustigen "BKA - Wir haben ihren PC gesperrt, zahlen sie ..."-Attacke). Da ist meine Addy "nur" genutzt worden um massig Werbe/Spam/pishing-mails zu versenden. GMX hat dann Postausgang gesperrt, mich informiert, nach PW-Änderung war alles wieder okay (PC war bereits geputzt).

Zudem wird es wohl selbst für den/die besten Angler schwierig, für 16 Mio geklaute Mailaddys die PW zu ändern.
Aber ... Selbst wenn das die Absicht wäre, ist die Chance recht gross, dass du schneller bist . (Obwohl ... seit Dez. ist auch schon massig Wasser die Weser runter geflossen^^)

 

[Bogomir]

...Wenn der geneigte Angler mein Passwort inkl Mailadresse hat, wird er doch in paar Minuten alles ändern so das ich keinen Zugriff mehr auf die Mailadresse habe.

Wie soll ich dann denn die Mail vom BSI empfangen?
Ich habe doch gar keinen Zugriff mehr auf die betroffene Mailadresse!...

Diese Liste liegt offline der BSI vor. Um deine Mail zu überprüfen würde ich mich über einen sicheren Weg auf den Server der BSI verbinden (z.B. durch booten eines Linux Life Systems von CD). Eine erneutes fishing ist auf diesem Weg dann ausgeschlossen.

Außerdem denke ich nicht, dass bei 16 Mio. Adressen gerade dein Account life überwacht wird ... die Wahrscheinlichkeit geht da eher gegen 0

Viel bedenklicher finde ich eine Meldung, dass angeblich auch neu angelegte Mailadressen von der BSI als Positiv gemeldet werden, was mich an der Wahrheit dieser Usermeldung zweifeln lässt.

 

[totsch]

@SonyFan - wie NeHe schon richtig sagte, dein Rechner/Mail-Account wird nur genutzt.

Die Bots laufen auf vernetzten Rechnern, deren Netzwerkanbindung sowie lokale Ressourcen und Daten ihnen zur Verfügung stehen. Betreiber illegaler Botnetze installieren die Bots ohne Wissen der Inhaber auf Computern und nutzen sie für ihre Zwecke, z.B. zum Versand von Spam-Mails oder für Denial of Service Angriffe (kurz DoS, englisch für: Dienstverweigerung oder -ablehnung; in der digitalen Datenverarbeitung = die Folge einer Überlastung von Infrastruktursystemen). Darüber hinaus werden Bot-Netze oft gegen Geld an Dritte weitervermietet. Durch Bot-Netze ist Ihr Rechner nicht mehr nur Opfer, sondern er wird gleichzeitig auch zum Täter. Er erhält die entsprechenden Befehle vom Bot-Netz-Betreiber und führt diese aus. In den Medien taucht für Bot-Netze daher immer öfter der Begriff "Zombie-Rechner" auf, weil der Rechner wie ein Zombie - ein willenloses Werkzeug - zum Leben erweckt wird.

Quelle und weitere Gefahren im Internet (Pishing, Abofallen, Fake-Shops, Auktionen etc.) sowie Verhaltens-Tipps siehe .polizei-beratung.de

 

[Bogomir]

Offensichtlich bin ich mit meinen Sicherheitsbedenken nicht alleine

Inzwischen gibt es auch eine Stellungnahme zum Vertrauen in die BSI Seite:

BSI-Sprecher Griese versucht zu beruhigen. "Eine Speicherung der E-Mail-Adresse nach Abschluss der Abfrage erfolgt nicht", sagt er und erklärt das Prüfverfahren:

"Aus der eingegebenen E-Mail-Adresse wird im Rahmen des Überprüfungsverfahrens ein sogenannter Hash-Code generiert. Mit Hilfe dieses Hash-Codes lässt sich feststellen, ob Ihre E-Mail-Adresse betroffen ist. Sofern dies der Fall ist, wird die E-Mail-Adresse als Empfängeradresse der generierten Antwortmail genutzt und sofort danach auf dem Webserver gelöscht. Sind Sie nicht betroffen, wird die E-Mail-Adresse direkt nach Feststellung der Nicht-Betroffenheit gelöscht."​

Die Bundesbeauftragte für den Datenschutz sei über dieses Verfahren informiert worden und habe keine Einwände.

Auf Nutzerseite sieht das so aus: Wer seine Adresse eintippt, bekommt einen Code genannt, den er sich merken soll. Nur, wenn dieser Code später in der Betreffzeile der Antwortmail des BSI erscheint, soll man diese öffnen. Aber benachrichtigt werden ohnehin ja nur diejenigen, deren Adressen betroffen sind. Das sollte laut Griese im Normalfall nur einige Minuten dauern. "Es ist unser gesetzlicher Auftrag, die Bürger zu informieren und zu warnen", kommentiert Griese die Aktion; und diesem Auftrag komme man nach.

Das Misstrauen gegenüber diesem Service oder dem Amt selbst kann der BSI-Sprecher offenbar nicht verstehen: "Was soll ich denn mit E-Mail-Adressen anfangen? Ich weiß, wir haben momentan eine Situation, in der solche Fragen vielleicht sogar auf der Hand liegen. Aber ich kann Ihnen versichern, dass nichts gespeichert wird."

Überprüfen lässt sich das von außen freilich kaum.

Quelle

 

[SonyFan]

Hatte das alles nur überflogen mangels Zeit.
Wer richtig liest ist klar im Vorteil
Nun ist mir die Strategie klar (Botnetze usw usw usw )
Danke für die Aufklärung

 

[Konradin]

Würde ich einen entsprechenden Wurm/Trojaner oder wie auch immer programmieren, dann würde ich es mir keinesfalls entgehen lassen, den Posteingang der BSI zu überwachen allen Absendern eine entsprechende Mail zukommen zu lassen. Diese wird anschliessend von so gut wie allen Empfängern gelesen - und schon bin ich drin.

Eine bequemere Art, an gültige Adressen zu gelangen und diese auch umgehend nutzen zu können, gibt es wohl kaum.