Wo sind heute Systeme verwundbar?

[=Floi=]

Hi
Es hat sich die letzten jahre viel auf seiten der pc sicherheit getan. Bios, bootloader und das system können komplett verschlossen werden.
Auch geht MS immer mehr gegen verschlüsselungssoftware vor.

Angenommen es wurden alle vorsichtsmassnahmen beachtet, wo würden heute hacker (auf staatlicher seite) angreifen um systeme zu schädigen?
Wo würde man heute ansetzen um die systeme dauerhaft zu schädigen?
Warum wird nicht öfter hardware beschädigt?

[Argo Zero]

Beim Menschen. Entweder übers Telefon oder per Mail. Ganz beliebt Identitätsdiebstahl bzw. durch betrügerische Mails den User hinters Licht führen.
Das ist bei IT Sicherheitsschulungen mittlerweile Thema Nr 1.
Die Methoden werden auch immer besser.

Erst vorgestern sowas mal live miterleben dürfen. Bekommt jemand eine Mail von Person X:

Absender: blabla.Musterfirmr.de. (der Schreibfehler ist Absicht, so kam das an)
Inhalt:
"
Hallo Peter,

können wir spontan 51.000 EUR an XY überweisen? Muss noch dringend erledigt werden blabla

LG
Ralf
"

Peter und Ralf waren echte Namen. Durch öffentliche PR waren die Namen halt bekannt und auch in welchem Verhältnis die zueinander stehen.

Der User hat uns (IT) die Mail geschickt. Schon krank.

[Badesalz]

Hi
Es hat sich die letzten jahre viel auf seiten der pc sicherheit getan.Doch doch. Auch Hardware wird beschädigt. Nur nicht von der Schadsoftware, sondern für die Schadsoftware
https://blog.fefe.de/?ts=9d2c972f

Auch geht MS immer mehr gegen verschlüsselungssoftware vor.HÄÄ?

Angenommen es wurden alle vorsichtsmassnahmen beachtet, wo würden heute hacker (auf staatlicher seite) angreifen um systeme zu schädigen?Warum sollte man sie schädigen wollen?? Ich sehe keine Vorteile darin.

[The_Invisible]

Beim Menschen. Entweder übers Telefon oder per Mail. Ganz beliebt Identitätsdiebstahl bzw. durch betrügerische Mails den User hinters Licht führen.
Das ist bei IT Sicherheitsschulungen mittlerweile Thema Nr 1.
Die Methoden werden auch immer besser.

Erst vorgestern sowas mal live miterleben dürfen. Bekommt jemand eine Mail von Person X:

Absender: blabla.Musterfirmr.de. (der Schreibfehler ist Absicht, so kam das an)
Inhalt:
"
Hallo Peter,

können wir spontan 51.000 EUR an XY überweisen? Muss noch dringend erledigt werden blabla

LG
Ralf
"

Peter und Ralf waren echte Namen. Durch öffentliche PR waren die Namen halt bekannt und auch in welchem Verhältnis die zueinander stehen.

Der User hat uns (IT) die Mail geschickt. Schon krank.

Jap, der User ist heutzutage das schwächste Glied in der Sicherheitskette. Technisch sind viele Firmen wirklich schon gut abgesichert, aber irgendwann kommt halt doch mal eine Mail durch und das wars dann.

Eigentlich müsste heutzutage ja jeder User der mit internetfähigen Systemen agiert einen Basic-Sicherheitskurs absolvieren. Selbst im privaten was einem ja eigentlich egal sein kann werden durch Unwissen zahlreiche Botserver & gehackte Webserver/Mailaccounts generiert die dann wieder in den Business Bereich zurückfallen.

[Badesalz]

Jap, der User ist heutzutage das schwächste Glied in der Sicherheitskette.Ja... So wirklich zum Tragen kommt das aber erst, wenn er von Trojka flankiert wird. Das ist entweder:
Windows + Outlook + Active Directory, oder
Windows + Office + Active Directory.

Eigentlich müsste heutzutage ja jeder User der mit internetfähigen Systemen agiert einen Basic-Sicherheitskurs absolvieren.Bei Heise machen die das schon lange und wiederholend.

Auch lange davor, bevor sie von Emotet erlegt wurden... :uup:

[Marscel]

Wo würde man heute ansetzen um die systeme dauerhaft zu schädigen?

Social Engineering. Falls du nicht wirklich irgendwie schon was anderes aus der Ferne regeln kannst. Dabei müssen es nicht mal Sicherheitslücken im OS oder Software sein, manchmal einfach nur ne blöde Config-Einstellung auf irgendwas, was vielleicht nicht mal jemand mehr im Blick hat.

Warum wird nicht öfter hardware beschädigt?

Warum willst du Hardware beschädigen? Also ja, da gibt es Use-Cases, z. B. als die Anti-Iran-Connection verhindern wollte, dass deren Zentrifugen waffenfähiges Uran rauswerfen.

Aber sonst: Die Bösen wollen auch nur Geld verdienen, und das geht mit Scamming, Phising oder Ransomware bis jetzt wohl lukrativ.

[=Floi=]

HÄÄ?
Ich habe vor kurzem irgewndwo gelesen, dass durch bitlocker und andere sachen es den verschlüsselungstrojanern erschwert wird das ganze system zu verschlüsseln.
Auch backups und virtualisierung haben sich auf diese bedrohung eingestellt.


Warum sollte man sie schädigen wollen?? Ich sehe keine Vorteile darin.
Von staatlicher seite, um gegnerische infrastruktur zu schädigen. Man kann schon durch kleine ausfälle große schäden verursachen.
Kosten, chaos und angst.
Es würde auch unternehmen richtig wehtun, wenn der ausfall mehrmals auftritt.

[Badesalz]

@Floi
Sowas war Stuxnet. Israelisches Produkt den sie den Amis gegeben haben - und die das zum Ungehalten der Israelis im Einsatz komprommitiert haben - um über die Netzwerkkomponenten der Siemens SPS, die SPS selbst zu hacken und zu manipulieren. Das war das mit den iranischen Atomanlagen. Die... Netzwerkkomponente bei deren Stada war halt Windows.

So sieht sowas aus. Und ja, steht bestimmt in irgendeinem Plan, bei Phase XY. Zu 100%. Bitlocker hilft nicht dabei. Solange man eine immer frische und trotzdem ewig ranzige Softwarekomponenten nutzt - wie davor erwähnt - gibt es keinen realen Schutz dagegen.

Die indischen Scammer-Büros wurden SO oft durch unsere weißen wie grauen Hacker durchgenommen und auch gedoxet, daß sie jetzt fast nur noch CentOS fahren. Für sie ist das wohl ein Teil ihrer Lösung gewesen.
So als erstes.

Wir sind ungeschützt. Komm damit klar.

[YeahBuoy!]

HÄÄ?
Ich habe vor kurzem irgewndwo gelesen, dass durch bitlocker und andere sachen es den verschlüsselungstrojanern erschwert wird das ganze system zu verschlüsseln.
Auch backups und virtualisierung haben sich auf diese bedrohung eingestellt.
...


Das wäre mir neu. Zielsetzung von Bitlocker war afaik das wenn ein Datenträger gestohlen, oder andereweitig verloren gegangen ist, dieser nicht von einem unbefugten Dritten ausgelesen werden kann. Also das der Schutz nur dann greift wenn ein Angreifer bereits physischen Zugriff auf das Ziel hat. Der Kryptotrojaner setzt ja an wenn das System bereits in Betrieb ist und spult dann sein Skript ab. Mit offline Backups kann man die Gefahr des Datenverlusts reduzieren (sofern der Trojaner nicht bereits auf eben jenen vorhanden ist und sonst eben nach der Wiederherstellung wieder zur Tat schreitet). Auch Virtualisierung ist hier nicht perfekt, bspw. wenn der Trojaner erkennt das er in einer Sandbox gelandet ist und dann eben nicht ausgeführt wird um es Securityspezialisten zu erschweren diese in einer kontrollierten Umgebung zu beobachten.

Die beste, mir bislang bekannte, Defensive ist im Idealfall einen in Sicherheitsfragen kompetenten Einkauf zu haben der ein schätzen kann ob ein Hersteller hier ordentliche Software / Update Politik hat und danach zu kaufen und die generell ein Sicherheitskonzept erarbeitet haben. Wenn Sicherheitspatches ausgerollt werden müssen diese zeitnah eingespielt werden, es müssen die User geschult werden (siehe Beispiel für CEO Fraud oben), eine vernünftig konfigurierte Firewall ist ebenfalls ein muss und Pentests gehören mit dazu. Das ist jetzt nur mal beispielhaft aufgeführt.

Und selbst wenn mein obiger Absatz größtenteils implementiert ist besteht immer ein Restrisiko. Entweder weil z.B. eine 0day Lücke ausgenutzt wurde oder, und das ist wahrscheinlicher, durch menschliches Versagen plötzlich eine Ransomware verseuchte und per PW verschlüsselte .zip Datei geöffnet und deren Inhalt ausgeführt wird.

Kurzum; Hardwareverschlüsselung wie Bitlocker ist sicher ein Baustein, aber da brauchts noch ne Ecke mehr.

[Asaraki]

Warum sollte man sie schädigen wollen?? Ich sehe keine Vorteile darin.

Aus "Group Perspektive" : PoC.

Wir wissen alle wie wichtig der CV ist ;)

[Leonidas]

Beim Menschen.

Exakt. Gilt auch bei Viren & Trojanern. Liest man sich den Befallsweg genau durch, denn kommt es fast immer an die Stelle, wo der Benutzer dann doch irgendwie zustimmen oder selber ausführen muß. Der Virus, der sich von alleine und ohne jeden Nutzerfehler installiert, ist verdammt selten.