Thema: Hacks diverser Hersteller/Anbieter ...

[spoke1]

Am vergangenen Wochenende hat Sony sein Online-Spielenetzwerk Playstation Network (PSN) in vielen Teilen der Welt wieder hochgefahren. Unter anderem in den USA sowie in Deutschland werden Anwender nun zunächst zu einem Firmware-Update aufgefordert, anschließend ist ein neues Passwort auszuwählen. Sony verlangt dazu wenigstens acht Zeichen, darunter Buchstaben und Zahlen. Wer besonderen Wert auf Sicherheit legt, sollte allerdings mindestens elf Zeichen eingeben und dabei auch Sonderzeichen verwenden.

Ab sofort wieder verfügbar sind die Kommunikations- und Multiplayer-Gaming-Funktionen des Playstation Network. PSN-Nutzer sollen mit einem "Welcome-Back-Package" aus kostenlosen digitalen Inhalten für die Komplikationen entschädigt werden, dessen Zusammensetzung für deutsche Kunden derzeit noch unbekannt ist. Der Playstation Store ist noch offline; Sony-Entertainment-Chef Kazuo Hirai sagte am Wochenende in einem Videostatement, die Wiederherstellung von Sonys Onlineladen erfolge schnellstmöglich. Bislang hatten die Japaner die Wiedereröffnung des Store für den 31. Mai angekündigt.

Hirai zählte außerdem neuartige Sicherheitsfeatures auf, die das PSN vor weiteren Hackerattacken schützen sollen. Dazu gehörten zusätzliche Firewalls, eine verbesserte Datenverschlüsselung sowie ein Frühwarnsystem. Den japanischen Behörden ist das offenbar nicht genug: Ausgerechnet auf seinem Heimatmarkt wurde Sony vorerst untersagt, das PSN wieder in Betrieb zu nehmen. Ein Mitarbeiter des Wirtschaftsministeriums erklärte, Sony habe am 13. Mai viele der am Anfang des Monats gegebenen Sicherheitsversprechen noch nicht eingelöst, ging allerdings nicht auf Details ein. Zudem habe Sony noch nicht Stellung dazu genommen, wie das Unternehmen Kundendaten künftig effektiv schützen wolle. Eine Sony-Sprecherin teilte dazu mit, ihr Unternehmen arbeite gegenwärtig zusammen mit den japanischen Behörden daran, das PSN auch dort wieder in Betrieb zu nehmen.

Während sich das Online-Spielenetzwerk langsam wieder mit Leben füllt, kommen neue Details zu der für die Abschaltung ursächlichen Hackerattacke im April ans Tageslicht, bei der 77 Millionen Kundendaten entwendet worden sind. So soll die Rechenkraft der Amazon-Serverwolke für den Angriff genutzt worden sein. Das berichtet der Wirtschaftsdienst Bloomberg unter Berufung auf Personen, die mit der Angelegenheit vertraut seien. Ein Amazon-Sprecher wollte das Thema nicht kommentieren. Die Amazon-Wolke war kurz nach der PSN-Abschaltung selbst in Turbulenzen geraten, zahlreiche US-amerikanische Web-2.0-Dienste waren kurzzeitig lahmgelegt. Dabei kam es auch zu einem dauerhaften Datenverlust. (jh)


Quelle: klick

[SiLæncer]

Nach der erneuten Datenpanne, die es Angreifern ermöglichte, die Passwörter von fremden PSN- und Qriocity-Accounts zu ändern, hat Sony die Webserver zur Verwaltung der Accounts wieder hochgefahren. Die Sicherheitslücke, die durch einen zu früh ausgegebenen Session-Cookie entstanden sein soll, wurde laut Sony geschlossen. In einem kurzen Test ließ sie sich nicht mehr ausnutzen. Anwender sollten dennoch generell darauf achten, ihren Rechner mit Virenscannern abzusichern und Mails über verschlüsselte SSL-Verbindungen abzuholen, um einem eventuellen Sniffing-Angriff vorzubeugen.

Die Sicherheitslücke bestand vom 16. bis 17. Mai. PSN- und Qriocity-Anwender, die während dieser Zeit ohne ihr eigenes Zutun Mails von Sony erhalten haben, dass ihr Passwort zurückgesetzt und geändert wurde, sollten sich umgehend mit dem PSN-Support in Verbindung setzen, um ihr Konto wiederzuerlangen. Wie viele Konten während der zwei Tage gekapert wurden, ist bislang unbekannt.

Der Playstation Store soll laut Sony am 24. Mai wieder online gehen. Dies geht aus einer Mitteilung hervor, die Sony laut der Online-Seite Gamasutra an Entwickler und Handelspartner verschickt hat. In den ersten Wochen soll es demnach mehrere Updates mit neuen Angeboten geben, um den Rückstau im Veröffentlichungszeitplan wieder aufzuholen. Mit der Wiedereröffnung des Stores sollen auch die kostenlosen Spiele als Kompensation für den Ausfall verfügbar werden. PS3- und PSP-Anwender, die ihr Konto vor dem PSN-Ausfall Mitte April bereits aktiviert hatten, können sich dann zwei Download-Spiele aussuchen und bekommen ein einmonatiges Playstation-Plus-Abo. Das Angebot soll 30 Tage gültig sein.

Doch auch abseits des PSN scheint Sony derzeit ein beliebtes Angriffsziel von Hackern zu sein. Wie der Weblog von F-Secure meldet, drangen Unbekannte in den thailändischen Server von Sony World ein und platzierten dort eine Phishing-Seite für Kunden des italienischen Kreditkarten-Instituts CartaSi. Die Phishing-Seite wurde von Sony noch nicht entfernt und ist noch immer online. Sie wird jedoch von Antiviren-Programmen wie Avira inzwischen geblockt.

Quelle : www.heise.de

[SiLæncer]

Sonys Playstation Network (PSN) ist mit einigen Stotterern wieder online, nachdem das große Scherheitsleck gestopft wurde. Doch im Moment scheinen verschiedene andere Server und Systeme des Konzern besonders beliebte Angriffsziele zu sein. Bereits am Freitag hatte F-Secure auf einem Sony-Server in Thailand Phishing-Seiten entdeckt , mit dem italienischen Kreditkartenkunden ihre Daten entwendet werden sollten.

Bei So-Net, einem Internet-Provider, der größtenteils Sony gehört, kam es in der vergangenen Woche zu einem Einbruch. Dabei vielen nach Medienberichten den Angreifen Punkte im Wert von rund 100 000 (860 Euro) aus dem Kunden-Bonus-System in die Hände. Außerdem wurden in verschiedenen Ländern einzelne Seiten der Musiker-Profile bei Sony Music geändert, unter anderem in Griechenland und Indonesien.

Ob diese Einbrüche jeweils durch einzelne schlecht gesicherte Benutzer-Accounts oder prinzipielle Schwächen der System möglich waren, geht aus den verfügbaren Informationen bislang nicht eindeutig hervor.

Quelle : www.heise.de

[SiLæncer]

Seit dem Hack des PlayStation Network (PSN) sind Wochen vergangen. Kurz nachdem das Netzwerk wieder online ging, wurde es erneut geknackt. Sicherheitsprobleme scheinen bei Sony fast schon ein System zu haben, wie nun auch der neueste Hack zeigt. Diesmal hat es die Website von Sony Music in Griechenland erwischt.

Benutzernamen, echte Namen, E-Mail-Adressen. All diese Daten haben bisher unbekannte Angreifer aus der Datenbank der Homepage von Sony Music Griechenland ausgelesen und bei pastebin.com veröffentlicht. Eigentlich sollten die Datensätze der registrierten Besucher von SonyMusic.gr weit umfangreicher sein. So fehlen in den geposteten Datensätzen beispielsweise die Passwörter oder die Telefonnummer. Diese und weitere Datensätze sind bisher nicht aufgetaucht.

Es mag unmöglich sein, eine absolut sichere Webpräsenz zu betreiben. Doch die Zahl der Probleme bei Sony gibt durchaus Grund zur Besorgnis. Natürlich machen die jüngsten Ereignisse deren Auftritte zu einem interessanten Ziel. Wer lange genug sucht und über ausreichend Kenntnisse verfügt, wird auch immer wieder Problemstellen finden. Die Frage ist lediglich, wie engagiert man hierfür sein muss.

Wie das Sophos Security Blog berichtet, sieht es gegenwärtig so aus, als ob die SQL Injection, mit der Zugriff auf die Daten erlangt wurde, vollautomatisch ablief. Es bedarf also keiner besonderen Kenntisse des Angreifers. Man muss lediglich eine Seite nach der anderen durchgehen. Irgendwann findet sich, so die Einschätzung von Sophos, eine Lücke.

Bisher kann man den registrierten Nutzern von SonyMusic.gr lediglich eine Empfehlung aussprechen: Die eigenen Passwörter so schnell wie möglich ändern. Man sollte grundsätzlich davon ausgehen, dass die Daten in den Händen von Personen sind, die damit nichts gutes vorhaben. Insbesondere vor Phising-Attacken solle man sich vorsehen, so Sophos Security Blog.

Quelle : www.gulli.com

[SiLæncer]

Weltweit scheinen Hacker Webserver von Sony zum Angriffsziel auserkoren zu haben. Nachdem am Wochenende Angriffe auf griechische und indonesische Server bekannt wurden, sind nun ein japanischer und ein kanadischer Server SQL-Injection-Angriffen zum Opfer gefallen. Die Angreifer hatten dadurch Zugriff auf die Datenbanken.

Während beim japanischen Server SonyMusic.co.jp keine personenbezogenen Daten ausgelesen wurden, sollen beim Hack des kanadischen Shop-Servers von Sony Ericsson (http://ca.eshop.sonyericsson.com/) rund 2000 Kundennamen, Mail-Adressen und die Hashes von Passwörter kopiert worden sein. Das bestätigte Sony gegenüber US-Medien. Der mutmaßliche libanesische Hacker soll die Daten auf der Textschnipsel-Seite Pastebin veröffentlicht haben, offenbar hat der Betreiber den Eintrag aber bereits gelöscht.

Quelle : www.heise.de

[SiLæncer]

Medienwirksam verkündeten die Hacktivisten von LulzSec am gestrigen Donnerstagabend kurz nach 22 Uhr bei Twitter, dass es ihnen gelungen ist, die Website von Sony Pictures zu kompromittieren. Die Hacker hatten nach eigenen Angaben Zugriff auf die persönlichen Daten von Administratoren und über einer Million Nutzern, darunter Anschriften, Telefonnummern, Mailadressen und Passwörter – die Sony offenbar ungeschützt im Klartext gespeichert hat. Als Beweis haben die Hacker zehntausende Datensätze für jedermann zugänglich ins Internet gestellt.

Zudem hatte LulzSec Zugriff auf über 3,5 Millionen Gutscheincodes sowie die Datenbanken der niederländischen und belgischen Niederlassungen von SonyBMG. Nach eigenen Angaben hat die Hackergruppe "aus Ressourcengründen" keine vollständige Kopie der Datenbanken gezogen, auf die sie Zugriff hatten. Dies hätte laut LulzSec noch einige Wochen in Anspruch genommen. Der Einbruch gelang durch eine ordinäre SQL-Injection-Lücke auf der Webseite zum Film Ghostbusters.

Die Hacker haben zuvor bereits Auszüge aus der Datenbank von Sony Music Japan veröffentlicht und übernehmen auch für die Verantwortung für die Einbrüche bei den US-Fernsehsendern Fox und PBS. Als Sprachrohr nutzt LulzSec stets den Microblogging-Dienst Twitter. Hier haben sie schon vor Tagen die Veröffentlichung der Sony-Daten angekündigt. Dies wirft die Frage auf, ob der Microblogging-Dienst auf eine derartige Ankündigungen nicht hätte reagieren müssen – etwa durch eine Stilllegung des Accounts. arum Twitter den Account nicht rechtzeitig stillgelegt hat, ist nicht bekannt.

Sony ist ein beliebtes Angriffsziel von Netzaktivisten, seitdem der Elektronikriese im Januar dieses Jahres juristisch gegen den PS3-Hacker George Hotz vorgegangen ist. Die beiden Parteien haben sich im April außergerichtlich geeinigt, doch die Angriffe gehen weiter. Wer für den spektakulären Einbruch in das PlayStation Network verantwortlich ist, weiter unklar. Ende April haben Unbekannte hier die Daten von über 100 Millionen Kunden entwendet. Als Nutzer kann man sich vor solchen Aktionen nur schützen, indem man weiterhin den Grundsatz befolgt, auf jeder Webseite ein anderes Passwort zu nutzen.

Quelle : www.heise.de

[SiLæncer]

Der japanische Elektronikkonzern Sony hat den erfolgreichen Angriff auf Systeme seiner Filmsparte bestätigt. In einer Stellungnahme entschuldigte sich Sony Pictures bei den betroffenen Kunden für die enstandenen Probleme. Die Angreifer hatten zuvor angegeben, Millionen von Datensätzen erbeutet zu haben.

Sony Pictures hat nach eigenen Angaben eine interne Untersuchung eingeleitet. Außerdem wandte sich das Unternehmen an die US-Bundespolizei FBI. Von dieser erhofft man sich Unterstützung bei der Fahndung nach den Tätern. Konkrete Hinweise gibt es zum jetzigen Zeitpunkt aber wohl noch nicht.

Die Angreifer gehören einer Gruppe an, die sich "Lulz Security" nennt. Die Daten,, auf die sie Zugriff bekamen, umfassten unter anderem Namen, Passwörter, E-Mail-Adressen und Anschriften von Nutzern, die sich bei Sony Pictures registriert hatten, um Informationen zu neu erscheinenden Filmen zugeschickt zu bekommen.

Sony geriet in den letzten Wochen mehrfach ins Visier von Angreifern. Für die größte Aufmerksamkeit sorgte dabei der Einbruch ins Playstation Network, bei dem ebenfalls Nutzerdaten entwendet wurden. Der Service war anschließend längere Zeit offline, bis Sony die Systeme abgedichtet hatte.

Quelle : http://winfuture.de

[SiLæncer]

Immer mehr Hacker fallen über den Elektronikkonzern Sony her. Kurz nachdem das Unternehmen den vorgestrigen Hack der Hackergruppe LulzSec bestätigte, gelang es dem libanesischem Hacker Idahc, Teile der Datenbank von „apps.pro.sony.eu“ zu stehlen. Sie sind nun im Internet für jedermann einsehbar.

Der Elektronikkonzern Sony hat die Hack-Attacke der Gruppe LulzSec auf das Internetangebot „Sony-Pictures“ bestätigt. Den Unbekannten sei es tatsächlich gelungen in die Server einzubrechen und über eine Million Nutzerdaten zu entwenden. Die Tausenden Daten, die die Crew am Donnerstag veröffentlichte, sind somit echt.

In der Stellungnahme des Sony-Picture Chefs Michael Lynton, entschuldigt sich der Konzern ausdrücklich bei seinen Kunden. Überdies habe man die US-Bundespolizei FBI um Hilfe bei der Suche nach den Schuldigen gebeten. Auch innerhalb des Unternehmens sollen nun Ermittlungen angestellt werden.

Während Sony mal wieder darum bemüht ist, seine Kunden zu beruhigen, macht sich die verantwortliche Hacker-Gruppe LulzSec einen Spaß aus den Maßnahmen, die ihr Opfer einleitet. Immer wieder wird der Konzern im Twitter-Account der Gruppe durch den Dreck gezogen und das FBI lächerlich gemacht. Zuletzt bat man sogar um Spenden, mit denen man Mittel bezahlen wolle, um das FBI zu attackieren.

Doch neben der Vielzahl an unseriöser Bemerkung sickert auch durch, dass die Crew offenbar gute Kontakte zu anderen Hackern pflegt. Vor wenigen Momenten erst beglückwünschte man den Hacker Idahc mit den Worten „We love you“, da es auch ihm gelungen sei, Sony einige Daten zu entwenden.

Und tatsächlich gelang es dem angeblich libanesischen Hacker die Seite „apps.pro.sony.eu“ zu kompromittieren. Auf seinem Twitter-Account veröffentlichte der Unbekannte eine Tabelle mit rund 120 Benutzerdaten, die von der Datenbank entwenden konnte. Wieder einmal soll eine simple SQL-Injection ausreichend haben, um die Daten abzugreifen. Seit dem Angriff ist die Seite down geschaltet worden.

Für Idahc ist es mittlerweile nur noch ein „Spiel“ Sonys Sicherheitsmaßnahmen zu umgehen. Mit den Worten „Mit war langweilig, also spielte ich das Spiel des Jahres „Hacker vs Sony“, begründete er auf Twitter seine Attacke. Der libanesische Hacker war bereits für den Angriff auf die kanadische Sony Ericcson Seite im Mai 2011 verantwortlich.

Quelle : www.gulli.com

[SiLæncer]

Beim Einbruch in Sonys Online-Dienste stellte sich heraus, dass der Konzern rund eine Million Kunden-Passwörter im Klartext - statt, wie sonst üblich, gehasht - gespeichert hatte. Diese wurden von den Angreifern daraufhin ins Internet gestellt. Bei der Analyse der Passwörter stellte sich heraus, dass viele Kunden sehr schwache Passwörter gewählt hatten.

Wie der Sicherheitsexperte Troy Hunt in seinem Blog berichtet, bietet die für den Hack verantwortliche Gruppe "LulzSec" einen Teil der gehackten Accounts als Torrent an. Hunt beschloss angesichts dessen, die Daten der rund 37.600 zum Download angebotenen Accounts zu analysieren, um einen Einblick in die Passwort-Sicherheit der Nutzer zu erhalten.

Hunt erklärt, dass ihn bei der Analyse der Passwörter im wesentlichen drei Faktoren interessierten: Länge, Variabilität der verwendeten Zeichen, Zufälligkeit und Einzigartigkeit. Ein sicheres Passwort sollte über alle vier Faktoren in möglichst hohem Maße verfügen, um gegen verschiedene Angriffe wie Bruteforce- und Wörterbuch-Angriffe resistent zu sein.

Als erstes befasste sich der Sicherheitsexperte mit der Länge der Passwörter. Wie er erklärt, sind längere Passwörter sicherer, aber auch schwerer zu merken und einzugeben. Daher gibt es keine "ideale" Passwortlänge - er halte aber alles ab acht Zeichen für einigermaßen sicher gegen die meisten Angriffe, erklärt Hunt. Bei den analysierten Sony-Accounts sind 93% der Passwörter zwischen sechs und zehn Zeichen lang. Die Hälfte aller Passwörter hat weniger als acht Zeichen und ist somit leicht durch Bruteforce-Angriffe oder ähnliche Verfahren herauszubekommen. Insbesondere mit GPU-Unterstützung sind derart kurze Passwörter bereits in äußerst überschaubarer Zeit zu knacken.

Zweites Merkmal für ein sicheres Passwort ist laut Hunt die Verwendung verschiedener Arten von Zeichen. Er unterscheidet dabei zwischen vier verschiedenen Typen: Ziffern, Großbuchstaben, Kleinbuchstaben und allem anderen (also Sonderzeichen). Bei der Analyse stellte Hunt fest, dass jeweils rund die Hälfte der Passwörter einen und zwei Typen von Zeichen verwendete. Drei oder mehr verschiedene Typen verwendeten lediglich 4% der Passwörter, eine Erkenntnis, die der Sicherheitsexperte als äußerst beunruhigend empfindet. Unter den Passwörtern, die lediglich einen Typ von Zeichen verwendeten, hatte die Hälfte lediglich Kleinbuchstaben. 45% verwendeten nur Großbuchstaben. Der Rest verteilte sich auf ausschließlich aus Ziffern oder Sonderzeichen bestehende Passwörter.

Daneben untersuchte Hunt die Zufälligkeit der Passwörter, das heißt, er untersuchte, wie viele Nutzer das selbe Passwort verwendeten. Unter den am häufigsten verwendeten Passwörtern fanden sich viele, die sich immer wieder bei Einbrüchen als besonders beliebt herausstellen. Die 25 beliebtesten Passwörter lauteten

    seinfeld, password, winner, 123456, purple, sweeps, contest, princess, maggie, 9452, peanut, shadow, ginger, michael, buster, sunshine, tigger, cookie, george, summer, taylor, bosco, abc123, ashley, bailey

Hunt erklärt Passwörter wie "winner", "sweeps" und "contest" damit, dass sich diese Nutzer womöglich für ein Gewinnspiel angemeldet haben. Er vermutet, dass es auch für die Beliebtheit sonst eher seltener Passwörter wie "9452" einen Kontext beim Registrierungs-Vorgang gab. Die anderen Passwörter sind die üblichen unkreativen ("123456", "abc123") oder popkulturellen Favoriten, die sich auch in anderen Communities und Foren immer wieder fanden. Hunt erklärt, dass das Phänomen, dass viele Nutzer das selbe Passwort wählen, trotz dieser scheinbar erschreckenden Erkenntnisse nicht allzu verbreitet zu sein scheint. Insgesamt kamen die 25 genannten Passwörter lediglich bei 2,5% der Nutzer vor. Insgesamt fanden sich lediglich 20% der Passwörter bei mehr als einem Benutzer. Die Nutzung schlechter Passwörter erscheine zwar wie eine Epidemie, so der Sicherheitsexperte, aber "die meisten Leute treffen diese schlechten Entscheidungen unabhängig voneinander und erzielen unterschiedliche Ergebnisse."

Hunt verglich die Passwörter, um ihre Zufälligkeit besser einschätzen zu können, zudem noch mit gängigen Wörterbüchern. Er verwendete dazu eine gängige, im Internet angebotene Liste von 1,7 Millionen möglichen Passwörtern. Dabei stellte er fest, dass immerhin 36% der gewählten Passwörter in der Wortliste auftauchten. Diese Passwörter waren zwar womöglich lang und/oder enthielten Sonderzeichen, aber sie waren so naheliegend, dass sie zuvor schon in Passwort-Datenbanken auftauchten und von dort aus ihren Weg in entsprechende Wörterbücher fanden.

Als letztes untersuchte Hunt die Frage: "Erstellen die Leute verschiedene Passwörter für verschiedene Accounts?" In der Vergangenheit zeigte sich häufig, dass Nutzer Passwörter mehrfach verwenden und somit bei Kompromittierung eines Accounts auch ihre anderen Konten gefährden. Der Sony-Hack bietet eine gute Möglichkeit, diese Problematik zu untersuchen, da Daten von verschiedenen, für die Benutzer scheinbar unabhängigen Diensten kopiert wurden. Hunt zufolge gab es gut 2000 Fälle, in denen verschiedene Accounts auf dieselbe E-Mail-Adresse - also höchstwahrscheinlich von derselben Person - registriert wurden. Die Analyse dieser Accounts zeigt ein alles andere als ermutigendes Ergebnis: 92% der Passwörter waren bei beiden Diensten identisch, lediglich 8% der Benutzer verwendeten zwei verschiedene Passwörter. 

Hunt stellte nun zwei Hypothesen auf, die diese leichtsinnige Passwort-Nutzung erklären könnten. Entweder, so der Sicherheitsexperte, seien die Nutzer tatsächlich so leichtsinnig - oder aber sie dächten einfach "Sony ist Sony" und verzerrten somit das Ergebnis, indem sie lediglich bei verschiedenen Sony-Diensten das selbe Passwort nutzen. Um festzstellen, welche Hypothese zutrifft, lud der Forscher eine ebenfalls im Internet verfügbare Datenbank der Community "Gawker" herunter. Es fanden sich lediglich 88 identische E-Mail-Adressen, was für ein womöglich nicht repräsentatives Ergebnis sorgte. Trotzdem, so Hunt, seien die Ergebnisse dieser Untersuchung durchaus interessant. Es stellte sich nämlich heraus, dass zwei Drittel der Nutzer für beide Accounts das selbe Passwort verwendeten. Das restliche Drittel verwendete unterschiedliche Passwörter. Angesichts dieser Tendenz, Passwörter mehrfach zu verwenden, gebe es eine gute Chance, dass diese Passwörter auch bei anderen Diensten funktionieren, vermutet Hunt. "Zu wie vielen GMail- oder eBay- oder Facebook-Accounts halten wir hier die Schlüssel in der Hand?," fragt der Sicherheitsexperte. Statistisch gesehen dürfte die Anzahl erheblich sein.

Die Passwörter der Sony-Datenbanken lagen im Klartext vor. Häufiger allerdings ist die Speicherung der Passwort-Hashes. Um die zugehörigen Original-Passwörter herauszubekommen, kann man beispielsweise Rainbow Tables verwenden. Hunt probierte daher aus, wie viele der Passwörter in ihrer gehashten Form für einen Angriff mit standardmäßigen, im Netz verfügbaren Rainbow Tables anfällig wären. Das Ergebnis ist kaum ermutigender als die vorangehenden: 82% der Passwörter wären bereits mit diesem Angriff - also mit äußerst überschaubarem Aufwand - in ihre Klartextform zurückzuverwandeln.

"Nichts hiervon ist besonders überraschend, aber es bleibt beunruhigend," so das Fazit des Sicherheitsforschers angesichts seiner Untersuchungsergebnisse. Wie so oft seien die bei den Sony-Diensten verwendeten Passwörter "zu kurz, zu simpel, zu vorhersehbar und zu sehr wie die anderen, die das Individuum anderenorts angelegt hat". Es sei erstaunlich, in welchem Maße die Passwörter vorhersehbaren Mustern folgen, erklärt Hunt. Wie der Sicherheitsforscher betont, liegen zweifellos große Versäumnisse auf Seiten von Sony vor, da das Unternehmen nicht nur für Einbrüche anfällig sei, sondern zudem noch komplett auf das Hashing der gespeicherten Passwörter verzichtet habe. Noch bemerkenswerter sei aber, dass offenbar ein Großteil der Nutzer "lausige Passwort-Praktiken anwenden". Sonys Versäumnisse seien Sonys Schuld, aber viele der Betroffenen hätten durch Leichtsinn - insbesondere die Wiederverwendung von Passwörtern - die Situation weitaus schlimmer als notwendig gemacht.

Quelle : www.gulli.com

[SiLæncer]

Nach dem PlayStation-Entwickler Sony wurde nun auch der Server des Spieleentwicklers Codemasters geknackt, wie das Unternehmen in einer Mail an seine Kunden bekannt gibt. Demnach wurde der Angriff auf Codemasters.com am 3. Juni festgestellt, woraufhin "Codemasters.com und sämtliche damit im Zusammenhang stehende Webdienste sofort offline geschaltet wurden, um jeden weiteren Zugriff zu verhindern", erklärt das Unternehmen.

Die Angreifer hatten laut Codemasters Zugriff auf Kundendaten wie Anschrift, Telefonnummer, Mailadresse und Passwort-Hash. Auch den Bestellverlauf im firmeneigenen Onlineshop EStore konnten sie einsehen. Zahlungsinformationen seien bei dem Einbruch nicht entwendet worden, da diese bei einem externen Dienstleister gespeichert sind, betont Codemasters. Auch der Kundenclub CodeM wurde kompromittiert, wo die Angreifer unter anderem Zugriff auf Geburtsdaten, IP-Adressen, Benutzerbiografien und Xbox-Live-Gamertags hatten.

Ob die Passwort-Hashes gesalzen sind, ist derzeit noch unklar. Sollte es den Angreifern gelingen, Klartextpasswörter anhand der Hashes zu rekonstruieren, könnten sie diese etwa auch bei Xbox Live ausprobieren – viele Anwender nutzen nach wie vor nur ein Passwort für verschiedene Dienste. Weitere Informationen über die sichere Speicherung von Passwörtern liefert der Artikel Cracker-Bremse bei heise Security.

In der Mail rät Codemasters seinen Kunden, umgehend das Passwort für alle Dienste zu ändern, bei denen man das bei Codemasters hinterlegte Passwort ebenfalls genutzt hat. Außerdem sollen sich die Kunden auf Phishingversuche via Mail, Post und Telefon gefasst machen. Wie viele Kunden von dem Hack betroffen sind, gab das Unternehmen bislang nicht bekannt. Auch wer hinter dem Einbruch steckt und wie der Angreifer vorgegangen ist, ist noch unklar

Codemasters will die bisherige Webseite nicht wieder ins Netz stellen. Stattdessen befindet sich derzeit eine neue Webpräsenz in der Entwicklung, die im Laufe des Jahres online gehen soll. Unterdessen wird die Domain Codemasters.com auf die Facebook-Seite des Unternehmens weitergeleitet.

Quelle : www.heise.de

[ritschibie]

Mittels einer offizieller Forennachricht gibt Epic Games, Entwickler-Schmiede des beliebten iPad-Spiels Infinity Blade, bekannt, dass auch die eigene Webpräsenz gehackt wurde. Wie beim Codemasters-Hack am gestrigen Freitag (10.6.11, s.a. http://www.dvbcube.org/index.php?topic=30504.0) geht die Firma davon aus, dass E-Mail-Adressen und Passwörter gestohlen wurden. Laut Tim Sweeney, dem Firmenchef, ist lediglich das Unreal Developer Network nicht von dem Hack betroffen. Während Codemasters die betroffene Seite nicht wieder online stellen will, sondern an einer neuen Webpräsenz arbeitet, hat Epic Games alle Passwörter zurückgesetzt und behält die Seite bei. Denn obwohl die Passwörter verschlüsselt abgelegt wurden, sind einfache und geläufige Passwörter laut Sweeney in Gefahr.

Quelle: www.heise.de

[ritschibie]

Elektronik- und Unterhaltungskonzerne sind aktuell die Lieblingsziele vieler talentierter Hacker. Doch in vielen Fällen weisen die Server und Webseiten der Unternehmen immer noch gravierende Sicherheitslücken auf. Auch die deutschen Webpräsenzen von Seiten wie Nintendo und Sega sind – trotz einer mehr oder weniger akuten Gefahr - für viele Angriffe anfällig.

Gerade die Webseiten vieler Elektronik- und Unterhaltungskonzerne stehen in letzter Zeit im Schussfeld talentierter Hacker. Angefangen beim großen Datendiebstahl auf den Server des japanischen Unternehmens Sony, gab es in letzter Zeit immer mehr Angriffe auf Webpräsenzen international etablierter Firmen. Und oftmals bedeutet ein Hack-Angriff mehr als nur eine kurze Down-Time der Webseite des Unternehmens. Die weiterhin unbekannten Angreifer, die Sonys Playstation Network wochenlang lahmlegten zeigten, dass einzelne Personen oder Gruppen im Netz zu weit mehr fähig sind, als nur DDoS-Angriffe auf sony.com und Co. durchzuführen.

Doch obwohl die betroffenen Firmen vorbereitet sein sollten Hackern die Stirn zu bieten, gibt es in vielen Fällen weiterhin große Defizite zu bemerken. Da ist Sony, mit seinen unverschlüsselten Nutzerdaten keine Ausnahme. Auch die Internetseiten von Entertainmentgrößen wie Sega und Nintendo weisen weiterhin kritische Sicherheitslücken auf.

Erst kürzlich berichtete das IT-Portal Secalert, dass sowohl die deutschen Seite nintendo.de als auch die Server unter sega.de sicherheitstechnisch auf äußerst wackeligen Beinen stehen. Doch selbst nachdem die Hackerguppe LulzSec, die aktuell immer wieder Schlagzeilen macht, bewies, dass man offenbar problemlos Daten von den Rechensystemen Nintendos stehlen kann, rührte sich dort offenbar niemand.

Bis heute sind die betroffenen deutschen Webseiten durch sogenanntes „XSS – Cross site Scripting“ gegenüber Angriffen von draußen sehr anfällig,. Ein Hacker müsste lediglich ein bestimmtes Script an der richtigen Stelle einschleusen, um so die Session-IDs eines Nutzers abzugreifen. Damit hätte er wiederum die Möglichkeit, sich die Rechte des hintergangenen Users zu erschleichen und dementsprechend Schindluder damit zu treiben. Gelangt man auf diesem Wege an die Datenbank der Firmen, kann es wie im Falle von Sony fatale Folgen haben – Millionen Nutzerdaten wären gefährdet. Wir haben die Hinweise von einem Hacker prüfen lassen, der uns die Anfälligkeit der Webseiten in vollem Umfang bestätigen konnte.

Während viele Firmen in puncto Sicherheit weiter schlafen, plant die Hacker-Gruppe LulzSec schon ihren nächsten Coup. Im Twitter-Account des Accounts hieß es Mittwochmittag „Unser nächstes Opfer weiß noch gar nicht, dass wir es auf ihn abgesehen haben“. Nintendo und Sega wird es wohl nicht treffen, da die LulzSec‘s bereits ausdrücklich ihre Zuneigung zu den beiden Firmen ausdrückten. Doch gerade da es in vielen Fällen weniger Know-How braucht als man erwarten dürfte, die Sicherheitslücken der Betreiber  auszunutzen, sollten Unternehmen wie Nintendo und Sega ihre Sicherheitsprinzipien überarbeiten.

Update:

Nintendo's Pressestelle hat den Datenschützer inzwischen kontaktiert und mitgeteilt, dass sie sich um die Sicherheitslücken kümmern werden. Daher ist derzeit der "Nintendo Club" aufgrund von Wartungsarbeiten nicht zugänglich. Darüber hinaus hat Nintendo nun direkt auf der Startseite eine Meldung über Phishing und Co. platziert, um seine Benutzer zu warnen und das Sicherheitsbewusstsein der Benutzer zu steigern. "Das ist aus meiner Sicht ein sehr lobenswerter Schritt."

Zum Thema Sega gibt es leider weniger positive Nachrichten: Die genannten Lücken auf der Sega.de Webseite sind auch mehr als eine Woche später noch immer offen (siehe Screenshot rechts). Seitens der Sega GmbH gab es keine Rückmeldung auf die Meldungen vom Betreiber von Secalert.net oder sonst einen Kontaktversuch. Über die Gründe dafür kann bislang nur spekuliert werden.

Quelle: www.gulli.com

[berti]

Seitens der Sega GmbH gab es keine Rückmeldung auf die Meldungen vom Betreiber von Secalert.net oder sonst einen Kontaktversuch. Über die Gründe dafür kann bislang nur spekuliert werden

Woran das denn nur liegt ? Könnte es sein, das sich da jemand etwas unprofessionell anbiedert? Weder die Webseite noch der berufliche Werdegang von aesthetico würden mich als admin reizen, sich mit den Kerlchen auseinander zu setzen.


sorry, falls das jetzt harsch gegen secalert klingt, aber sich mit den findings von anderen zu brüsten kann ich irgendwie nicht ab.

[SiLæncer]

Nun kann sich auch die Spieleschmiede SEGA in die Liste der gehackten Unternehmen einreihen. Wie es der Spielehersteller zuletzt bestätigte, hätten die Angreifer sich Zugang zur SEGA Pass-Datenbank verschafft, um sich an den persönlichen Daten der Kunden zu vergreifen. Passwörter oder E-Mail-Adressen habe man unter Anderem entwendet. Kreditkartennummern seien jedoch nicht betroffen.

Nachdem bereits viele große Webpräsenzen der Gaming-Branche wie Nintendo, Sony, oder Codemasters Hackerangriffen ausgesetzt waren, hat es nun das japanische Unternehmen SEGA getroffen. In einer Rundmail an seine Kunde teilte das Unternehmen am gestrigen Freitag die Unannehmlichkeit mit. Darin heißt es, dass man Opfer eines Hackerangriffs wurde. Man habe sich Zugriff auf die SEGA Pass-Datenbank verschafft und sich an persönlichen Kundendaten vergriffen. Zur Beruhigung der Kunden teilt SEGA mit, dass keine vertraulichen Datensätze entwendet wurden. So seien Zahlungsinformationen wie Kreditkartennummern verschont geblieben, da SEGA für Zahlungsvorgänge außenstehende Dienstleister engagiert habe. Die Hacker hätten persönliche Daten, E-Mail-Adresse, Geburtsdatum und verschlüsselte Passwörter entwendet, welche zur eigenen Sicherheit ohne Umschweife geändert werden sollten.

Im Wortlaut des Rundschreibens heißt es weiterhin: "In den letzten 24 Stunden haben wir festgestellt, dass es unbefugten Zugriff auf die SEGA Pass-Datenbank gegeben hat”, so SEGA. “Wir haben sofort die notwendigen Schritte eingeleitet, um unsere Kundendaten zu schützen und den betroffenen Bereich zu isolieren. Desweiteren wurde eine Untersuchung eingeleitet, um das Ausmaß des Angriffs einzuschätzen."

Welche Gruppe hinter dieser Attacke steckt, ist noch unklar. Die Hacker von LulzSec, welche sich bereits durch zahlreiche Angriffe in letzter Zeit einen Namen machte, lässt sich bereits ausschließen. Via Twitter-Meldung gibt die Gruppe ihre Verbundheit zur Dreamcast zu erkennen und bietet SEGA beim Aufspüren der verantwortlichen Hacker ihre Hilfe an.

Quelle : www.gulli.com

[SiLæncer]

Das japanische Unternehmen scheint für Hacker vorerst ein beliebtes Angriffsziel zu bleiben. Der Hack ist bei Sony bereits der zwanzigste in nur 60 Tagen. In Frankreich wurden am Wochenende 177.000 E-Mail-Adressen von den Servern von Sony Pictures Frankreich entwendet. Die gleiche Sicherheitslücke soll auch auf diversen anderen Webseiten von Sony Pictures bestanden haben.

Zwei Hacker haben bei Pastebin eine beispielhafte Liste mit E-Mails veröffentlicht, die sie der französischen Webseite von Sony Pictures entwendet haben. Bei den beiden jungen Tätern soll es sich um einen Libanesen und einen Franzosen handeln, die beide als Studenten eingeschrieben sind. Man nimmt an, die beiden Studenten haben die Daten aufgrund einer SQL-Sicherheitslücke erbeuten können. Die Hacker gaben bekannt, keine weiteren E-Mails veröffentlichen zu wollen. Die gleiche Schwachstelle soll auch bei dem europäischen, russischen und kanadischen Ableger der Webseite von Sony Pictures vorgelegen haben. Idahc und Auth3ntiq gaben bekannt, ein Proof of Concept vorlegen zu können. Sie möchten beide nicht als Cyberkriminelle angesehen werden, weswegen sie auf weitere Veröffentlichungen von persönlichen Daten verzichten.

Nach Angaben der Kollegen von Futurezone wird der Vorfall bei Sony Pictures momentan intern untersucht. Die Seite sonypictures.fr ist augenblicklich nicht erreichbar. Derweil hat auch der Aktienkurs des Unternehmens unter den ständigen Angriffen gelitten. Seit den ersten Hacks vor zwei Monaten musste Sony eine Entwertung von über 20% hinnehmen. Die zahlreichen Sicherheitslücken und die mangelnde Verfügbarkeit vom Playstation Network dürften ihren Teil dazu beigetragen haben.

Quelle : www.gulli.com