Fahrzeugsystem OnStar – Fahrzeuge von General Motors gehackt

Der Sicherheitsexperte Samy Kamkar ist es anscheinend gelungen mit einer Mobile App die Bordelektronik zu steuern: z.B. öffnen des Fahrzeuges und starten des Motors.

In einem Video demonstriert er dies auch:

Kamkar empfiehlt die App OnStar RemoteLink nicht zu verwenden.

GM soll das Problem anschliessend repariert haben – Kamkar ist damit aber nicht einverstanden: der Fehler sei immer noch nicht behoben.

Vor einer Woche hatte der Autohersteller Fiat Chrysler bereits 1.4 Mio Fahrzeuge zurückgerufen um eine Software zu aktualisieren – ein Fehler in dieser Software erlaubte ebenfalls das Starten des Motors oder die Steuerung der Lenkung.

Zürcher Polizei hat Hacking Team Software zur Überwachung eingesetzt

Die Kantonspolizei hat für rund eine halbe Million Franken Software bei der italienischen Firma Hacking Team gekauft – die Software diente zur Überwachung von Mailverkehr, Internettelefonaten oder Chats im Rahmen von laufenden Strafverfahren.

Die Software werde auch „technischen Gründen“ nicht mehr eingesetzt – die Kantonspolizei hat beim Hersteller anscheinende eine Schadenersatzforderung eingereicht um die Verluste zu minimieren.

Hacking Team selber hatte die Kunden informiert und von einem weiteren Einsatz der Software abgeraten da viele Informationen zur Software sowie Softwareteile selber durch einen Angriff auf das Netzwerk der Firma in die Hände von Hacker gelangten und diese die Informationen veröffentlicht haben.

Derzeit sind zwei RCS-Versionen von Hacking Team im Umlauf, RCS 8 mit dem Codenamen «Da Vinci» und RCS 9 unter dem Namen «Galileo» – diese wurden nur an Regierungen verkauft und bewusst so entwickelt dass sie von Virenscannern nicht entdeckt werden.

Es wird erwartet dass aktuelle Versionen von Virenscanner die Software entdecken werden – und dass Kriminelle die geleakte Software für ihre Zwecke einsetzen werden.

Ein Teil der Dateien die die Hacker von Hacking Team erbeutet haben ist hier zu finden: https://ht.transparencytoolkit.org

Geleakte Screenshots des Computers des Geschäftsführers von Hacking Team: https://ht.transparencytoolkit.org/c.pozzi/screenshots/ – er verbringt viel Zeit mit dem Schauen von Videos aller Art…

Hacking Team selber sagt dass es nur zwei weitere ernsthafte Konkurrenten im Geschäft mit der Überwachnungssoftware gebe: die deutsch-britische Gamma/Finfisher und die deutsche Firma Digitask.

 

 

Adobe veröffentlicht Flash Update wegen Hacking Team

Hacking Team hat mit seiner Überwachungssoftware eine bisher unbekannte Lücke in Adobes Flash Software ausgenutzt.

Durch die Veröffentlichung der entsprechenden Dokumente wurde die Lücke nun bekannt und Adobe sah sich gezwungen einen entsprechenden Patch zu veröffentlichen.

Gemäss Adobe können Angreifer wegen der Schwachstelle die vollständige Kontrolle über Computer übernehmen.

Gemäss Brian Krebs wird die Sandbox ausgehebelt welche solche Angriffe auf das Betriebssystem eigentlich verhindern sollte.

Openssl Sicherheitslücke behoben

Die Entwickler von OpenSSL haben eine kritische Lücke (CVE-2015-1793) in ihrer Software behoben ( mit den Software Versionen 1.0.2d und 1.0.1p).

OpenSSL prüfte anscheinend das CA-Flag eines Zertifikats unter bestimmten Umständen nicht korrekt. Das konnte dazu führen, dass ein Angreifer sich als Intermediate-CA ausgeben und die eigenen Zertifikate für die Webseiten anderer Betreiber signieren konnte. Damit konnte er sich dann zum Beispiel als Bank des Opfers ausgeben und so die übermittelten Daten abfrangen.

In der Prüfung eines Server-Zertifikates muss der Client eigentlich die gesamte Zertifikatskette prüfen un sicherzustellen dass jedes unterschreibende Zertifikat dazu berechtigt ist, Zertifikate auszustellen. Diese Berechtigung regelt der sogenannte CA-Flag. Um den Bug auszulösen, muss ein Angreifer bei seinem Ziel dafür sorgen, dass die Prüfung des ersten Zertifikats in der Zertifikatskette fehlschlägt – beim zweiten Versuch mit einer Alternativ-Kette erfolgt dann der Angriff. Der problematische Code wurde erst kürzlich in die Bibliothek eingefügt.

Softwarehersteller Hacking Team gehackt

Der italienische Softwarehersteller Hacking Team wurde nun selber gehackt.

Die Angreifer haben auch die Website und das Twitter Konto der Firma unter Kontrolle – und so die Neuigkeiten über den erfolgten Angriff verbreitet.

Von Reporter ohne Grenzen wird die Firma schon seit längerem als „Feind des Internets“ bezeichnet weil sie die Überwachungssoftware auch an autoritäre Staten liefert – die Software wird so verwendet um unliebsame Gegner zu überwachen.

Auch wurden Regierungsmitarbeiter von verschiedensten Staaten dabei unterstützt andere Staaten anzugreifen und die Angreife zu verschleiern.

Der Angriff auf Hacking Team ist unter umständen über unsichere Passwörter erfolgt – die Firma hat selbst Passwörter wie „PassW0rd“ verwendet.