Bunte Tüte für 4 Miliarden Euro: Binance, x.cpe, Kühlschränke & Co.

00:00:00:

00:00:02: Passwort, der Heise Security Podcast.

00:00:08: Hallo liebe Hörerinnen und Hörern willkommen zu einer neuen Folge von Passwort dem Podcast von Heise security.

00:00:15: Ich bin Christopher Kunz von heise security

00:00:18: Und ich bin Silvester Tremel vom Computer Magazin CT.

00:00:22: Erneut sind zwei Wochen um und die Security Welt brennt immer noch oder sie taut zumindest oder schweilt wie auch immer man es nennen möchte.

00:00:30: Wir werden uns da gleich mal rein stürzen und haben vorher aber eine.

00:00:36: Und vor dem Feedback haben wir noch eine Ankündigung, es ist Anfang November und was kündigt man da üblicherweise an?

00:00:43: genau der vierzig C drei Naht also der vierzigste Chaos Kommunikation Kongress.

00:00:49: Wir haben kurz vor vier ich glaube um viertel nach drei hast du den Vortrags Eintracht angelegt im Vortrages Management System des Kongres einen Vortragen eingereicht.

00:01:00: Das war Silvester's Idee, ich hab mich da nur dran gehängt.

00:01:03: Ich hatte zwar auch eigene Vortragsideen und hab dann aber mir gedacht das ist alles... ...das schaff' ich nicht mehr vor Ende des Jahres.

00:01:09: Silvesta hat dabei ein schönes Thema mit unserem Steckenpferd und da dachte ich oh, da möchte ich auch mitmachen!

00:01:17: Und das Ganze wurde angenommen.

00:01:19: und dann passierte folgendes?

00:01:21: Es

00:01:21: war so nicht geplant.

00:01:22: ne jetzt müssen wir die Vorteil machen.

00:01:26: Silvester schrieb mir, jetzt wissen wir den Vortrag ja auch halt.

00:01:29: Das machen wir natürlich gerne.

00:01:30: das ist nur ein Spaß denn in dem vortrag geht es um Revocation und wenn wir irgendwas in diesem Jahr häufig durchgenudelt haben dann ist das Revocation.

00:01:39: ich glaube dass können wir wirklich aus dem rücken markt Haben da aber einen spezial thema so ein spezielles unter Thema nämlich Silvesta maxes kurz ein bisschen erklären.

00:01:50: Ja wir wollen uns ansehen warum das eigentlich so schwierig ist.

00:01:53: also warum leben wir immer noch in der welt wo man voll automatisierten Zertifikat haben kann, aber es ist nicht so einfach, es wegzukriegen.

00:02:03: Ja und da gibt's einiges zu erzählen.

00:02:06: wir können auch sehr weit in die Vergangenheit zurückgehen.

00:02:08: ich weiß gar nicht Haben wir einen Vortrag oder hatten wir den ganzen Tag angemeldet?

00:02:11: Wir machen den Sonder Workshop.

00:02:14: Da steht vierzig Minuten.

00:02:17: also deswegen Das kurz vor vier von Christopher.

00:02:19: gerade das war ja auch ein Witz.

00:02:21: Ich habe diesen Vortag eingereicht und irgendwie drei Tage später geht im Udrahops Und der CCC hat uns auch gefragt, ist deswegen die Mutter und jetzt schon.

00:02:32: Aber das wussten wir vorher doch nicht!

00:02:35: Also in diesem Fall war es wirklich... Wir haben ja jetzt noch mehr Revocation gleich zu erzählen, aber das war wirklich ein absolut markelloses Timing.

00:02:45: Tatsächlich habe ich über das Thema auch schon häufig in den letzten zwanzig Jahren gesprochen und ich hab mir meine Doktorarbeit reingeschaut.

00:02:51: Da ist Revocation nur am Rande ein Thema weil es in der Doktor Arbeit um sogenannte Proxy-Zertifikate geht.

00:02:55: Proxy Zertifikaten sind von Ent-Entity-Zertefikaten abgeleitete Leafzertifikat.

00:03:00: Das gibt's auch nicht im WebPKI sondern das gab's im Grid Computing Computingrechte zu delegieren, alles sehr komplex.

00:03:07: Aber da stand dann irgendwie ein Satz zur OCSP.

00:03:10: so Ja wir benutzen fast überall noch CRLs aber eigentlich wollen wir das gerne alles umstellen auf OCSP und es wird bestimmt bald soweit sein.

00:03:17: Die Doktorarbeit habe ich abgegeben bei meiner Promotion im Jahr... ... und da war das so'n Anyday Now.

00:03:26: Du hast die ganze Idee überlebt.

00:03:29: Ja, das deckt den kompletten Lebenszyklus.

00:03:31: Weil OCSP da haben wir ja auch schon die drüber gesprochen dann ja auch inzwischen wieder seit dass sein Lebensende erreicht hat.

00:03:37: gut also wir sehen uns auf jeden fall auf dem vierzig.

00:03:40: drei kommt gern zum vortrag und wenn ihr uns da auf den gängen herumstokeln seht dann haltet uns gerne an und bietet uns eine mate an.

00:03:48: Trinkst du dir überhaupt?

00:03:48: Also ich trinke die aber auch nicht jedes um.

00:03:50: ich

00:03:50: trinkte gern müsst ihr aber nicht anbieten.

00:03:52: wir können gerne zusammen uns eine besorgen.

00:03:55: Das können wir so machen.

00:03:57: Vor allem hinterher... Da gibt es auch eine Regel, glaube ich auf den Congolese, wie viel man trinken soll oder so.

00:04:03: Dass man hydriert bleiben soll und so.

00:04:04: Achso!

00:04:04: Ja ja, ich dachte gar nicht, das gibt mir richtig viel Mathe, was man tringen soll.

00:04:09: Genau, Mindestkonsum.

00:04:10: Mindestens der erste heute zwanzig Mathe über den Congols.

00:04:14: Gut.

00:04:15: Das zu der Ankündigung?

00:04:17: So jetzt muss Christopher gerade schlimm husten aber das ist eh gut weil wir kommen hier sonst furchtbar ins Labern und er

00:04:23: hört dran

00:04:24: voll genug, genau.

00:04:26: Also wir haben es endlich geschafft euer ganzes tolles Feedback aufzuarbeiten was so ein bisschen liegen geblieben ist wegen PRP-Tuschel und anderen Dingen Tuchell Und haben jetzt hier einen großen Blog davon.

00:04:39: Es freut mich natürlich sehr dass ihr uns so viel Feedback schreibt Mal vorab sozusagen.

00:04:44: Also das haben wir früher auch schon gemacht, aber diesmal war es besonders relevant einfach mengenmäßig.

00:04:48: Wir kürzen das Feedback.

00:04:49: also wenn ich jetzt hier sage Person X hat irgendwie dessen das geschrieben meistens hat die Person noch drei vier andere gute Punkte geschrieben Aber ich kann halt nicht immer oder können nicht immer alle Punkte hier wiedergeben sonst wird es zur Passwort now Redux und Ich glaube die normal Version ist schon lang genug Und oft greifen wir halt eine Aussage raus, stellen dann auch so ein bisschen um und lassen halt Zeug weg und so damit es einigermaßen koherin sich liest.

00:05:15: So mit dieser Präambel geht's zu einem Uralt-Feedback von Amanita die oder der weiß ich nicht hat was zu Bluetooth Lücken geschrieben und das tut mir leid Amanita Ich weiß gar nicht mehr um welche Bluetooth Lücke ist gegen.

00:05:28: Wir hatten die Rikschaas, wir hatten die Roboter Da war auch CET, viertausendvier bei den Adressaten dabei.

00:05:36: Also vielleicht ging es auch irgendwie, welche Lücken die Keno besprochen hat?

00:05:39: Es tut mir leid dass wir das Feedback so lange liegen lassen hatten!

00:05:44: Ich glaube, dass dieses Blue Checking... ich weiß nicht mehr wie Sie's genannt haben, dass diese Lauschangriffe, die haben wir in Folge fünfunddreißig besprochen und da haben wir relativ lange darüber gesprochen.

00:05:56: Das hatten wir ja auch vorab.

00:05:59: Disclosure vorab mit den Leuten gesprochen und die hatten letztes Jahr dann Ende letzten Jahres.

00:06:04: Mit der letzten Jahres haben wir darüber gesprochen, Ende letzten Jahren waren sie damit nochmal auf dem Kongress weil dann die offizielle Disclosur war für einige Hersteller die sich vorher noch ausgelassen hatten.

00:06:13: Ich könnte mir vorstellen dass es darum geht.

00:06:15: Das das kann gut sein.

00:06:17: Naja jedenfalls ich lese einfach mal vor was was Arminita so geschrieben hat Weil ich finde ich kann einfach so wiedergeben Es gab einen Talk beim Neununddreißig C drei zu Kontrolle von Geräten durch Vulnerable Bluetooth-Geräte.

00:06:31: Selbst da haben die Researcher ja kaum Reaktionen von Herstellern bekommen, die Schwachstellen waren aber dramatisch.

00:06:37: Mit dem Knacken irgendeine Verbindung musste kein erstes Pairing sein und konnten Angreifer Smartphones komplett kontrollieren.

00:06:43: Meine Sennheißerkopfhörer haben zwischenzeitig ein bis zwei OVDR-Updates bekommen – kein Wort von Schwachstellen.

00:06:50: andere vor allem Billigmarken versuchen es gar nicht erst!

00:06:53: Ich hab zwei India-Kopfhörer, die jetzt quasi gefährlicher E-Waste sind.

00:06:57: Das ist absolut krank und niemand redet darüber!

00:06:59: Und dann hast du Cringe-Schwerbespots wie auf irgendeine Pixel Release Event wo Comedians in der Bahn darüber gelastert haben warum Kabelkopfhöhre so schlimm sind und deswegen müssten Kopfhörrapports ja weg.

00:07:10: logisch da könnte ich kotzen.

00:07:12: Da kann ich am Anita nur weitgehend zustimmen.

00:07:15: Ich trauere immer noch meinem letzten Handy hinterher.

00:07:19: das hat man nämlich noch eines der Letzten mit einem echten Kopfhöhrerport.

00:07:23: Und bei mir ist Bluetooth auf den Geräten auch genau dann an, wenn ich es brauche was selten der Fall ist.

00:07:30: Ich habe meinen Kopfhörerport am MacBook letzte Woche tatsächlich mal gebraucht.

00:07:34: Das glaube ich das erste Mal dass ich den verwendet habe weil ich eine Präsentation mit Ton hatte.

00:07:42: Der Ton hab' ich ja schon abgespielt.

00:07:44: Das waren nämlich dieser Schreiß-Song den wir letzte Folge haben.

00:07:48: Und ich hatte zwar HDMI da eingestöpselt, aber der Techniker sagte, ne Ton gibt's nur über Klinke und dann ging da ein Klinkenstecker rein.

00:07:55: Das ist lange her dass sich dieses... das hat ja auch haptisch eine ganz andere Anmutung als so'ne nicht-haptische Bluetooth Verbindung.

00:08:02: wenn das dann so einrastet so.

00:08:05: Ja, ich meine ich hab mir halt einfach mal irgendeinmal gute Kopfhöhere gekauft.

00:08:09: also die sind strotum aber sie sind halt gut Und die haben einen Klinkenstecker und ich bin nicht bereit, jetzt sozusagen mir da irgendwas anderes ähnlich teures zu kaufen.

00:08:18: Also ich habe mir halt jetzt so ein USB-C zur Klinkenstecke Adapter gekauft aber das ist natürlich nur eine Notlösung.

00:08:22: Na ja!

00:08:24: O Temporar Omoris.

00:08:26: Wir kommen zu mehr Feedback von Nikolai Zu Cyber Security Basics Der schreibt Ich bin wirklich überrascht wie oft grundlegende Themen der Cyber Security sogar bei Informatikern mit akademischer Ausbildung noch erklärt werden müssen.

00:08:40: Manchmal hatte ich das Gefühl über Themen wie PKI, ZFK zu Management oder TLS nicht über verwendete Industriestandards zu reden sondern über eine Technologie die eher aus einem Forschungslabor stammt.

00:08:50: Entwickler für das fünfte neue Framework des Jahres zu begeistern dauert oft keine fünf Minuten.

00:08:55: sie davon zu überzeugen dass seine Firewall keine Sicherheitsarchitektur ersetzt kann dagegen einen ganzen Workshop füllen.

00:09:01: Offenbar ist die Bereitschaft sich mit neuen Technologien zu beschäftigen in der Branche deutlich ausgeprägter als die bereitschaftbekannte Probleme nachhaltig zu lösen.

00:09:10: Das würde ich genauso unterschreiben, nur dass es mich nicht überrascht.

00:09:14: Ich glaube auch nicht, dass das auf die IT beschränkt ist.

00:09:17: Security ist halt ein Thema, das oft lästig ist.

00:09:22: Irgendes Fan-Werk Nummer fünf, das irgendein neues cooles Paradigma umsetzt.

00:09:26: Es ist halt Spielzeug für Leute, die sich mit so was beschäftigen wollen Und natürlich spielt man gerne mit Spielzeug rum, als dass man irgendwelche westigen aber notwendigen Security Maintenance Aufgaben übernimmt.

00:09:41: Zumal er ja jetzt auch ausgerechnet drei Beispiele angeführt hat die Dröger nicht sein könnten.

00:09:48: also Zertifikatsmanagement ist ja zudem auch noch eins wo es jetzt nicht so richtig das die Lösung die schöne Lösung gibt.

00:09:56: Aber auch an anderen Bereichen ist das einfach.

00:10:01: Ist das so?

00:10:02: Ich glaube, da kann man auch wieder mit einer Echtwelt-Analogie arbeiten.

00:10:05: Eine Gurtpflicht ist halt uncool und hat ja bei ihrer Einführung große Widerstände als Einschränkung der Freiheit sogar provoziert.

00:10:14: Dann hat man sich dann irgendwie dran gewöhnt.

00:10:16: aber immer wenn es solche Diskussionen gibt über irgendwelche anderen Sicherheitsthemen die nicht IT-Sicherheit sind sieht man halt auch dass das kein sexy Thema ist.

00:10:28: also für viele nicht!

00:10:29: Für uns schon.

00:10:29: Ja, jetzt hast du halt Kern-Content dieses Podcasts also Drüge abgestempelt.

00:10:36: Ich möchte jemand ein Lob an unsere Hörerschaft aussprechen.

00:10:39: Also vielen Dank dass ihr uns hört obwohl wir so drüge Themen behandeln.

00:10:45: Es macht uns großen Spaß diesen Podcast zu machen und ich bin ehrlich gesagt überrascht davon, wie wir damit losgelegt haben habe ich mir echt gedacht Das kann man vielleicht einmal über PKI reden, aber dann ist das Thema doch langweilig.

00:10:58: Ich finde es schön, dass ihr das lügen straft!

00:11:01: Ja ich find' das auch schön und Dröge ist ja sehr im Auge des Betrachters.

00:11:05: Aber öfteren kommt mir tatsächlich beim Gedanken an unsere Hörer schafft das Wort Leidensfähigkeit in vielen Dimensionen weil wir einfach viel über diese Themen reden ohne in vielen fällen antworten liefern zu können.

00:11:21: denn auch das ist ja was für eine IT sicherheit sehr häufig haben.

00:11:24: wir müssen auf irgendwelche sachen mit dem finger zeigen haben aber einfach es gibt keine einfache antworte.

00:11:29: es gibt diese leichte antwort nicht dass du den gerät irgendwo davor schnallst und dann läuft das.

00:11:33: Und die leichteste antwort ist immer noch sichere passpörter und angriffsfläche verringern und sachen updaten, aber da sind ja schon wieder drei schritte auf einmal.

00:11:41: Das geht nun wirklich nicht.

00:11:42: also Wir müssen alle samt Leidensfähig sein und sind es, aber wir freuen uns immer wenn wir darüber reden können.

00:11:49: Und ich finde PKI auch gar nicht so dröge vor allem natürlich nicht wenn sie mit so nem fähigen Dramen gewürzt wird wie die E-Dreigeschichte jetzt.

00:11:59: insofern war das natürlich echt ein echtes Geschenk dieses Jahr.

00:12:03: Das darf man das so sagen, dass es ja auch schon bis jetzt südisch ist.

00:12:07: Zumindest für die Podcast-Publicity.

00:12:09: Es gibt einen ziemlich coolen amerikanischen Rechtspodcast der heißt Serious Trouble und die beschäftigen sich natürlich seit der zweiten Trump-Präsidentschaft mit wahnsinnig vielen wahnsinnige behemmerten Gerichtscases.

00:12:27: Jetzt stehe ich gerade auf dem Storchprozess.

00:12:29: Die halt irgendwelche Staatsanwälte aufgeheißen von weiter oben irgendwie vorbringen müssen, wieder besseres Wissen.

00:12:36: Und die haben so eine Kategorie für Long-Suffering Judges.

00:12:39: Das ist so ein Preis den da irgendwelchen Richter bekommen und von denen wenn sie sich schon wieder mit irgendeinem Käse rumschlagen müssen.

00:12:45: vielleicht sollten wir auch sowas einführen für irgendwie long suffering admins oder so.

00:12:50: Bevor es jetzt abschweift, habe ich noch einen Satz für unsere heiße Security Pro-Mitglieder.

00:12:55: Denn ich hab gerade hier vorher also wirklich während Silvester schon im Studio gewartet hat den neuen Newsletter ins Versandsystem gegeben.

00:13:01: und da gibt's auch was über das Rechtssystem und zwar dass da diskutiert Jürgen ein Blockeintrag von jemanden der die These aufstellt LLMs sind guteren Gesetzeslücken oder Verordnungslücken zu finden und auszunutzen indem sie dann sagen, hier ist eine Lücke in zwischen dem Gesetzestext und wie er denn gelebt wird oder bestimmten Paragrafen.

00:13:20: Und das kann man ausnutzen um sich folgenden Vorteil zu verschaffen finde ich auch einen interessanten Take und auch ein interessanter Art von Exploit.

00:13:27: Das ist ja auch dann Exploit für eine Lüke aber eben nicht ne Lücke im Softwareprodukt oder in Hardware sondern in einem Gesetz.

00:13:35: könnt ihr euch dann mal durchlesen.

00:13:36: Auch der Blockartikel ist verlinkt im aktuellen Newsletter der in einer halben Stunde von jetzt an raus kommt.

00:13:43: So, ja wir haben aber noch mehr Feedback.

00:13:45: Das fand ich auch super interessant das ist ja auch naheliegend.

00:13:48: also Juristen sind ja oft sozusagen eigentlich ähnliche Nerds wie Artiller die hacken auch nur halt in einem anderen System.

00:13:55: Aber du hast recht ihr machen mal weiter.

00:13:57: Wir kommen zu Jenny die möchte eine Lanze brechen und das wollte ich sehr gerne sozusagen ihr die nötige Öffentlichkeit verschaffen.

00:14:06: Sie sagt, der Fall Citrix zeigt einmal mehr das IT-Risiko-Management kein Zustand ist, den man einmal erreicht.

00:14:11: Sondern ein fortlaufender Prozess.

00:14:14: Technische Exzellenz ist dabei nur die halbe Miete.

00:14:16: Mindestens ebenso wichtig ist eine verlässliche IT-Mannschaft und die Strukturen, die es ihr ermöglichen im Ernstfall zu handeln.

00:14:23: Gerade im öffentlichen Sektor – also kleine Einschub da arbeitet Jenny – gerade im öffentlicher Sektors hängt die Aktualität von Systemen oft auch an Menschen, denen diese Systeme am Herzen liegen.

00:14:33: Gleichzeitig ist der öffentliche Dienst meist auf reguläre Arbeitszeiten ausgelegt.

00:14:36: IT-Sicherheit hingegen kennt keinen Feierabend.

00:14:39: Mir geht es vor allem darum, eine Lanze für die Menschen im öffentlichen Sektor zu brechen, die ich meine Kollegen und Kollegen nennen darf.

00:14:45: Sie leisten großartige Arbeit oft unsichtbar und auch außerhalb der regulären Arbeitszeite.

00:14:49: Vieles davon geschieht freiwillig weil sie ihren Beruf und ihre IT lieben.

00:14:54: Und das fand ich einen sehr schönen Hinweis.

00:14:57: Das ist einfach mal ein Lob, dass man in die Welt tragen kann.

00:15:00: Vielen Dank dafür Jenny!

00:15:02: Die schreibt, schiebt auch noch nach und das tue ich auch hier gerne noch.

00:15:07: Vielleicht traut sich dann auch mal der ein oder andere, sich im öffentlichen Sektor zu bewerben?

00:15:11: Wir sind eine coole Truppe und nicht so ganz verstaubt, wie man das vielleicht denkt.

00:15:16: Das kann ich nicht beurteilen aber ich sehe keinen Grund an Jenny's Aussagen zu zweifeln.

00:15:20: Insofern aufgeht es!

00:15:21: Vielleicht habt ihr ja Lust euch in so einer Richtung zu be werben.

00:15:26: Mit einem Punkt gehe ich nicht da, Koa.

00:15:27: Jenny schreibt noch... Sie unterschreibt die pauschale Aussage, mit Linux wäre das nicht passiert.

00:15:34: Nicht kein Betriebssystem und kein Produkt ist grundsätzlich frei von Schwachstellen.

00:15:38: Das stimmt natürlich!

00:15:40: Und wenn wir sagen, dass etwas nicht passiert, dann sage ich es wahrscheinlich auch dazu.

00:15:46: Dann meine ich das natürlich ironisch.

00:15:48: Es gibt einen Haufen Sachen, die auch mit Linux passieren können.

00:15:55: Trotzdem ist Linux natürlich das bessere Betriebsystem als Windows und macOS, aber das leiten wir jetzt an Christopher vorbei.

00:16:03: Ja also meines Wissens ist dieses mit Linux wird es nicht passiert.

00:16:07: ein Zitat aus den frühen zwei Tausendern aus dem Heiseforum vom legendären Analyst oder so Und in selbiges kannst du dich dann auch gleich nach der Aufnahme sofort wieder trollen lieber Silvester um deine Aussagen über Qualität von Betriebssystem Mit den dort anwesenden Population weiter zu diskutieren.

00:16:24: Vielleicht wartest du noch bis Freitag, dann sind die alle in Hochstimmung.

00:16:28: Ich

00:16:28: brauche das nicht diskutieren!

00:16:29: Ich habe ja recht, dass es schön ist.

00:16:31: So wir kommen zum nächsten... Die anderen auch.

00:16:34: Die haben auch alle Recht.

00:16:37: Wir kommen, wir haben noch zwei, zwei inhaltliche Ergänzungen, die ich lesens und auch sozusagen weitergebenes Wert fand.

00:16:42: Wir haben so ein bisschen über Detail-S rumspekuliert.

00:16:45: Ich weiß nicht ob ihr dich erinnert, Christopher?

00:16:47: Dazu hat Martin uns geschrieben, der hat da ein bisschen Hintergrund ... Das war dieses Datagramm Transport Layer Security Also Quote-on-Quote UDP mit TLS.

00:16:56: Es muss nicht UDP sein, es gibt auch so ein anderes Protokoll aber das ist eben also unter anderem UDP und TLS.

00:17:02: Martin schreibt die Assoziation VPN ist völlig richtig.

00:17:05: Cisco setzt S, also DTLS möglichst für den Nutzlast in seinem AnyConnect ein.

00:17:11: Cisco hat es auch erfunden dann aber schnell bei der IETF eingebracht und damit standardisiert.

00:17:16: Die Entwicklung gingen etwa so IP VPN war lange identisch zu IPSec was sich zumindest im Remote Access zu einer Usability-Katastrophe entwickelte.

00:17:27: Christopher Nick ganz, ganz leidensvoll.

00:17:29: In dem Jahr zweihunderttausendzwei kam dann Open-VPN und zeigte wie man das mit SSL in Remote Access viel besser hinbekommt.

00:17:37: Damals war SSL strikt mit TCP verbandelt.

00:17:39: aber in dem Jahr zweitausendzweih waren alle froh über BitGetreu in Download.

00:17:43: Cisco schaut er aber schon stark in Richtung Echtzeitanwendungen sei es in eine Richtung also Enterprise TV oder Konferenzen, also bidirektional.

00:17:51: Was in dem Jahr war bei der Übernahme von WebEx richtig groß wurde?

00:17:55: Dass TCP für die echte Zeitanwendung nicht taugt war klar, dass man Verschlüsselungen und Authentifizierung haben wollte auch.

00:18:02: Also hat man kurzerhand TLS mit UDP verheiratet.

00:18:04: das Ergebnis des DTLS um fehlende Signal-Schnipsel

00:18:07: usw.,

00:18:08: muss ich dann halt die Anwendung selber kümmern.

00:18:10: Citrix VPN kennt Martin nicht aber wenn Cisco VPN mit DTLs machen kann dann kann Citrix das sicher auch.

00:18:17: Und wer weiß noch darauf hin, das hatte ich auch nicht auf dem Schirm.

00:18:20: Im Alltag nutzen alle ständig DTLS in Webkonferenzen weil WebRTC-DTLS als Träger Protokoll nutzt.

00:18:27: Hab' ich wieder was gelernt?

00:18:29: Ja ich auch!

00:18:30: Ich glaube ich hatte das auch schon mal gelernt aber dann wieder vergessen.

00:18:34: und weil ich mir irgendwann vor zehn Jahren und dann mal wieder vor fünf Jahren oder wieder vor drei Jahren die Finger gebrochen hab beim Versuch dieses freie Webkonferenztool Jitsi aufm Server zu konfigurieren S-Tan Server und der muss dann auch irgendwie DetailS sprechen.

00:18:49: Und diese WebRTC Sessions werden da irgendwie durchgeleitet, ich habe noch eine Anmerkung eher humoriger Natur.

00:18:56: also Ich möchte ein bisschen widersprechen.

00:18:58: Das Citrix das kann mag sein aber dass sie das sicher können möchte ich aus Erfahrung erstmal am Zweifel.

00:19:07: Okay Grundsätzlich also unabhängig vom Feature über das also von dem konkreten Feature meinst du?

00:19:14: Ja Ja, schon.

00:19:19: Okay und die zweite inhaltliche Einordnung kommt von Tom zu Atlation Crowd.

00:19:24: Wir hatten da ein Folge, äh, achtundsechzig diese interessante Pasture-Versal Lücke wo es auch um diese um diese Crowd also dieses Crowd Produkt ging dass man da irgendwie übernehmen konnte.

00:19:37: Und Tom hat ein paar Details im Angriffsvektor über diese Crowd.properties Datei.

00:19:41: und zwar sagt er in der Crowd selbst kann man verschiedene User Directories erstellen.

00:19:45: Dann wird im Crowd eine Application erstellt, jeweils eine eigene für jede Adolesion Instanz.

00:19:49: Also zum Beispiel ein App for Gyri-Report und eine App for Giro Test usw.

00:19:54: Für diese App werden dann Zugangsdaten erstellt welche später in der Crowd Properties Datei stehen.

00:19:58: auf dieser Datei hat man Zugriff bekommen mit dieser Passive Vessel Lücken.

00:20:02: Dieser App werden then User Directories zugeordnet z.B.

00:20:05: ein Active Directory oder einen Crowd User Report Directory usw.. Oft bekommt die Anwendung oft die User und Gruppen in diesen Directories nur Leserechte.

00:20:14: Zusätzlich kann man im Crowd auch für jede Applikation den Zugriff auf bestimmte IP-Adressen beschränken.

00:20:20: In der Praxis wird das allerdings nur in ca.

00:20:21: fünfzig Prozent der Installation verwendet.

00:20:24: Für den Angreifer bedeutet dies, dass er unter Umständ mit den Daten aus der Cloud Properties Datei gar nichts anfangen kann weil der Login von seiner IP nicht erlaubt wird.

00:20:33: und wenn der Logint funktioniert, kann er in meisten Fällen nur Userdaten lesen aber keine User ändern oder neue erstellen.

00:20:39: Das reduziert den möglichen Impact.

00:20:41: durch das Auslesen der cloud.properties deutlich fand ich einfach eine interessante Ergänzung.

00:20:48: Ich hoffe, dass es sozusagen für euch jetzt nicht brisant und relevant gewesen weil ihr solltet natürlich irgendwie eure tagesaktuellen IT Security News nicht über diesen Podcast beziehen der irgendwie alle vierzehn Tage herauskommt.

00:21:02: aber falls ihr so sagen irgendwann mal euch an diese Datei erinnert dann wisst ihr jetzt sozusagen wie man das idealerweise aufsetzt und ist natürlich völlig richtig alles beschränken was man nicht braucht das ist gute.

00:21:13: defense in depth

00:21:17: Ja.

00:21:18: Damit haben wir das Feedback aufgearbeitet, ich glaube, wir haben auch alle E-Mails beantwortet.

00:21:25: also wir hatten sehr viel mehr E-mails als was jetzt hier reingetragen habe.

00:21:29: Das hoffe ich zumindest.

00:21:31: wenn ihr uns vor Wochen schon eine Mail geschrieben habt und noch eine Antwort wartet oder so dann schreibt nochmal sorry dann ist sie mir irgendwie durchs Raster gefallen oder uns.

00:21:39: es war halt sehr viel.

00:21:43: Ich bin auch berühmt im Durchs Rasta fallen da kommt immer Plötzlich so ein Block von E-Mails, die dann wieder aufboppen weil Sylvester geantwortet hat.

00:21:52: Aber ich bin auch noch dabei meine E-mails von der ITSA und von direkt nach der IZA aufzubereiten.

00:21:57: insofern habe ich da auch ein gewisses Backlog.

00:21:59: So, dann haben wir jetzt eine Sektion mit fünf Minuten Themen und ich gereife zum Telefon um mir einen Teil mal zu stellen.

00:22:10: Es gab das Feedback dass man ja vielleicht auch einfach Mod Fünf machen könnte das ein bisschen zu erweitern.

00:22:17: Aber wir probieren es jetzt einfach mal, weil wir echt eine Menge Zeugs haben heute.

00:22:21: Ob das mit den fünf Minuten klappt?

00:22:22: Wo ist denn mein Timer?

00:22:23: Hier ist mein Timers.

00:22:24: Also Christopher probiert, dass ich meine Themen aus diesem Blog rausgenommen habe, weil ich... also im Unterschied zum letzten Mal glaube ich gar nicht, da sie das in einer näheren fünf Minuten schaffe und wenn ich's doch schaffe, ist ja auch nicht

00:22:38: schlimm.

00:22:39: Das ist eigentlich so ne Art Feigheit vor dem Feind der Uhr.

00:22:44: So aber ich fange jetzt mal an.

00:22:46: Ähm, ich fange

00:22:47: an.

00:22:47: Liebe deine Feinde!

00:22:48: Ja genau, ähm, Love by Neighbor war doch eines der erfolgreichen, äh, Kampagnenthemen bei den Midterms... Ich weiß gar nicht mehr in Michigan oder so, der Kandidat hatte das als Kampagnennmotor.

00:22:59: also sehr, ja, sehr schön gut So jetzt.

00:23:03: Also wir fangen mit der Welt des Mobilen in einem Satz vor Abfall dem eigentlich Thema.

00:23:09: gerade eben vor einer dreiviertel Stunde um vierzehn Uhr viel das NDA für das erste Gerät von mutter hola mit graffino s. wir haben ja schon ein paar mal drüber gesprochen und das ist das signature siebenundzwanzig.

00:23:21: Die schlechte nachricht ist es kostet an einen tausend neunhundert euro, ihr könnt ja schonmal anfangen bisschen wann das geld zurückzulegen damit ihr euch das erste smartphone mit vorinstalliertem griffinos von motorholer kaufen könnt.

00:23:34: so jetzt gehen wir aber in ein anderes ökosystem nämlich zu ios.

00:23:37: die Herrschaften von kelev die haben einen echten lauf, die sind gerade richtig vorne am bleeding edge der it sicherheit.

00:23:44: Die haben ja pietz spiel fürs schelle mitgefunden beziehungsweise auch den einzigen wirklich zuverlässigen proof of concept explode lange gehabt.

00:23:53: und da ist der steff an esser.

00:23:56: wer arbeitet mit bei kelev?

00:23:58: Der hat angefangen mit php sicherheitslücken und dann hat er irgendwann gesagt so ich mache jetzt als lücken.

00:24:04: und sie haben kürzlich auf einer So eine Offensive Security-Konferenz, ein Untethered iOS Jailbreak für das zu dem Zeitpunkt neuste iOS präsentiert.

00:24:16: Untetherd, also der musste ich nach jedem Rewood neu aufgespielt werden.

00:24:19: Früher diese Tethered Jailbreaks, da musstest du das Gerät an PC anschließen oder einen MacBook und dann wurde quasi über USB dieser Jail Break aufgespielen.

00:24:30: Das ist hier over the air möglich Und ein Jailbreak ist ein Exploit, der den Ausbruch aus diesen ganzen Sandboxes erlaubt die Apple um seine Appstrom rumpacken und das Betriebssystem zu isolieren.

00:24:42: Also ein echter Rutexploit, der einem Zugriff auf den Kern des Betriebsystems erlaubten.

00:24:47: dieser Kern also diese Jailbricks wurden früher gerne genutzt um alternative Appstores zu installieren.

00:24:53: Das brauchen wir heute nicht mehr.

00:24:54: Heute haben wir die EU, die zwingt einfach Apple dazu das zu erlauben.

00:24:57: So jetzt hat kellef nachgelegt also nicht nur diesen anthedert jailbreak gezeigt sondern sie haben gezeigt dass dieser exploit.

00:25:05: Sogar ein update auf ios, sieben zwanzig punkt zwei überlebt.

00:25:08: das heißt nicht nur ist der reboot fest er isst auch update fest auf die aktuellste mainline ios version.

00:25:14: das ist schon ziemlich cool und

00:25:17: es ist sicher derselbe exploit.

00:25:19: das.

00:25:19: jetzt muss ich aber pausen machen das sonst unfair

00:25:21: so sorry

00:25:21: der selbe.

00:25:22: Die Information kommt direkt von Stefan Esser.

00:25:25: Ich habe mit unserer Kollege von Merk&Eye, Ben Schwahn, der ist mit dem im Austausch und hatte mir gerade noch E-Mails weitergeleitet weil er gerade jetzt an einer neuen Meldung zu diesem Thema arbeitet.

00:25:35: Die ist aber auch nicht online.

00:25:36: Wenn sie noch online geht bevor wir den Podcast veröffentlichen dann packen wir die in die Show Notes Und Stefan hat bestätigt dass das tatsächlich derselbe exploit ist.

00:25:49: Teile dieses exploits werden auch die Öffentlichkeit verunsichern.

00:25:51: Die sind nämlich wohl noch gar nicht an apple gemeldet ist auch irgendwie interessant, die technischen Details hat Apple wohl auch noch nicht alle.

00:25:57: und dieser exploit funktioniert auch im lockdown mode also in dem von apple als besonders sicher gegen auch hoch motivierte angratzverpropagierten Modus da gibt es auch nochmal ein paar eigene informationen von steffan dazu Erhält vieles von diesem lockdown mod für auch bisschen pr getrieben und marketing.

00:26:17: Was von diesem Tag jetzt auch tatsächlich auf seinen realen Erfahrungen beruht ist, aber erst mal noch offen.

00:26:23: Das ist schon nett.

00:26:24: so ein Exploit für Exploite-Entwickler und auch technisch ist es interessant.

00:26:28: das ist für das Ökosystem nicht so geil weil ich nicht sagen kann wenn ich IOS habe und aktuelles IOS verwende dann bin ich sicher gegen irgendwelche Exploits.

00:26:38: Und einer der Exploid Primitiven Ich muss das ein bisschen vorlesen, weil das kann ich nicht auswendig.

00:26:45: Ein Zweiunddreißig Bit Volladira der aus der Statemachine der TrueType Verarbeitung in PDFs gebaut werden kann und daraus haben sie dann einen Zero beziehungsweise in manchen Umgebungen einem One Click Exploit gebaut.

00:26:57: Das ist schon richtig nett!

00:26:59: Das ganze wenn ich es richtig verstanden habe von der Präsentation aus der ich zitiere heißt dann Forced Entry plus Plus hat CV E-twanzig sechsundzwanzig sechsen achtzig neunfünfnull.

00:27:08: Diese exploits lassen sich auch relativ leicht wohl nachstellen mit k.i.

00:27:11: das hat keliff nämlich auch mit einem passenden prompt probiert und dieses prompt ist im wesentlichen ich habe gehört dass kelif da was gefunden hat baum mir das mal von aktuelles ios nach und macht es bitte reboot fest und dann rüttelt astra cyber irgendwie drei stunden lang und dann haben die da, was ausgespuckt und Das funktioniert wurde.

00:27:28: auf allem was in ios pdfs passt Teilweise eben zero und teilweise one-click also whatsapp signal e mail i message überall wo man so pdf preview kriegt, aber eben auch über airdrop zum beispiel.

00:27:40: wenn ich dann als erdropp offen habe für fremde smartphones dann kann mir einer im zug so ein militius pdf airdroppen oder auf dem kongress oder so.

00:27:48: Also das sind so sachen die der lockdown mode einschränkt.

00:27:52: das hatten wir auch gerade kurz drüber gesprochen vor der vor der sendung.

00:27:55: Aber wurde lockdown mode alleine dass nicht verhindern kann sich den exploit verhindert sondern nur Eintrittsvektoren schließt für den Exploit.

00:28:04: Das ist schon einigermaßen gruselig und vor allem, weil das halt auch so wie es klingt aus den Mails und aus dem Vortrag Zero Day ist aktuell.

00:28:13: Es gibt Slides zu diesem vortrag auf der Unprompted Conference aufgeht habe.

00:28:18: Das is allerdings ein PDF also vielleicht besser nicht auf einem iPhone angucken.

00:28:22: wer weiß was da noch alles geplanten Zusatzinhalt dahinter steckt.

00:28:25: Ich packe das PDF in die Show Notes Und dann könnt ihr euch das noch angucken.

00:28:29: genau fünf Minuten

00:28:32: So, ausgezeichnet.

00:28:34: Ja das ist schon... also das Video fand ich auch gruselig.

00:28:37: Also insbesondere sozusagen die zu sehen wie das Ding des Updates ein Spiel rebooted und dann noch in der Pin-Eingabe, also vor First Unlock der Exploit wieder hochkommt oder übers Display tanzen.

00:28:49: Das ist schon grusulig weil du musst ja nicht übers Display tanzen, da kannst dir alles nötig machen.

00:28:55: Und

00:28:55: das

00:28:55: ist..

00:28:56: das ist auch ein wichtiger Punkt ne?

00:28:58: Alles was einen Reboot überlebt ist automatisch BFU.

00:29:01: Also ist für die staatlich finanzierten Speilwehrhersteller, wie heißt das?

00:29:11: Wie hieß dieses lustige Wort?

00:29:14: Unconsensual Invasion oder sowas.

00:29:18: Diese gegen den Willen durch Suchung von Smartphones, diese Software und Tools dafür anbieten natürlich ein gefundenes Fest.

00:29:28: auch schon ihre LLMs heiß laufen lassen, um zu gucken ob sie das alles nachbauen können.

00:29:33: So jetzt

00:29:34: was mir gerade eingefallen ist.

00:29:36: wir hatten es glaube ich noch gar nicht im Podcast weil du gerade sozusagen davor gewarnt hast das PDF einfach so aufzumachen.

00:29:43: falls jemand in der Situation ist und ich meine dass sind eigentlich alle Leute die E-Mails bekommen Es gibt von der Freedom of the Press Foundation ein sehr cooles Tool namens Danger Zone, dangerzone.rocks.

00:29:54: Schau dir das mal an.

00:29:55: Das dient dazu verschiedene Dokumente, aber insbesondere auch PDFs in Varianten zu konvertieren die nach wie vor lesbar sind, aber keinen Schabernack mehr enthalten können.

00:30:05: Der macht es in so unsere Docker-Container und zieht dann da halt zur Beträge nur Bilddaten.

00:30:12: Das ist ganz geschickt gemacht und ich möchte nicht mal der Hand dafür ins Feuer legen dass eine KI nicht auch da irgendeine Durchregnallte Lücke finden kann, aber das ist schon ne sehr hohe Hürde sehr viel höher als der PDF-Betrachter eurer Wahl.

00:30:26: Also wenn ihr irgendwie komische PDFs angucken wollt, dann nimmt sowas wie Danger Zone.

00:30:33: So kommen wir zu fünf Minuten.

00:30:35: kurz PKI.

00:30:36: Ich versuche mich jetzt kurz zu fassen.

00:30:38: Das sind drei kleine Themen.

00:30:40: also das eine ist SwissSign betreibt jetzt auch CT-Logs zwei Stück nämlich an der Zahl.

00:30:46: Das haben Sie in der entsprechenden Gruppe in der CD Policy Mailing Liste angekündigt.

00:30:50: Die beiden Logs werden mit der Software Tesseract betrieben, also nicht dem Ding von Philippe Vassorda dessen Namen ich immer vergesse.

00:30:58: Sunlight und Sunlight genau sind beide in der Schweiz.

00:31:03: Das eine heißt Eiger Und ist das Produktions-Log Das benannt nach dem Berg Mit der gleichnamigen Nordwand Und das zweite heißt Rotstock.

00:31:11: Das ist der Nachbarberg zum Eiger oder einer in unmittelbarer Nähe.

00:31:14: Also benannt ganz lokalpateriotisch nach zwei Schweizer Bergen, damit wollen sie in die Chrome und Apple CT-Lock-Programme.

00:31:21: Und ich glaube... Ich weiß es nicht!

00:31:23: Ich hab's jetzt nicht recherchiert.

00:31:24: Das könnten die ersten CT-LOCKs sein, die in der Schweiz gehostet werden?

00:31:28: Weiß' ich nich'.

00:31:29: Guck grad wo diese Käselocks herkommen, weil das wird ja auch was, was sich für die Schweiz anbietet.

00:31:34: ne', also es gibt da eine ganze Reihe von LOCKS, die alle so nach Fernsehen heißen.

00:31:38: Die Konne von IPNG Networks GmbH.

00:31:45: Meine Zeit läuft, du kannst ja mal gucken.

00:31:47: Kann auf jeden Fall nicht schaden da noch mehr geografische Diversität zu haben und das tut einem weltweit genutzten und verteilten Ökosystemen gut so.

00:31:54: Google hat bzw.

00:31:57: Du kriegst von mir was dreißig Sekunden extra.

00:31:58: aber IPNG.ch ist die URL-Domain.

00:32:03: Das heißt

00:32:04: man kann davon ausgehen dass das Halloumi und Emmental und wie sie alle heißen gibt es einen Emmentaler bei sich.

00:32:09: Es gibt verschiedene Käse CtLocks.

00:32:11: Ja,

00:32:11: es gibt ein Emtalern.

00:32:12: Die sind

00:32:12: scheinbar auch in der Schweiz.

00:32:14: Also der M-Taler ist auch aus der Schweiz, aber Halloumi ist glaube ich kein Schweizer Käse.

00:32:19: Chrome ändert seine Richtlinien für Certificate Transparency und zwar weg von RFC nonsächtsig zweiund sechzig hin zu Static City API.

00:32:29: Ich glaube wir haben das schon mal drüber gesprochen Aber ich krieg sie wirklich nicht mehr zusammen was da dahintergrund war.

00:32:34: Sie machen aber auch noch ein paar Forderungen auf die an, mit diesem.

00:32:40: Certificate transparency fuck ab der letzten monat den wir auch hier auswürdig im podcast hatten zusammenhängen.

00:32:47: alle static city api locks müssen genug kapazitäten vorhalten damit ein jeder klein mindestens das eins kummer fünf fache der wachstums rate des logs zu jedem zeitpunkt konsumieren kann ohne in einen rate limit zu laufen weil sonst der klein wenn er nur dass einfacher also die Wachstumsrate konsumieren kann, sobald irgendwo eine kurze Unterbrechung ist legt er schon und dann bringt es auch nichts mehr.

00:33:09: Und es ist unmöglich einen neuen Kleint aufzusetzen weil der halt nicht aufholen kann?

00:33:13: Ja genau!

00:33:15: Das.

00:33:15: ich weiß nicht mehr wessen Locks das war was das Digis hat.

00:33:18: Es waren verschiedene Betreiber glaube ich.

00:33:21: Also die hatten auf jeden Fall so harte Rate Limits, dass das alles irgendwie zusammengebrochen ist.

00:33:27: Mitigationen haben es ordentlich besser gemacht, ich habe das jetzt ehrlich gesagt aber auch nicht mehr nachgelesen.

00:33:32: Das ist auf jeden Fall die Policy-Konsequenz von Google dazu.

00:33:35: und Google sagt auch liebe Log-Operators und das richtet sich sicherlich auch an die von den letzten Vorfällen.

00:33:41: wir verstehen dass ihr überhaupt keinen Bock auf dieses Incident Management diese Vorfallsberichte und diesen Pranger habt und diese ganze Diskussion.

00:33:47: dann kündigt doch Down Times einfach vorher öffentlich an wenn sie geplant sind.

00:33:51: also wenn ihr jetzt irgendwas an euren Logs baut dann sagt es doch vorher dann bei weniger Diskussionen.

00:33:55: Das ist auch echt ein absoluter No-Brainer, da muss man eigentlich nur mal irgendwann irgendwas administriert haben.

00:34:02: Weil es vorher ankündig ist in meiner UTD.

00:34:05: So dann haben wir noch eine ganz kleine Kleinigkeit bei Detrust.

00:34:09: Detrust muss mal wieder Zertifikate zurückziehen und zwar ungefähr achthundert Extended Validation Zertifikate von zwei CA's die sie betreiben.

00:34:17: das ist mal wieder.

00:34:19: Ich habe geschrieben evo problemes quatsch sind cps-problemen.

00:34:22: die haben in ihren certificate practice statements also in ihrer sozusagen geschäftsordnung drinstehen, dass die dinger eine adresse enthalten sollen und das tun sie nicht alle.

00:34:30: Und damit ist es ein baseline requirements verstoß.

00:34:33: der ist natürlich immer zu ahnen mit revocation.

00:34:35: eighthundert sechsen sechszig zertifikate insgesamt sind wohl betroffen bis zum sechsten november.

00:34:41: das ist wenn ihr das hier hört eine woche her revoke revoked werden müssen.

00:34:47: Und ihr habt wenn ihr betroffen seid nie mehr gekriegt von die trust und dahin dann ich glaube in dem excel oder so die betroffene zertifikat in eurer organisation dran.

00:34:55: Das hat nicht jeden glücklich gemacht der das gekriecht hat.

00:34:57: wir haben da so eine zuschrift bekommen muss.

00:34:59: im wesentlichen dies ist ein ganz komischer meldie könnte genauso gut fischigen oder mal wäre sein mit einem excel dran ohne signatur, dass kann man auch besser machen.

00:35:08: und es sind ganz viele Volksbanken betroffen, diesmal die alle neue Zertifikate kriegen.

00:35:13: Die Volksbank hat aber auch einen zentralen IT-Dienstleister, die Artruvia wenn ich den Namen richtig in Erinnerung habe der das dann so ähnlich wie die Finanzinformatik bei den Sparkassen denke ich für fast alle oder alle Volksbanker so abhandeln wird dass wir als Kunden nichts davon mitbekommen.

00:35:29: So ich hab noch und?

00:35:31: Wie liegst du in der Zeit?

00:35:35: diese Pause wird gesponsort von der ersparten zeit.

00:35:38: jetzt

00:35:40: Okay, so.

00:35:41: Ich muss sagen also ja es hat wieder so ein CPS-Ting.

00:35:44: aber so rum sehe ich schon einen sozusagen auch den praktischen Mehrwert in diesem Widerruf.

00:35:51: weil wenn diese Zertifikate der Adresse enthalten sollen und nicht tun dann ist erstens wirklich mit dem Zertifikat was nicht okay und nicht nur mit dem CPS.

00:36:00: Und zweitens ist das halt schon etwas.

00:36:02: also wenn ich sage dass es eine Extended Validation Zertificat Kunde da sehen können soll, um welche Firma an welcher Adresse handelt es sich.

00:36:12: Dann ist das eine Information die in dem Zertifikat halt auch drin sein sollte?

00:36:17: Ja jetzt müssten wir mal in die Extended Validation Guidelines reingucken und wie's?

00:36:22: dazu?

00:36:23: verwirrt habe ich die Garte Browser aufgemacht.

00:36:26: Das meine ich also unabhängig davon ob die Guidelines das zwingen.

00:36:29: wenn halt Detrust sagt Wir machen das so damit du lieber bei einem Detrust Zertifikat das sehen kannst dann will ichs halt auch sehen können.

00:36:37: Ja, und zudem ist es aber auch tatsächlich ein Verstoß gegen die Baseline Requirements wenn die Adresse nicht drin ist weil sie in jedes Extended Validation Certificat reingehört.

00:36:47: Also das ist einfach kein gültiges Extended-Validation Zertifikat wenn die adressen nicht drinnen sind unabhängig von den CPS des jeweiligen Anbieters.

00:36:55: Das steht in eins vier eins.

00:36:57: eins identify the legal entity that controls a website.

00:37:28: Ja, wobei also mit dem Ohr heißt es wenn ich dann eine Handelsregisternummer reinschreib kann ich mir die Adresse sparen.

00:37:34: Ja, das kann sein.

00:37:35: Warte mal gerade!

00:37:37: Jetzt müssen wir es auch... jetzt kommen wir da nicht mehr raus, warte mal.

00:37:42: Müssen wir?

00:37:42: Können wir nicht sagen... Das ist das Hausaufgabe an die Hörer und HörernInnen.

00:37:48: Wir überlassen das den Höreren als untergeordnete Übungsaufgaben.

00:37:52: So hieß das früher immer in der Uni wenn irgendwas zu beweisen war in den Mathefolien.

00:37:57: Genau.

00:37:58: Und für uns ist das e-Trivial so hieß es.

00:38:01: Es ist auch in der Univerität weiter.

00:38:04: Das ist genau, das ist der Beweisestrivial.

00:38:06: Der ist augenscheinlich auch immer schön.

00:38:10: Ganz offensichtlich deswegen reden wir da gar nicht weiter drüber und dann weiß ich nicht war das vermaßletzter Satz was als Trivial abgetan wurde.

00:38:17: Lehmt die Requirements halt in Augenscheinen?

00:38:19: Dann ist es auch augens Scheinlich.

00:38:21: Wie man trivialerweise sehen kann ist P weder gleich noch ungleich NP und deswegen machen wir jetzt hier weiter so.

00:38:29: Kühlschränke Die schmelzen in Kühlschränke.

00:38:31: Sie sind so ein bisschen ein IT-Sicherheitszombie der letzten drei Wochen, die waren ja das Aufregerthema am elften, zwölften Oktober.

00:38:38: und da hat er es in Frankreich über sieben oder Supermärkte erwischt.

00:38:42: Und die Story ist eigentlich relativ schnell erzählt.

00:38:45: Es gibt halt Steuereinlagen für Kühlsysteme unter anderem eben die Kühltäken, Kühlschenke, Külhäuser In super Märkten, die werden hergestellt von Danfos.

00:38:53: diese Steuergeräte und die Dinger haben Webinterface.

00:38:56: Die Webinterfaces waren übers öffentliche Internet erreichbar und hatten einen Backdoor Passwort Das dem aktuellen Datum entsprach also null fünf elf sechs und zwanzig elf da wird das der monat noch mal hinten dran gehängt.

00:39:07: Und darüber konnte man halt auch die temperatur verstellen die geräte abtauen, dass hat jemand dann am elften oktober gemacht.

00:39:13: Und ja so weit zu gut.

00:39:15: es gibt einen längeren artikel dazu.

00:39:17: von den leuten von klarotie die das entdeckt haben und zwar im august ist jetzt nicht unbedingt eine unheimlich neue information.

00:39:25: parallel dazugab mit oktober auch noch ein cyberangriff auf großen Konzern del heis die in den niederlanden ich glaube also ganzen benelogsbereich Supermärkte betreiben unter verschiedenen markennamen.

00:39:37: Die bekannteste zumindest mir davon ist albert hein.

00:39:40: das ist ja so der feldwald und wiesensupermarkt in den ganzen niederlanden, Und die hatten dann aber ein lieferketten problem weil wohl ihre zentrale it angegriffen wurde und sie die Lieferkette nicht mehr richtig aufrechterhalten konnten.

00:39:52: da waren also alle mögliche sachen nicht nur gekühlte Sachen nicht mehr in den super merken verfügbar war also für supermärkten kein guter monat.

00:39:58: dann Hat dann Foss die hatten schon sicher als er bereitgestellt, hat aber nicht jeder eingespielt.

00:40:04: Und hatte die Dinger dann halt auch ohne nach und doppelten Boden am internet also wirklich über ein viergehe modem oder direkt am DSL.

00:40:11: ich habe also direkt auf öffentlichen IP adressen auch so ein paar teile noch gefunden wahrscheinlich um die fernwartung zu erleichtern für so kälte klimadienstleister Aber halt auch für die angreifer.

00:40:21: und Dann kam es wie es kommen musste.

00:40:25: Das hat jetzt auch Deutschland erreicht.

00:40:26: Am zweiten November ist das Gleiche nochmal passiert und zwar in Supermärkten, nicht nur in Schweden und Benelux sondern auch in Deutschland NRW Bayern Niedersachsen gibt es Fälle Und in Frankreich wurde mit einem ähnlichen Angriff sogar eine Blut bzw Plasmabank die halt gekühlte Blutprodukte für Krankenhäuser bereitstellt angegriffen.

00:40:48: Das konnte veraltet werden, weil da ein Bereitschaftstechniker auf zack war und sah das da plötzlich die Temperatur sich massiv geändert hat also die eingestellte Temperatur und so sind dann auch keine Blutkonserven oder Plasmakonserben in irgendeiner Weise zu Schaden gekommen.

00:41:02: Und es gibt noch heute, also heute wie am fünften November an dem wir aufnehmen einen Kühlschrank irgendwo in Sachsen Ich weiß nicht genau wo er ist der offen übers netz erreichbar ist und wenn ich das richtig sehe auch noch die angreifbare alte version von zwei tausend vierundzwanzig, dieser firmware hat.

00:41:21: Ich habe jetzt nicht ausprobiert den mal ein bisschen aufzuwärmen aber es wundert mich tatsächlich sehr dass da nicht hundert prozent der geräte jetzt vom nett sind denn das ist überall rauf und runter gelaufen.

00:41:29: ich persönlich war gestern noch in oder vorgestern was gar nicht mehr in verschiedenen nachrichtensendungen und podcasts weil das thema einfach wieder so hochgekocht ist.

00:41:39: wer das ganze Fabriziert hat also wer schuld war darüber gibt es.

00:41:44: Keine belastbaren informationen auch wenn manche Boulevard medien irgendwas von erpressung titeln.

00:41:49: das ist nach meiner kenntnis und ich hab da auch bsi statements zu bekommen nicht nachweisbar, Es kann also genauso gut ein hektivistischer angriff von irgendwelchen weiß ich nicht städt actors die das die uns hier Angst machen wollen und unsere Wirtschaft destabilisieren wollen sein, wie irgendein gelangweilter Teenager in Minnesota, dem die Midterms nicht spannend genug waren oder so.

00:42:13: Das ist aus meiner Sicht gleich wahrscheinlich das es sich um Sabotage handelt, dass kann man ja eine Hand der Resultate einfach schon sagen.

00:42:20: Alles was ein Angriff, der eine Auswirkung hat, die einen solchen Schaden hervorruft, jetzt kann man nur als Sabotages bezeichnen.

00:42:27: ob das ein Spaß war also ne Spaß-Sabotage oder einem politischen Hintergrund Fast ein bisschen egal, da sind wirklich Tonnenweise Lebensmittel verdorben und mussten weggeschmissen werden.

00:42:39: Und was dann noch so ein bisschen beängstigend ist es dass diese Supermarktbetreiber natürlich auch in allen möglichen Kameras gesprochen haben und gesagt haben ja das wie das denn sein könne und man sei ja total überrascht von diesem Angriff.

00:42:50: Da muss man gar nicht überrasch sein Denn das ganze ist vor drei Wochen schon einmal alle Medien rauf-und runter gelaufen.

00:42:56: Man muss einfach nur mal einen Fernseher anmachen.

00:42:58: und Naja wenn wir auf solche Sachen so langsam reagieren Wenn es unsere Lebensgrundlage, also unsere Lebensmittel angeht.

00:43:05: Dann ist das schon so ein bisschen beunruhigend.

00:43:08: und Nachsatz auch zwei Wochen nach PHP to Shell Veröffentlichung Das war ja in der Woche nach diesen Kühlschrank Angriffen sind weltweit mal gerade alle Ein Drittel aller angreifbaren Server gepatched.

00:43:21: Zwei Drittel sind noch auf die eine oder andere Art verwundbar.

00:43:24: Also auch das zum Thema Reaktionsgeschwindigkeit

00:43:27: Ja

00:43:28: Und ich bin rum

00:43:30: Ausgezeichnet.

00:43:34: Also ich muss, ich sehe das ähnlich.

00:43:36: Ich verstehe nicht so ganz wie man solche Kühlschränke betreiben kann und sich dann also zurecht beklagt weil es ja auch eine Sauerei ist, nicht nur sozusagen entgangen der Gewinn sondern dass so viele Lebensmittel weggeschmissen werden müssen.

00:43:50: aber wenn mir das eben so am Herzen liegt dann warum kriege ich da nicht mit?

00:43:54: Dass das vor drei Wochen schon genau so passiert ist und guck mal irgendwie ob meine Küche eigentlich einfach so auf dem Internet hängen.

00:44:02: Was ich interessant fand aus dem Statement von so einem Marktbetreiber, der sich halt gegen gewährt hat, dass die Leute sagen warum hängt das überhaupt am Internet?

00:44:11: Der sagt letztendlich für Überwachung.

00:44:14: Es hat eben schon sehr viel mehr Lebensmittel gerettet weil sie durch diesen Internet-Ablegen mitkriegt haben wenn das Ding ein Problem hatte und dann irgendwie halt am Sonntag gesagt habe ich verliehe gerade Kühlmittel oder so und dann kriegt man es halt mit nicht erst am Montag wenn die Suppe rausläuft.

00:44:29: Wenn ich verstehe schon, dass die... Dass sich in so einem industriellen Bereich meinen Kühlschrank am Internet hängen haben will oder zumindest an einem Netzwerk sagen wir es mal so.

00:44:39: Aber halt nicht so.

00:44:41: Ja also ich hab... Also ich finde das ist kein Rechtfertigungsgrund dafür gibt das Ding direkt als Netz zu hängen.

00:44:50: Ich habe aber auch noch gehört aus zuverlässiger Quelle.

00:44:54: Ich kann sie jetzt gerade nicht nennen weil ich sie nicht parat habe Das in allen fällen auch nicht die supermarkt also das andersrum dass der hersteller für dieses direkt ans netz hängen, nicht verantwortlich gemacht werden kann.

00:45:06: Den kann man verantworten.

00:45:07: ich mache für die sicherheitslücken für das backdoor passwort und so Und vielleicht auch dafür dass er nicht sehr vehement irgendwie veraltete version seiner geräte entweder noch update oder dafür sorgt es die dann Durch gleichwertigen ersatz ausgetauscht werden aber nicht dafür dass die dinger direkt am netz hing denn das war immer eine wissenschaftliche und wilde entscheidung entweder des supermarkbetreibers aber wahrscheinlich in der regel eher Das Dienstleister, der diese Steuergeräte für den Supermarktbetreiber aufgebaut konfiguriert und im Betrieb genommen hat.

00:45:34: Und der sich dann wahrscheinlich gesagt hat Jolo was wird schon schief gehen wir machen das mal.

00:45:39: Ist ja auch nichts einziger.

00:45:40: Ich habe mit einem Sicherheitsforscher gestern noch ein bisschen gechattet, der im industriellen Bereich gerade tätig ist so ein bisschen als Pentester am Grunde.

00:45:52: Der bestätigt mir auch oder er hat nochmal so ein bißchen Schlaglicht darauf geworfen immer wieder im Fediverse, weil ich so einen VNC-Bott folge.

00:46:00: Es sind reihenweise, reihenweise VNCserver offen die ohne Passwort oder mit einem ein zwei drei für fünf Passwort irgendwelche Industriesteueranlagen explodieren.

00:46:12: und dann siehst du halt irgendwie eine Ventilsteuerung von einem Wasserwerk in Südkorea oder irgend sowas.

00:46:16: das ist wild!

00:46:17: Und dass es immer noch in der Welt... Also da kann ich Worte keine Sprachfindungsstörung

00:46:27: Ja, da musste ich was ändern.

00:46:31: Es wäre halt nur schön wenn sich die Sachen ändern könnten ohne dass unterwegs erst mal alles kaputt gemacht werden muss bis die Leute das Betreiben dann feststellen, so hat man ja kaputt machen können

00:46:41: und es wäre schön, wenn das zu unseren Lebzeiten passieren würde.

00:46:44: Ich glaube du bist ein bisschen jünger als ich also wir können jetzt gucken ob zu meinen oder zu deinen Lebzeichen.

00:46:49: Ach die KI wird uns eher dahin raffen.

00:46:53: Bis dahin beschäftigen wir uns damit was anderes.

00:46:55: Wir sind jetzt mit den fünf Minuten Themen durch, und er versucht mich gar nicht an irgendwelche Zeitstandards zu halten.

00:47:01: Es geht um ganz klassische Software.

00:47:05: Und zwar geht es um Software die auf GNU Savanna gehostet wird.

00:47:10: Also das geht um etwas, was die Security Firma HECK schon herausgefunden hat, auch eine von den sehr zahlreichen, wir machen Security mit KI-Unternehmen, die es so gibt... Und die haben im Blogpost so ein tldr vorangestellt, das würde ich übersetzt jetzt einfach mal vorlesen.

00:47:26: Dann wäre es glaube ich einen Ein-Minuten-Ding, aber es ist halt sehr treffend!

00:47:31: GNU Savanna Hosted Bash Core Utils und hunderte andere GNU Projekte.

00:47:36: Wir haben festgestellt dass eine E-Mail Adresse wie Touch-Dollar IFS Temp Savan RCE proof at attacker.example jedem registrierten Nutzer in ihrem Backend die Ausführung von Code ermöglichte.

00:47:49: Von dort aus machte unser Konto zu einem Super User, gaben uns als Betreuer von BESCH aus und bestätigten dass wir ein SSH-Schlüssel mit Push Zugriff auf das Upstream BESH Repository hinzufügen konnten.

00:47:58: Ein ungepatchter Kernel ermöglicht ihr uns Rootzugriff und Zugriffs auf einen GNU Backup Server.

00:48:05: So also... Mit einer geschickt gewählten Mailadresse dieses System komplett übernommen!

00:48:12: Ich erzähle sozusagen noch mal das was in diesem TLDR stand.

00:48:15: halt ein bisschen mehr Kontext weil es schon interessant ist Savanna, wer das nicht weiß.

00:48:23: Also Savanna.gnu.org glaube ich oder so, ihr müsst mal nachgucken ist also eine Code Hosting Plattform.

00:48:30: die hostet einen Großteil des GNU Userlands.

00:48:34: Das sind ebenso Werkzeuge wie Bash und die Core Utils hatten wir ja auch schonmal im Podcast weil Ubuntu da auf eine alternative Implementierung in Rust umstellt.

00:48:43: aber das sind also Werkzeugen wie LS, CP, RM Also die absoluten Basiswerkzeuge eines UNIX Betriebssystems, die man halt irgendwie an diesen Haaren zieht sich das System aus dem Sumpf und wenn sie kompromittiert sind dann hat man ja schon ganz tief drin steckenden Problem.

00:49:01: Und diese GNU-Varianten dieser Tools werden eben von vielen Distributionen übernommen, es landet auf Millionen Geräten und wie üblich kümmert sich da halt ein Haufen Freiwilliger drum.

00:49:11: und die Free Software Foundation deren Ressourcen jetzt auch nicht unbeschränkt sind

00:49:16: Und die Webseite sieht aus wie von...

00:49:19: Ich glaube, das Absicht.

00:49:20: Die sie wahrscheinlich auch.

00:49:22: Ja, das ist so ein Retro-Schick.

00:49:23: Genau!

00:49:25: Deswegen meine ich wir kommen zu etwas ganz klassischem.

00:49:29: Savana läuft auf einem System, dass man, glaub' ich, Savane ausspricht?

00:49:33: Ich bin mir nicht sicher.

00:49:33: ne, also SAVANE.

00:49:36: Ich sag jetzt einfach Savane, korrigiert mich wenn man es anders ausspürcht.

00:49:39: Und dort konnte man sich halt Accounts registrieren, wie das halt bei so einer Plattform so ist.

00:49:44: Mit eine Mailadresse, die den Account identifiziert und dann konnte man halt einen zetct.de als Mailadresse angeben oder man konnte eben sowas angeben wie a backtick touch dollar geschweifteklammer if s geschweifteklammer zu slash temp slash savane minus rci minus proof backtik at attacker dot example.

00:50:08: Ich nehme an, ihr hört die Nachtige alle schon trapsen.

00:50:12: Zunächst mal technisch gesehen ist es keine illegale Mail-Adresse.

00:50:16: Also zumindest also der RFC-AchtZwoZwo scheint dem zu entsprechen oder zumindest lässt der Mail-Address einen Validator von Savane das durch?

00:50:28: Das wundert mich jetzt nicht weil Sehr, sehr viele Dinge sind in der Mail-Adresse die man vielleicht nicht über das Mail-Address hernehmen sollte aber sie entsprechen dem RFC und insofern ist der Validator hier durchaus technisch.

00:50:43: also kann ich mir gut vorstellen dass er technisch korrekt ist.

00:50:47: Der lässt es jedenfalls durch.

00:50:49: und jetzt kann man in Savane GPG Keys hinterlegen für den eigenen Account und da so auch Tests mitmachen also ob die sozusagen konfiguriert sind Und einer dieser Tests listet die Key-Fingerprints für die jeweilige Mailadresse auf.

00:51:07: Und dafür wird diese Mailadresse in einen Parameter String gestopft, jetzt hört ihr wahrscheinlich die nächste Nacht egal trabsen.

00:51:14: Dieser String wird an einem Befehl angehängt.

00:51:17: Dieser Befeel wird dann eine PAP Funktion PROC Unterstrich Open übergeben Und PRP, wenn diese Funktion einen String bekommt, stopft es einfach in bin-slash-sh.

00:51:27: Also in der Shell und sagt halt, der Shell führt das hier bitte mal aus!

00:51:31: Die Shell nimmt dieses String, sieht die Backticks.

00:51:33: Das ist ja auch so ein POSIX-Feature.

00:51:35: Sagt oh, da mache ich ein Unterkommando und führe halt aus was da drin steht.

00:51:40: Fertig ist die Laube.

00:51:42: Man hat also Code Execution auf dem Savarnesystem, wenn man eine geschickt Mailadresse dahinter legt.

00:51:48: Nettes Detail für Shell.

00:51:49: Befehle sind in der Regel Leerzeichen, also Space ist sehr praktisch.

00:51:55: Ich habe jetzt hier nicht getraut zu schreiben unumgänglich weil wahrscheinlich kriegt man es auch irgendwie anders hin.

00:52:00: aber damit trennt man üblicherweise ja so das Kommando von dem Parameter und so.

00:52:05: nun lässt dieser Main-Adress den Validator aber keine Leerzeichnen durch.

00:52:08: ich weiß nicht ob der RFC nicht sogar sagt dass es okay oder sowas, aber der Validater sagt zumindest ne.

00:52:13: also die Main Adresse mit einem Leer Zeichen drin.

00:52:15: des lassen wir jetzt bleiben.

00:52:18: Und daher kommt dieses Dollar-Geschweifelklammer IFS, geschweifelt Klammer.

00:52:21: Das ist der Internal Field Separator bzw.

00:52:24: das ist eigentlich so.

00:52:24: ein Beckronium glaube ich ist egal.

00:52:26: also das ist eine Standard Variable die auf alle Shells setzen.

00:52:30: Also das ist auch von POSIX vorgeschrieben.

00:52:32: wenn eine POSICS konformer Shell muss diese IFS Variable setzen.

00:52:37: und wofür genau ist es hier gar nicht wichtig?

00:52:40: Gehe ich nicht auf einen.

00:52:40: aber die enthält als default Wert Leerzeichen Tabulatorzeichen und einen Zeilenumbruch.

00:52:47: Und der Effekt ist halt, wenn man diese Variable einfach in so ein String einbaut.

00:52:50: Dann wird da das gewünschte Leerzeichen draus und so kann ich meine Shell sagen dass sie ist das Kommando und sind irgendwelche Parameter.

00:53:01: Der Validator lässt es durch weil da kein Leer-Zeichen entsteht sondern dieser Variable.

00:53:07: Damit kann man beliebige Befehle in eine Mail Adresse schreiben indem man sie im Backticks packt ausführen, insbesondere eben auch auf der Savanna-Instanz.

00:53:22: Das hat interessanterweise das ist ein neuer Back, also er hat erst seit dem siebten März im Jahr zwanzig sechsundzwanzig existierte der und am elften Mai hat Hektron das schon an GNU gemeldet, also das stand nicht lange offen.

00:53:36: aber die zwei Monate hatte halt oder ich weiß nicht genau wann Sie es entdeckt haben bei Hektro konnte halt damit rumspielen.

00:53:41: natürlich was macht man jetzt wenn man sowas hat dass man da Befehle ausfühlen kann als Web Server?

00:53:47: Man packt erst mal den Reverse Shell in die Mail-Adresse, dann hat man den reverse Shell.

00:53:51: Damit kann man dann Datenmark credentials lesen, die auf diesem System rumliegen und dem User-Webserver zugänglich sind.

00:53:57: Damit können sich dann an der Datenbank anmelden und diese modifizieren.

00:54:00: Damit kannst du einen eigenen Savanna-Account zum Superuser machen also dem halt spezielle Rechte im Savannesystem geben.

00:54:09: Super User Accounts haben so einen Become This User Knopf, damit kann man sozusagen beliebige andere Nutzer übernehmen.

00:54:17: Also sich dafür ausgeben und das System so bedienen, als wäre man dieser anderen Nutzer.

00:54:21: Das ist eine typische Atmenfunktion halt.

00:54:24: Und der User Chat also CHET, der betreut BASH, die Shell nach wie vor.

00:54:35: Und nachdem Sie sich selber zum Super-User gemacht haben, konnten sie damit eben mit diesem Bekommendes Userknopf auch Chat werden und konnte dann das Shell Projekt betreuen.

00:54:44: Chat hat vier SSH Keys hinterlegt in seinem Account.

00:54:47: praktischerweise hat Savanna Platz für fünf.

00:54:51: Das heißt Hack schon hätte da halt einfach eine fünften Key hinterlegen können und hätten damit einen Push Zugriff auf das Shell als auf das Best Repository gehabt.

00:55:01: Da legen sie Wert drauf, das denke ich ist auch wichtig.

00:55:03: Das haben Sie nicht gemacht.

00:55:04: Also die Einstellungen werden tatsächlich übernommen.

00:55:09: Sie haben aber nicht wirklich einen eigenen SSH-Ki da übernomen damit man halt auch sozusagen nicht ihnen glauben muss sondern sehen kann dass sie keinen de facto davor zurückgeschreckt sind pushzug auf dieses Repository zu erhalten.

00:55:23: Zusätzlich hatte der Kernel auf dem Savannaleaf einen Ende Und zwar zwei Bugs in OverlayFS, die scheinbar unter dem Namen GameOverlay fliegen.

00:55:35: Da kann jetzt auch wieder irgendwie... Also die FSF wurde so nicht richtig viel dafür.

00:55:39: Das ist halt ein LTS-Kernel und das Update für diesen LTS Kernel, dass diese... Diesen Bug gefixt hat, das kam halt ein paar Tage nachdem Hektron sich das angeguckt hat.

00:55:49: Und diese paar Tage haben halt gereicht.

00:55:51: Das heißt aus ihrem Shell-Zugriff haben sie halt die zu Root ausbauen können.

00:55:54: dann waren Sie nicht mehr der User-Webserver sondern sie waren halt Root.

00:55:57: Der root account auf dem Server, der hatte jetzt SSH-Kies da so rumliegen irgendwo.

00:56:01: Das ist was man glaube ich ganz gut vermeiden kann und auch sollte.

00:56:05: Und einer dieser Kies oder vielleicht war das der Einzige aber da lag jedenfalls ein Key rum, der hat auf einem anderen Host nämlich auf dem Backup-Host Zugriff verschafft.

00:56:15: Ich glaube in dem Fall kannst du das möglicherweise auch tatsächlich nicht verhindern weil wenn du einen Backup von der ganzen Kiste machen willst auf eine andere Kiste um das per SSH machst dann musst du ja einen Key haben, der mit dem auf die andere Kiste also auf den Backup-Post kommt.

00:56:29: Oder habe ich dich gerade falsch verstanden?

00:56:30: Nee, hast du richtig!

00:56:31: Ich würde in solchen Sessionalen eher empfehlen dass der Backup Post Zugriff nimmt und sich die Sachen zieht damit genau sowas nicht passieren kann.

00:56:39: aber das hängt natürlich vom jeweiligen... Also es ist nicht immer möglich und klar so kann sein, dass es nicht anders ging.

00:56:46: Naja jedenfalls erhakt und fasst das ganze zusammen.

00:56:49: Zu diesem Zeitpunkt hatten wir Root auf der Forge, Zugehör auf ihre Backups und die Möglichkeit als jeder Betreuer zu fungieren.

00:56:55: Wir haben mit der Erkundung aufgehört und den Bericht geschrieben.

00:56:59: Ich denke da haben Sie recht getan!

00:57:01: Sie haben sozusagen das Level durchgespielt gehabt und haben es halt aufgeschrieben.

00:57:06: Sie haben dann aber tatsächlich ihr KI-Tool noch weiterwürsten lassen oder auch diverse andere Bugs gefunden, die halt nicht so beeindruckend oder cool waren wie dieser, was man Definitiv erwähnen sollte es die Reaktion von den Savanna Admins und der FSS-Wasche aber mehr als vorbildlich.

00:57:24: Also, der Savanna-Admin hat in derselben Nacht des Reports noch darauf reagiert.

00:57:30: Die haben innerhalb von Tagen, da hat die FSF das Problem gefixt und sie hat dann auch das volle Programm gefahren.

00:57:36: Sie hat den Kernel gepatched, sie hat die Zugriffskontrollen, die Datenbanken und ihre Logs auditiert Und sie hat andere admins dieser Warninstanzenbetreibung gewarnt vor diesem Problem.

00:57:47: So wie man also mit so einem Vorfall umgehen sollte,

00:57:50: ja und

00:57:51: jetzt weiß ich gar nicht ob es war mehr als fünf Minuten oder zwar sicher mehr als Fünf Minuten?

00:57:55: Ja du bist aber ja schon ... Du hast das Jahr... Ich will nicht feige sagen wie fett und nur kein harmloseres Wort ein.

00:58:02: In Weißer-Voraussicht rausgenommen aus dem fünfminuten Bereich.

00:58:07: Ich möchte dich an dieser Stelle einmal

00:58:09: in Form eines taktischen Rückzugs.

00:58:14: Ja genau, ein taktischer Rückzug.

00:58:17: Wir rücken vor nur in die andere Richtung.

00:58:21: Ich möchte an dieser Stelle nochmal kurz anmerken weil das ja mit im Mittelteil auch ein bisschen PHP-lastig wurde und du sagtest diese Sicherheitslücke gab funktionierte seit siebten Dritten, sechsundzwanzig.

00:58:34: ich habe einen kleinen Ausdruck in meinem Bücherregal gemacht während Silvester gesprochen hat und habe da ein Buch ausgeholt das heißt PHP Sicherheit.

00:58:41: nein es ist kein Oxymoron ist von zwei tausend acht und die autoren sind christopher kunst und steffan esser.

00:58:48: Und in dem buch gibt es eine seite, in der davor gewarnt wird ungeprüft input aus irgendeinem user kontext an shellkommandos zu übergeben.

00:58:55: von denen gibts nämlich ein perp leider mehrere und es gibt aber auch passende funktionen schon seit ich weiß ich perpi vier null um die den inputs zum maskieren.

00:59:04: es käpe schell args und es käpeschelt cmd heißen die dinger.

00:59:07: das hätte also verhindert werden können wenn man vor acht zehn jahren mein book gekauft und gelesen hätte oder eines seiner ungefähr gleichzeitig erschienen englischen Pendants von anderen Autoren.

00:59:17: Es ist also nicht zwingend, dass hier PHP-Schuld ist.

00:59:20: Ich glaube das hat aber auch keiner insinuiert.

00:59:22: Auch der Herr Tremmel den ich aber als PHP kritisch wahrnehme durchaus sondern da hat jemand einfach mal wieder beim Sanitizing von BenutzerInput geschlafen.

00:59:31: Ja, also das ist definitiv die Grundursache.

00:59:37: Jetzt müssen wir schauen... Also mal gucken, nachdem du es ansprichst Ich würde schon sagen, dass ich PRP kritisch bin.

00:59:46: Nicht so weil man mit PRP Sachen nicht ordentlich und richtig machen kann.

00:59:51: Das glaube ich oder da bin ich überzeugt davon das es geht sondern eher so, weil man es halt auch sehr falsch machen kann unter anderem weil halt so Sachen die zur PRP vierzeiten vielleicht schon irgendwie eine Schnap cd waren aber die halt irgendwie als quick & dirty Lösungen sich in dieser Sprache fanden Dann immer noch in der Sprache drin sind.

01:00:10: und wenn ich mir dann halt irgendeinen Schmahner Google und den Stack Overflow Post von zwei oder zwanzig zwölf lese.

01:00:19: Und das dann einfach umsetze, dann tut es halt mit einer nicht also mit einer relevanten Wahrscheinlichkeit und ich habe großen Schmahn fabriziert.

01:00:27: Ich finde Sprachen können sehr viel besser darin sein als PHP.

01:00:31: Es ist Nutzer zu sinnvollen Vorgehen zu leiten aber das fühlt jetzt hier weit.

01:00:39: Also ist eine der Gründe, warum ich funktionale Sprachen bevorzuge weil die glaube ich sehr viel besser darin sind den gewünschten Weg auch den offensichtlichen zu machen.

01:00:49: Auch wenn man sich da natürlich rein denken muss.

01:00:54: Also die Diskussion ist natürlich sehr häufig geführt worden.

01:00:58: PRP-Witter als Glutsprache in der Regel mit Perl verglichen.

01:01:03: hat ja so eine ähnliche Glufunktion, dadurch dass ihr dann auch relativ easy C Libraries da einbinden kannst.

01:01:09: Und bei PHP sind das halt diese Extensions.

01:01:11: und da gab es einen wilden Zoo, ich glaube den gibt's heute noch zu großen Teilen mit so Extensions die ein bisschen gepflegt werden wie WorkPress Plugins.

01:01:18: man baut die einmal für irgendeinen Zweck und sorgt dafür, dass sie einmal kompilieren mit einer PHP Version und dann lässt man sie liegen solange bis sie nicht mehr funktioniert für irgendwelche Bildbearbeitung oder sowas.

01:01:28: Die Diskussionslinie ging in der Regel immer so ein bisschen dahin, dass man dann gesagt hat naja C wird ja auch nicht vorgeworfen, dass es den Nutzer nicht an die Hand nimmt.

01:01:35: Das greift glaube ich...

01:01:36: Oh doch!

01:01:37: Also das würde ich C zum Beispiel ganz explizit vorwerfen.

01:01:41: Ich möchte auch nicht sagen, PAP ist hier die schlimmste Sprache in dieser Richtung oder so?

01:01:44: Nein, das ist ja ganz offensichtlich C. Wobei scheme finde ich auch schlimm.

01:01:49: Ach, es gibt schon echt schlimme Sprachen.

01:01:53: Müsste ich mal nachdenken.

01:01:55: Apropos ... wir haben gar nicht erwähnt, Curl war ja auch für ein paar Monate eine.

01:01:59: Köln war drei Monate lang oder vier Monate lang Turing vollständig, versehentlich.

01:02:04: Weil sie eine Rekursionsmöglichkeit in Konfigurationsdateien eingebaut hatten, dass Konfigurationsterteien sich selber inkludieren konnten oder andere Konfiguationsdateien oder irgendwie sowas.

01:02:11: und dann war Köl versählendlich kurzzeitig Turing-vollständig und damit eine Art Programmiersprache.

01:02:17: also wir haben es hier nicht in den Podcast gepackt weil da drunter sehr zutreffend steht Security Impact.

01:02:23: nun Und das ist ja hier ein Sicherheits-Podcast.

01:02:26: Aber wo du es jetzt erwähnt hast, so wie ich sagen würde, tun Sie die Shownots des euch durch!

01:02:30: Es ist eine lustige kleine Ausflug in die Turing Vollständigkeit und wie sie aus Versehen passieren kann.

01:02:39: Ja, und in einem Podcast, wo Leute aus Truteib gelüfen einen Zweiunddreißig mit Volladirabauen, da können wir auch URL, Schweizer Messer.

01:02:51: Das Ding kann auch IMAP, das hatte ich gar nicht auf dem Schirm.

01:02:53: Die haben auch vollkommen vollständigen IMAP-Supportes.

01:02:55: Es ist curliswild!

01:02:57: Anyway, PHP ist hier mit schuld aber ich glaube nicht der einzige Schuldige.

01:03:02: und wenn man seinen UserInput nicht passend maskiert, auch wenn der eine harmlose E-Mail Adresse zu sein scheint dann hat man einfach was falsch gemacht.

01:03:10: Ja, das ist völlig richtig und das ist auch etwas was sich wahrscheinlich in fast jeder Sprache hinkriegt, wenn ich nur sozusagen fallisch genug unterwegs bin.

01:03:20: Insofern, ich wollte jetzt hier wirklich keinen Schädel auf PHP werfen.

01:03:23: Das ist in dem Fall glaube ich

01:03:25: nicht noch mehr

01:03:26: weitgehend unschuldig.

01:03:29: Aber es hat auch kein Fall wo ich sage ah schau mal und dieses elegante Sprachdesign hat diese Art von Fehler verhindert oder so.

01:03:35: das ist halt auch nicht der Fall.

01:03:38: Wir kommen zu was anderem.

01:03:39: du packst man hier irgendwie die Curl Geschichte in die Show Notes Und Ich mach weiter mit Linux.

01:03:45: Auch was, wo man immer wieder Fehler drin findet Unter anderem einen Bug im Linux TCP Stack, den hat ein internes Modell von Anthropic.

01:03:54: Ich glaube nicht nur gefunden es konnte in jeden Fall zu einer Remote Code Execution ausbauen.

01:04:00: Leider gibt es zu diesem Exploit praktisch keine Infos also zumindest keine die mir bekannt sind.

01:04:07: ich habe jetzt da auch aus Zeitmange keine riesen Recherche angestoßen aber zumindest Anthropic und ein paar andere Instanzen die halt über dieses Problem reden schweigen sich dazu aus.

01:04:16: Zum Back weiß man sehr viel mehr.

01:04:18: Der bestand seit ... und zwar Kernversion IV-IV, und es geht um eine Race Condition bei TCPIP Version Vier Verbindungen also TCPIPV VI ist nicht betroffen.

01:04:32: Es gibt in dem Backfix und auch in so einer Mail an OSS Security eine Beschreibung von Greg Groer Hartmann die ich nicht verstanden habe, weil der da wild mit irgendwelchen System aufrufen.

01:04:45: Also Funktionsautorufen vom Kernelcode rumwirft und ich einfach viel... also nicht im Kernel-Code drin stecke.

01:04:52: Zum Glück musste ich die auch nicht verstehen, weil es einen sehr coolen Blockpost von Akamai dazu gab, der das sehr viel allgemeinverständlich erklärt hat.

01:04:59: Darauf stütze ich mich jetzt auch im Folgenden.

01:05:03: Jetzt erinnern wir uns, Christoph und ich haben in Folge siebenundsechzig mal einen ganzen TLS-Handshake nachgesprochen.

01:05:09: Aber davor haben wir auch einen TCP-Hanshake nach gesprochen Und der ging so... Wollen wir es nochmal machen?

01:05:16: Ja sicher!

01:05:17: Du fängst an!

01:05:22: Also es geht so, das ist ein Three-Way Handshake.

01:05:25: Es geht los und eine Verbindung startet mit einem Sündpaket.

01:05:28: der Kernel, wenn er das erhält legt da dann Request Socket für diese halbfertige Verbindung an weil ja der Handshake noch nicht abgeschlossen ist.

01:05:36: Wenn dieses Sünd Paket IP Optionen enthält also optionale Header Dann werden die auch in diesem Socket gespeichert.

01:05:45: Mit diesen Informationen baut der Kernl einen Sündack unter zur Hilfenahme dieser IP-Header, die gehen nämlich gegebenenfalls zurück und dann wird er diese Synnak zurückgeschickt.

01:05:58: Und wenn der Handschlag vervollständigt wird weil das Ak eintrifft, dann legt der Kernel ein normales Child Socket statt diesen Request Socket an und die IP-Optionen werden ohne Kopierenden vom Request-Socket auf dieses Child Soquet übertragen.

01:06:12: Da wird halt irgendein Pointer rum geschubst oder so.

01:06:14: Die werden aber nicht dupliziert So und das Problem tritt jetzt auf, wenn ein Sünn neu übertragen wird.

01:06:22: Also man kann ja bei TCP so einen Paket retransmitten.

01:06:26: Wenn es jetzt so ist dass zu dem Zeitpunkt wo CPU Kern A gerade das ACK verarbeitet und sein Child Socket baut Und dann ein retransmittedes Sünneintriff Dann kann es sein, dass CPU Kern B also ein anderer CPU Kern sich darum kümmert.

01:06:42: Der nutzt aber weil es ein Retransmit ist desselbe Request socket

01:06:47: Und hier ist noch einmal zu verdeutlichen, damit wir wissen aus welcher Richtung der Angriff kommt.

01:06:52: Das Sünn, das kommt ja vom Angreifer, ne?

01:06:55: Genau!

01:06:56: D.h.,

01:06:56: er kann auch den Retransmit auslösen des Sinns und nur dass es klar ist.

01:07:01: Ja

01:07:02: genau, der schickt einfach noch einen Sinn und wenn er Glück hat wird das von einem anderen CPU-Kern verarbeitet die er aber dasselbe Requestzock nutzt.

01:07:09: also während der erste Kern schon an seinem Akk baut verarbeitete halt ein zweiter Kern das neu übertragende Sünnen Seit KernelvIV, deswegen steht die Lücke seit KernelVIV hier offen.

01:07:20: Haben diese Request Sockets kein Listener-Lock?

01:07:25: Jetzt kommen gleich dazu warum das wichtig ist.

01:07:28: Jetzt kann CPU kein A weiter machen.

01:07:31: Der hat sein Schaltsocket gebaut und der kommt aus welchen Gründen auch immer zum Schluss, dass er dieses Schallsocket nicht mehr braucht.

01:07:35: Die Verbindung wird abgebrochen oder so.

01:07:37: Er wirft es einfach weg und ergibt den Speicher frei!

01:07:42: Und das kann er, obwohl der Kern B gerade an diesem Request Socket fummelt weil diese Request-Sockets keinen Listen-Log haben.

01:07:49: Deswegen kann Kern A diesen Speicher einfach freigeben und der Kern b, der aber an diesem Requestsocket fummelt dieses Requestsocket verweist für die IP-Optionen immer noch in den selben Speicher, in denen Speicher den Kern a gerade freigegeben hat als sein Schaltsocket wegwarf und manges Log wird diese Freigabe nicht verhindert.

01:08:12: Jetzt macht Kern B weiter, der baut seinen Synnak und liest dazu also will die IP-Optionen zurückschicken.

01:08:19: Und liest in dem Speicher, der aber schon verangegeben worden ist, der Potenzial für was anderes hergenommen worden ist.

01:08:24: Also ein klassischer Use after free und schickt diesen Inhalt eben auch noch als vermeintliche IP Optionen zurück an den Angreifer mit seinem Synnak.

01:08:33: Das ist jetzt eine relativ kompliziertes Rennen, dass man da gewinnen muss.

01:08:37: Da müssen ja sozusagen das Synarkt neu übertragende Sünden muss genauso auftreffen, dass es einer anderen Kern kommt und dann muss er in der ersten Kern weitermachen während der andere Kern an dem Synarktt bastelt und so.

01:08:48: Der Punkt ist wenn der Angreifer dieses Rennen nicht gewinnt, macht er eine neue Verbindung auf.

01:08:54: also er kann dieses Rennend so oft starten wie er will.

01:08:58: Und er kriegt dann immer so kleine Schnipselchen von Freiegebenden Speicher und jedes Mal wendet das Rennen Gewinn.

01:09:03: Und wenn er Glück hat, ist in diesem Speicherschnipselchen ein Kernelpointer drin.

01:09:09: Weil wenn da so'n Zeiger drin ist dann kann er damit das KASLR also das kernel address space layout randomization ausheben Also diese Tatsache dass die Speicheradressen nicht ratbar sind oder man kann die nicht vorhin ein wissen.

01:09:23: aber wenn man den Kernelpointer hat und sie sieht wo der hin zeigt dann kann man eben daraus auf die aktuelle Speicherbelegung schließen.

01:09:32: Wenn er halt ein Speicherschnipsel zurückkriegt, wo kein Kernelpointer drin ist, dann versucht das einfach nochmal.

01:09:37: Das muss er auch!

01:09:38: Also Anthropik hat im Test achtundvierzig Minuten lang gegen diesen Server gehämmert und da Speicherschnipsel abgefriestückt bis sie einen bekommen haben, wo ein Kernel Pointer drin war.

01:09:48: aber damit konnten Sie eben auch KISLR dann ausheben.

01:09:52: Und jetzt kommt der Exploit.

01:09:53: also soweit war sozusagen alles buck und ja es ist sozusagen in Memory League auf dieser Ebene die Sicherheitslücke.

01:10:01: Irgendwie, und ich weiß leider nicht wie genau, kann man unter sagt andropic explizit dasselbe use after free auch ausnutzen um einen puffer überlaufen zu lassen.

01:10:11: Und damit einen zeiger zu überschreiben.

01:10:15: Wie genau sagen weder an topic noch greg noch akmei diese übertriebene zeiger?

01:10:23: Also womit ihr überschrieben wird, das kann man beeinflussen in dem man also via an ordinary protocol feature.

01:10:29: Man kann schon bei irgendein anderes Feature des TCP Handshakes oder des TCP Protokolls nutzen um Speicherinhalt zu platzieren.

01:10:36: Das ist ja auch plausibel.

01:10:37: Also ich schicke den Server-Daten die musste irgendwo hinlegen und landen halb im Speicher.

01:10:42: wenn ich glib gehabt habe oder vielleicht auch irgendwie deterministisch landen sie an der richtigen Stelle im Speichern und damit kann ich sozusagen beeinflussend womit dieser Zeige überschreiben wird Und weil ich das KISLR ausgehebelt habe, kann ich eben mit einem Inhalt überschreiben, der zu dem funktionierenden anderen Sprung wirkt.

01:10:59: Dann kann ich den Sprung an eine Kernelfunktion platzieren, die ich haben will und kann es ausbauen zu einer Remote Code Execution.

01:11:07: Das ist jetzt hier alles bisschen wischy-waschig, weil Sie nicht genau erklären.

01:11:10: also wie mache ich aus dem Use After Free einen Buffer überlaufen?

01:11:14: Was für ein Protokoll Feature ist es, mit dem ich sozusagen sagen kann dass da auch was sich da reinschreiben wird?

01:11:20: Aber irgendwie haben sie es hingekriegt, sie haben es offensichtlich demonstrieren können.

01:11:24: Es ist es so dass der Exploit den Anthropik der Demonstrierter funktioniert nur mit Multi-Path TCP.

01:11:29: Das hat mit dem eigentlichen Bug aber nichts zu tun.

01:11:33: Also möglicherweise liefert Multi-Pass TCP dieses ordinary Protocol Feature das Sie da ausnutzen oder Multi- Pass TCP ist dafür nötig dass man von diesem Memory Leak zu einem Buffer Overflow kommt weiß ich nicht, steht da alles nicht.

01:11:48: Es ist nur so dass sich sozusagen alle einig sind ja der Demonstrierte-Exploit braucht Multi-Pass TCP Der BUCK ist aber sozusagen unabhängig von Multi Pass TCP und es schützt sozusagen nicht das Nicht aktiviert zu haben.

01:12:03: Das ist nämlich so eine Sache.

01:12:04: fast niemand hat scheinbar Multi-Pass TCP standardmäßig aktiviert außer GO Und die haben dann auch so ein bisschen debattiert sollten sie das jetzt vorsichtshalber abschalten oder so Oder sollten Sie einfach in Zukunft per default auslassen?

01:12:15: Ich glaube, aber sie kamen zum Schluss nahezu Lastens an.

01:12:17: Weil Großphilosophie halt ist irgendwie Features die potenziell gut sind und die sind halt auch pettifold an.

01:12:24: Und GO ist insofern schon relevant bei einer der beliebteren Reverse Proxies nämlich Caddy in GO geschrieben ist und er wird relativ häufig verwendet um Sachen zu proxieren.

01:12:37: Also falls ihr das interessiert, multipath tcp ist so die sozusagen so inverses multiplexing.

01:12:41: Also dass man halt im gerät sagen kann, dass irgendwie den velan oder einen mobil funk ablink hat zu sagen schieb ein tc p verbindung über diese beiden fade und nutze sozusagen die kombinierte bandbreite.

01:12:53: Das nutzen unter anderem ios geräte also apple iphone und alphabets und sowas.

01:12:57: war ich mich ja da ist es glaube ich irgendwie verbaut und sagt das wird auch genutzt um die verbinden also velan Mobilfunktion gleichzeitig nutzen zu können.

01:13:08: Und vielleicht wird es auch von Kellev genutzt, um irgendwie tanzende kleine Sachen über das Display zu schubsen?

01:13:14: Das ist das ordinary Protocol-Ficture.

01:13:16: Das haben Sie dann gleich noch benutzt, Um Anteva Jailbreak.

01:13:21: Naja der Fix der Sache ist jedenfalls relativ einfach weil wie gesagt der Bug hat ja auch nichts mit dem Multipass diese Pieze tun oder so.

01:13:26: na man macht einfach diese Speicherfreigabe die da passiert wenn der erste Kern sozusagen dieses Schaltsocken wegschmeißt.

01:13:34: Der macht kein K-Free, der macht ein RCU.

01:13:37: Die Funktion gibt es eh dafür.

01:13:39: Ein RCU steht für Read Copy Update.

01:13:41: Das ist genau der Mechanismus, der hier zum Einsatz kommt um Locks zu vermeiden.

01:13:45: Also deswegen haben diese Flows auch keine Locks.

01:13:50: Und das hat natürlich nicht richtig funktioniert.

01:13:52: Also war halt hier sozusagen einfach falsch, ne?

01:13:54: Wenn man eben so ein K-Free RCU macht dann gibt es da eine Grace Period.

01:13:58: der wartet einfach ein bisschen bis der Speicher tatsächlich feigeben wird und damit kann der Angreifer dieses Rennen einfach nicht mehr gewinnen.

01:14:04: also auch nicht indem er da acht vierzig Minuten oder noch länger reinsteckt.

01:14:08: Eine kleine Nebenbemerkung beschränke sich auf IPvIV weil bei IPvVI die IP Optionen dupliciert werden.

01:14:17: Das heißt da habe ich genau diesen Effekt dass die beiden CPU-Kerne den gleichen Speicher nutzen.

01:14:23: Sondern wenn der erste Kern aus dem Request Socket sein Child socket macht, dann kopiert er die Optionen rüber und wenn er dieses Child Socket wegschmeißt hat das Office Request sockets keine Einfluss.

01:14:35: Das ist wohl auch so, dass viele Router Firewalls, was auch immer von Netzen hängt einfach diese IP-Optionen wegwerfen, bevor sie dann Sachen an ... Server dahinter weiterleiten, das hatte ich auch noch mal gelesen.

01:14:48: Also dass unter Umständen einfach die ziele Bereiche so gerostete Netzwerke oder sowas gar nicht angreifbar sind, weil diese IP-Optionen also diese aus dem IP-Layer da gar nicht haben kommen.

01:14:59: Ja aber die müssen ja nicht weitergegeben werden, die müssen sozusagen nur im Sinn gespiegelt werden.

01:15:04: und ob sie das einfach auch nicht machen können oder nicht machen weiß ich nicht ne?

01:15:08: Ich war jetzt unter dem Eindruck, dass die in den Sinn-Akt gespiegelt werden müssen.

01:15:13: Jetzt hab ich gerade so gesagt, aber sie kommen mit einem Sinn und müssen im Sinnakt dann glaube ich gespiegelt werden?

01:15:16: So mein sehr oberflächtiges Verständnis!

01:15:19: Und ob Sie das nicht dürfen... Aber ich meine, ich bin hier gerade total am Schwimmen.

01:15:23: Wir haben sicher Hörer, die das aus dem Stickerverfall wissen, die können uns dann eine Mail schreiben.

01:15:26: Dann haben wir wieder Feedback.

01:15:29: Also rfc- one seventy sixundzwanzig sagt Das IP-Pakete, IPvIV Pakete mit IPVIV Optionen gefiltert werden soll.

01:15:37: Es ist aber nur eine Recommendation und eine Best-Current Practice, also BZP und EINENHAUD, EINONHAUDS, ACHSEN und ACHTSICH, ist von Februar, zwei Tausend vierzehn.

01:15:45: Wer weiß welche Netze das alle umsetzen?

01:15:47: Weil gerade beim Filtern von Dingen sind viele Provider doch so ein bisschen konservativ eingestellt wenn man es so sagen

01:15:54: möchte.

01:15:55: Ja weil halt garantiert wieder irgendwas kaputt geht, wenn man anfängt sich an Best-Corner-Practice zu halten.

01:16:01: Was war das Beispiel dass wir vor einigen Folgen mal hatten wo irgendjemand seinen Use Case kaputt gegangen ist, weil irgendwas anders was repariert hat.

01:16:07: Oder war das ein... Das war glaube ich nur so eine Parodie irgendwie, ne?

01:16:10: Ich benutze... Ach, ich krieg's nicht mehr zusammen!

01:16:14: Also es

01:16:14: gibt dieses tolle XKCD Comic dazu,

01:16:16: ne?!

01:16:17: Da

01:16:17: gibts was, wo

01:16:18: irgendeinem sagt, wenn mir die Leer-Tasse gedruckt hält dann geht die CPU jetzt nicht mehr auf hundertfünfzig Grad hoch oder so und irgendwann sagt er war's aber... Ne, andersrum!

01:16:27: Wenn man...

01:16:28: CPU doch!

01:16:29: Es war was mit CPU lasten Aber ich kriegs auch nicht mehr

01:16:31: Genau, genau.

01:16:32: Und es war dann irgendwie so.

01:16:32: ja aber ich habe bei mir ist die Enter-Taste kaputt und deswegen habe ich jetzt einfach einen starken Anstieg der CPU Temperatur als Enter interpretiert und jetzt halte ich immer mal eine Leertaste gedrückt um Enter zu tippen sozusagen.

01:16:45: Aber das ist eben XKCD.

01:16:47: Sucht es euch diesmal selber raus in die Nummer hab' ich nicht im Kopf.

01:16:50: Ja, ja... Es ist XKHD-Ein-Tausend-Einehundertseiteig.

01:16:56: Gut!

01:16:58: Wir verlassen die Niederungen von OC Layer drei Isolayer?

01:17:05: Was war das mit den sieben?

01:17:07: Das war der Osele, ist OSEe und das TCP-Modell hat nur vier.

01:17:11: Und ISO sind die wo du Geld zahlen musst wenn ihr die Standard sehen wisst.

01:17:17: Genau wir machen weiter mit etwas was erheblich weiter oben in allen Protokollstacks angesiedelt ist nämlich mit dem Web drei Null.

01:17:25: und wie es so schön heißt Web three O is going great.

01:17:28: da gibt's ne extra Seite für und die hat sich sicher auch ordentlich an diesem Vorfall Gütlich getan, zudem ich jetzt noch mal was erzählen möchte weil er einfach in seiner Dimension wieder alles bisher da gewesen schlägt.

01:17:39: Es geht darum dass bei Binance Ende Oktober ordentlich Geld in Krypto den Eigentümer gewechselt hat und das nicht ganz freiwillig.

01:17:48: Das war so viel wie nie zuvor Und das ging an einen Fred Actor namens Trader-Trader.

01:17:55: auch lautmalerisch ein sehr schöner Name aber irgendein annonenmüsse zur Attribution kommen wir gleich noch kurz.

01:18:02: Das war ein Angriff auf diese Plattform, die ja nicht nur eine Kryptobörse ist.

01:18:06: Aber damit groß geworden ist ursprünglich von einem Chinesen gegründet und ich glaube unterlag auch lange chinesischem Recht.

01:18:12: es gab da auch Themen mit verschiedenen Sanktionen und Genehmigungen und ich habe selber auch einen Konto bei Beinens hab da auch noch das Vermögen von vierzig Euro in irgendeinen komischen Token gefunden.

01:18:26: Ich wollte aber eigentlich auf deren Support-Daten oder den Forum zugreifen und alle Forumsartikel sind in Deutschland gesperrt aus KYC.

01:18:32: Und gesetzlichen Gründen schreiben sie dazu, also es ist auf jeden Fall so eine Krypto-Plattform und da kann man dann sein ganzes Geld in Kryptomanlegen damit spekulieren und das dann auch vortrefflich verlieren.

01:18:44: Das war ein Angriff gegen die Plattform selber Also nicht gegen Wallets wie wir es beim letzten Mal hatten und der richtete sich gegen Mitarbeitende also nicht gegen Nutzer gefischt wurden.

01:18:55: Das sieht man ja häufig, dass dann irgendwelche Fishing Angriffe kommen und dann wird ein einzelner Nutzer in sogenannter Wahl der großes Krypto Vermögen hat vielleicht gezielt angegriffen.

01:19:03: oder diese trojanisierten Hardware Wallets die wir neulich hatten wo die Seedphrase einfach abgegriffen wurde am Display.

01:19:09: das ist jetzt hier anders.

01:19:11: Hier wurden Mitarbeitende der Kryptobörse angegriffene und darüber dann die Kryptopörse.

01:19:15: Es ging in drei Stufen.

01:19:17: Die erste Stufe war ein Social Engineering gegen einen Engineer namens Engineer A Und dann gab es noch eine zweite Stufe, das war Social Engineering gegen Engineer B. Dann gab's die dritte Stufe und da wurde das Geld geklaut indem man Engineer A und Engineer B das was man da gelernt hatte den Zugriff auf ein Engineer C also einen Dritten Softwareentwickler nutzte um das Geld tatsächlich zu übertragen.

01:19:44: Das erinnert mich an die Unterhosen-Lichtel Phase

01:19:48: drei, Puffit!

01:19:55: Ja so in der Art.

01:19:56: Aber genauso ist es gelaufen die Uter-Rosenwichtel Wir können sie auch Alice und Bob nennen.

01:20:01: dann sind wir vielleicht wieder ein bisschen näher bei Krypto as in das vernünftige Krypton.

01:20:07: So Das ganze ging los im Juni diesen Jahres

01:20:13: Und

01:20:13: ich erzähle hier Im wesentlichen nach was Beinens selber erzählt.

01:20:17: ihr müsst das also mit noch mehr Grain of Salt hören als sonst Denn diese, ich halte Beinens persönlich nicht für ein hundert Prozent zuverlässigen Erzähler.

01:20:29: Aber es gibt nicht viel mehr andere externen nachprüfbare Informationen.

01:20:33: also im Juni so sagt beinens in ihrem ersten Vorfallsbericht ist dieser engineer also dieses Software Entwickler.

01:20:40: wir nennen sie jetzt alles Software Entwicklerin.

01:20:41: Alice ist auf Melvertising hereingesfallen hat also So was wie Cloud Code Install macOS gesucht.

01:20:49: Ironischerweise habe ich eine sehr ähnliche Suchanfrage auch vor einigen Wochen mal ausgesteuert und da wird man tatsächlich dann neben dem üblichen curl http irgendwas pipe bash auch zu einem installer also zu einer Möglichkeit gelots cloud code über homebrew zu installieren.

01:21:07: Das war aber nicht das offizielle Homebrew, was da per Malvertising angeboten wurde über eine gute Anzeige sondern einen mit ungeplanter Zusatzfunktionalität versehen ist Homebrew Binary und oder HomebREWtool.

01:21:21: Das ist glaube ich, was ist denn homebrew?

01:21:22: Ist das nicht auch ein Go oder so?

01:21:24: Vergesst vergessen!

01:21:26: Beim Versuch dieses Cloud Code zu installieren... Ich habe es jetzt geraten, da steht in dem Vorfallsbericht Popular AI Coding Tool.

01:21:35: Da gibt's einige aber Cloud Code wäre jetzt naheliegend falls es wie gesagt auch im Homebroad gibt.

01:21:40: Hat er sich dann einen Infostealer eingefangen bzw.

01:21:43: die Alice?

01:21:44: Und das hatte laut diesem Vorfallsbericht, der da so ein bisschen seltsam obviel abbricht und die Erzählung unter Bericht zum nächsten Schritt kommt.

01:21:53: Hatte das wohl keine direkten Auswirkungen?

01:21:55: Das war eher so Ausforschung.

01:21:58: Wie sieht das da fermentären aus?

01:21:59: in welchem Team arbeitet sie?

01:22:02: Das wurde dann auch wohl schnell bemerkt durch Beinens.

01:22:05: Die relevanten Credentials wurden rotiert angeblich Und es wurden keine negativen Auswirkungen auf den Betrieb oder auch irgendwie auf den Rechner, der dann ja hoffentlich neu aufgesetzt wurde von Engineer Alice festgestellt.

01:22:22: Das war so ein Rekon-Ding vor Stufe.

01:22:26: Dann kamen einen Social Engineering Angriff im September und da wird's schon ein kleines bisschen interessanter.

01:22:33: Da hat Engineer Bob, der Softwareentwickler, ein Jobangebot bekommen.

01:22:39: Da steht auch wieder so ein bisschen Waage drin, popular Jobhunting-Side.

01:22:44: Ich hätte jetzt mal gedacht über LinkedIn und für die Erzählung bleiben wir einfach bei LinkedIn.

01:22:48: Da wurde er angesprochen weil er Beinens in seinem Profil, in seinem CD stehen hatte und ihm wurde ein attraktives Jobangebot von einem angeblichen Recruiter unterbereitet.

01:23:00: Und mit diesem Recruitter oder Recruitorinnen gab es einen ersten Interview per Video Chat Und diese Person, die dann da dieses Interview geführt hat mit unserem Bob.

01:23:10: Hat eine Beziehung zu dem aufgebaut indem sie irgendwelche Fotos von Social Media gezeigt haben.

01:23:16: Guck mal hier auf meinem Insta so Smalltalk gemacht hat und das Schreibbeinens war fortgeschrittener und mehr täuschend als vorherige Social Engineering Ansätze.

01:23:30: Da frage ich mich dann das erste Mal beim Lesen dieses sehr langen Tweets.

01:23:33: Das sind diese Tweets im Berichtsformat oder in diesem Artikel-Format, das dürfen ja auch nur bestimmte Mitglieder auf X... Was meinen die mit more deceptive und more advanced?

01:23:42: Also was ist denn das Mord da?

01:23:43: Das verrichtet einen sehr komischen Job!

01:23:45: Die vorherigen Attempts, sie waren halt von so komischen afrikanischen Prinzen, die gesagt haben Sie müssen Ihre absurden Billiarden über Beine jetzt irgendwie raustragen ob der Mitarbeiter nicht vielleicht helfen kann.

01:23:57: Ja, das kann natürlich sein.

01:23:59: Andererseits ist sowas natürlich das One-O-One des Social Engineering Build Report.

01:24:05: Das macht jeder der was von jemand anderem will und auch zum Beispiel in einer Zeugenbefragung oder einem Verhör wird dann die Polizei erstmal versuchen irgendwie durch Smalltalk oder so eine Verbindung mit dir aufzumachen.

01:24:18: Jedes Verkaufsgespräch beginnt normalerweise so.

01:24:21: also wirklich dass es ein Basic von Social noch nicht mal von Social Engineering einfach von Social.

01:24:26: Na ja, dann ist dieses Austauschen von Nettigkeiten und irgendwelchen Katzenbildern über Instagram oder andere Social Media gelaufen.

01:24:34: Und es gab ein zweites Gespräch mit dem angeblichen CEO der natürlich fiktiven Firma in einer Popular-Social-Chat App.

01:24:43: Das kann jetzt alles Mögliche sein.

01:24:45: WhatsApp oder Waibu oder Signal oder was weiß ich?

01:24:49: Was?

01:24:50: IRC?

01:24:51: Slack?

01:24:51: Das ist glaube ich nicht unzureichend.

01:24:53: Web Three!

01:24:54: Weiß das nicht... Ja, weiß ich nicht.

01:24:57: Vielleicht so ein Web-Street, der immutable auf der Blockchain läuft?

01:25:01: Da weiß man dann also...

01:25:03: Wir heißen das!

01:25:03: Es gibt einen Messenger, der auf einer eigenen Blockchain läuft.

01:25:09: Du erzählst weiter, was dein Kandidat für diese popular social chat app ist.

01:25:17: Am Ende dieses zweiten Gesprächs, da war der Bewerber natürlich unser Bob schon in der engeren Auswahl und hat dann auch entsprechend Aussichten auf ein richtig lokatives Jobangebot bekommen, bekam er dann eine Programmieraufgabe.

01:25:30: Entschuldigung Sie!

01:25:31: Das ist ja... Ne doch, boah es ist Bob.

01:25:33: Jetzt komme ich mit meinen ganzen Alice und Bobst durcheinander.

01:25:35: Bob bekam meine Programmier-Aufgabe und hat diese Programmier Aufgabe dann auf seinen Arbeitscomputer den er von Bynens bekommen hatte heruntergeladen.

01:25:44: Das ist schon mal so der Punkt, wo ich dann sage okay wie doof kann man sein.

01:25:48: Wenn ich in ungekündigter Stellung ein Bewerbungsgespräch mit einem Headhunter vereinbare, der mich von meiner aktuellen Firma abserben will, dann halte ich von meiner Firmeninfrastruktur vor allem eins ganz viel Abstand schon alleine aus Obsteggründen weil mein aktueller Arbeitgeber vielleicht das nicht so schön findet.

01:26:06: wenn ich Bewerbsgespräche die Programmieraufgaben, die mir diese Headhunter geben um mich auf eine neue Stelle zu bewerben.

01:26:15: Auf meinem Arbeitspc herunterlade und ausführe dann weiß ich nicht da gehöre ich weder zu dem alten noch zu den neuen Arbeitgeber oder bei dem angestellt.

01:26:24: Dann habe ich einfach schon ganz viel Nicht verstanden was IT-Sicherheit angeht.

01:26:29: Und wenn man im Finanzsektor tätig ist und dann auch noch Softwareentwickler und die Permissions hat das werden wir gleich sehen die der Bob hatte Sollte ich dieses Grundverständnis für Obsek schon haben.

01:26:43: Nun ja, auch hier nachtigeilig hört ihr Trapsen in der Programmieraufgabe war natürlich Malware drin und zwar keine beliebiger Malware als Zero Day.

01:26:55: Malware schreibt bei uns Das ist natürlich ganz besonders hervorzuheben zero day.

01:27:01: Wir müssen das mit so einer Trailer-Sprecherstimme oder von Mortal Kombat oder von annual tournament so dieser stimme muss man das sich denken.

01:27:11: Das heißt aber nichts anderes als dass das mal wäre.

01:27:14: eine mal war die noch nicht von von den edr-signaturen aufgepickt wurde und von denen gibt es Ich weiß nicht wie viele tausend am tag.

01:27:20: Das ist einfach.

01:27:21: geht

01:27:22: eine

01:27:23: neue form der obfas cation irgendwelche variablen strings anders Und so kann dann höchstens ne heuristik darauf anspringen, aber das war jetzt kein nation state gedürnt zumindest nicht was was hier Beinens schreibt, aber die genauere Analyse des ganzen Vorfalls steht auch noch aus.

01:27:40: Aber so richtig Sophisticated kam mir das jetzt nicht vor.

01:27:44: dieser ganze Ansatz?

01:27:45: Ja!

01:27:46: Hast du inzwischen den Blockchain-Shad?

01:27:48: Was

01:27:48: ich im Kopf hatte heißt Session.

01:27:50: Ich glaube ehrlich gesagt nicht dass man es empfehlen kann.

01:27:52: Die befinden sich gerade irgendwie in der vierten Umfrukturierung um vielleicht irgendwann mal sozusagen sich selbst tragen zu können.

01:28:01: Also ich kenne die Hauptanwendergruppe von Session und Tox beziehungsweise Q-Tox und das sind Ransomware Dudes.

01:28:09: Die benutzen das sehr gerne!

01:28:11: Tag ich doch, popular social chat app.

01:28:15: Also wenn ich bei Bewerbungsgespräch anfange über Session zu führen dann wird es sicherlich interessant.

01:28:20: So diese Malwehr hat auf dem Rechner von Bob das Python Environment manipuliert und sich dann angefangen lateral zu bewegen und zwar auf die Geräte von Alice.

01:28:30: Und wer ist denn C?

01:28:31: Was is denn C wenn ne Chris Das ist einfach.

01:28:34: Und Alice ist die Dame von oben, die am Anfang angegriffen wurde, die im gleichen Team ist wohl wieder Bob und sie ist... Also Chris ist auch da, der ist auch infiziert worden.

01:28:45: das war so ein bisschen sehr waage formuliert.

01:28:49: ich will die Formulierung auch gar nicht hier auseinander nehmen.

01:28:53: Ich glaube dass es einfach keine Ahnung, so ein kari generiertes Gedöns.

01:28:57: Ja, ich muss dich korrigieren.

01:28:59: Es ist traditionellerweise.

01:29:01: Also es ist, wie gebt ihr das her?

01:29:02: Carol, Carolos und Charlie.

01:29:04: Ich kenne eigentlich nur Carol oder Charly.

01:29:07: Ja, ich

01:29:08: hab noch nicht gehört.

01:29:09: Charly kenne ich weil das Zähm im Buchstabieralphabet ist, im NATO-Alphabet soweit ich weiß.

01:29:13: Nehmen wir Carol.

01:29:16: okay also Carol ist jetzt auch infiziert.

01:29:19: mittlerweile ist der zwanzigste Oktober Und der Angreifer stellt fest dass Alice die deren Credentials alle schon rotiert sein sollten, irgendwie wohl nach wie vor noch das Recht hat oder wiederhat und nach einer Reinfektion.

01:29:35: Ich habe es nicht ganz verstanden in der Infrastruktur von Beinens Container zu deployen.

01:29:40: Also offenbar auch in der Prot-Infrastruktur oder in der Infrastruktur die Berührung mit deren Podwallets hat.

01:29:46: Und dann geht es los!

01:29:48: Der... ...Nahmezwanzigste Oktober, da lockt sich der Angreifer zwischen siebzehn Uhr, fünfzehn und neunzehntundsechsund Fünfzig.

01:29:54: Die Zeiten sind alle UTC, die Beinendsda schreibt by carol auf dem gerät ein nutzt dann die credentials von ellis um einen container zu deployen keine ahnung wo und was für ein und was dieser container so macht.

01:30:08: Und führt da ein angriff script aus.

01:30:10: dieses angriffs script das fängt an zwischen zwanzig uhr fünfundzwanzig und neun an geld in der gegent herumzuschicken und zwar über mehrere hot wallets von beinen.

01:30:21: sich glaubt die hot wallet sind die halt irgendwie nicht im safe liegen sondern die internet zugang Die verwendet werden halt, um Geld hin und her zu schieben von so einer Börse.

01:30:31: Genau also typischerweise hat eine börse sozusagen den Großteil ihrer Finanzen Cold Wallets.

01:30:37: die sind also offline damit man da eben nicht einfach drauf zugreifen und Geld raus tragen kann.

01:30:42: aber das heißt eben auch dass man dann nicht schnell rankommt sondern man muss halt irgendwie an so ne Cold Wallet anders hin.

01:30:49: Das heisst für so die täglichen nötigen Transaktionen und ein bisschen Puffer.

01:30:54: und so gibt es dann eben Hot Wallets, die halten halt so viel Geld wie man eben braucht um sozusagen auch mal vielleicht einen etwas ungewöhnlicheren Tag zu bestreiten.

01:31:02: Und alles andere versucht man in der Cold Wallet zu haben damit da eben Angräfer nicht so einfach rankommen.

01:31:07: aber wenn man halt beinens ist dann sind sicher auch die hot wallets sozusagen absolut mitträgen sehr umfänglich.

01:31:13: Und an eher ungewönlicher tag war er den neunzwanzigste oktober bei Beinens schon.

01:31:17: das würde ich auch sagen Denn jetzt ging es los, also wir versuchen jetzt mal ein bisschen mitzuzählen aber ich komme nicht so richtig auf die Zahlen.

01:31:27: Die Beine sind ihre.

01:31:27: eigene Mitteilung schreibt irgendwo ist da ein Gepter.

01:31:30: will dich gleich noch mal kurz was zu sagen?

01:31:31: Also es ging erst einmal los mit und ich kenne die Hälfte der Tokens hier nicht.

01:31:35: Zweihundertdreisig Millionen xrp im Gegenwert von ungefähr zweihundertvierundsiebzig Millionen Euro.

01:31:41: diese Kurse habe ich heute berechnet.

01:31:43: Da kann natürlich erhebliche Kursschrankungen gegeben haben die auf einer Anreiferadresse gegen dann neunhundertsiebzigtausendfünfhundert Solana im Gegenwert von ungefähr dreinneunzig Millionen Euro.

01:31:53: Vierentzwierzigkommar zwei Millionen OP, das ist die Optimism Coin, die heißt Optimism sind ungefähr vier Komma vier Millionen Euro mit Millionen nicht Milliarden denn der dickste Batzen kommt jetzt.

01:32:05: achtzehntausends zweihundertsebzig Bitcoin im Gegenwärt von ungefähr eins Komma drei Milliarden Euro.

01:32:13: Und dann haben sie noch einen exploit im autorisierungsmechanismus eep seventy zwei bei ethereum ausgenutzt um Da auch ethereum zu klauen.

01:32:23: da hat weinens aber schon gegenmaßnahmen ergriffen und zweikommer fünf acht fünf milliarden Direkt gesperrt.

01:32:30: ich habe dich ganz verstanden das schreiben Sie nicht ob die komplett in ethereum waren diese gesperrten fans oder ob das sich auf alles zieht.

01:32:37: Es sind dann in Anführungszeichen nur two-tausend neunundsechzig Ethereum weggekommen, das sind ungefähr sechs Komma drei Millionen Euro.

01:32:45: So wir sind also jetzt schon irgendwo im Bereich von eins Komma sieben Eins Komma acht Millionen Milliarden Euro.

01:32:54: Da muss noch mehr weggekommen sein weil weiter unten oder in dem Statement steht der Gesamtbetragung dass auch der die nicht in den Medien sicherlich gelesen hat Der aber leider in fast allen Fällen erführend ist.

01:33:05: Dieses gelb wird dann wurde dann weiter verteilt in den nächsten tagen auf über sechshundert wallets.

01:33:09: das fbi hat eine liste die meisten sind ethereum wallets irgendwie so Sechshunderteen oder sowas.

01:33:15: dann stapelt bitcoin wallet und eines solaner wallet.

01:33:20: Insgesamt sind brutto sechs Komma drei vier milliarden dollar In digitalen assets effektet gewesen also betroffen gewesen.

01:33:28: dass schreibt beinen zu.

01:33:30: sie konnten aber zweikommer acht fünf Milliarden davon irgendwie wieder zurückholen, einfrieren und dafür sorgen das die eben nicht abschließen.

01:33:38: Das macht also einen Nettoverlust für Beinens von drei Komma fünf Milliarden Dollar.

01:33:44: Das ist also die Größenordnung der Beute zum Vergleich wir haben in Folge siebenundzwanzig über den Hack by Bybit oder B-Bit gesprochen.

01:33:55: Der war Anfang letzten Jahres, also Anfang zwei tausendfünf zwanzig.

01:34:04: Räuber also ein absoluter peanuts im vergleich hierzu.

01:34:07: Naja, das ist schon dass es schon eine Menge Holz ne?

01:34:09: Also auch für so'n Atombau-Programm ist es glaube ich einen ganz netter Deckungsbeitrag.

01:34:14: Wie kommt's jetzt da drauf?

01:34:17: Das ist eine haltlose Propaganda Behauptung die Ich gemacht habe.

01:34:21: aber dazu gleich noch mehr.

01:34:23: So den Schaden hat in diesem Fall beinens.

01:34:26: Beinens deckt alle schäden nach eigener Aussage aus dem üblichen Sonderfonds Die sie dafür haben.

01:34:31: also die Kunden werden davon nicht betroffen sein, dafür verliert keiner sein Geld.

01:34:37: Sondern das Geld muss bei Beinens abfedern und die Kohle muss beinens entsprechend aus ihren liquiden Mitteln aufbringen Und ist jetzt gerade zur Stunde auch dabei jetzt so Auszahlung und sowas wieder zu erlauben.

01:34:50: Die haben natürlich erstmal alles eingefroren damit nicht noch mehr Geld aus ihrer Börse rausblutet.

01:34:58: Das war so die Erzählung von Beinens.

01:35:00: Die haben dann noch ein zweites Update gegeben und drittes und viertes, aber es wurde dann immer schmal lippigam.

01:35:06: also zum Beispiel ist mir vollkommen unklar wie wir von diesem Schritt da ist irgendwie ein Infostealer oder irgendeine Malbeer auf einem Developer PC zu... Da kann einer einfach irgendwie über den ganzen HotBall das Geld ausleiten kommt.

01:35:23: Da fehlt mir irgendwas in der Erzählung.

01:35:24: Also wo kommt diese Kontrolle über die ganzen Wallets her?

01:35:27: Müsste da nicht noch irgendwo ein Sicherheitslehrer dazwischen sein?

01:35:29: oder war das wirklich so einfach?

01:35:31: Ich hätte jetzt gedacht, dass ein Software-Entwickler da nicht so ohne Weiteres auch wenn er in der Betriebsabteilung arbeitet, also ob es macht für die Produktionsplattform, sowohl ohne weiteres in die Lage versetzt werden kann, diese Kohle abzuziehen weil das ja auf hundert Arten gefährlich ist für Beinens!

01:35:47: Nicht nur Angriffe durch Malwehr sondern antischiere Versuchungen da immer weiß ich nicht, ein Dollar Cent bei jeder Transaktion abzuzweigen oder irgendwie sowas in der Art.

01:35:57: Da will man doch so wenige Augen wie möglich drauf haben.

01:36:02: aber das erklären sie uns nicht auch weitere Sicherheitsmaßnahmen die da möglicherweise ausgehebelt wurden, erklären Sie uns nicht was sie geschrieben haben am dreißigsten Oktober ist.

01:36:13: unsere ursprüngliche Nachforschung hat suggeriert dass dieser Vorfall nur einen kompromittierten laptop beinhaltet aber unsere weiteren nachforschung haben ergeben dass es noch weitere eintrittspunkte gab.

01:36:27: da ist dann sicherlich auch dieser zweite vorfall mit drin, aber also der zweite engineer also bob der bob und ellis die da kompromitiert wurden.

01:36:38: Aber da muss doch irgendwie mehr gewesen sein.

01:36:41: sie versprechen wie das immer so ist da independent researchers und da gucken sie drauf und es wird natürlich ein tonungslosen Vorfallsbericht geben und so weiter.

01:36:49: Und sofort, was man halt immer in solchen Zellen so schreibt und dann hofft man das in einer Woche keiner mehr drauf guckt und in der Regel hat man wahrscheinlich auch recht.

01:36:57: Derzeit konzentriert sich beinahe hauptsächlich darauf und dass es auch da der Fokus ihrer weiteren Updates zu diesem Vorfall, dass die Plattform wieder ins Laufen kommt, dass alle Wiederauszahlungen in allen Währungen und allen Kryptotokens und was auch immer und allen Viertwährungen machen können Und gleichzeitig nicht noch das Geld vielleicht sogar noch über Beinen irgendwie gewaschen werden kann, damit es dann bei seinem Dieb landet.

01:37:22: Zum Dieb!

01:37:24: Wir wollen natürlich auch wissen wer ist denn gewesen?

01:37:27: Alle Welt möchte das wissen und die spontane fast instinktive Reaktion ist naja Kryptobankraub Das ist doch garantiert ein Werk der Nordkoreaner weil die das schon mal gerne machen diese berüchtigte Lazarus-Grupp aus Nordkorea

01:37:45: Weil wir hier durchsetzt sind von westlicher Propaganda, die immer wieder Nordkorea sowas in die Schuhe schiebt.

01:37:51: Ja, verehrter Genosse Kim!

01:37:53: Sie haben sicher recht... Das FBI hat das auch sehr schnell dann am einendreißigsten zehnten Kuram-Publiko behauptet und hat gesagt Wir haben jetzt zuverlässige Informationen, das muss mit NordkOREA gewesen sein.

01:38:05: Das wird meines Wissens nach hauptsächlich, ich weiß nicht ob es in diesem Fall so war, aber hauptzlich über Wallets attributiert, die schon mal bei ähnlichen Geschichten mit Nordkorea in Verbindung standen.

01:38:17: Das sind aber natürlich immer relativ weiche Attributierungen.

01:38:21: also dass man sich hinstellen kann sagen kann, Nordkorean war es.

01:38:25: das ist in der Regel nicht hundertprozent beweisbar.

01:38:29: Nordkoria hat dazu dann was auch gesagt.

01:38:33: tatsächlich das haben sie bei dem Bybit Vorfall nicht gemacht letztes Jahr.

01:38:39: Jetzt haben sie das in einem Aufferspeites mit erledigt und das haben Sie nicht über irgendein anonymes Statement von irgendeiner Nachrichtensprecherin verlesen lassen.

01:38:46: Ich weiß nicht, ob du mal nordkoreanische Nachrichten gesehen hast.

01:38:49: die sind teilweise wild.

01:38:51: also es gibt so ein Ausschnitt von dem von der Todesnachricht für von Kim Il-Sung oder irgend einem der anderen Kims.

01:38:57: ich vergesse immer wer gerade an der Macht ist wo die halt auch wirklich geschrien hat die Nachrichtentsprecherinnen und den Tränen ausgebrochen ist und sich die Haare gerauft hat und so dass es Teilweise ganz interessant in der Regel sind das eher so DDR artige Propagandagnachrichten, die dann von den Sprechern da verlesen werden.

01:39:14: Dieses Statement kommt also nicht von irgendwem sondern von Kim Jong-un.

01:39:20: Das ist die Schwester von Kim Jung Un vom aktuellen Machthaber und die sagt bzw.

01:39:26: schreibt da das wird weiterverbreitet von der koreanischen staatlichen Nachrichtenagentur KCNA allerlei Sachen.

01:39:35: Also die USA hat die Provokation begangen, diesen Raubzug mit der demokratischen Volksrepublik Korea zu verbinden wieder.

01:39:46: Und man wolle die Nordkorea als cyberkriminellen Staat brandmarken.

01:39:52: das FBI würde behaupten dass es Informationen erhalten hätte und so weiter und sofort.

01:39:58: also diese typische nordkoreanische Rhetorik.

01:40:02: Und was da für mich nicht drinsteht, in diesem ganzen Bla-Bla wie ungerechtes Arme Nordkorea behandelt wird ist.

01:40:10: Wir haben damit nichts zu tun!

01:40:11: Da steht wortwörtlich drinnen die Behauptung der Vereinigten Staaten ist absurde Rhetorik und Nichts Neues.

01:40:23: Da steht nicht drin Absurde-Rhetoriek, Nichts-Neues und Falsch sondern es steht drin das ist Absurderetorik und nichts Neues.

01:40:29: Das heißt, die Behauptung wird überhaupt nicht in ihrem Kern in ihrer Sache in irgendeiner Weise behandelt von diesem Statement sondern nur mit welcher Rhetorik sie vorgebracht wird.

01:40:38: Und das ist nicht das erste Mal, dass man Nordkorea die Schuld an solchen Kryptodiebstellen gibt denn auch bei Bybit war ja der Fall, dass mal da sehr schnell auf die Nordkoreaner gezeigt hat.

01:40:52: diese Vorfall wird auch erwähnt in diesem Statements Und zwar genau mit diesem Framing.

01:40:57: letztes Jahr haben die USA auch versucht, Nordkorea zu beschuldigen für einen Hacker-Angriff auf einem Crypto Exchange namens Bybit.

01:41:06: Also sie dementieren im gleichen Auffasch beide Angriffe nicht richtig.

01:41:13: ich habe da ein bisschen.

01:41:15: ja.

01:41:15: also Wo sie der Sache am nächsten kommen ist, in diesem Satz.

01:41:20: Es ist die etablierte Politik der DPRK oder der Regierung der DPC alle Arten von bösartigen Akten im Cyberspace denen entgegenzustehen.

01:41:34: aber das ist halt ganz allgemein mit dem konkreten Vorfall nichts zu tun.

01:41:39: und was ein bösadiger Akt ist, also vielleicht ist ja sozusagen die Wiesenbeschaffung für legitime Programme aus Sicht der DPRK ein ganz legitimer Akt.

01:41:51: Ich habe das schon diskutiert im Fediverse mit Martin Seger und mit Thorsten Kleins vom Spiegel weil ich das genauso sehe dass dieses prinzipiell sind wir auf dem haben vertreten den Standpunkt das Cybercrime Böseism K dass das auch in diesem Fall überhaupt kein Dementi ist.

01:42:10: denn viele Gründe also erst mal ist das ja ganz offen kundig gelogen.

01:42:15: Also es ist ja kein Geheimnis, dass Nordkorea im Bereich Cybercrime reichlich mitmischt und Es gibt anders als man das möglicherweise noch in Russland unterstellen könnte oder vielleicht sogar in China, in Nordkoreanen in Nord-Korea einfach keine Privatwirtschaft wie diese Eissunleute in China die privat wirtschaftliche Cybercrimes betreiben würden.

01:42:40: Staat, der den der Staatsführung auf keine Weise abkaufe, dass jemand, der da Internetzugang bekommt nicht unter staatlicher Kontrolle steht.

01:42:52: Jeder, der ins Internet kann in Nordkorea, der ist in irgendeiner Weise mit staatlicher Unterstützung oder durch die Stadt mit dem Plazett der Regierung Nordkorias im Internet.

01:43:03: Das ist ja nicht so das es da irgendwie eine Pluralität an Internetprovidern gäbe sondern dann gehen ein paar Strippen rein und ein paar werden von der nordkoreanischen Regierung geflirt.

01:43:12: Also wer Cybercrime in Nordkorea begeht, aus meiner Sicht muss das fast zwingend mit dem Plazett also zumindest der Tolerierung der nord-koreanische Regierung tun.

01:43:24: und was Cybercrimes ist ja auch sehr im Auge des Betrachters.

01:43:27: Was hierzulande illegal ist.

01:43:29: Reuspa reuspa Paragraph zweihundert zweitzehn.

01:43:31: Reußba reuspad!

01:43:32: Das muss ja anderswo überhaupt nicht illegal sein.

01:43:34: und wenn es einfach in NordKorea kein Gesetz gibt dass den Diebstahl von Krypto-Tokens, von Cryptobörsen verbietet.

01:43:43: Weil man zum Beispiel in Nordkorea die offizielle Doktriet vertritt dass Kryptotokens überhaupt keinen Wert haben dann ist es auch kein Cybercrime wenn ich dabei beinahins dran längst gehe und den ein paar Milliarden aus der Brieftasche ziehe.

01:43:54: also das ist dann mal der nächste Punkt Und auch dieses prinzipiell Ist ja auch wirklich eine eine windelweiche Aussage.

01:44:02: Prinzipiell finden wir das doof aber Wenn wir es für opportune achten werden wir von diesem Prinzip ab Weichen.

01:44:08: Das ist ja eines der jetzt auch wieder ironisch Grundprinzipien von Politik, dass wir sagen also prinzipiell sind wir gegen den Klimawandel aber wenn es unserer Autoindustrie nicht so gut geht dann müsste man von diesem Prinzip einfach mal abweichen.

01:44:21: Also ich halte das wirklich für kein valides Dementi.

01:44:24: diskutiert er gerne noch mit wenn ihr das findet in tut noch findet am kommenden mitten auch wenn diese folge rauskommt.

01:44:30: Aber ich lese da keinen dement hier aus.

01:44:33: alle möglichen anderen unter anderem Reuters und Co.

01:44:36: lesen dann Dementi, ich lese das da nicht.

01:44:39: also für mich ist es ein bisschen PR möglicherweise um Verhandlungen mit den USA nicht zu gefährden die jetzt anstehen sollen dass man mal wieder ein bisschen von den Sanktionen weg kommt.

01:44:50: aber ich sehe da wirklich kein wirksames Dementin.

01:44:53: Nö, aber als ich mein... Ich glaube wenn die da einfach reinschreiben würden Wir waren's nicht Punkt muss ich auch sagen würde ich dem nicht allzu viel Glauben schenken.

01:45:04: Würde ich auch nicht glauben.

01:45:08: Das ist schon richtig, Sie können es eilig nicht richtig machen.

01:45:15: Was sollen sie machen?

01:45:16: Und am Ende ist es dann ja oft so eine Anwendung des bekannten Sprichwortes.

01:45:19: Ist der Ruf erst ruiniert, lebt es sich ganz ungeniert weil Nordkorea glaubst du eh nix mehr und traust den in Ihnen oder das Schlimmste zu dass ein bisschen wie bei bestimmten Orangen an Präsidenten im USA.

01:45:28: Insofern mal sehen ob wir noch feststellen, wer dahinter steckt.

01:45:32: Ich glaube auch bei BeiBit gibt es keine klare Attributierung.

01:45:36: da ist der wahrscheinlichste Fall einfach oder die wahrscheinendlichste Attributation das ist Die lazeres Grupp aus mal Korea war So.

01:45:45: damit ist die Geschichte bis heute zu Ende erzählt.

01:45:48: Das ist so der Stand von Heute.

01:45:50: Es kann sein dass in den Tagen bis zur Veröffentlichung dieser Folge noch ein weiterer Vorfallsbericht rauskommt.

01:45:56: ich glaube BeiBitt ich weiß gar nicht nach welcher Zeitzone die arbeiten beinahe Aber mehr wissen wir heute noch nicht über Verursacher und technische Hintergründe, was da noch weiter passiert.

01:46:07: Und auch welche Gegenmaßnahmen die beeindruckende Leute künftig machen wollen um sowas wie dieses Social Engineering aber eben auch diesen innerhalb von wenigen Minuten komplett eskalierten Angriff zu verhindern.

01:46:21: Schauen wir mal ob da noch etwas kommt.

01:46:22: ich könnte mir schon vorstellen dass also die WC noch nicht fertig sein damit diese erbeuteten Token zu bewegen, da haben jetzt sicher Leute ein Auge drauf was dann noch passiert.

01:46:38: Wir kommen zu unserem letzten Thema oder?

01:46:43: Außer es brennt jetzt plötzlich im Hintergrund wieder irgendwas mit Glühschränken oder Waschmaschinen oder so.

01:46:51: Also lasst eure Wasch Maschinen nicht ans Internet.

01:46:54: damit haben wir das auch abgehandelt.

01:47:00: Die Google Threat Intelligence Group, die hatten wir immer wieder glaube ich mal im Podcast.

01:47:06: Ich habe nicht nachgeguckt wann zu letzt.

01:47:08: Die sind sehr aktiv so im großen Maßstab Cybercrime zu bekämpfen und sie haben mal wieder in Kooperation mit diversen Partnern einen Botnetz hochgenommen das nennen Sie eben XCPE des Betrags auf Eins Komma drei Millionen Infizierte Android Geräte und zwar primär so Fernseh Set Top Boxen Aber auch ein paar andere IoT-Geräte.

01:47:32: Sie nennen Telemedizin, was Heikel klingt... ...aber auch Karaokemaschinen und so Anzeigetafeln wie für Werbeanzeigen oder Bahnhof oder so.

01:47:43: Achso du hast hier reingeschrieben bei Telemedizin Gruselig?

01:47:45: Ja genau heute haben wir auch gedacht aber das war scheinbar sozusagen nur eine ganz kleine Untermenge.

01:47:52: Und zum Akronym ich würde vermuten XCPE ist ein Akronyme weil CPE für Customer Premises Equipment steht Also Zeugs, das beim Kunden steht.

01:48:02: Die Unterscheidung gibt es aus dem Breitbandbereich.

01:48:04: Der Router ist das CPE, also das Gerät, das bei einem Kunden

01:48:07: steht.".

01:48:09: Das mag sein!

01:48:09: Es kommt von einer Stage dieser Mellware.

01:48:12: aber warum die wiederum so heißt?

01:48:14: Da kommen wir jetzt dazu sehr passend.

01:48:17: Diese Mellweber war nämlich in drei Stufen aufgebaut.

01:48:19: Es gab eine initiale Backdoor, die hieß x.cpe zumindest oft und manchmal hieß sie auch com.om-service Was halt auch so nach was klingt, was da schon so sein soll.

01:48:32: Die war recht minimal vermutlich eben auch damit sie unter dem Radar sägen kann.

01:48:37: und diese erste Stufe die hat dann im Regelfall einen Loader nachgeladen der hieß dann meist kom.abc.nexus.

01:48:47: Dieses nexus härtet sich selbst mit so Anti-Analyse Maßnahmen und versucht damit auch die Analyse nachgeladenen Module zu erschweren.

01:48:57: Das kann nämlich so Module nachladen, die aus verschiedenen Quellen stammen können.

01:49:02: Die können entweder von der Melvia mitgebracht werden und als ELF-Diemen rumlegen, die können als eingebürtetes SDK mitgebracht werden oder das können auch einfach APKs sein, die das Ding aus dem Internet zieht.

01:49:15: Viele dieser APK's, die es von irgendwo her gezogen hat, lagen auf GitHub rum weil da kann man halt Daten hinlegen und eine Verbindung zu GitHub ist jetzt auch nicht sonderlich auffällig.

01:49:27: Diese Module haben dann alle möglichen Zwecke verfolgen können, die meisten Module haben residential proxies aufgezogen.

01:49:36: also das ist so.

01:49:37: dieses sehr dunkel graue Geschäftsfeld von.

01:49:41: wir leiten Datenverkehr über Hausanschlüsse.

01:49:47: da gibt es Anbieter die das sozusagen offen anbieten.

01:49:50: du kannst den hausanschluss vermieden und so Es gibt halt auch viele, die das über Somerwärm machen und genutzt wird es.

01:49:57: Also so Fälle wo man noch sagt na gut es kann legal sein ist irgendwie... Man möchte wissen wie die eigene Werbung ausgespielt wird wenn man da aus Brasilien drauf guckt und man will eben nicht sozusagen von irgendeinem VPN Filter als SVPN Zugang erkannt werden dann nützt uns eine Residential Proxy sieht es halt wirklich so aus, als ob der Datenverkehr von irgendeinem Hausanschluss in Brasilien kommt.

01:50:24: Weil er de facto vom Hausanschuss in Brasilie kommt.

01:50:29: Als Anmerkung zu den Residential Proxies gerade gestern kam ein Artikel von dem amerikanischen Cyber-Journalisten Brian Craps raus.

01:50:38: Der ist überschrieben mit der vielsagenden Überschrift Möchtest du eine Internetadresse im Weißen Haus mieten?

01:50:45: Das hat sich rausgestellt, dass diese residential proxies also nicht nur in Residenzen normaler amerikaner verbreitet sind sondern dass sie auch mehrere Residential Proxy IP Adressen ins weiße haus Verfolgen konnten unter anderem auch von einem residential proxy Netzwerk das irgendwie von einer russischen Firma die auch für Cyber Angriffe auf Wahlen in Arizona und in den neues verantwortliches oder die aus deren Netzdiesel kamen, betrieben wird.

01:51:14: Also das ist schon echt weit verbreitet und auch gerne mal in so Spielen eingebaut.

01:51:20: Ich kann mir richtig vorstellen wie Präsident Trump oder irgendeiner von seinem Kabinett im Oval Office sitzt und irgendwie Candy Crush spielt und dem Hintergrund irgendwelche Leute Sneakers skalten über sein Smartphone.

01:51:31: Das ist alles so furchtbar.

01:51:33: Also das wäre dann sozusagen die zweite Stufe, wo man sagt, also wo die Anbieter noch behaupten es ist legal und alle anderen sagen so hör sei dir sicher wenn man sich irgendeine Game App installiert und da steht halt irgendwo den AGBs drin.

01:51:45: Ach übrigens du kannst hier dieses nette Spiel spielen aber im Hintergrund ziehen wir halt Datenverkehr über dein Gerät und damit auch über deinen Hausanschluss.

01:51:53: Und die dritte Variante wo's halt einfach völlig klar illegal ist wenn halt irgendwie mehr Geräte infiziert traffic drüber zieht.

01:52:03: Und genutzt werden residential proxies halt auch ganz gerne für nicht legitime Aktionen.

01:52:12: Diese Module konnten aber auch anderes Zeug machen, die konnten so adfrot begehen.

01:52:16: also dann hat das infizierte Gerät eine desktopbox im Hintergrund Werbeanzeigen geladen und so getan als ob sie sozusagen die angezeigt hätte darauf geklickt worden wäre um darüber Geld zu generieren.

01:52:29: Und es gab eine Reihe von weiteren Modulen, die halt einfach dazu waren mehr Merlwär nachzuladen und dann halt zu tun.

01:52:35: Weil so immer diese andere Merlwer tat.

01:52:39: Das war offensichtlich auch einfach Teil des Geschäftsmodells von diesen Botnets, dass sie das halt weiter vermietet haben.

01:52:46: und dann konnten da so Erfilie jetzt sagen, ich hab hier ne Merlwe, könnt ihr die bitte über euer Botnetz als Modul verbreiten?

01:52:57: Modular, die da einfach nachgeladen und installiert wurden.

01:52:59: Das konnte das Ding still-und heimlich tun.

01:53:02: also Google schreibt er First Wipes User Consent Configuration then Disables Google Play Protect.

01:53:08: Also diese Melva war in der Lage erstmal diese Nachfrage von wegen hey wirst du diese App wirklich installieren?

01:53:13: Die einfach abzuschalten.

01:53:16: Und dann konnte es eben auch google play protect abschalten und damit lief auf dem gelt an halt was schon immer die Mehrweite erlaufen lassen wollte, ohne dass irgendeine Warnung vom Betriebssystem hochgekommen wäre.

01:53:27: Außerdem hat dieses XCPE auch ein paar Funktionalität eingebaut gehabt, ganz ohne Modul.

01:53:32: also es konnte einfach eine Schelle aufmachen.

01:53:33: das Angreifer hatten dann sozusagen Zugriff auf das Gerät.

01:53:37: Es hatte einen Remote Desktop-Funktionalität gehabt, es konnte also Bildschirmpfotos aufnehmen und es konnte aber nicht nur Tasten drücken erfassen sondern auch Tastendrücke.

01:53:45: der Angreifer konnte tippen und es wurde dann am Gerät eingegeben Und es hatte auch so ganz minimal.

01:53:52: Es konnte halt so rumpingen, welche anderen Geräte sind zu hier im Netzwerk und sowas.

01:53:55: Konnte halt so ein bisschen gucken wo bin ich hier?

01:53:58: Seit August diesen Jahres wurde dann diese zweite Stufe dieses Nexus oft auch doch was anderes ersetzt und zwar durch sozusagen einen spezialisierten Dropper der nur genau ein so'n Modul irgendwie einkompalliert hatte.

01:54:10: Da ist glaube ich offen, warum die hier die Taktik gewechselt haben.

01:54:15: Verbreiteter Lange war diese Nexus-Variante, die eben diese Module da dynamisch nachgeladen hat.

01:54:20: Die konnte auch mehrere dieser Module parallel laufen lassen.

01:54:23: also es hindert niemand dran irgendwie drei Erfälle jetzt gleichzeitig so ein kompromissiertes Gerät zu buchen und da irgendwie Zeug zu machen.

01:54:32: XCPE hatte sogar da so Management Funktionen das man halt Regeln konnte, wie viele Ressourcen welches Modul maximal verbrauchen darf und welches modul priori hat wenn irgendwie die Systemressourcen knapp werden und so.

01:54:47: Also das war echt darauf angelegt dass wird es halt sozusagen möglichst optimiert.

01:54:51: aus uns an möglichst viele Leute.

01:54:52: möchtest also ein möglichst viele kriminelle Affiliate möglichst viele modul zugänge vertickt und so und dann deshalb einfach ausreizt.

01:55:00: Das war alles dynamisch konfigurierbar, also beim ersten Start hat die Stage One eine HTTP-Verbindung aufgebaut.

01:55:06: Hat sich da so ein Configurteil geholt und damit unter anderem auch gelernt wohin es eine MQTT Verbindung aufbauen soll und diese MQTT Verbindung hat's dann gehalten.

01:55:17: Und das war die primäre Command Control Infrastruktur.

01:55:20: Ich warte da seit fünf Minuten drauf dass ich das fragen kann warum denn ausgerechnet MQTV?

01:55:25: Statt dass in dem Report gute

01:55:26: Frage Nähstand nicht drin.

01:55:28: Ich würde davon ausgehen, weil es einfach ein Verbreiter des Protokolles ist.

01:55:30: Also das eignet sich für sowas halt gut und es fällt wahrscheinlich nicht groß auf wenn du irgendwie einen Haufen IoT die Weiße sass unter Home Automatisierung und sonst so was, wenn da irgendwelche MQTT Nachrichten rumfliegen wäre aber mein Verdacht bloß.

01:55:44: All diese CZ, also nicht.

01:55:45: Also diese Comanic Control Server hat die Google Full Intelligent Scoop jetzt jedenfalls abgeschaltet zusammen mit diversen Partnern, die halt auch recherchiert haben und unter anderem auch mit der japanischen National Police, die das scheinbar in der Position war um Sachen abzuschalten.

01:56:03: Und zwar nicht nur die Comana Control Server von dem botnetz selber sondern halt auch von vielen von diesen merlwärmodulen die von irgendwelchen affiliate kamen und die halt eigene zwo server hatten weil die waren ja sozusagen eine eigene merlwerkampagne die sich nur bei xcpe eingemietet hatten vielleicht noch bei anderen.

01:56:22: das hat also über einen dutzend weitere andere merlwerkampagnen betroffenen, die xcpes infektionsweg genutzt haben aber nicht als einzigen infektionweg.

01:56:32: Und deswegen schätzt Google, dass sie auch mehr als zehn Millionen weitere infizierte Geräte von deren Bottennetzen getrennt haben.

01:56:39: Die waren gar nicht mit XCPE infiziert aber halt mitten der Merl wäre deren C-II Infrastruktur jetzt auch hopsgenommen worden ist im Zuge dieser XC PE-Zerlegung.

01:56:49: Also insgesamt feine Sache, aber auch nicht so besonders.

01:56:53: Ich mein eins Komma drei Millionen Geräte ist jetzt gar nicht mal so viel finde ich eigentlich.

01:56:57: was die sache finde ich sehr viel brisante macht ist dass man sich natürlich fragt wie kommt denn diese erste stufe also dieses x.cpe beziehungsweise kom.om service auf das gerät?

01:57:09: und Das war halt in der firma Und zwar sogar so, dass wenn als Nutzer, wenn man diesen Dienst installiert hat und das Gerät neu gestartet hat dann wurde das einfach aus der OEM-Partition wieder hergestellt.

01:57:22: Das riecht halt nach einer Supply Chain Attacke oder nach irgendwie einem Mall-Wolf beim Hersteller oder dass der Hersteler kompromittiert worden ist und da irgendjemand was reingefummelt hat.

01:57:32: So war es nicht.

01:57:34: Google sagt wir gehen mit großer Sicherheit davon aus, dass die Hintertür unter Spocknetz von Videostrong Technology Co.

01:57:42: einem Hersteller von Android Original Geräten, OEM und Auftragshersteller UDM absichtlich aus finanziellen Gründen entwickelt, bereitgestellt und betrieben

01:57:51: wurde.".

01:57:51: Also das kam einfach vom Hersteler scheinbar auch als Geschäftsmodell dieser Firma.

01:57:57: Und ich weiß nicht genau woran Google Thread Intelligence das festmacht.

01:58:04: Ich finde es schon bemerkenswert dass sich hinstellen sagen wir gehen mit großer Sicherheit also mit High-Confidence.

01:58:09: sagen sie dass sie das so zuordnen können, dass es eben auch nicht irgendwie einen Maulwurf bei diesem Hersteller war.

01:58:16: Ich habe den Herstell auch kontaktiert ich hab nämlich da auch eine Meldung zugeschrieben.

01:58:20: Bislang aber noch nichts dazu gehört wie Sie da eigentlich dazustehen.

01:58:26: Interessant ist halt auch wie kann das denn durchrutschen?

01:58:28: Also wenn das ein zertifizierter OEM ist und so guckt Google nicht wen sie da so zertifikieren.

01:58:33: die Google schreibt video strong nutzte verschiedene Verschleierungstechniken um eine Lücke in unseren Tests auszunutzen und erst nach dem ersten Buten des Geräts Schadcode nachzuladen.

01:58:51: Also ja, glaube ich gerne dass Sie das gemacht haben.

01:58:53: Das klingt aber finde ich schon ziemlich schwach.

01:58:56: also wenn ich sozusagen diese Google Prüfung umgehen kann indem ich halt nach dem erster Boot einfach mal ne Weide die Füße still halte.

01:59:05: Das war ja nun...also das ist jetzt nicht der neueste Trick.

01:59:10: Sie sagen in Folge dessen hat Google Änderungen an seinen bestehenden Überprüfungsprozess vorgenommen, um sich in Zukunft besser ähnlichen Aktivitäten zu schützen.

01:59:20: Sie geloben auch Verbesserungen wie wir die getätete Firmenware auf zertifizierten Android TV-Geräten sicherstellen.

01:59:27: Das ist alles ein bisschen Waage.

01:59:29: also steht auch nicht drin was für Verschleierungstaktiken das jetzt genau waren.

01:59:32: aber es klingt finde ich nicht so super.

01:59:34: sophistikated Videostone haben sie rausgeschmissen, das ist eine chinesische Firma.

01:59:42: Die sind halt nicht mehr zertifiziert und da haben sie jetzt Videostones in allen zukünftigen Tochtergesellschaften oder verbundene Unternehmen.

01:59:49: Ist es künftig untersagt Zertifizierte ein dort Geräte zu bauen und zu verkaufen?

01:59:54: Oder Software in andere zertifiierte Anbieter zu liefern?

02:00:00: Das betrifft übrigens nicht nur Videostrong, also eine der Partner die da mit Google dann rumrechtigt haben ist eine Firma namens Cynthiant und die haben diese malware auf Mikool-Geräten gefunden.

02:00:11: Und auch sowohl die Geräte als auch die malware irgendwie Videostrom zuordnen können.

02:00:16: Also es würde mich jetzt auch nicht überraschen wenn ich noch weitere Marken gäbe unter denen diese malware gesegelt ist.

02:00:23: Du hast ja in deiner Meldung Ein Screenshot von Videostrong.

02:00:31: Hast du den selber gemacht?

02:00:32: Ja!

02:00:33: Von dieser Shopseite, denn denen gibt es so jetzt nicht mehr.

02:00:36: die Webseite von VideoStrongs offline da ist ein trauriger kleiner Computer und sagt Website Maintenance auf Englisch und Chinesisch Die sind wohl gerade dabei überall Android aus dem Produktbeschreibung raus zu redigieren.

02:00:49: Das könnte also sein dass da jetzt in China jemand bisschen Sonderschichten schieben muss.

02:00:54: Wir haben so eine ähnliche Geschichte, die auch schon gehabt mit Biemann.

02:00:57: Mit diesen Billigbiemann für ein Hundi oder so.

02:00:59: Ja.

02:00:59: Wo dann auch die von Werk geroutet waren und allerlei Melwea vor allem auch Residential Proxychrom hätten nachladen können.

02:01:11: Ja also ich den Screenshot gemacht habe stand da eben noch... Zertifizierte Android Setup Boxen und so.

02:01:18: Da musste ich übrigens in die Kategorien reingehen.

02:01:20: oder wenn man die Webseite aufmacht, dann haben sie ganz viel über Robotik und so.

02:01:23: also die sind scheinbar ganz groß jetzt auf der Robotik Schiene aber sich verticken immer auch noch alle möglichen von diesen Setup-Boxen.

02:01:31: Oder Vertickten!

02:01:31: Das heißt wir haben jetzt bald auch residential proxy Roboter?

02:01:35: Ja

02:01:36: das würde mich nicht überraschen.

02:01:38: Aber ich meine auch wenn ich mir... Also ich würde mir kennen komischen Billo-Kina-Roboter ins Haus holen, aber wenn ich mir ins Haus hole würde, würde ich ihn auch nicht in selbe Netzlasten wie ein anderen Gerät.

02:01:51: Ich würde mich vor allem überlegen ob

02:01:52: der... Na ja Moment!

02:01:53: Der hat ja physisch einen Zugriff, der stöpft sich dann einfach an den Router und sagt so jetzt guck mal was du machst?

02:02:01: Ich bin sowieso stärker als du.

02:02:02: Ja

02:02:02: mag sein muss ich etwas anderes überlegen oder vielleicht hole ich mir doch nicht so'n Robotin House Aber ist ein guter Punkt hatten wir ja schon bei seinen Robotern, dass die einfach mit dem Ethernet-Kabel an ihren Bruder hingehen.

02:02:13: Der würde halt mit den Ethernetkabeln an die Fritzbox gehen.

02:02:18: Also apropos sozusagen was kann man tun?

02:02:21: Eine schöne Sache ist das die Threat Intelligence Group von Google Batterieweise IOCs liefern.

02:02:29: also wenn ihr irgendwie in der Situation seid und es auswerten könnt dann guckt da rein sind Tabellen voll mit Domain Namen und Hashes und sonstwas.

02:02:37: Das ist halt eher was für Experten und das sind jetzt wahrscheinlich nicht die, die sich irgendwie aus von irgendeinem komischen Marketplace eine Setterbox geklickt haben.

02:02:45: Denen Verbrauchern rät Google Health sie sollten vernetzte Geräte wie Setter Boxen nur von seriösen Herstellern erwerben.

02:02:53: Unsere andere TV-Website bietet die aktuelle Partner, aktuellste Partnerliste.

02:02:58: Das finde ich schon auch super schwach.

02:03:00: Also das Problem ist doch, dass die zertifizierte Firma war.

02:03:03: soll ich jetzt irgendwie einmal am Tag gucken ob auf der Android TV Webseite die Firma von der ich meine Setup Box gekauft habe vielleicht nicht mehr die auf der aktuellsten Partnerliste steht und sie dann wegschmeißen.

02:03:14: also das ist schon echt schwach finde ich.

02:03:17: Na ja du siehst doch, du siehst doch das ein Hersteller seriös ist wenn du dir einfach nur den Firmennamen anguckst.

02:03:22: Ich meine Video Strong das ist Englisch strong heißt stark.

02:03:26: das muss eine seriose Bude sein Hacky Wimm oder Huawei.

02:03:30: Oder irgendwie sowas.

02:03:32: Wollt grad sagen, klingt strong ne?

02:03:35: Rennwut Sony das sind doch alles irgendwie so.

02:03:37: Namen von unseriösen Unternehmen aber PowerStone Videos.

02:03:41: Ausgedachte Namen ohne Bedeutung ne?

02:03:43: Genau Videos Strong Das ist doch ein starkes Unternehmen.

02:03:46: Das hört man schon am Namen.

02:03:49: Ja Ja, also finde ich schon wirklich schwach.

02:03:53: Ich denke Google muss da sehr viel besser irgendwie seinen Ökosystem unter Kontrolle kriegen.

02:04:00: Sincient der eben erwähnte Partner mit dem Mikool, die das Zeug auf Mikool gebrandeten Geräte gefunden haben und die raten unter anderem IoT-Geräte sollte man ganz allgemein isolieren.

02:04:12: Das find' ich ne guten.

02:04:13: Rat Hängt jetzt sicher von dieser Set-up Box ab, ob die sozusagen offline sein kann.

02:04:19: Aber sie braucht oder sie sollte meiner Meinung nach nicht irgendwie Zugriff auf andere Geräte im Netz haben.

02:04:28: Das heise Forum fand diesen Rastag den ich auch in die Meldung geschrieben habe eher unpraktikabel.

02:04:32: Die haben gesagt aber welche Heimrouter kann dann irgendwie faulahen zum Sachen zu segmentieren?

02:04:37: Dann hab' ich gesagt naja stimmt schon!

02:04:38: Aber die meisten Heimroter können halt ein Gastnetz machen packt es halt ins Gastnetze schaltet mehrere Routen hintereinander zu so einer Kaskade.

02:04:45: Das ist dann auch so ein Homemade, wie sagt man irgendwie so faul an das kleinen Mann oder so?

02:04:54: Das war denen dann zu unpraktisch.

02:04:56: also ich finde es gibt halt so... Jetzt habe ich jetzt choose two, stimmt gar nicht!

02:05:00: Also es gibt sozusagen.. Man kann einen Heimrouter haben der nicht für den Profi-Einsatz gedacht ist und man kann sich seltsame IoT Geräte ins Haus holen.

02:05:08: Man kann auf diese seltsam IoT Gerät praktischen Zugriff haben wollen und man kann ein sicheres Setup haben, sind vier Stück Choose Three.

02:05:16: Also ich glaube nicht ihr kriegt alle vier Zutaten mit.

02:05:18: Besorgt euch den Router der V-Lands kann, kauft keine komischen IoT Devices, lasst es mit dem praktischen Zugriff sein und packt sie in irgendwelche separatene Sekmente.

02:05:28: oder ihr sagt halt ich will das alles haben aber dann ist halt die Sicherheit beim Teufeln.

02:05:31: Also wäre

02:05:32: meine Haltung

02:05:33: dazu?

02:05:33: Ja!

02:05:34: Ich habe mal parallel in die Doku von AVM geguckt.

02:05:37: also Ich würde mich jetzt auch schon tatsächlich irgendwie in der Empfehlung abzugeben für irgendeinen Hersteller.

02:05:43: Ich weiß, dass es Herstellern gibt auch in diesem ja so Prosumer Bereich sowas wie Ubiquiti die sowas können.

02:05:52: Auch nicht für unfassbares Geld und das ist auch relativ einfach ein Richtbar.

02:05:57: aber soweit ich weiß hat die Fritzbox auch einen Faulan nämlich die hatte auch ein physisches Gastnetz.

02:06:02: du kannst einen Lahnport als Gastnetz machen und das ist ja dann einfach über Foulhands gebaut, glaube ich.

02:06:08: Der kriegt nur Internetzugang und hat keinen Zugriff auf das Heimnetz oder auf das Laden.

02:06:13: Das ist wahrscheinlich das was mit dem, wie es bei ihr meintest?

02:06:17: Ne, das ist genau das, was ich meinte, mitnehmt halt das Gastnetze her.

02:06:21: Das hat oft sogar auch die Funktion, dass man den Geräten ihnen diesen Gastnetzer bieten kann miteinander zu reden... Die Leute sagen dann halt so ja, aber vielleicht habe ich halt auf meinem Handy eine Steuerungs-App für diese komische Setterbox und das funktioniert dann halt nicht weil mein Handy ist ja nicht im Gastnetz.

02:06:37: Und dann kann es sozusagen keinen Kontakt zu dieser Steuerung, dieses Setter Box aufbauen.

02:06:41: und dann würde ich halt sagen Ja, dann lass es halt nimm ne Fernbedienung oder nimm den anderes IoT Geräte.

02:06:49: oder sagst du dem Herrscher, da vertraue ich.

02:06:51: Also ich hab das so gebaut Ich hab mal eigenes WLAN Für die ganzen IOT Geräten Und da gibt es relativ wenig Knarsch.

02:07:02: Also ich benutze jetzt aber auch nicht so ein... Was was immer Knarschs macht ist leider das Ökosystem von Sonos, aber das macht auch egal ob du das in eigenes WLAN sperrst oder nicht knascht.

02:07:12: Das ist einfach dieses, was die gebaut haben auf IP um die Geräte zu finden und dann mit der App zu verbinden.

02:07:20: Das is einfach unheimlich wackelig war's aber schon immer!

02:07:23: Für andere Sachen wie den Das Smart TV mit Abhörmöglichkeit und so gibt es halt das eigene WLAN, wo das Ding drin ist.

02:07:32: Und dann kann's halt den mit dem Staubsauger reden, wenn man ihn will oder ansonsten ist er noch hohe.

02:07:37: Ja So würde ich das auch sehen.

02:07:41: Naja.

02:07:41: aber also Ich glaube was wir hier wirklich mitnehmen sollten ist die Zertifizierung von Android Geräte herstellern Ist scheinbar nicht sehr viel wert.

02:07:54: Das erstreckt sich auf alle Bereiche, glaube ich in den Android.

02:07:59: Außer bei den klassischen Mobiltelefonen verwendet wird... Da kenne ich jetzt aber auch nur keine aktuellen Fälle.

02:08:05: also ich könnte mir vorstellen das auch so China-Mobil von Kracher, wenn du so ein Android-Telefone auf AliExpress bestellst dass da auch allerlei lustige Sachen mit dazu kommen.

02:08:15: Aber hab kein aktuelles Beispiel.

02:08:17: nur diese Geschichte ist mir noch sehr geläufig.

02:08:20: und auch die Setup Boxen.

02:08:21: Das ist ja auch nicht das erste Mal, dass diese Geräte- und Geräteklassen auffällig sind.

02:08:27: Genau!

02:08:28: Aber jetzt kommt natürlich... also wo kommt der Apple Nutzer hin?

02:08:32: Weiß, dass man bitte nur Beamer mit IOS verwenden soll?

02:08:35: Gibt's Beamer with

02:08:35: IOS?!

02:08:37: Nee aber gerade bei Beamern bin ich eigentlich auch der Meinung, die können ruhig so dumm sein wie möglich.

02:08:44: weil ich habe mitgenommen unser Kollege Jan Mahn hat sich die Geräthe hier angeguckt und unsere Kollegin Ulrike Kuhlmann noch mal intensiver im Bereich Bildqualität und aber auch Qualität der jeweiligen installierten Apps.

02:08:55: Wenn dann so eine Netflix App da drauf ist auf einem, äh, tausend, achtzig Pima die kann aber nur siebenundzwanzig pähe und da kommt irgendein Pixelbrei raus Dann nutze ich das halt nicht.

02:09:06: Und ich würde so ein wie man auch halt einfach über HDMI ansteuern und nicht die darauf vorinstallierten apps verwenden Sondern sagen ich habe ihnen zuspieler und dass kann denn ja auch in Apple TV sein um auf die kleine Spitze wieder einzugehen.

02:09:18: Ja, ne würde ich auch.

02:09:19: Also Hand habe ich selber genauso und würde mich so auch empfehlen.

02:09:23: Erstaunlich viele Geräte dürfen ruhig doof sein und müssen gar nicht smart sein und brauchen noch kein Internet.

02:09:28: Oh warte mal!

02:09:29: Ich hab gerade eine App der Nachrichtung gekriegt.

02:09:31: Ich glaube wir müssen Schluss machen.

02:09:33: Mein Geschirrspüler hat mir gerade eine Nachricht geschrieben das er ausgehoben werden möchte.

02:09:38: Bist du sicher oder haben die irgendwelche Nordkoreane eine Nachrichten geschrieben dass du den Geschirrspieler ausräumen sollst?

02:09:43: Ne, das sieht eher süddeutsch aus aus dem Raum Bosch Oder Siemens oder so, weil auch das ist ich hab da auch mal hinterher geforscht.

02:09:51: Auch wenn da jetzt Bosch oder Siemens draufsteht auf so einer hohen Beplanung, dann muss da noch lange nicht Bosch und Siemens drin sein sondern auch die geben inzwischen Lizenzen für die Namen raus und dann... Ich habe tatsächlich eine App, also kein Witz!

02:10:02: Ich habe ein Geschirrspüler der kann über die App sagen hallo räumlich bitte aus und ich kann das dann auch in den Homesessen irgendwie reinknürteln.

02:10:09: Und diese App beim ersten Start, wenn du die relativ generische, die heißt dann ich habe keine Ahnung irgendwie Home IP oder Home Helper oder sowas, wenn du die startest und sagst okay ich habe ein Gerät von Neff.

02:10:21: Oder ich hab einen gerät von Siemens oder von Bosch dann ändert sie ihr App-Icon und ihr komplettes UI auf das CI vom jeweiligen Hersteller.

02:10:28: Das ist eine generische App die einfach sich reskinnt wenn du ihr sagst was für Geräte da betreiben willst.

02:10:33: Das fand ich auch einigermaßen wild.

02:10:35: Schöne neue Welt!

02:10:36: Ich hab den Gefühlsspüler der irgendwann einfach fertig ist.

02:10:38: aber ich glaube wir können jetzt hier den Podcast zum Ende bringen?

02:10:43: Ja, ich würde sagen wir kommen zum Ende.

02:10:45: Schreibt uns gerne euer Feedback an password-podcast at heise.de und denkt daran

02:10:53: dieser Podcast ist das einzige Passwort, dass euch nicht per App informiert.

02:10:56: Nee, diesmal funktioniert es irgendwie nicht.

02:10:59: Dieser Podcast ist der einzige Password, das ihr teilen sollt.

02:11:02: Ciao ciao!

02:11:02: Tschüss.