News BSI warnt vor kritischem Zero-Day-Exploit im Internet Explorer

[Painkiller72]

Über Sicherheitslücken im IE rege ich mich schon lange nicht mehr auf.Fakt ist und bleibt,das Windows egal welche Version immer so löchrig wie ein Schweizer Käse ist und auch bleibt.Da kann man noch so teure Programme zum zusätzlichen Schutz installieren,wer in einen Computer eindringen will,der schafft das mit bestimmten Mitteln auch.

Manche Menschen haben immer noch nicht verstanden wie gläsern wir uns alle gemacht haben,seit dem der PC so einen Stellenwert in der heutigen Wirtschaft und im Privatgebrauch gewonnen hat.

Ein Segen und ein Fluch zugleich,so betrachte ich die heutige PC Welt und Microsoft.

 

[Lars_SHG]

ALLE Browser haben Lücken und das müssen sie auch haben, denn es ist gewollt!
Gab mal einen Bericht über Microsoft auf ARTE und das Elend mit den amerikanischen Geheimdiensten.

Microsoft muß sogar die Mitarbeiter bezahlen, die von der Regierung bereit gestellt werden diese Lücken zu schaffen um den Zugriff (bei Bedarf) auf alle Rechner von Seiten der Regierung zu gewährleisten!
Schlecht ist es nur, wenn diese oft absichtlichen Lücken bekannt werden, denn dann greift eben nicht nur der staatliche Spion zu, sondern auch die "freiberuflichen".

Das Problem aktuell ist halt letzteres. Eine Lücke wird geschlossen, eine andere wird geschaffen in der Hoffnung, dass diese etwas länger unbekannt bleibt.

edit: wobei es natürlich auch Lücken gibt, die nicht beabsichtigt waren......

 

[Cool Master]

ALLE Browser haben Lücken und das müssen sie auch haben, denn es ist gewollt!

Falsch! Es ist nicht gewollt! Das Problem ist einfach das in einer Software je länger der Code wird unweigerlich Fehler rein kommen. Vorallem bei winem OS sieht man das deutlich. Ein Browser ist da nichts anderes vorallem wenn es noch Plugins wie Java oder Flash gibt die man installieren kann.

 

[Daaron]

ALLE Browser haben Lücken und das müssen sie auch haben, denn es ist gewollt!
Gab mal einen Bericht über Microsoft auf ARTE und das Elend mit den amerikanischen Geheimdiensten.

Jetzt musst du mir nur noch erklären, wie ein amerikanischer Geheimdienst mutwillig Lücken Open Source - Projekte einbaut, die auch von Russen, Chinese, Iranern, Koreanern,... bearbeitet und überprüft werden.

Dass die US-Geheimdienste evtl. in amerikanischer Closed Source rumpfuschen wäre evtl. noch denkbar. In Open Source funktioniert so etwas einfach nicht.

 

[Heretic Novalis]

ja kommt mal vor, beim Internet Explorer ist das aber an der Tagesordung

fanboialarm...

http://www.handelsblatt.com/technol...t-explorer-9-schlaegt-konkurrenz/6332076.html

(mal keine seite, die von fanx des browsers X oder Y erstellt wurde und ihren browsergott ungeachtet aller unzulänglichkeiten verehren)

ich bleib dennoch bei opera, da brauch ich keine plugins (wie beim ff), hab keine sicherheitsprobleme und die "ganz tollen neuen features" von ie, ff, chrome & co. gibts da schon seit ewigkeiten. und falls mal ne seite auf nen speziellen browser angepasst sein sollte (standards sind blöd...), kann ich opera immer noch maskieren (was auch mit zur nutzerstatistikverfälschung beitragen dürfte ). er müllt mir den ram nicht zu, ich brauch kein extra mailprogramm oder dl-manager, newsreader, ftp-client und kann werbung von haus aus ohne irgendwelche hingerotzten plugins blockieren (adblock ist auch nur so beliebt, weil alle anderen browser keine entsprechend einfache funktion bieten und es keine alternativen gibt. schaut euch mal den code von abp an - das kalte grausen packt einen da)

 

[MysWars]

Und selbst wenn, diese Feineinstellungen (wie sie z.B. bei NoScript möglich sind) sind durch die Bank weg schwachsinnig, denn sie sorgen für keinen Millimeter realistische Sicherheit. OK, du vertraust also den Scripts von computerbase.de, damit du das Forum voll verwenden kannst? Was aber, wenn ein HAcker bei CB eindringt und diese Scripts manipuliert. Da schützt dich KEINE JS-Filteroption davor. Da hilft nur: JS global aus oder sauber gepatchten Browser mit funktionierender Sandbox.

Abgesehen davon, dass man natürlich die Wahrscheinlichkeit auf manipuliertes JS zu treffen verringert, wenn man z.B. auf CB 5 externe Adressen blockiert, bietet NoScript eine XSS Erkennung.
Und in über 90% der Fällen wird auf Websites über XSS Code eingeschleust.

Zusätzlich bietet NoScript aber auch noch Erkennungen für ClickJacking und ABE.

 

[Mr.Wifi]

Trojaner Flame kam als Windows Update..

Dazu muss Microsoft mit den entsprechenden Geheimdiensten kooperiert haben.

3 Weitere Trojaner der Flame/Stuxnet Macher im Umlauf

Eine Analyse der Kommunikationsprotokolle ergab, dass die Server vier Client-Typen steuern konnten. Sie tragen die Code-Namen IP, SP, SPE, und FL – letzteres ist der Flame-Trojaner. Aus diesen Eckdaten leiten die Forscher ab, dass es neben Flame noch drei weitere Trojanermodelle aus der gleichen Quelle gibt.

Also gibt es aktuell für die anderen Trojaner Sicherheitslücken die nur noch nicht aufgeflogen sind.

Das Problem ist nicht nur der I.E, sondern die Hersteller von closed source Betriebssystemen die eben diese Sicherheitslücken für Geheimdienste oder andere höhere Interessen bereitstellen. Nur weil es noch keine öffentliche Meldungen zu Lücken gibt bedeutet nicht dass sie nicht existieren.

Nicht nur bei Microsoft wäre mir da unwohl,

Bedenkt man dass zb. Apple mit Goldman Sachs kooperiert, also der riesigen Finanzkrake die Facebook finanziert hat, die Subprime Krise 2008 ausgelöst hat, in Europa nun den Chef der EZB stellt (Hallo ESM ), sogar den italienischen Ministerpräsidenten Monti stellt, Griechenland durch Bilanzfälschungen erst in den Euro gebracht hat..

Niemand kann sagen was wirklich im Hintergrund dieser Betriebssysteme passiert da man den Code nicht einsehen kann. Was für ein Zufall dass Facebook nun tiefer in das neue iOS und OSX integriert ist, ein Schelm der böses dabei denkt.

Was haben diese Organisationen wie Goldman Sachs mit Apple und Facebook gemeinsam? Die Haltung gegenüber der Bevölkerung, alles geht solange es dem Geschäft dient. Die Rechte der Bürger werden nicht respektiert.

 

[GrinderFX]

@Mr.Wifi

Aber jeder kann sehen wohin das System telefoniert und somit ist deine Aussage sinnlos!

 

[Mr.Wifi]

@Mr.Wifi

Aber jeder kann sehen wohin das System telefoniert und somit ist deine Aussage sinnlos!

Du schöpfst Verdacht wenn dein System mit Facebook (sofern du es nutzt) oder Microsoft Update kommuniziert?

 

[GrinderFX]

Wenn mein MacOSX mit Microsoft oder Facebook kommuniziert schöpfe ich extrem verdacht. Da ich auch keinen Facebookaccount habe.

Und selbst der Updateservice ist messbar, da dieser nicht permanent kommunizieren muss und im extremfall unterbinde ich dies. Fertig!

Somit ist es sehr überschaubar und eben NICHT versteckbar.

 

[Mr.Wifi]

Wenn mein MacOSX mit Microsoft oder Facebook kommuniziert schöpfe ich extrem verdacht. Da ich auch keinen Facebookaccount habe.

Passiert aber trotzdem, zb. wenn du Webseiten mit dem "Like Button" oder FB connect Tracker besuchst und kein noscript o.ä benutzt bzw. den Tracker nicht blockst.

Und selbst der Updateservice ist messbar, da dieser nicht permanent kommunizieren muss und im extremfall unterbinde ich dies. Fertig!

Es reicht ja wenn der Bot auf deinem Rechner Daten sammelt und dann mal kurz Kontakt aufnimmt wenn du updaten musst und eben diese Daten die er vorher geloggt hat überträgt

Somit ist es sehr überschaubar und eben NICHT versteckbar.

Doch es ist versteckbar. Du ahnst ja nicht dass das Windows Update keins ist, und kannst auch nicht sehen welcher Code ausgeführt wird da es eben ein closed source OS ist, du also gar nicht so weit "gucken" kannst. Auch die Bot und Virenscanner erkennen nichts da die davon ausgehen dass es durch die Signatur schon so seine Richtigkeit hat.

 

[Daaron]

Trojaner Flame kam als Windows Update..

Dazu muss Microsoft mit den entsprechenden Geheimdiensten kooperiert haben.

Sag mal... hast du den Link auch mal gelesen? Flame hat nicht auf magische Weise die Microsoft Update Server kompromittiert, denn dann wäre dei gesamte Welt befallen wurden. Das Problem betrifft Subnets, in denen bereits ein System verseucht ist und die anderen anstecken will.

Dafür braucht es keine Geheimdienste, dasselbe Problem könntest du auch in einer Linux-Umgebung erzeugen. Du müsstest nur den für die Zielcomputer zuständigen DNS manipulieren. Leite einfach http://security.ubuntu.com/ubuntu auf eine von dir gewünschte IP mit von dir manipulierten Paketen um, schon verseuchst du übers Auto-Update einen Haufen PCs.... außer natürlich, man ist so clever für das Firmen-Netzwerk einen eigenen Update-Server bereitzustellen, in dem NUR geprüfte Komponenten laufen. Dasselbe geht übrigens auch in MS Domains. Flame hat hier also auch die Dummheit der zuständigen Admins ausgenutzt, weil die keine GPOs fürs Update-Verhalten genutzt haben.

 

[Mr.Wifi]

Sag mal... hast du den Link auch mal gelesen? Flame hat nicht auf magische Weise die Microsoft Update Server kompromittiert, denn dann wäre dei gesamte Welt befallen wurden. Das Problem betrifft Subnets, in denen bereits ein System verseucht ist und die anderen anstecken will.

Im Link steht dies:

Der Opferrechner hält Tumbler für ein legitimes Systemupdate von Microsoft, da es mit einem gültigen Zertifikat des Unternehmens signiert wurde. An das Zertifikat sind die Flame-Entwickler offenbar durch ein Versäumnis von Microsoft gelangt: Bei einem Dienst für Unternehmenskunden hat Microsoft vermutlich beim Signieren von Zertifikaten noch den MD5-Hash genutzt, der bereits seit langer Zeit als unsicher gilt.

Natürlich würde Microsoft es zugeben wenn sie "mitgeholfen" hätten, ist doch klar

Dafür braucht es keine Geheimdienste, dasselbe Problem könntest du auch in einer Linux-Umgebung erzeugen. Du müsstest nur den für die Zielcomputer zuständigen DNS manipulieren. Leite einfach http://security.ubuntu.com/ubuntu auf eine von dir gewünschte IP mit von dir manipulierten Paketen um, schon verseuchst du übers Auto-Update einen Haufen PCs....

Sagt dir DNScrypt oder DNSSEC etwas? Ne Firma wäre schön blöd auf sowas zu verzichten wenn kein eigener Updateserver vorhanden ist

außer natürlich, man ist so clever für das Firmen-Netzwerk einen eigenen Update-Server bereitzustellen, in dem NUR geprüfte Komponenten laufen. Dasselbe geht übrigens auch in MS Domains. Flame hat hier also auch die Dummheit der zuständigen Admins ausgenutzt, weil die keine GPOs fürs Update-Verhalten genutzt haben.

Das ist eben eine Vertrauenssache, von Microsoft müsste man als Geschäftskunde erwarten können dass die keine MD5 Hashes zum Signieren ihrer Updates benutzen

 

[Daaron]

...und von Sony Entertainment, dass man deren Seiten nicht mit ner SQL Injection angreifen kann. Von Mr Spex sollte man erwarten, dass Passwörter nur gehasht in der DB liegen. etc. etc. etc.

Idioten gibt es in jeder Firma. Da muss man keine Verschwörung reindichten.

 

[Mr.Wifi]

Aber was hat Sony mit der Sicherheit von Unternehmen zu tun? Ein OS wie Windows ist leider für viele noch die Grundlage. Das mit MD5 kann eigentlich kein Versehen sein, und so liest sich die von mir fett markierte Aussage auch.

 

[Telesto]

Sehr geil auch, dass man den Internet Explorer in der Regel nicht deinstallieren kann, ohne das halbe System zu zerschießen. Selbst Windows 7 läuft nicht rund ohne eine ominöse "ieproxy.dll".

Finde es ohnehin komisch, dass Microsoft zwar ein Browserauswahl-Fenster anzeigen, aber keine vollständige Deinstallation des Internet Explorers anbieten muss. Da passt doch was nicht zusammen.

 

[Clausewitz]

Löchrig wie ein Schweizer Käse? - Ich nehme an, die Rede ist von iOS 5 - denn das neue iOS6 fixt >200 Lücken, davon eine 3 Jahre alte bekannte Schwachstelle (!).

http://www.heise.de/security/meldun...-Luecken-darunter-eine-besondere-1711936.html

Hier wird mit zweierlei Maß gemessen.


€: Gemäß den Social Media Richtlinien meines Arbeitgebers muss ich darauf hinweisen, selbst bei Microsoft zu arbeiten.

 

[Marcel55]

Naja, wer Temporär dann Firefox nutzt wird nicht mehr zurück wollen...
Mich wundert es dass es so spät entdeckt wurde, die Lücke müsste ja schon seit Monaten bestehen...vielleicht haben die (wie soll man dieses Typen die Viren verbreiten überhaupt nennen? Hacker sind sie ja nicht unbedingt, dazu sind die meist nicht in der lage, es sei denn man bezeichnet Leute als "Hacker" die LOIC starten können) die Sicherheitslücke schon seit längerem Kräftig ausgenutzt.

 

[Daaron]

€: Gemäß den Social Media Richtlinien meines Arbeitgebers muss ich darauf hinweisen, selbst bei Microsoft zu arbeiten.

To reign is worth ambition, though in Hell:
Better to reign in Hell than serve in Heaven.

wie soll man dieses Typen die Viren verbreiten überhaupt nennen? Hacker sind sie ja nicht unbedingt, dazu sind die meist nicht in der lage, es sei denn man bezeichnet Leute als "Hacker" die LOIC starten können

Du hast einige Hacker (oder Cracker?), die solche Lücken finden (was z.B. eine Analyse des Hexcodes erfordert) und dann passende Exploits schreiben. Und dann haste kleine Hirnies, die diese Exploit-Packs einfach nur einsetzen können.
Durch diese Methode der Verteilung können 2-3 wirklich fähige Programmierer einen extremen Schaden verursachen.