News BSI warnt vor Passwort-Trojaner Passteal für Browser

[fethomm]

Von dem vor Wochen entdeckten Trojaner TSPY_PASSTEAL.A wurde jetzt von den Sicherheits-Experten bei Trend Micro eine weitere Variante entdeckt und TSPY_PASSTEAL.B getauft. Der Schädling ist auf den Diebstahl von in Browsern gespeicherten Passwörtern spezialisiert.

Zur News: BSI warnt vor Passwort-Trojaner Passteal für Browser

 

[green-e]

Was macht man da am besten? Passwörter nicht im Browser speichern. Ist Keepass sicherer?

 

[LuminousVision]

Eine gute Alternative zum Speichern der Passwörter im Browser sind Passwort-Safes, die die Passwörter sicher auf dem Rechner verwahren.

Letzer Satz des Artikels. Und es wird ja auch nur davon gesprochen, dass die Funktion der Browser unsicher ist.
Zumal andere Programme (Keepass/Lastpass) die Passwörter in anderer Form/verschlüsselt speichern können.

 

[Maxn777]

Was macht man da am besten? Passwörter nicht im Browser speichern. Ist Keepass sicherer?

Definitiv. Dort tauchen die Passwörter nirgendwo im Klartext auf der Platte auf, bei einem geeigneten Encryption Key, kann die standardmäßige (ich glaube AES-256-)Verschlüsselung nicht geknackt werden.

Zu beachten ist allerdings, dass wenn der PC schon infiziert ist, evtl. auch ein Keylogger mit draufkommt, mit dessen Hilfe es dann wieder möglich ist, Keepass zu umgehen.

Am besten Keepass nur auf einem sicheren Linux-System verwenden oder am besten zu sichersten Alternative greifen: Stift und Papier!

Wer sich allerdings auch sog. "Key-Generatoren" runterlädt, ist m.E. selbst schuld

 

[2L84H8]

Das BSI warnt immer nett vor Schädlingen. Dabei ist es doch grad das BSI, welches mit seinen eigenen Schädlingen (Stichwort: BUNDESTROJANER) die Leute ausspioniert.

Ich denke, die Frage darf erlaubt sein, wie vertrauenswürdig das BSI selber ist.

 

[emeraldmine]

na gut ich installiere nochmal AVG. :b

 

[green-e]

Hm, also ich verwende Keepass, habe aber mal gehört, das nur die Datenbank verschlüsselt sei. Ein Keylogger auf dem System könnte wohl das Passwort selbst abfangen sobald es im Browser landet.

 

[estros]

Gilt die Warnung nur für Windows?

 

[dEad0r]

Das BSI warnt immer nett vor Schädlingen. Dabei ist es doch grad das BSI, welches mit seinen eigenen Schädlingen (Stichwort: BUNDESTROJANER) die Leute ausspioniert.

Ich denke, die Frage darf erlaubt sein, wie vertrauenswürdig das BSI selber ist.

Mal zwei Sekunden nachdenken bevor man sowas schreibt. Das sind zwei völlig verschiedene Dinge. Außerdem schreibt das BSI nicht den Bundestrojaner. Dafür ist unser Innenministerium zuständig, und dieses Spionageprogramm wird nicht wahllos an alle als Download verbreitet, sondern nur bestimmten, vorher durch Richter festgelegten Personen aufgezwungen.

 

[2L84H8]

^^^ Meine Meinung dazu deckt sich mit der des CCC:

http://www.ccc.de/de/tags/staatstrojaner

Und wie "rechtsstaatlich" gewisse deutsche Behörden vorgehen, hat man ja u.a. beim Thema NSU/Verfassungsschutz sehen können.

 

[Wynn3h]

Im Text ist nur von Chromium die Rede, gilt das auch für den Standard Chrome Browser?

 

[Olcheck]

KeePass benutzen wir auch in der Firma (Internationale IT Firma) und es funktioniert sicher und wunderbar!

 

[archiv]

Im Text ist nur von Chromium die Rede, gilt das auch für den Standard Chrome Browser?

Ich würde nun mal sagen das es nicht für den Chrome gilt.
Außerdem ist doch bei Chrome alles was gespeichert/gesynct wird vollständig verschlüsselt mit eigener Kennwortphase oder dem Gmail PW.

 

[deo]

Mein Mitleid hält sich in Grenzen, wenn Leute beklaut werden, die selbst klauen.

 

[Entilzha]

Ich verwalte meine Passwörter auf einer Steintafel hoffentlich bekomme ich nie ein Holzpferd untergejubelt

 

[craine]

Im Text ist nur von Chromium die Rede, gilt das auch für den Standard Chrome Browser?

Google Chrome basiert auf demselben Code wir der Chromium Browser.
Deswegen gilt es sicher für beide und alle anderen Forks wie z.B. Iron und Dragon

 

[1357]

Die Infektion mit dem Schädling erfolgt hauptsächlich in Tauschbörsen und in Bittorrent-Dateien, wo sie sich beispielsweise in Key-Generatoren zum Erzeugen von Lizenzschlüsseln für gestohlene Software oder in manipulierten Installationsdateien von gecrackter Software verstecken und bei deren Installation gleich mit installiert werden.

Trifft hauptsächlich die richtigen, sehe ich eher als ausgleichende Gerechtigkeit an.

Mein Mitleid hält sich in Grenzen, wenn Leute beklaut werden, die selbst klauen.

Sehe ich genau so.

Das BSI warnt immer nett vor Schädlingen. Dabei ist es doch grad das BSI, welches mit seinen eigenen Schädlingen (Stichwort: BUNDESTROJANER) die Leute ausspioniert.
Ich denke, die Frage darf erlaubt sein, wie vertrauenswürdig das BSI selber ist.

Du hast die anscheinend die Sachlage nicht verstanden, das BSI benutzt die Werkzeuge die ihnen offiziell gegeben bzw erlaubt/zugestanden werden.
Die Polizei bzw der Geheimdienst darf auch Informanten in Kriminelle Organisationen einschleusen und Abhörgeräte in Gebäuden anbringen, ist das selbe Prinzip, aber darüber regst du dich natürlich nicht auf.

 

[kryzs]

... Die Infektion mit dem Schädling erfolgt hauptsächlich in Tauschbörsen und in Bittorrent-Dateien, wo sie sich beispielsweise in Key-Generatoren zum Erzeugen von Lizenzschlüsseln für gestohlene Software oder in manipulierten Installationsdateien von gecrackter Software verstecken und bei deren Installation gleich mit installiert werden. ...

... Mittlerweile warnt auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor dem Trojaner und rät dazu, Computer mit einem mit aktuellen Signaturen versehenen Virenscanner zu untersuchen. Zur Vereitelung solcher Angriffe sollten Anwender keine Passwörter im Browser speichern oder zumindest das bei Firefox angebotene Master-Passwort nutzen. Eine gute Alternative zum Speichern der Passwörter im Browser sind Passwort-Safes, die die Passwörter sicher auf dem Rechner verwahren. ...

Häääää, hab ich irgendwas verpasst? Ich glaub es einfach nicht, was für ein verrücktes Land.

 

[carom]

Google Chrome basiert auf demselben Code wir der Chromium Browser.
Deswegen gilt es sicher für beide und alle anderen Forks wie z.B. Iron und Dragon

Nur weil Chrome auf dem Code Chromiums basiert, kann man daraus keine Argumentation ableiten. Aus der News ist nicht eindeutig herauszulesen, ob Chrome betroffen ist oder nicht. Das "Produkt" Chrome ist dort nirgends erwähnt...

Außerdem ist doch bei Chrome alles was gespeichert/gesynct wird vollständig verschlüsselt mit eigener Kennwortphase oder dem Gmail PW.

Wenn es synchronisiert wird, ja. Ob das auch für Passwörter gilt, wenn die Synchronisierung nicht verwendet wird? In den Optionen ist dies nicht ersichtlich.

 

[gaym0r]

Häääää, hab ich irgendwas verpasst? Ich glaub es einfach nicht, was für ein verrücktes Land.

Was verstehst du denn nicht?