Hackerangriff sorgt für Internetstörungen

Countdown auf der Anzeigetafel ...



Hätte mich auch gewundert, wenn die Deutsche Bahn sich schützen könnte ;)

Aber ich glaube, DAS hier ist ein Fake ;)

@Issomad
rofl
nen Bluescreen hab ich auch von shiphol airport.
Die Anzeigetafeln sind ja nicht missionskritisch, daher imho noch ok.
Aber es deutet schon an wie es um den Rest der Rechner dort stehen könnte ;)

Wobei ich nicht durchblicke ob die Anzeige nun vom System auf dem Display selbst ist oder auf dem server der die Infos zur verfügung stellt.
In dem Fall wäre der Fehler für mich offensichtlich ;)
Leider steht auf dem Infoblatt nicht mit welchem System das Display läuft.
http://www.bmgmis.de/wp-content/uploads/2016/02/30_DB-Infoscreen_2-1.pdf

Wundert mich nicht bei der Bahn, da war mal auch ein Fahrkartenautomat abgestürzt und hat versucht vergeblich Windows XP zu starten.

Guten Abend,

Microsoft hat ja jetzt sogar für das nicht mehr unterstützte XP einen Patch bereitgestellt.

Wie man jedoch so hört gibt es ein Problem mit den Hintermännern dieses Angriffes.
Sie sind anscheinend abgetaucht. 
Der Angriff wird wohl aus dem Ruder gelaufen sein und die Hintermänner fürchten um ihre Sicherheit.
Zahlen dürfte damit nicht zum gewünschten Erfolg führen.

Somit sind die Daten nun gegen unbefugten Zugriff gesichert, weil verschlüsselt, aber der rechtmäßige Besitzer hat auch keinen Zugriff auf die Daten.


Venerdi

@taren
@d.fense
@Issomad
@O.G.
@Rao
@RayWonders
@Lemniskate
@Holzhoden
@Materianer

Guten Abende,

es ist jetzt angeblich schon eine Weiterentwicklung aufgetaucht.

Hier die Kopie einer Meldung:

ist jetzt laut Fefes Blog (Felix von Leitner) nun angeblich eine Version ohne Kill-Switch unterwegs, wobei Twitter scheinbar Tweets dazu verschwinden lässt,
was ich nun gar nicht richtig finde:
https://blog.fefe.de/?mon=201705
Ob das stimmt, wird sich zeigen. Es ist jedenfalls naheliegend und zu befürchten.

Weitergabe von mir nur als Info.


Venerdi

Bin heute Nachmittaf über Eschwege, Bebra, Fulda, Mainz, Koblenz nach Cochem mit dem Zug gefahren.

Alle Anzeigetafeln zeigten keinerlei Verbindungen an....oh halt! In Cochem die ging...anscheinend hat der Virus auch seinen Stolz ;)

@Gucky76
Da haben sie noch Windows 3.1

Ach, das wird noch viel öfter und in schlimmerer Form vorkommen. Wir leben im digitalen Zeitalter. Das war doch erst der Anfang. Das eigentliche Problem ist ja, dass viele Unternehmen oder auch Privatpersonen die Bedeutung von System-Updates völlig unterschätzen. Sowas kommt ja zu selten vor als das man sich Sorgen machen müsste. Mal schauen ob das nun ein Weckruf an die Unternehmen war, ihre Computer aktuell zu halten.

mercoledi schrieb:Mal schauen ob das nun ein Weckruf an die Unternehmen war, ihre Computer aktuell zu halten.

Das klingt einfacher, als es ist.

Solange nur ein Office darauf läuft, mag das ja hin kommen. Aber sobald Sonderlösungen ins Spiel kommen, ist es eben nicht nur ein neuer Rechner mit neuem OS.
Es ist halt eine Abwägung von Kosten und Risiken. Steigen die Risiken, sind auch höhere Kosten vertretbar.

@kleinundgrün

Versteh ich schon, aber die Risiken SIND da. Da muss nicht alle 2 Wochen irgendein Angriff ausgeführt werden um das Risiko als hoch einzuschätzen. Da reicht ein großer. Das wars dann für die betroffenen Systeme. Und zumindest das OS aktuell halten wäre in dem Fall eben eine sehr gute Abwehrmethode gewesen. Gut wir können jetzt darüber spekulieren ob sowas bei Anzeigetafeln der deutschen Bahn nötig wäre, wenn die ausfallen gibts ja noch die guten alten Aushangfahrpläne und Durchsagen, aber in einem Krankenhaus sollte man schon sicherstellen, dass die Systeme ausreichend geschützt sind.

mercoledi schrieb:aber die Risiken SIND da

Die Frage ist aber, wie groß sie sind.

Es besteht auch das Risiko, dass uns morgen ein Asteroid aus löscht - aber vernünftigerweise würden wir keine Ressourcen auf dieses Szenario verwenden - weil es zwar möglich aber unwahrscheinlich ist.

Steigt das Risiko an, dann steigen auch die Investitionen in Strategien, dieses Risiko zu vermeiden.

Deswegen spielt die Eintrittswahrscheinlichkeit und die Frage der Schäden im Eintrittsfall eine entscheidende Rolle, für die Frage, wie viel investiert werden soll.
Diese Verschlüsselungssoftware, die auch Systeme befällt, die offline sind (nicht direkt mit dem Internet verbunden), ist eher neu. Systeme amortisieren sich u.U. nicht in so kurzer Zeit.

Und Gegenmaßnahmen hinken den Angriffen immer hinterher. Es gibt keinen "ausreichenden" Schutz.

Aber ich verstehe, worauf Du hinaus willst. Es ist die Zeit gekommen, dass auf dieses Systeme ein deutlich stärkeres Augenmerk gelegt werden muss. Und zukünftig sollten sich die Strategien ändern.
Aber es werden sich dann auch die Angriffe ändern. 

mercoledi schrieb:Versteh ich schon, aber die Risiken SIND da.

Das sind sie aber mit und ohne aktuellem System. Ein aktuelles System ist wie waschen vor dem ungeschützen Verkehr.
Sinnvoll wenn möglich und angenehm aber kein Ersatz für Schutz (korrekt konfiguriertes Netz).
Sobald ein Angreifer bis zu einer Anzeigetafel vordringt von aussen (oder umgekehrt)  ist alles zu spät.

d.fense schrieb:Sobald ein Angreifer bis zu einer Anzeigetafel vordringt von aussen (oder umgekehrt)  ist alles zu spät.

In dem Fall war es halt ein Fehler im Betriebssystem. Sobald grundsätzlich eine Verbindung besteht, kann sie auch grundsätzlich für "nicht vorgesehene" Zwecke benutzt werden.
Die Alternative wäre eine physische Trennung - nur gibt es ja einen Grund, warum die Geräte vernetzt sind.

Du hast zwar recht, dass die richtige Konfiguration eine weitere Sicherheitsmaßnahme ist, aber wenn bereits auf Ebene des Betriebssystems ein Fehler existiert, der eine Konfiguration unterläuft, in dem nicht vorgesehene Wege existieren, hilft das in dem konkreten Fall nichts.

Wenn Du Port xy blockierst, hilf es nichts, wenn ein Fehler in z.B. der Firewall unter bestimmten Umständen diese Blockade unterläuft.

Bei einem aktuellen System besteht eine größere Chance, dass eine solche Lücke geschlossen wurde, bevor sie ausgenutzt wird.

@kleinundgrün

Es geht mir nicht um blockieren von Ports oder Konfiguration auf dem System der Anzeigetafel oder des Servers.

Zunächst gehen Wir mal davon aus daß der Server der die Tafel versorgt befallen ist da ich vermute (hoffe ;) ) die Tafel selbst läuft nicht mit einem MS system.
Dieser bekommt nun von einem anderen Datenbank Server aus dem DB Intranet welches für die Fahrplandaten zuständig ist die Daten die es auf allen Tafeln anzuzeigen gilt.
Er sollte Updates entweder gar nicht oder manuell zugewiesen übers InTRAnet bekommen.
Er hat eigentlich keinerlei Grund sich ins "normale" Internet zu verbinden oder darauf zuzugreifen, daher darf es dort auch keine Verbindung geben.
-> deny all
Die FW stellt via VPN die Verbindung zum Datenbankserver her. Keine WIN Sicherheitslücke kann greifen. (natürlich nur solange die VPN frei von NSA exploits ist ;) )

Ok, auch gibt es keinen Grund weshalb es ein win Server ist :)

Die chance daß ein PC/Server BS, IOT client,... incl. aller möglicher Software eine bekannte Sicherheitslücke hat ist um Dimensionen größer als daß eine hardware firewall einen Bug hat der verhindert das zu tun wofür sie ausschließlich existiert.


p.s.: Dank GWX wird es wohl derzeit sehr viele Systeme geben die nicht aktuell sind. Die Sofortlösung war ja Umstellung auf manuelle Updates und im Zuge der Update Policy umstellung auf große Packs klemmte das auto update oft.

bisschen zu spät:
Aber ich muß zugeben mir wären die Tafeln natürlich auch egal und ich weiß nicht wie die struktur bei der DB aussieht.

d.fense schrieb:Er hat eigentlich keinerlei Grund sich ins "normale" Internet zu verbinden oder darauf zuzugreifen, daher darf es dort auch keine Verbindung geben.

Das stimmt.

Aber in diesem Szenario wurde das Programm über SMB verbreitet - also betraf auch Systeme, die nicht direkt am Internet hingen.

Also im Grunde:
PC empfängt verseuchte E-Mail und alles Systeme, die mit diesem einen PC mittel- oder unmittelbar verbunden sind, sind potentiell gefährdet.

Weiß zwar nicht mehr über Composter als wo der Einschaltknopf ist, aber mit etwas googeln kam zum Vorschein, daß man die sogenannte "Lazarus Group" verdächtigt, eine Gruppe von Cyberkriminellen, die schon früher mit Erpressungsversuchen in verschiedenen Ländern der Welt auftrat, Banken und so weiter, und die wiederum wurde über einen leichtsinnigen Link direkt nach Nordkorea zurückverfolgt. Daß das Regime in Nordkorea sich auch mit kriminellen Machenschaften in aller Welt finanziert ist nix neues, erst vor kurzem gab es dazu auf spiegel.de (glaub ich) einen Artikel über die nordkoreanischen Botschaften, die so ziemlich alles was kriminell ist wie Drogen, Waffenhandel etc. unter dem Deckmantel diplomatischer Immunität betreiben, um sich auf diese Weise selber zu finanzieren, weil Geld von zuhause chronisch knapp ist. Cyberkriminalität weltweit wäre genau das Ding von Nordkorea, deshalb ist dieser Verdacht glaubwürdig.

@kleinundgrün
Und hier dürfte der Knackpunkt sein, ich vermute daß der Anzeigenserver oder Datenbankserver mehr machte als nur Anzeigen zu steuern.

Hier wäre es wirklich interessant mal zu sehen was alles dranhängt und dann mal zu fragen wieso ;)

@Rao
Dank der vernetzten Welt spielen Nationalitäten bzw. Standorte keine Rolle mehr.
Korea wäre natürlich super, dann wären ja NSA, MS, BSI, der Dienstleister der DB, die der Krankenhäuser in UK,... alle fein raus, oder?

d.fense schrieb:Korea wäre natürlich super, dann wären ja NSA, MS, BSI, der Dienstleister der DB, die der Krankenhäuser in UK,... alle fein raus, oder?

NORDkorea. Dessen Obermotze man ruhig jede Schlechtigkeit zutrauen darf, wenn Du Dich selber mal über die Zustände dort kundig machst. Wer hat´s erfunden? Nö, nicht die Schweizer, die NSA war´s, aber wenn nicht die, hätte es irgendwann einfach ein anderer gebastelt. Nur, angewendet haben sie es (diesmal!) nicht, die sind noch nicht so tief gesunken, Firmen und Banken in aller Welt um schnödes Geld zu erpressen. Das ist alles exakt die Kragenweite von Nordkorea. Der Rest der Erwähnten muß sich an die eigene Nase fassen, warum sie sich nicht um ihre Netzwerk-Sicherheit bemüht haben.

Aber sieh es von der guten Seite:  wenn der Virus mit mehr Verstand, sprich subtiler und zu einer passenden Zeit eingesetzt worden wäre, hätte er erheblich mehr Schaden verursachen können, das hier war reichlich "zahm", ich meine wen scheren schon die Anzeigetafeln der Bahn. Daraus kann man schließen, daß jemand beim Verbreiten voreilig und unvorsichtig vorgegangen ist, da ist vermutlich mit den Erpressern die Geldgier durchgegangen, oder aber hinter den Computertippsen stand einer vom nordkoreanischen KGB mit Pistole im Anschlag, weil der große Diktator die Ergebnisse sprich die Kohle am liebsten schon gestern gehabt hätte, wie es bei denen angeblich üblich ist. 
Und jetzt ist die zivilisierte Welt erst mal gewarnt und achtet mehr auf Sicherheit (hoffentlich!!) und macht es den Hackern in Zukunft etwas schwerer als bisher.
...was uns nicht umbringt macht uns bekanntlich härter. ...

@Rao
verantwortlich ist nicht immer nur der der eine Waffe einsetzt, auch der welcher sie einfach auf die Straße wirft ohne die Polizei zu rufen.
Oder wer eigentlichhauptberuflich den Job hätte solche Sicherheitslücken in dem system oder generell im Land zu erkennen, bekämpfen und aufzuklären.
Die Schnittmenge auf die das imho zutrifft habe ich aufgezählt.

Korea steht bei mir in diesem Text stellvertretend für "weitweit weg", also auch Nordkorea.

Du setzt zwei dinge voraus die ich nicht als bewiesen wahrnehme (auch wenn ich schlecht informiert bin)
-daß der Angriff staatlich geplant oder ausgeführt worden wäre und NICHT privat
-daß der Angriff vom in diesem Falle zurückverfolgten Server? ausgeführt worden währe mit Wissen oder auf Anstoß seitens des Besitzers des Servers. Stichwort Joejob, Botnetz, false flag oder wie auch immer Du solch eine Variante nennen magst.

EDIT: man darf auch nicht vergessen daß in dem Augenblick in dem das Fenster aufpoppt der Schädling schon eine zeit lang die Kontrolle über das Sytem hatte, also geziehlte Eingriffe und Datenabschöpfungen bei ausgewählten Zielen möglich wären.

   Rao
   Und jetzt ist die zivilisierte Welt erst mal gewarnt und achtet mehr auf Sicherheit (hoffentlich!!) und macht es den Hackern in Zukunft etwas schwerer als bisher.

in einer idealen Welt wäre es so...