1.0
Cybersecurity is the practice of protecting systems, networks, and programs from digital attacks. These cyberattacks are usually aimed at accessing, changing, or destroying sensitive information; extorting money from users via ransomware; or interrupting normal business processes.
—July 4th, 2024 - Cisco
[...] The security precautions related to computer information and access address four major threats: (1) theft of data, such as that of military secrets from government computers; (2) vandalism, including the destruction of data by a computer virus; (3) fraud, such as employees at a bank channeling funds into their own accounts; and (4) invasion of privacy, such as the illegal accessing of protected personal financial or medical data from a large database. [...]
—July 4th, 2024 - Britannica
Das Ziel der IT-Sicherheit ist es Systeme vor:
Ausfall
Missbrauch
Sabotage
Spionage
Betrug und Diebstahl zu schützen
Indonesia won’t pay an $8 million ransom after a cyberattack compromised its national data center
[...] The attackers have held data hostage and offered a key for access in return for the $8 million ransom, said PT Telkom Indonesia’s director of network & IT solutions, Herlan Wijanarko, without giving further details. Wijanarko said the company, in collaboration with authorities at home and abroad, is investigating and trying to break the encryption that made data inaccessible. [...]
—June 25th, 2024 - AP News
FAST 4.000 VERHAFTUNGEN: Interpol gelingt großer Schlag gegen Onlinebetrug
Die Einsatzkräfte haben nicht nur weltweit Tausende von Verdächtigen verhaftet, sondern auch Vermögenswerte im Umfang von 257 Millionen US-Dollar beschlagnahmt.
[...] Mit einem Gesamtwert von 135 Millionen US-Dollar besteht laut Interpol mehr als die Hälfte davon aus beschlagnahmten Fiat-Währungen wie US-Dollar, Euro oder Yen. Weitere zwei Millionen Dollar liegen in Form von Kryptowährungen vor. Hinzu kommen andere Vermögenswerte wie etwa Immobilien, Luxusfahrzeuge, teurer Schmuck und andere hochwertige Gegenstände und Sammlungen im Gesamtwert von 120 Millionen US-Dollar. [...]
—29. Juni 2024 - Golem.de
Hackers shut down heating in Ukrainian city with malware
For two days in mid-January, some Ukrainians in the city of Lviv had to live without central heating and suffer freezing temperatures because of a cyberattack against a municipal energy company [...]
[...], the cybersecurity company Dragos published a report with details about a new malware dubbed FrostyGoop, which the company says is designed to target industrial control systems [...]
—Juli 2024 - Techcrunch
Want to Win a Bike Race? Hack Your Rival’s Wireless Shifters
Relatively inexpensive hardware can be used to hack the Shimano Di2 wireless gear-shifting systems used by cyclists [...]. They tested the eavesdrop-and-replay attack with a $1,500 USRP software-defined radio, an antenna, and a laptop but said the setup could be miniaturized. Attackers could spoof signals from up to 30 feet away, causing the target bike to shift gears unexpectedly or lock into the wrong gear.
—August 2024 - summary provided by ACM; full article: Wired
SnailLoad: Exploiting Remote Network Latency Measurements without JavaScript
[Side-Channel Attack to circumvent privacy.]
[...] The attack setup for SnailLoad. A victim downloads data from an attacker's HTTP server while it watches a video on a video-sharing platform, e.g., YouTube. Due to the network bottleneck on the victim's side, the attacker can infer the transmitted amount of data by measuring the packet round trip time. The round trip time traces are unique per video and can be used to classify the video watched by the victim. [...]
Backdoors (Hintertüren)
(Distributed-)Denial-of-service Angriffe
Direct-access Angriffe
Eavesdropping (Abhören)
Malware
Man-in-the-middle (MITM) Angriffe
Social engineering (z. B. Phishing)
Privilege escalation
Side-Channel attacks/Seitenkanalangriffe
Spoofing (z. B. IP-Spoofing)
Advanced Persistent Threats (APT)
Availability
Confidentiality
Integrity
Confidentiality ≘dt. Vertraulichkeit
Integrity ≘dt. Integrität
Availability ≘dt. Verfügbarkeit
With one question, an executive at Ferrari stopped an effort to use deepfake technology to scam the company. CEO Benedetto Vigna (pictured) was impersonated on a call by deepfake software that, using a convincing imitation of Vigna's southern Italian accent, said he needed to discuss something confidential that required an unspecified currency-hedge transaction to be carried out. The executive started to have suspicions and asked, for identification purposes, the title of the book Vigna had recently recommended to him. With that, the call ended.
—Juli, 2024 - Zusammenfassung: ACM; Original: ‘I Need to Identify You': How One Question Saved Ferrari From a Deepfake Scam - Bloomberg
sind häufig die Ursache für erfolgreiche Angriffe
(Der Hacker Kevin Mitnick war praktisch immer aufgrund von Social Engineering erfolgreich.)
stellen die größte Bedrohung für die Sicherheit von IT-Systemen dar
es wird angenommen, dass die betroffenen Personen es in vielen Fällen nicht merken (Beispiel: Fake Bewerbungsgespräch)
mittels OSINT kann die Vorbereitung von Social-Engineering Angriffen vereinfacht werden
neue technische Möglichkeiten (z. B. KI generierte Stimmen) erweitern die Angriffsmöglichkeiten
Beispiel eines fortgeschrittenen Social-Engineering Angriffs
Ein vom Angreifer bewusst eingefädeltes Bewerbungsgespräch für eine Position als Administrator könnte zum Beispiel dazu genutzt werden, um Informationen über das Zielsystem zu erhalten, die für einen Angriff nützlich sind (z. B. welche Software wird eingesetzt, wie sieht die Architektur aus, ...). In diesem Fall ist davon auszugehen, dass ein Bewerber zum Beispiel durch ein Headhunter eine gutes Angebot gemacht wird und er dann im Rahmen des Gesprächs gebeten wird eine Sicherheitsarchitektur darzustellen, die er einführen würde. Es ist dann davon auszugehen, dass er auf seine bisherige Erfahrung zurückgreift und diese darstellt und er somit die Architektur des Zielsystems offenlegt.
Neue Gefahren
Durch KI generierte Stimmen kann es Angreifern gelingen, z. B. durch das Vortäuschen einer Notlage einer nahestehenden Person, an Informationen zu gelangen.
Phishing nutzt elekr. Kommunikationswege um an Informationen zu gelangen (z. B. E-Mail oder SMS).
Spear phishing ist Phishing, bei der der Angreifer auf eine bestimmte Zielgruppe oder Person abzielt.
Phishing mit Hilfe von SMS.
Phishing mit Hilfe von Telefonanrufen.
(Z. B. Anrufe von Europol)
Phishing, dass sich gegen hochrangige und sehr ausgewählte Personen richtet (z. B. den CEO eines Unternehmens).
Manipulation des DNS-Servers, um den Nutzer auf eine gefälschte Webseite zu leiten, um dann sensitive Informationen zu erlangen.
Unerwünschte und nicht angeforderte E-Mail-Nachrichten oder Nachrichten in sozialen Medien bzw. Instant Messaging-Diensten.
Durchsuchen von Müllcontainern nach Informationen, die für einen Angriff nützlich sein könnten.
Beobachten von Personen, die sich an einem Computer anmelden, um das Passwort zu erfahren oder die sensitive Informationen auf dem Schreibtisch liegen haben.
Ein Angreifer nutzt die Zugangsberechtigung einer Person, um sich Zugang zu einem Gebäude zu verschaffen ohne dass die Person dies bemerkt oder gar zustimmt.
Dies kann z. B. durch Zugangsschleusen verhindert werden, die immer nur einer Person den Zugang gewähren.
Identitätsdiebstahl. Der Angreifer gibt sich als jemand anderes aus, um an Informationen zu gelangen oder um eine Straftat zu begehen.
Versenden von Rechnungen, für Dienstleistungen und Produkte die man nicht gekauft hat (z. B. Rechnungen für Postzustellung.)
Sammlung von Zugangsdaten, die durch Sicherheitslücken in Systemen oder durch Phishing erlangt wurden.
Eine bewusste Falschmeldung, die Menschen dazu veranlasst etwas falsches zu glauben.
Vorgabe einer falschen Identität (z. B. als Mitarbeiter des IT-Supports); d. h. der Angreifer gibt sich persönlich als jemand anderes aus, um an Informationen zu gelangen und nutzt dafür keine elektronischen Hilfsmittel.
Abhören von Gesprächen, um an relevante Informationen zu gelangen.
Der Angreifer versucht durch geschicktes Fragen an Informationen zu gelangen, die für einen Angriff nützlich sein könnten.
Der Angreifer bietet etwas an, um an Informationen zu gelangen (z. B. ein USB-Stick mit einem Virus, der sich beim Einstecken des USB-Sticks auf dem Rechner installiert.)
Der Angreifer infiziert eine Webseite, die von der Zielgruppe häufig besucht wird, um dann die Besucher der Webseite anzugreifen.
Ausnutzen von Tippfehlern durch das Registrieren einer Domain, die der Domain eines Zielunternehmens ähnelt, um dann Besucher der Webseite auf eine gefälschte Webseite zu leiten. (z. B. www.gooogle.com)
HOAX
Ein Beispiel eines nicht-harmlosen Streichs (Hoax) ist die Falschmeldung vom 1. April 2003, dass Bill Gates gestorben sei. Diese Falschmeldung wurde von vielen Menschen geglaubt und hatte relevanten Einfluss auf den Aktienmarkt.
Credential harvesting
In der Anfangszeit von Github und Bitbucket wurden häufig Zugangsdaten und Zertifikate in öffentlichen Repositories gefunden, da die Nutzer diese im Quellcode hinterlegt hatten oder sogar als Ressourcen direkt eingebunden hatten.
Typische Phishing E-Mail
Autorität: Der Angreifer gibt sich z. B. als Mitarbeiter des IT-Supports aus.
Einschüchterung (Intimidation)
Dringlichkeit
Konsens ("Alle machen das so.")
Knappheit ("Nur noch Heute im Angebot.")
Vertrautheit
Vertrauen
Social-Engineering Angriffe