SICHER o INFORMIERT
Der Newsletter von www.buerger-cert.de
Ausgabe vom 16.08.2012
Nummer: NL-T12/0016

Die Themen dieses Newsletters:
1. Datenklau bei Brillenhändler Mister Spex: Rund 400.000 Kunden betroffen
2. Hackerangriff auf Spieleplattform Blizzard: Online-Gamer weltweit betroffen
3. Trojaner ZeuS-in-the-Mobile: Neue Variante macht jagt auf mTANs
4. Spam-Vorwürfe gegen Meetone: iPhone-Adressbücher wurden unbefugt ausgelesen
5. Opera 12.01: Update schließt Sicherheitslücken
6. Microsoft Patchday: 27 Sicherheitslücken in Windows und Office geschlossen
7. Adobe aktualisiert Software: Schwachstellen in Flash-Player, Reader und Acobat geschlossen
8. Alternative zur Eselsbrücke: Kostenlose Passwort-Manager im Vergleich

EDITORIAL
Guten Tag,
in den verschiedenen App-Stores stehen mittlerweile Hunderttausende von
Mini-Anwendungen für Smartphone- und Tabletnutzer zur Verfügung. Wer Apps
aus den offiziellen Portalen bezieht, kann sich in der Regel darauf
verlassen, sich mit der Anwendung kein Sicherheitsrisiko auf sein mobiles
Gerät zu laden. Doch Anwender sollten bei jedem Download wachsam sein –
denn Ausnahmen bestätigen leider die Regel. Mehr Infos dazu sowie weitere
Meldungen rund um die Sicherheit im WWW finden Sie wie immer in unserem
Newsletter. Spannende Lektüre und sichere Stunden im globalen Netz
wünscht Ihnen
Ihr BUERGER-CERT-Team

STÖRENFRIEDE
1. Datenklau bei Brillenhändler Mister Spex: Rund 400.000 Kunden
betroffen

Der Online-Brillenanbieter Mister Spex wurde Opfer einer Hacker-Attacke.
In einer
Kundeninformation http://misterspex.de/serviceinformationen.html weist
das Berliner Unternehmen darauf hin, dass die Angreifer Bestell- und
Adressdaten sowie Passwörter einsehen und möglicherweise kopieren
konnten. Betroffen sind laut
heise.de http://www.heise.de/security/meldung/Kundendaten-bei-Online-Brillenladen-Mister-Spex-geklaut-1659126.html
rund 400.000 Kunden. Zahlungsinformationen wie Kreditkarten- und
Bankdaten wurden laut Mister Spex nicht ausspioniert. Das Unternehmen hat
allen Kunden ein neues temporäres Passwort per E-Mail zukommen lassen.
Dieses sollen Kunden bei der nächsten Anmeldung nutzen und anschließend
ein neues Passwort vergeben. Tipps zum Anlegen sicherer
Passwörter https://www.bsi-fuer-buerger.de/BSIFB/DE/MeinPC/Passwoerter/passwoerter_node.html
gibt es auf der Website BSI für Bürger.

2. Hackerangriff auf Spieleplattform Blizzard: Online-Gamer weltweit
betroffen

Unbekannten Angreifern ist es gelungen Server des Online-Spiele-Anbieters
Blizzard auszuspionieren. Betroffen sind laut einer
offiziellen
Mitteilung http://eu.blizzard.com/de-de/securityupdate.html
Mitglieder, die einen Account für das Netzwerk battle.net unterhalten.
Battle.net bietet Zugriff auf Spiele wie World of Warcraft, Diablo 3 und
Starcraft 2. Blizzard zufolge wurden E-Mail-Adressen von Spielern aus
allen Regionen der Welt außer China entwendet. Spielern auf
nordamerikanischen Servern wurden zusätzlich die Antworten zu der
geheimen Sicherheitsfrage und Informationen im Zusammenhang mit dem
Authentisierungssystem für mobile Geräte (Mobile Authenticator)
gestohlen. Diese - teilweise verschlüsselten - Daten sollen aber nicht
ausreichen, um Angreifern Zugriff auf einen battle.net-Account zu
ermöglichen. Anwender werden aufgefordert ihre Passwörter zu ändern.
Zudem soll in Kürze ein Sicherheitsupdate für den Mobile Authenticator
veröffentlicht werden. Detaillierte Informationen zu dem Vorfall und
Sicherheitshinweise für betroffene Anwender hat Blizzard
auf einer Übersichtsseite
zusammengestellt http://eu.battle.net/support/de/article/wichtiges-sicherheitsupdate.

3. Trojaner ZeuS-in-the-Mobile: Neue Variante macht jagt auf mTANs

Seit fast zwei Jahren treibt der Online-Banking Trojaner
ZeuS-in-the-Mobile (ZitMo) alias SpyEye-in-the-Mobile sein Unwesen. Bis
dato befiel er Smartphones mit Symbian- und
Windows-Mobile-Betriebssystem. Nun berichtet der Hersteller von
Antiviren-Software Kaspersky im unternehmenseigenen
Blog http://www.viruslist.com/de/weblog von einer neuen Variante der
Malware, die Android-Smartphones und Blackberrys attackiert. Die Malware
hat es wie bei den Vorgängerversionen auf mobile TANs (mTANs) für das
Online-Banking abgesehen. Angegriffen werden laut Kaspersky vor allem
Anwender in Deutschland, Spanien und Italien. ZitMo gelangt über
manipulierte Websites oder inoffizielle App-Stores auf die mobilen
Geräte, etwa wenn Anwender vermeintliche Zertifikate oder
Sicherheitsanwendungen aktualisieren, in denen sich jedoch der Schadcode
versteckt. Ist der Schadcode einmal auf dem mobilen Gerät installiert,
fängt er alle eingehenden SMS ab und leitet diese an einen Server in
Schweden weiter. Per SMS versandte mTANs können dann für unbefugte
Kontoabbuchungen genutzt werden.

4. Spam-Vorwürfe gegen Meetone: iPhone-Adressbücher wurden unbefugt
ausgelesen

Erst kürzlich musste der Online-Dating-Dienst Meetone einräumen, das
unbekannte Angreifer Zugriff auf Anwenderdaten hatten. Nun steht das
Unternehmen im Verdacht, unbefugt über die Meetone-App die
iPhone-Adressbücher von Mitgliedern der Plattform auszulesen. Die
Adressen wurden an einen Server weitergeleitet, anschließend erhielten
einzelne Kontakte Spam-E-Mails von Meetone. Der IT-Nachrichtendienst
heise.de konnte dieses Vorgehen nach eigenen
Angaben http://www.heise.de/security/meldung/Schwere-Spam-Vorwuerfe-gegen-Datingseite-meetOne-1659422.html
technisch nachvollziehen. Auch spiegel.de berichtet ausführlich über den
Vorgang und die
Hintergründe http://www.spiegel.de/netzwelt/web/meetone-flirtportal-kopierte-adressbuecher-und-verschickte-spam-a-847782.html.
In den Spam-E-Mails behaupte Meetone gegenüber dem Adressaten, dass er
oder sie eine Flirtmitteilung von einem anderen Nutzer erhalten habe –
auch wenn dieser gar nicht bei dem Dienst registriert ist.
In einer Nachricht an die
Kunden http://www.blog.meetone.com/update-der-meetonetogo-app/
bedauert Meetone den Vorfall, es habe sich um ein Versehen gehandelt. Man
habe eine neue Version der App bei Apple zur Zulassung im App-Store
eingereicht. Diese greife nicht mehr auf das Adressbuch des Anwenders zu.
Die gespeicherten Kontakte seien gelöscht worden.

SCHUTZMASSNAHMEN
5. Opera 12.01: Update schließt Sicherheitslücken

Ein Update für den Browser Opera schließt fünf Sicherheitslücken, eine
davon wird als kritisch eingestuft. Die Schwachstellen können es
Angreifern u.a. ermöglichen, Schadcode auf den Anwender-PC einzuschleusen
und den Computer aus der Ferne zu steuern. Welche Schwachstellen konkret
in den Opera-Versionen für Windows-, Mac- und Linux-Betriebssysteme
beseitigt wurden, können Anwender in den englischsprachigen
Änderungsprotokollen (Changelogs) http://de.opera.com/docs/changelogs/
nachlesen. Die neue Opera-Version 12.01 steht auf der
Website von Opera zum Download bereit http://de.opera.com/download/.

6. Microsoft Patchday: 27 Sicherheitslücken in Windows und Office
geschlossen

Microsoft hat anlässlich des August-Patchdays neun Sicherheitsbulletins
herausgegeben, fünf der Update-Pakete beheben als kritisch eingestufte
Schwachstellen. Insgesamt werden 27 Schwachstellen in Microsoft-Produkten
wie Windows und Office geschlossen. In vielen Fällen ist es Angreifern
möglich, aus der Ferne die Kontrolle über Anwendersysteme zu erlangen,
etwa über präparierte Websites. Weitere Einzelheiten zu den
Schwachstellen und den betroffenen Systemen erfahren Sie auf der
Microsoft-Website zum aktuellen Security
Bulletin http://technet.microsoft.com/de-de/security/bulletin/ms12-aug.
Die Sicherheitsupdates sind über die Systemsteuerung Ihres Windows-PCs
und die Funktion „Microsoft Updates“ verfügbar.

7. Adobe aktualisiert Software: Schwachstellen in Flash-Player, Reader
und Acobat geschlossen

Der Software-Hersteller Adobe hat eine ganze Reihe Sicherheitsupdates für
seine Produkte veröffentlicht. Eine Aktualisierung betrifft die Flash
Player-Version für Windows, Mac und Linux. Über ein manipuliertes
Word-Dokument kann die Anwendung zum Absturz gebracht werden und die
Angreifer Zugang zum System des Anwenders erlangen. Anwender der Adobe
Flash Player-Version 11.3.300.270 und frühere für Windows und Mac sollten
auf Version 11.3.300.271 aktualisieren. Anwendern der Adobe Flash
Player-Version 11.2.202.236 und früherer für Linux wird die
Aktualisierung auf Version 11.2.202.238 empfohlen. Auf einer
Testseite von
Adobe http://www.adobe.com/de/software/flash/about/ können Anwender
prüfen, welche Version sie installiert haben und falls notwendig gleich
eine Aktualisierung durchführen. Sicherheitsupdates sind weiterhin für
die Programme Reader und Acrobat X Version 10.1.3 sowie Version 9.5.1 und
frühere sowie den Shockwave Player in der Version 11.6.5.635 und frühere,
jeweils für Mac- und Windows-Systeme verfügbar. Alle Updates können über
den Dowloadbereich auf der
Adobe-Homepage http://www.adobe.com/de/downloads/ bezogen werden.

PRISMA
8. Alternative zur Eselsbrücke: Kostenlose Passwort-Manager im Vergleich

Immer wieder werden die Nutzerdatenbanken von Online-Händlern und
Internetdiensten von Cyber-Kriminellen erfolgreich angegriffen. Häufig
geraten dabei die Passwörter von Anwendern in unbefugte Hände. Besonders
problematisch ist dies, wenn das gestohlene Passwort auch bei anderen
Online-Diensten verwendet wird. Besser ist es, für jede Authentisierung
ein eigenes, sicheres Passwort anzulegen. Um bei der Vielzahl der
notwendigen Passwörter nicht den Überblick zu verlieren, gibt es
Passwort-Manager. Die Online-Zeitschrift computerwoche.de hat eine
Auswahl dieser Tools zusammengestellt und bewertet
http://www.computerwoche.de/security/2519783/. Die Programme
unterscheiden sich sowohl in der Benutzerfreundlichkeit, im
Funktionsumfang und in der Art und Weise wie und wo die Passwörter
gesichert werden. Alle Tools sind als kostenlose Freeware verfügbar.
Versionen für mobile Geräte oder mit erweitertem Funktionsumfang sind
mitunter kostenpflichtig.




-----------------------------------------------------------------------
Dieser Newsletter "SICHER o INFORMIERT" ist ein kostenloses Service-Angebot
des Bürger-CERT, http://www.buerger-cert.de. Er erscheint im Abstand von 14
Tagen. Die Informationen werden mit größter Sorgfalt recherchiert und
aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit
und Richtigkeit nicht übernommen werden.

Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an
die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de