Ransomware – Eine unendliche Geschichte?

Eigentlich müsste der Titel 30 Jahre Ransomware heißen, wenn man den AIDS Trojaner aus 1989 einbezieht. Wir haben alle die Berichterstattung in den online und offline Medien der letzten Jahre verfolgt und ich kann kaum noch die Namen der prominentesten Vertreter dieser Spezies aufzählen: Cerber, Locky, Dharma, CryptoWall, Teslacrypt …

Irgendwann, dachte ich in meiner Einfältigkeit, muss doch das Thema ausgereizt sein, muss auch der letzte PC mal grundsätzliche Sicherheitspatches bekommen haben oder mit halbwegs modernen Gegenmaßnahmen ausgestattet sein. Bitcoins sind auch nicht mehr so viel Wert, wie zur Hoch-Zeit und es wird komplexer die vermeintlichen Opfer in die Falle zu locken. Pustekuchen! Emotet & Trickbot (Hilfe für Sophos Kunden hier) , SamSam und aktuell Ryuk zeigen, wie man mit weniger Gießkanne und leise genug unter Ausnutzung von lange bekannten Schwachstellen (vor denen die gesamte Security Industrie schon seit Jahren warnt) nach wie vor zum Erfolg kommt: Nicht gleich zuschlagen und sich nicht nur auf Ransomware konzentrieren – Multi-Channel Vertrieb at its best. Und der aktuellste Fall aus den USA zeigt, dass man auch damit noch richtig kassieren kann und zwar 400.000 Dollar. Ein klares Zeichen an beide Seiten: Ran an die Arbeit!

Was man über den Abhörskandal wissen muss

Sämtliche Naturvölker dieser Erde würden jetzt mit einem breiten Grinsen durch die Gegend laufen und denken: „Hab ich doch immer gesagt: Computerkram ist Teufelszeug und jetzt belauschen sich die Belzebuben sich auch noch selbst!“ Machen sie aber nicht, da ihnen die Nachrichten über Spionage im Internet wahrscheinlich extrem am halbnackten Hintern vorbeigehen, während ihnen gerade ein Kapitalistenschwein computergestützt den Wald unter demselben abfackelt. Ich bin Allergiker, deswegen ist das Tragen von naturnahen Produkten rund um meine Hüften eher ein Problem, sonst hätte ich gerne das Gefühl mal ausprobiert.

Ganz ehrlich: Für wen sind denn diese Nachrichten eine echte Überraschung? Ich hatte mir schon Sorgen gemacht, dass die Regierungen und Geheimdienste dieser Welt unter Einsatz von Milliarden in harter Währung nicht in der Lage sind, so etwas auf die Beine zu stellen. Jede drittklassige Hackerschmiede aus [setze hier beliebiges Land am unteren Ende der Pisa-Studie oder mit instabiler Regierung ein] – mit Sitz in Omas Gartenhütte -baut seit Jahren Botnetze aus Millionen gekaperter PCs und saugt so Informationen von Privat- und Geschäftspersonen ab. Diese haben es allerdings einfach zu ihrem persönlichen finanziellen Vorteil getan und nicht um einen Zeitsprung nach „1984“ zu machen. Der einzige Ort, an dem man sich im wahrsten Sinn des Wortes ungestört unterhalten kann, ist wahrscheinlich eine Keller-Kneipe ohne Empfang. Ich überlege, ob ich eine mit dem Namen „kein Balken“ eröffnen sollte.

Was mich tatsächlich interessiert, ist das Verhalten unserer Regierung und das aus Brüssel. Meine Prognose: Man wird sehr böse den Finger heben und die Goldman-Sachs-Bruderschaft wird den Rest regeln. Ich mach nochmal einen Allergietest…

De-Anonymisierung

…ist für mich das (IT-)Unwort des Millenniums, gleich gefolgt von Big Data (dick ist das neue schlank, früher wurde jedes Bit gespart) und Green IT (nur weil in jedem Apparat Lüfter propellern, ist kein Öko drin). De-Anonymisierung hat etwas vom venezianischen Karneval, ohne die Guy-Fawkes-Maske, dafür mit dem eigenen Gesicht als Maske davor. Wer sich fragt, wovon ich rede: Die Medien berichten gleich nach Nordkorea über unsere nur unzureichend anonymisierten Datenspuren bei Internetdienstanbietern, Mobilfunkbetreibern und Marketingdaten-Verwertungsagenturen, die anscheinend einfach auf einzelne Personen zurückzuführen sind. Im Klartext: Den homo vitreus, den George Orwell schon „1984“ prognostizierte, gibt es wirklich und zwar als alter ego vom homo sapiens und mit Google Glass kann man es noch sogar scharf stellen. Das ist aber nicht neu, denn das gab es auch schon ohne Stecker (20% Rabatt) vor der Jahrtausendwende, ohne Smartphones und Internet im Auto. Deswegen finde ich die Diskussion wenig hilfreich. „Nichts ist umsonst und im Zweifel wollen sie deine Daten, um dir hintenrum noch mehr anzudrehen“ hat sogar mein Nachwuchs mittlerweile verstanden und wäre eine zwanghafte Gravur auf Elektrogeräten wert. Raucher wissen auch seit der Packungsumstellung, dass sie daran sterben können oder schlimmer: die Haut schneller altern kann.

Ein praktisches Beispiel: Ich habe zu Weihnachten ein neues, schickes aber sehr schlankes Portmonee (newschool) geschenkt bekommen (danke nochmal) und musste mich deswegen von ein ein paar Plastikkarten trennen. Wahrscheinlich muss ich mit dem Restestapel zur Sondermüllverbrennung (oder gelber Sack, kommt aufs gleiche raus), weil die Hausmülltonne sonst so schnell voll wäre, vom Datengau mal ganz abgesehen. Da ist einiges zusammengekommen: Punktekarten von Hotelketten, Fluggesellschaften, Baumärkten, Autoverleihern, Friseuren, Möbelhäusern, Tankstellen und Rabattanbietern. Ich bitte die Aufzählung der Karten Ihres Portmonees im Kommentar zu vervollständigen. Deswegen fand ich die alte Visa Card Werbung, bei der die junge Frau die Kreditkarte unter ihrem Badeanzug an der Strandbar hervorzaubert, so unrealistisch, da im echten Leben 20 andere Karten heraus gepurzelt wären und der Verkäufer sie außerdem nach der ADAC Clubmitgliedschaft gefragt hätte. Die Datenspuren, die man damit hinterlassen hat, sind jedenfalls breiter als eine Glasfaser-Internet-Datenautobahn. Gestört hat das damals niemanden (sonst wäre das auch bei Ede Zimmermann gelaufen). Um den Vergleich zu schließen, muss man sich nur kurz die Icons der 463 Apps auf seinem Smartphone vor Augen führen und welchen Effekt diese haben, nämlich ungefähr den gleichen. Das ist erneut die Stunde der Nerds (nachdem sie früher für Treiberinstallationen geliebt wurden, siehe älterer Blog): „Ich hab doch immer gesagt, dass man damit aufpassen muss, aber auf mich hört ja keiner“. Deswegen habe ich mein Facebook Konto meiner Intimität als Opfergabe dargebracht – xing bleibt erstmal, irgendwo ist die Grenze.

Das Fotos, die mit Smartphones geschossen werden, manchmal geographische Informationen enthalten ist mittlerweile auch egal, da sie sowieso sofort nach dem Knipsen sauber kommentiert auf Facebook, als Twitpic oder Instagram enden. Beim Skifahren am Osterwochenende wurde mir wirklich klar, warum u.a. Kameras jetzt internetfähig sein müssen: An JEDEM Lift und auf JEDER Alm gab es kostenfreies WLAN und es wurde exzessiv genutzt: „Hubsi und Mausi verdrücken einen Riesenteller Kaiserschmarrn auf der Brettl-Alm“ (Ich bin ja eher der Germknödel-Typ). Auch wundert sich niemand mehr über QR-Codes in der Gondel, sondern Omi und Opi zücken ihr Westentaschenzweitgehirn, um der Welt einen Datenkrümel mehr zu geben. Scheiss die Wand an.

P.S.: Mein Rechtschreibgewissen hat gerade Urlaub und deswegen wird jeder zweite Satz vor Fehlern strotzen. Es ist so schwer, gutes Personal zu bekommen.

P.S.S.: Der Blogeintrag enthält schwach ausgeprägte Fäkalsprache und ist deswegen laut FSK nur von Personen ab 16 Jahren zu lesen. Jüngere schauen bitte kurz in das kleine Licht und räumen danach ihr Zimmer auf.

Silicon Valley double fail

Meine neue Weltformel:

Schräg = (Neigungswinkel des Betrachters / verzerrtes Selbstbild) * Fremdbild im Quadrat + x

Im Fall von Fremdbild = 0 (keine Sau interessiert sich für mich) ist x automatisch 45 Grad, damit man mit einem ausreichenden Gefälle ins Ungewisse abrutschen kann und diverse Stunden beim shrink verbringen muss (finde ich eines der schönsten Slang-Wörter für Psychotherapeut, bei manchen ist allerdings nix mehr zu schrumpfen da). Meine Mathelehrer und Professoren wollten immer alles bewiesen haben, in diesem Fall nutze ich gerne die Hilfe von facebook – genauer: deren neueste Privatsphäreneinstellungen – als Beweis dieser Formel. Ich wurde gestern darauf aufmerksam gemacht, dass man über Profile hinweg auf z.B. Bilder nicht direkt befreundeter Profile zugreifen kann, ohne das vorher explizit freigegeben zu haben. Das muss eine neue Freundesfreunde-Freunde-Funktion sein. Man muss sie tatsächlich aktiv bei sich ausschalten und kann sie damit aber nicht bei Freunden beeinflussen. Wenn facebook bis Weihnachten das nicht geraderückt, bin ich raus! Vergessen: quod erat demonstrandum.

Das zweite Missgeschick ist ein Einakter auf der großen Freilichtbühne von Silicon Valley, mit Apple, einem Navigationsgerät und meiner Einfältigkeit in den Hauptrollen. Am letzten Tag meines Trips zum Hauptquartier von Juniper, wollte ich ein Apple-Ladengeschäft besuchen. Ich konsultierte das bis dahin satirefreie Navi in meinem Mietwagen und gab „Apple store“ ein. Es (er/sie?) zeigte eine ganze Batterie Einträge in wenigen Meilen Entfernung an und ich fuhr munter zum nächstgelegenen los. Zwischendurch stellte ich zum wiederholten Mal fest, dass der gemeine Amerikaner kein Auto fahren kann (gemessen an deutschen Maßstäben) und es zur Rush-hour nicht besser wird. Am Ziel angekommen, stellte ich fest, dass „Apple store“ auch ein Lagerhaus sein kann, wie die nächsten vier angefahrenen Destinationen auch. Man sollte es tunlichst vermeiden, in der Apple-Hauptstadt nach einem solchen Laden zu suchen. Ich bin frustriert in das nächste Einkaufszentrum gefahren, wo man den neuen amerikanischen Freizeitsport beobachten konnte: Schlange stehen für ein neues iGimmick. Anscheinend habe ich momentan viele weibliche Gene in mir und habe den Frust am nächsten Morgen mit Nahrungsaufnahme kompensiert (eben fünf Schokotaler in die Machokasse gesteckt):

Penultimate hop popping

…übersetzt für die nicht MPLS-kundige Bevölkerung: Der Vorletzte macht das Licht aus, damit den Letzten die Hunde beißen können. Sie werden sich jetzt fragen: Hat der Pfeiffer noch alle Gurken im Glas? Das frage ich mich manchmal auch und ist eventuell ein Grundvoraussetzung für mein Leben geworden. Genauso drängt sich mir gerade auf: Wie viele mittelglaubwürdige Blog-, Foren-, Wiki- und pseudo Newsbeiträge braucht es, um Authentizität oder wenigstens ein einprägsames Image zu erzeugen? Zwei Beispiele: Ein schwedische Videoprouktionsfirma setzt gekonnt eine irre Konstruktionszeichnung einer Schraube, die angeblich im iPhone 5 zum Einsatz kommt, in Szene und läßt auf wenigen Internetseiten die Bilder und Vermutungen dazu lancieren. In einer unglaublichen Geschwindigkeit wird aus der Vermutung eine Art Realität, weil die Anhänger des i-Glaubens sich an jeden Strohhalm klammern, selbst wenn sie von neuen Steckern verärgert werden. Sogar etablierte Medien nehmen die Vermutung auf und geben dem Ganzen den nötigen journalistischen Touch. Peng, es ist „echt“. Und da regen wir uns auf, wenn unsere Kinder ihre Hausaufgaben mit Hilfe des ultimativen Hausaufgabenhelfers erledigen: Wikipedia. Leider steht nicht neben jeder Webseite ein Michael Schanze und sagt: „Ob ihr recht habt oder nicht, sagt euch gleich das Licht“ (heute moderiert „1, 2 oder 3“  Elton, der ewige Praktikant. Soviel dazu). Für diese Erfindung gäbe es sicher den Internetnobelpreis, der aus einem Glasfaserknäuel besteht.

Zweites Beispiel: Anonymous. Die Guy-Fawkes-Maske war bis vor maximal drei Jahren eher mit Karneval in Venedig oder mit Schmierenkomödianten in Verbindung zu bringen. Heute erkennt jeder sofort: Ach du Alarm, Hacker am Werk. Allerdings mit wechselnder Sympathiekurve: Wenn es den reichen und mächtigen Konzernen oder wie anfänglich auch den Scientologen an die Wäsche geht, ist es in Ordnung. Wenn wiederum das Playstation Network nicht mehr tut, schreien alle Kinder und die andern 560000 Onlinesüchtigen und finden es Kacke. Zuletzt musste Dirk Bach posthum dran glauben, das war nicht nett!! Die Homo-Hölle gibt es sowieso nicht, da jeder in Zeiten des Euro-Rettungsschirms sich von jeglichen religiösen Konzepten wie Himmel oder Hölle frei macht (abgesehen davon: böse Mädchen kommen sowieso überall hin).  Zweifelsohne sind die Maskenträger ungewollt (?) mit ihren Worten, Videos und Taten an einer der größten IT-Sicherheitsaufklärungskampagne nicht unwesentlich beteiligt: Jeder Schluffi weiß jetzt, wie angreifbar Firmen und sogar Staaten sind und wie leicht es einen selbst erwischen könnte. „Zero-Day-Exploits“, „Botnetze“ und „distributed Denial of Service Attacken“ sind salonfähig geworden. Vor fünf Jahren hätte sich kein Mensch um Hacker geschert oder schon im Frühstücksfernsehen von Lady Gagas Besuch bei Julian Assange informieren lassen. Wieso tun wir uns das an? Ich mach erst mal das Licht aus, will nicht der Letzte sein…

Neues zuhause

Seit gestern habe ich arbeitstechnisch eine neues Zuhause bei Juniper Networks bezogen. Ich bin heilfroh, dass morgen Deutschland für den Feiertag Pause macht, um die Möglichkeit zu haben, die neu gewonnen Eindrücke zu verarbeiten. Der Abschied bei meiner Sophos-Gang ist mir sehr schwer gefallen, aber man soll seinen Hut nehmen, wenn es am schönsten ist. Das beschreibt es ziemlich perfekt. Die langen Pausen zwischen den Blogs waren leider dem Entscheidungsprozess und ein paar anderen Dingen geschuldet. Ich werde mich noch etwas sammeln und dann wieder mit neuem Elan an die Sache herangehen.

Nachtrag für Herrn Dombach: Die Internet Security Days waren ein Wechselbad der Temperaturen in den beiden Zelten, die als Austragsungsort dieser denglischen Geschichte Im Phantasialand dienten. Da ich ein ziemlicher Schisser bin, was u.a. Achterbahnen angeht, musste ich mir abends anderweitig Unterhaltung suchen und hab das Cyberdilemma mit Gin Tonic bekämpft. Fazit: Mein Freund war/wird die sonst gut organisierte Veranstaltung nicht, das Konzept hat sich mir eher aufgedrängt als erschlossen. English for runaways.

Fanpost

Wenigsten einer der sich Sorgen macht:

Hallo Herr Dombach,

mir geht es soweit prima, danke der Nachfrage. Meine Blogaktivitäten habe ich vorübergehend aus ein paar unterschiedlichen Gründen sehr eingeschränkt. ich hoffe auf baldige Besserung der Umstände. Zum Thema ISD: Ich musste auch fünfmal nachfragen, ob nur die Folien in Englisch sein sollten. In Deutschland, vor wahrscheinlich 99% heimischen Publikum, finde ich fremdsprachige (abzüglich hessische) Vorträge von Lokalmatadoren ziemlich schräg und ich bin tatsächlich zweimal dran.

Eben beim Hemdenbügeln (bügelfreie Hemden verdienen nicht immer ihren Namen) musste ich schmunzeln, als mir das Bild der Webseite meines Übernachtungshotels im Phantasialand in den Kopf kam. Ich werde wohl verkleidet gehen:

Sie könnten aber in der Woche darauf in Zürich auf der Security Zone einen (hoch-)deutschen Vortrag von mir hören, was wiederum für die Schweizer schräg sein dürfte. Ich fürchte allerdings, sie sind es schon gewohnt. Es wird auf jeden Fall ein Rückmeldung der Ereignisse von mir geben!

Bis dahin & Grüße zurück & hakuna matata

Sascha Pfeiffer

Eine App für Alles – Summer Special

Wir blicken mal 15 Jahre zurück: Nur Nerds (meist männlich, innige monogame Beziehung mit Unterhaltungselektronik aller Art, stylistisch 10 Jahre zurück (oder 20 Jahre voraus, was die Brille angeht)) gehen mit dem Palm (frühe Form des Smartphones ohne Phone) in der Hand zum Einkaufen, quasi als Einkaufszettelersatz und beamen sich gegenseitig digitale Visitenkarten auf die Geräte. Gestern im Supermarkt habe ich mich selbst dabei ertappt, mein Telefon für den Einkauf zu nutzen. Es war mir allerdings nicht peinlich und ich fühle mich auch nicht als Nerd (randlose Brille!). Seit jeder und damit meine ich JEDER (inkl. Affen) zumindest einen tastaturlosen Touchcomputer oder Smartphone bedienen kann, sind die Nerds eine aussterbende Art. Allerdings ärgerlich: Quälten sie sich doch jahrelang mit komplexer Materie und waren im „Freundeskreis“ ein unersetzbarer Helfer, wenn das *§*§$(%&@ Laptop nicht mehr wollte oder der neue Drucker einen Treiber wollte (wos is des?). Mein Lieblingsspruch: „Da steht was von Administrator, das bist doch du?“ Mittlerweile erklären 12-jährige Mädchen (gerade 5 pubertäre Euro in die Machokasse gelegt) ihren staunenden Eltern, welche App man für welche Gelegenheit braucht, ohne jemals ein Handbuch oder wenigstens 1000 tollste Tricks oder Code Complete gelesen zu haben. Die Industrie hat scheinbar alles richtig gemacht. Gemein.

Für die echten IT Junkies, Freaks und alle die gern mal ein Nerd-Feeling haben wollen, gibt es jetzt – quasi als Sommerüberbrücker – eine Brille zum Selbermachen. Roman und ich haben schon mal Modell gestanden:

Quanteneffekt in sozialen Netzwerken

„Das ist eine große Upsi“ ist mein Lieblingsspruch eines amerikanischen Kollegen in einem „tschörman-Anfall“, um auszudrücken, dass sich ein größerer Haufen übelriechender Dinge aufgetürmt hat. Von weitem nicht erschnüffelbare Vorfälle in sozialen Netzwerken sind immer gute Kandidaten für große Upsis, wie geschehen in Braunlage (für geografieunkundige: richtig flaches Land und Kartoffeln, Spargelhügel werden als Abfahrtspiste genutzt). Die dortigen Grundschüler sollten professionell Geschichten vorgelesen bekommen und da es von einer Versicherung gesponsort wurde, auch werbewirksam fotografiert werden, inklusive möglichem Posting auf Facebook. Alarm: Da für die Fotos eine Einverständniserklärung bei den Eltern eingeholt wurde, wurde der berechnete Lauf dieser Geschichte von einer Geraden in eine Schlangenlinie leicht geändert, Heisenberg hätte seine Freude gehabt. Da einige Eltern das Gesicht ihrer Wänste nicht auf Facebook verlinkt sehen wollten (richtig so!), mussten diese Kinder während der Lesestunde in einem anderen Klassenraum betreut werden. Den Unsinn, Fotos von allen Familienmitgliedern, von Bubi dem Wellensittich bis Opa Herrmann, auf soziale Netze zu stellen hat Konsequenzen, die während des Hochlandens nicht immer überschaubar sind: Erkannte Gesichter werden zu Werbezwecken missbraucht (beim Betreitt wurden solche AGBs akzeptiert!), Weiterverlinkungen zu anderen Seiten sind nicht kontrollierbar und die Verwendung des Materials durch Dritte kann auch nicht ausgeschlossen werden, andere fiese Dinge mal auf die Seite geschoben. Hier lassen sich Unzulänglichkeiten nicht durch Technik erschlagen, auch wenn sich das viele wünschen, Aufklärung und gesundes Misstrauen helfen. Ich sollte mir „klick-nicht-auf-jeden-muell.de“ und „mein-bild-auf-jeder-seite.de“ sichern…

Kuschelfaktor

Wer glaubt, dass das Auto der Deutschen liebstes Kind ist, der ist falsch gewickelt: Es ist der Computer (in unterschiedlichen Formaten). Nicht umsonst hatte Commodore in den 80ern einen seiner Verkaufsschlager Amiga genannt (meine Beziehung zu ihr war nur mittelinnig, aber die Mandrill-Demo-Grafik in 4096 Farben im Hold-And-Modify Modus war schon der Kracher – damals). Vor einiger Zeit hatten wir eine Umfrage bei Unternehmen gestartet und gefragt, was denn die größte Sorge der Unternehmer sei. Einhellige Meinung war, talentierte, junge, belastbare und gut ausgebildete Mitarbeiter zu rekrutieren und behalten. Wir reden also von 24-jährigen Doppeldoktoren mit 5 Jahren Berufserfahrung, Doogie Howser lässt grüßen. In 2012 hat der gemeine Doppeldoktor mehrere Unterhaltungs-/Kommunikations-/Internetklugscheisser-elektronikschnickschnackgeräte, mit denen er abends ins Bett geht und ihnen noch vor – falls vorhanden – Frau, Kind und Haustier ein Gute-Nacht-Kuss aufs Display drückt. Das Zeug wird auch mit auf die Arbeit geschleift und zur Freude von IT Abteilungen auch an alles Mögliche drangestöpselt (manche nennen das bring your own device). Die Apparate werden in alle möglichen Hüllen aus Gummi oder Leder gesteckt, damit den Lieblingen bloß nichts passiert. Ich gehe etwas rabiater mit meiner Schokolade um (das Telefon hat fast die Maße einer Standard Milka), aber mein Schreibtisch ist weniger aufgeräumt als der Desktop auf dem Apparat. Das ist in der Regel ein reziprokes Verhältnis, schauen Sie mal bei der Kollegin auf den Bildschirm, dann verstehen Sie was ich meine. Kleiner Tipp für die Besitzer eines Kuschelandroiden, die u.a. auch die Konfirmationsbilder vom Bub auf dem Gerät beschützen wollen: Sophos Mobile Security geht gerade an den Start, für umme.