Pwn2Own ist ein Hacker-Wettbewerb, bei dem das Knacken von Systemen bare Münze bringt. Das Ereignis findet jedes Jahr auf der Security-Konferenz CanSecWest statt. Heuer ist es so, dass 65.000 US-Dollar ausgeschrieben sind, wenn jemand Google Chrome auf einem Windows 10 auf dem neuesten Stand knackt und das EMET (Enhanced Mitigation Experience Toolkit) am Laufen hat . Also einen Exploit findet, mit der er in das System einbrechen kann. Die gleiche Summe gibt es, wenn das jemandem mit Microsoft Edge gelingt. Zusätzlich […]

Wie gut, dass ich auch auf meinen Android-Geräten Firefox als Browser einsetze. Der Security-Experte Guang Gong hat auf der PacSec-Konferenz in Tokio und beim MobilePwn2Own demonstriert, wie sich ein nagelneues Google Project Fi Nexus 6 über einen Exploit via Chrome kompromittieren lässt. Er hat ein BMX-Spiel installiert, ohne dass der Anwender etwas machen musste. Guang Gong hatte damit komplette Kontrolle über das Smartphone. Exploit über die JavaScript V8 Engine Nun gut, etwas muss der Anwender schon tun, aber nicht viel. […]

Brian Krebs berichtet von einer weitere 0-Day-Sicherheitslücke in Oracles Java, die nur 24 Stunden nach Java 7 Update 11 aufgetaucht ist. Darin wurde eine Sicherheitslücke geschlossen, mit dem man einen Windows-Rechner unter seine Kontrolle bringen konnte. Allerdings fehlt derzeit noch jede Bestätigung, ob die Lücke auch echt ist und was sie tut. In einem exklusiven Cybercrime-Forum soll der Finder den Exploit an 2 Personen für je 5000 US-Dollar verkauft haben (mehr Leute bekommen die Code nicht und es ist wohl […]

Kürzlich wurde eine sehr clevere Methode entdeckt, wie sich nicht signierter Code auf Windows RT (Betriebssystem auf dem Surface Tablet zum Beispiel) abspielen lässt. Nun hat sich daraus in kürzester Zeit ein komplettes Tool entwickelt. Verantwortlich dafür ist XDA-Entwickler-Mitglied Netham45. Download und genaue Hinweise gibt es in diesem XDA post. Die Schritte sehen wirklich einfach aus. Das RT-Gerät starten und anmelden, danach zirka eine Minute warten. Nun die Datei runExploit.bat laufen lassen und die Software machen lassen. Das dauert ungefähr […]

Nicht nur kernel.org wurde kompromittiert, sondern auch MySQL.com und hat Schadcode ausgeliefert. In der Zwischenzeit wurde das Problem aber behoben. Die Cyberkriminellen haben ein Script eingeschleust, dass Anwender auf eine Webseite umgeleitet hat. Diese nutzte den BlackHole Exploit Pack. Damit wird der Browser untersucht und ein entsprechender Angriff gestartet. Sicherheits-Experte Brian Krebs hat vor wenigen Tagen gesehen, dass root-Zugriff auf MySQL.com für 3000 US-Dollar feilgeboten wurde. Armorize war der Erste, der im Detail beschrieb, wie der Angriff funktioniert – seehr […]

Im Linux-Kernel scheint eine alte Wunde aufgerissen zu sein. Es handelt sich um eine Komponente, die Werte von 64- nach 32-Bit umrechnet und umgekehrt. Diese Schwachstelle wurde im Jahre 2007 mit dem Erscheinen von 2.6.22.7 schon einmal ausgemerzt. Anscheinend haben die Entwickler diese Änderung einige Monate später wieder umgekehrt. Die Sicherheitslücke lässt sich ausnutzen, um Privilegien auszuweiten – sprich root-Zugriff zu erlangen. Entdeckt wurde die Schwachstelle ursprünglich von Wojciech “cliph” Purczynski, wie Ben Hawkes schreibt, der den Bug erneut entdeckte. […]