heise Security

IoT_reaper oder IoTroop nennt sich ein neues Botnetz, dass sich nach Angaben von Sicherheitsforschern seit September weit verbreitet hat. Die Spezialisten gehen von zwei Millionen Infektionen aus.

Mining-Skripte zwacken beim Surfen heimlich Rechenleistung zum Schürfen von Krypto-Währungen ab. Adblocker- und Browser-Hersteller erarbeiten Gegenstrategien. Einige Skript-Entwickler reagieren ihrerseits, indem sie Nutzer künftig um Erlaubnis fragen.

Facebooks Sicherheitschef hat erläutert, welche Schwierigkeiten er hat: Lohnendere Angriffsziele als sein Unternehmen gibt es wohl nicht viele, gleichzeitig erwarten die Mitarbeiter viele Freiheiten. Das unter einen Hut zu bringen, sei nicht einfach.

In den USA hat sich die Politik auf Kaspersky eingeschossen, hinzu kommen Berichte über russische Spionage dank des russischen Softwareherstellers. Nun weist Eugene Kaspersky die Vorwürfe noch einmal entschieden zurück und erklärt sie zu Paranoia.

Mit aktuellen Updates schließt Cisco insgesamt 17 Sicherheitslücken. Eine davon ist kritisch und erlaubt den Remote-Zugriff auf die Cloud Services Platform (CSP) 2100.

Sicherheitsmechanismen wie hardwarebasierte Zwei-Faktor-Authentifizierung und die Beschränkung des Datenzugriffs durch Drittanbieter sollen Google-Konten künftig sicherer machen. Advanced Protection ist gratis, erfordert aber zusätzliche Hardware.

Der Einsatz von Komponenten in der Anwendungsentwicklung birgt Risiken. Laut des State of Software Security Report von CA Veracode sind beispielsweise 88 Prozent aller Java-Anwendungen anfällig für Angriffe.

In Jenkins klaffen mehrere Sicherheitslücken. Unter Umständen könnten Angreifer diese zur Ausführung von Schadcode missbrauchen. Es gibt Sicherheitsupdates – eine Lücke bleibt aber vorerst offen.

Viele Hardware-Hersteller verbauen Trusted Platform Modules (TPMs) von Infineon. In denen befindet sich bereits seit 2012 eine Lücke, die die Sicherheit von RSA aushebelt. Einige Hersteller haben Sicherheitsupdates veröffentlicht; andere stehen noch aus.

Oracle schließt in seinem Quartals-Update unzählige Schwachstellen in seinem Software-Portfolio. Besonders kritische Lücken klaffen in Oracle Hospitality Applications und Oracle Siebel CRM.

Nutzer von iPhone und Co. werden aktuell wieder vermehrt Opfer von Betrügern, die versuchen, an ihr zentrales Apple-Identifizierungsmerkmal zu gelangen. Die Angreifer gehen recht trickreich vor.

Die Schwachstelle in der WLAN-Verschlüsselung wirft eine wichtige Frage auf: Wie sieht es eigentlich mit der Patch-Versorgung durch die Hersteller aus? Miserabel, wenn nicht endlich der Staat eingreift, findet heise-Security-Chef Jürgen Schmidt.