Antary

Autor: Tobi

BKA findet 500 Millionen Zugangsdaten

10. Juli 2017, 18:48 · von · 0 Kommentare

BKA Logo

Leider etwas verspätet, aber nicht weniger wichtig: Das Bundeskriminalamt (BKA) hat im Internet eine Sammlung von 500 Millionen Zugangsdaten gefunden. Die Datensätze stammen aus einer Underground-Economy-Plattform und bestehen aus E-Mail-Adressen mit dazugehörigen Passwörtern.

Das BKA nimmt an, dass die Daten von verschiedenen Hacking-Angriffen stammen und über einen längeren Zeitraum zusammengetragen wurden. Die aktuellsten ausgespähten Zugangsdaten sind wahrscheinlich aus Dezember 2016. Alle betroffenen Datensätze wurden durch das Hasso-Plattner-Institut in das Tool “Identity Leak Checker” integriert. Mit diesem könnt ihr schnell und einfach überprüfen, ob auch eure Daten kompromittiert wurden. Dazu müsst ihr lediglich eure E-Mail-Adresse angeben. Nach kurzer Wartezeit bekommt ihr dann das Ergebnis an die eingetragene E-Mail-Adresse gesendet.

Falls ja solltet ihr umgehend die betroffenen Passwörter ändern. Außerdem solltet ihr überlegen, wo die betroffene Kombination aus E-Mail-Adresse und Passwort noch verwendet wird und diese ebenfalls ändern. Ist ja leider häufig der Fall, dass Nutzer das gleiche Passwort für viele verschiedene Dienste verwenden.

Generell gilt, dass für unterschiedliche Dienste und Portale im Internet immer auch unterschiedliche Passwörter verwendet werden sollten. Außerdem sollten die Passwörter nicht zu kurz bzw. zu einfach ausfallen. Eine Kombination aus Zahlen, Groß- sowie Kleinbuchstaben und Sonderzeichen ist empfehlenswert. Viele große Dienste bieten mittlerweile auch eine Zwei-Faktor-Authentifizierung an, die ich euch immer ans Herz legen würde.

Kategorien: Internet

Amazon Prime Day: Viele Angebote und weitere Rabattaktion

5. Juli 2017, 17:39 · von · 0 Kommentare

Amazon Logo

Am 11. Juli findet der dritte Amazon Prime Day statt. Die jährliche Rabattaktion gilt exklusiv für Prime-Mitglieder und wird dieses Jahr 30 Stunden lang Angebote bieten. Daher starten die Angebote bereits am 10. Juli um 18 Uhr. Die Blitzangebote sind wie immer zeitlich und auch hinsichtlich der verfügbaren Stückzahlen begrenzt. Interessante Angebot werden vermutlich wie die letzten Jahre innerhalb weniger Minuten ausverkauft sein. Wer noch kein Prime-Kunde ist, kann für den Prime Day auch die kostenlose 30-Tage-Probemitgliedschaft nutzen.

Obwohl der Prime Day erst nächste Woche startet, sind bereits im Vorfeld viele weitere Aktionen verfügbar. Teilweise dürften diese für den ein oder anderen sogar interessanter wie die vielen Blitzangebote am Prime Day sein.

Besonders hervorzuheben ist der Rabatt von 20 Prozent auf alle Warehouse Deals. Selbst ohne Rabatt bieten die Warehouse Deals sehr gute Preise und mit dem Extra-Rabatt von 20 Prozent können wirklich tolle Schnäppchen gemacht werden.  Des Weiteren sehr interessant ist der Kindle Voyage generalüberholt für 129 Euro und der 10 Euro Rabatt auf Amazon-Pantry-Einkäufe ab 50 Euro.

Amazon Prime Day

Kategorien: Internet

FRITZ!Box Shell-Zugang nachrüsten – auch bei aktuellem FRITZ!OS

4. Juli 2017, 23:47 · von · 11 Kommentare

AVM FRITZ!Box 7490

Seit ca. zwei Jahren zieht AVM die Daumenschrauben an und macht es den Besitzern einer FRITZ!Box zunehmend schwerer, einen Shell-Zugang zu erhalten. Schauen wir kurz in die Vergangenheit.

Im Juli 2015 hat AVM FRITZ!OS in Version 6.30 veröffentlicht. Das war die erste offizielle Version, welche ohne Telnet-Zugang ausgeliefert wurde. Weitere Infos darüber findet ihr in meinem Artikel “AVM FRITZ!Box: neue Firmwares ohne Telnet“. Vor Version 6.30 konnte der Telnet-Zugang bequem per Telefoncode (#96*7*) aktiviert und auch wieder deaktiviert werden. Eine relativ einfache Lösung, den Telnet-Zugang wieder zu reaktivieren, war die sogenannte Pseudo-Image-Methode. Auch dieses Thema habe ich in einem separaten Artikel behandelt: “FRITZ!Box und FRITZ!OS 6.30: Telnet temporär via Pseudo-Image aktivieren“.

Mit FRITZ!OS 6.51 wurde dann zusätzlich das Installieren von unsignierten Firmware-Images unterbunden, sodass auch keine Pseudo-Images mehr funktionierten. FRITZ!OS 6.60 und 6.80 brachten weitere Sicherheitsupdates, sodass die Einrichtung eines Shell-Zugangs weiter erschwert wurde.

Doch was mache ich, wenn ich die derzeit aktuellste Version 6.83 auf meiner FRITZ!Box habe und dennoch einen Shell-Zugang nachrüsten möchte? Keine Angst, auch hier gibt es Möglichkeiten, dies zu erreichen. Ich stelle euch drei relativ simple Methoden vor. Ich möchte hier nur grob den Weg vorgeben und keine ausführliche Anleitung mit Bildern veröffentlichen, da dies meine Zeit leider nicht hergibt.

Downgrade (Recover)

Für jede FRITZ!Box stellt AVM sogenannte Recover-Firmwares bereit. Dabei handelt es sich um ein Wiederherstellungsprogramm, welches den Router wiederherstellen und auf den Werkszustand zurücksetzen kann. Das Programm ist als EXE verfügbar und kann deshalb nur unter Windows eingesetzt werden. Mit Hilfe des Recover-Images lässt sich die FRITZ!Box auf eine ältere FRITZ!OS-Version “downgraden”, was ansonsten nicht möglich ist. Mit älteren Versionen könnt ihr deutlich einfacher einen Shell-Zugang erlangen. Das Recover-Image mit Version 6.50 ist eine gute Wahl.

Die Recover-Images werden direkt von AVM bereitgestellt und können z.B. unter https://service.avm.de/downloads/downgrade/ bezogen werden. Teilweise kommt es vor, dass AVM ältere Versionen löscht, daher solltet ihr die Recover-Images auf eurer Festplatte sichern. Wenn bei AVM keine geeignete Version mehr verfügbar ist, können diese eventuell noch aus anderen Quellen im Internet besorgt werden.

Sobald die FRITZ!Box mit Version 6.50 läuft, kann ShellInABox nachinstalliert werden. Genauere Infos dazu findet ihr natürlich im IP-Phone-Forum: “modfs-Starter – “Einmal-Impfung” mit ShellInABox für VR9-Boxen“. Anschließend kann modfs installiert werden, womit ihr dann wieder auf 6.83 updaten könnt, bei gleichzeitigem Telnet-Zugang.

Interne Firmware

Bei bestimmten Modellen existieren “interne” Firmware-Versionen, die inklusive aktiviertem ShellInABox und Telnet-Service daherkommen. Ein weiterer Vorteil ist, dass sie direkt über die Weboberfläche installiert werden können, da die Firmwares signiert sind.

Allerdings sind die Downloadlinks schwer zu finden. Alternativ könnt ihr selbst versuchen, euch den passenden Link zu erstellen: “Update-Check über den neuen AVM-Service“.

Ebenso sollten die Nachteile dieser Methode nicht verschwiegen werden. Erstens handelt es sich um interne Testversionen, die vermutlich viele Fehler beinhalten und daher im Betrieb Probleme machen könnten. Zweitens ist der Wechsel zurück auf eine offizielle Version eher unbequem.

Weitere Varianten

PeterPawn aus dem IPPF hat in seinem Thread “FRITZ!Box 7580 ohne Shell-Zugang … was nun?” eine weitere mögliche Variante aufgezeigt und ausführlich erklärt.

Kategorien: Hardware Software & Apps Tutorials

Diese Apps sollten auf keinem Smartphone fehlen

4. Juli 2017, 15:46 · von · 0 Kommentare

Android Apps

In der heutigen mobilen Welt ist das Smartphone kaum mehr wegzudenken. Einige verteufeln es, andere sehen es als notwendiges Übel an, aber die Mehrheit möchte doch kaum mehr einen Tag ohne ihr geliebtes Handy auskommen. Dabei spielt es keine Rolle, wozu es genutzt wird: ob beruflich, zum Zeitvertreib, dem Online Shopping, dem Chatten mit Freunden oder einfach nur, um seinen Alltag mit den vielen nützlichen Funktionen sowie Apps besser zu strukturieren und sich entsprechend in der Offline Welt besser zurechtzufinden. In diesem Beitrag erfahrt ihr alles zu den Apps, die auf eurem Smartphone auf gar keinen Fall fehlen sollten.

Bei vielen sind Messenger bzw. die sogenannten Chat-Dienste auf dem Smartphone längst Standard, dennoch möchte ich an dieser Stelle die beliebtesten Apps zum Chatten und dem Austauschen von Fotos sowie Videos nicht unerwähnt lassen. Weltweit zu den am meisten genutzten und beliebtesten Messenger-Diensten zählt WhatsApp von dem 2009 im kalifornischen Santa Clara gegründeten Unternehmen WhatsApps Inc. Laut dem Unternehmen selbst wird die App, bei dessen Namen es sich um eine Mischung aus „Whats up?“ und dem Wort „App“ handelt, mittlerweile weltweit von mehr als einer Milliarde Menschen genutzt. Neben WhatsApp findet sich auf ganz vielen Smartphones auch immer häufiger die mobile Version des kostenlosen Online-Telefon Dienstes Skype, die sowohl zur kostenlosen Telefonie als auch zum Austausch von Nachrichten genutzt wird und mittlerweile zur absoluten Must-have App avancierte. Solltet ihr Freunde in Asien haben, sei euch auf jeden Fall WeChat geraten.

Neben den nicht mehr wegzudenkenden Instant Messenger-Diensten dürften vor allem Kalender-Apps zu den hilfreichsten Anwendungen auf eurem Smartphone zählen. Doch welches ist die passende App für euch, die flexibel genug ist und sich auch euren Bedürfnissen anpasst? In den App-Stores des World Wide Webs findet sich ein ganzer Dschungel dieser kleinen Helfer, daher möchte ich euch an dieser Stelle die ein oder andere Kalender-App kurz vorstellen. Die aCalender App für Android ist eine der beliebtesten und meist genutzten Kalender-Apps im deutschsprachigen Raum. Für all diejenigen unter euch, die mit dem iPhone unterwegs sind, empfiehlt sich ein Blick in die Terminverwaltung und der App Fantastical2 mit der zudem Ereignisse, Termine und Erinnerungen ganz einfach mit Geschäftspartnern sowie Freunden geteilt werden können.

Auch Sprach- und Übersetzung- Apps sind definitiv ein nützliches Feature auf jedem Smartphone, gleich ob ihr euch auf ein Business-Meeting vorbereitet oder einfach nur im Ausland befindet. Apps wie Duolingo oder die mobile Variante des Sprach- und Übersetzungsassistenten von Babbel unterstützen euch effizient bei euren Aufgaben.

Neben den zahlreichen nützlichen Apps dürfen natürlich auch Anwendungen zum spielerischen Zeitvertreib auf gar keinen Fall fehlen – sei es einfach um Langeweile zu überbrücken, Stress abzubauen oder sich die Zeit zu vertreiben, während man auf den nächsten Bus oder Zug wartet. Wir möchten euch diesbezüglich zwei spannende Apps nahelegen. Den Anfang macht der allseits beliebte Klassiker Tetris, bei dem ihr Stein für Stein eure Skills beim spannenden Geschicklichkeitsspiel sukzessiv steigern könnt. Hauptaufgabe ist es die je nach Level immer schnell herunterfallenden Steine, die in unterschiedlicher Form daherkommen, vor dem Berühren des Bodens einer vollständigen Reihe, entsprechend anzuordnen. Noch mehr Geschicklichkeit, Strategie und Spannung erwartet euch bei dem neuesten Unterhaltungsspaß der PokerStars App für Android und iOS. Hier kommen mit Sicherheit alle Fans des beliebten Kartenspiels voll auf ihre Kosten – und das vollkommen unabhängig von Ort und Zeit. Und das beste Feature: Euer Pokerface könnt ihr direkt zu Hause lassen, denn das sieht digital niemand.

Last but not least dürfen Apps als Orientierungshilfe in unserer Umgebung nicht fehlen. Auch wenn wir immer mal wieder von Unfällen lesen, weil wir uns zu sehr auf unser Navi verlassen und der eine oder andere in einem Fluss oder See landet, sollte uns das nicht davon abhalten Google Maps oder auch die App AroundMe als unmittelbaren Orientierungsassistent einzusetzen. AroundMe offenbart euch nicht nur Krankenhäuser, Hotels, Kinos und Restaurants in eurer unmittelbaren Nähe, sondern bietet auch in der Regel noch verlässliche Orientierung.

Das Smartphone mit der Vielzahl an Apps ist also kein Teufelswerk, sondern im Endeffekt ein ganz nützliches Helferlein. Die Geräte sind geradezu prädestiniert unser Leben in alltäglichen als auch außergewöhnlichen Situationen zu erleichtern, um mit Freunden in Kontakt zu bleiben, Termine von überall her abrufen zu können, Sprachbarrieren zu durchbrechen oder auch einfach um ungenutzte Zeit sinnvoll zu überbrücken.

Kategorien: Android Software & Apps

Wireshark: Besuchte URLs anzeigen (HTTP und HTTPS)

29. Juni 2017, 23:39 · von · 11 Kommentare

Wireshark 2.0 Icon

Ein Leser fragte mich, ob es mit Hilfe von Wireshark möglich ist, alle aufgerufenen Webseiten in einem Paketmitschnitt anzeigen zu lassen. Die kurze Antwort lautet ja. Allerdings ist dies nicht ganz so einfach zu realisieren, wie zunächst angenommen. Aus diesem Grund habe ich mich dazu entschlossen, einen eigenen Artikel für die Beantwortung dieser Frage zu verfassen. Darüber hinaus gibt es sicherlich mehrere Personen im Internet, welche die gleiche Frage stellen und sich über meinen Artikel freuen dürften.

Als Grundlage für das weitere Vorgehen setze ich einen vorhandenen Paketmitschnitt und eine aktuelle Version von Wireshark voraus. Beim Einsatz einer FRITZ!Box könnt ihr schnell und einfach einen Paketmitschnitt direkt am Router anfertigen. Dies funktioniert über die URL http://fritz.box/support.lua. Beim Anfertigen des Artikels kam Wireshark in Version 2.2.7 zum Einsatz.

HTTP-URLs

Hier ist anzumerken, dass alle HTTP-URLs angezeigt werden, wodurch es schnell unübersichtlich werden kann. Jeder Webseitenaufruf besteht aus mehreren HTTP-Requests, d.h. es wird nicht nur die URL des initialen Aufrufs angezeigt, sondern die URLs aller Requests. Heutzutage laden Webseiten viele Ressourcen von externen URLs nach, die dann ebenfalls in Wireshark auftauchen.

Das Anzeigen der HTTP-URLs ist relativ schnell erledigt. Wenn der Paketmitschnitt geladen wurde, reicht es aus, im Menü “Statistiken”, “HTTP” und “Anfragen” zu öffnen.

Wireshark HTTP-Anfragen

Jetzt erscheint ein Fenster, in welchem alle URLs angezeigt werden.

Wireshark HTTP-Anfragen

Die URLs können allerdings auch als Spalte im Hauptfenster von Wireshark angezeigt werden, was meiner Meinung nach komfortabler ist. Dazu sollte im Anzeigefilter zunächst nach HTTP-Requests gefiltert werden:

http.request

Anschließend einfach das erste Paket markieren und in der Detailansicht “Hypertext Transfer Protocol” aufklappen. Dort einen Rechtsklick auf die Zeile “Host: ” ausführen und dann im Menü “Als Spalte anwenden” klicken.

Wireshark HTTP-Hosts als Spalte setzen

Schon erscheint die neue Spalte “Host” und zeigt neben jedem HTTP-Paket die entsprechende Host-URL an. Mit einem Klick auf die Spalte können die Ergebnisse übersichtlich sortiert werden.

Wireshark HTTP-Hosts als Spalte

HTTPS-URLs

Immer mehr Webseiten wechseln auf HTTPS, weshalb die HTTPS-URLs selbstverständlich auch benötigt werden. Ohne HTTPS kann es heutzutage durchaus sein, dass man nicht mal die Hälfte der besuchten URLs erwischt. Durch die Verschlüsselung können die aufgerufenen URLs allerdings nicht eingesehen werden.

Glücklicherweise gibt es einen Workaround, der in den allermeisten Fällen die gewünschten Informationen auf einem anderen Weg beschaffen kann. Das Stichwort lautet “Server Name Indication (SNI)“. Durch diese Technik senden Clients beim Aufruf von HTTPS-Webseiten den Hostnamen im Klartext mit, was wir in Wireshark verwenden können.

Wir beginnen mit folgendem Anzeigefilter:

ssl.handshake.extensions_server_name

Anschließend ein Paket auswählen und in der Detailansicht “Secure Sockets Layer” aufklappen. Dann nacheinander “TLSv1.2 Record Layer: Handshake Protocol: Client Hello”, “Handshake Protocol: Client Hello”, “Extensions: server_name”, und “Server Name Indication extension” ebenso aufklappen. Auf den Eintrag “Server Name: ” rechtsklicken und “Als Spalte anwenden” auswählen.

Wireshark HTTPS-Host als Spalte setzen

Als Ergebnis erscheint die Spalte “Server Name”, die bei entsprechenden TLS-Paketen die Host-URL anzeigen.

Wireshark HTTPS-Host als Spalte

URLs automatisch exportieren

Falls der Paketmitschnitt sehr groß ist und eine Menge URLs zu erwarten sind, können alle URLs in einem Rutsch exportiert werden. Dies geschieht mit dem Kommandozeilenprogramm TShark, welches bei der Installation von Wireshark als separate Komponenten mitinstalliert werden kann. Folgender Befehl exportiert alle HTTPS-URLs in einem Paketmitschnitt:

tshark -r <Pfad_zum_Paketmitschnitt> -T fields -e ssl.handshake.extensions_server_name -R ssl.handshake.extensions_server_name

Für HTTP-URLs funktioniert das analog:

tshark -r <Pfad_zum_Paketmitschnitt> -T fields -e http.request -R http.request

DNS

Eine dritte Möglichkeit alle besuchten URLs herauszufinden ist DNS. Beim Aufruf einer Webseite wird der Hostname in eine IP-Adresse umgewandelt. Dies erfolgt via DNS, welches nicht verschlüsselt ist und somit ausgewertet werden kann. Sofern die IP-Adresse auf dem Client gecached oder in der HOSTS-Datei eingetragen ist, entfällt die DNS-Nachfrage.

Wie bei HTTP oder HTTPS beginnen wir wieder mit dem Anzeigefilter:

dns

Anschließend ein Paket auswählen, “Domain Name System”, “Queries” und die URL aufklappen. Dann einen Rechtsklick auf “Name: ” machen und “Als Spalte anwenden” auswählen.

Wireshark DNS als Spalte setzen

Die per DNS aufgelösten Hostnamen werden nun in der Spalte “Name” angezeigt.

Wireshark DNS als Spalte

Kategorien: Internet Software & Apps Tutorials

Adguard: Windows ISOs und mehr direkt von Microsoft herunterladen

28. Juni 2017, 18:26 · von · 0 Kommentare

Microsoft Logo

Wer im Internet auf der Suche nach ISO-Dateien von Microsoft-Produkten ist, wird schnell fündig. Allerdings handelt es sich dabei oft um inoffizielle ISOs oder um unseriöse Downloadquellen. In beiden Fällen sollte man besser die Finger davon lassen. Eine gute Alternative ist das TechBench-Programm von Microsoft. Dort bietet der Softwarekonzern Vertriebspartnern den Download von ISO-Dateien diverser Microsoft-Produkte an, die mit ein wenig Aufwand auch Otto Normalverbrauchern zur Verfügung stehen.

Allerdings ist es teilweise sehr schwierig die Downloadadresse herauszufinden. Des Weiteren ändert Microsoft hier oft was ab, wodurch die Suche nach gültigen Links wieder von Neuem beginnt. Eine gute Hilfe ist die Webseite Adguard. Dort werden alle erhältlichen ISO-Dateien aufgelistet und die Links zu den Downloads aktuell gehalten. Die übersichtliche Oberfläche führt dabei schnell und bequem zu gewünschten Download. Alle Downloads liegen auf Microsoft-Servern, Adguard stellt lediglich die Links bereit und hält diese aktuell.

Neben Windows 8.1 und 10 stehem auch Office 2013 und Office 2016 zum Download bereit. Darüber hinaus sind seit Neuestem auch virtuelle Maschinen im Angebot vorhanden.

Adguard - ISO-Downloads von Microsoft

Kategorien: Internet Windows

SMB 1.0 in Windows 10 bald standardmäßig deaktiviert

25. Juni 2017, 13:57 · von · 5 Kommentare

Windows 10 Logo

Bei SMB 1.0 (Server Message Block) handelt es sich um ein Uralt-Netzwerkprotokoll für Datei- und Druckdienste, welches nach über 30 Jahren leider immer noch Verwendung findet. Vor allem die Microsoft-Implementierung galt als fehleranfällig und sicherheitskritisch, was vor kurzem eindrucksvoll bewiesen wurde. Die im Mai 2017 aufgetauchte Ransomware WannaCry basierte auf einer Sicherheitslücke in SMB 1.0.

Schon 2014 deutete Microsoft eine Abschaltung von SMB 1.0 an, was jedoch bis heute nicht stattgefunden hat. In reinen Windows-Umgebungen dürfte Version 1.0 in der Regel nicht mehr notwendig sein, denn SMB 2.0 wird ab Windows Vista bzw. Server 2008 unterstützt. Teilweise kommen aber noch Windows XP und alte Samba-Versionen auf Linux zum Einsatz, die SMB 1.0 benötigen. Überraschenderweise setzen auch noch viele Produkte aus dem Enterprise-Umfeld auf die völlig veraltete Version.

Jetzt hat Microsoft einen neuen Vorstoß angekündigt:

For more information on why using SMB1 is unsafe, see StopUsingSMB1. SMB1 has been deprecated for years and will be removed by default from many editions and SKUs of Windows 10 and Windows Server 2016 in the RS3 release.

Demnach möchte Microsoft mit dem Erscheinen des Windows 10 Fall Creators Update (Version 1709) SMB 1.0 standardmäßig deaktivieren. Allerdings trifft dies nur auf Neuinstallationen zu, bestehende Systeme die auf Windows 10 1709 upgegradet werden, sollen davon nicht betroffen sein. Dies stellte Ned Pyle auch noch einmal gegenüber Bleeping Computer klar:

That date is now the release of Windows 10 Redstone 3, also referenced as the Fall Creators Update, scheduled for launch in October/November 2017.

After that day, every new Windows 10 or Windows Server 2016 OS you install will not have some or all of SMBv1 turned on, which is the norm right now.

This is not patching, nor upgrading. This is clean install RS3.

SMB 1.0 manuell deaktivieren

Wer keine Geräte mit SMB 1.0 mehr nutzt, kann die alte Version problemlos deaktivieren. Aus Sicherheitsgründen ist das auch stark anzuraten. Via PowerShell lässt sich leicht herausfinden, ob SMB 1.0 auf dem PC aktiviert ist oder nicht:

Get-SmbServerConfiguration | Select EnableSMB1Protocol

Die Deaktivierung bzw. Deinstallation kann ab Windows 8.1 bzw. Server 2012 R2 bequem über “Systemsteuerung” -> “Programme und Features” -> “Windows-Features aktivieren oder deaktivieren” erfolgen. Einfach den Haken bei “Unterstützung für die SMB 1.0/CIFS-Dateifreigabe” entfernen und neustarten.

SMB 1.0 deaktivieren

Alternativ kann das Feature auch per Registry, PowerShell oder via Gruppenrichtlinien deaktiviert werden. Microsoft hat einen Artikel dazu veröffentlicht, der alle Möglichkeiten ausführlich beschreibt.

Achtung! Wenn SMB 1.0 deaktiviert wird, funktioniert der Zugriff auf das NAS der FRITZ!Box (FRITZ!NAS) nicht mehr. Dieses Problem tritt auch bei neuen FRITZ!Boxen auf, da AVM anscheinend generell nur auf SMB 1.0 setzt. Als Alternative kann via FTP oder HTTP auf das NAS zugegriffen werden.

Kategorien: Windows Windows 10

Reisebericht Vancouver Kanada – Palo Alto Networks Ignite 2017

21. Juni 2017, 11:13 · von · 1 Kommentare

Beruflich habe ich schon seit einigen Jahren mit den Firewalls der Firma Palo Alto Networks zu tun. Aus diesem Grund hat es mich sehr gefreut, dass ich dieses Jahr das erste Mal an der Ignite Cybersecurity Conference von Palo Alto Networks teilnehmen durfte. Die Ignite 2017 fand vom 12. bis zum 15. Juni 2017 in Vancouver, Kanada statt. Als Location diente das wundervolle, direkt am Meer gelegene Vancouver Convention Center.

Am Sonntagabend fand eine DACH Welcome Reception zur Einstimmung auf das viertägige Ignite-Programm statt. Bei lockerer Atmosphäre und mit tollem Blick auf den Vancouver Hafen konnte ich erste Kontakte mit einigen Mitarbeitern von Palo Alto und anderen Kunden knüpfen.

Der erste Tag begann mit einem 5-Kilometer-Lauf für einen guten Zweck, den ich aber aufgrund von anhaltendem Jetlag nicht wahrgenommen habe. Anschließend folgten erste UTDs (Ultimate Test Drives) und HOWs (Hands-on Workshops).

Richtig spannend wurde es dann am Dienstag, als die “General Session” startete. Ich konnte mir einen Platz in der siebten Reihe sichern und war gespannt auf die Neuankündigungen.

Auch Nir Zuk, Gründer von Palo Alto Networks gab sich die Ehre und erzählte auf der Bühne ein wenig über seine zukünftigen Pläne. Selbstverständlich trug er wieder eins seiner legendären T-Shirts mit Affenmotiv. Alles in allem war ich von den Ankündigungen etwas enttäuscht, aber macht euch selbst ein Bild:

Zu zukünftigen PAN-OS-Versionen oder neuer Hardware wurde nichts berichtet, was allerdings fast zu erwarten war. Schließlich wurde erst im Februar 2017 neue Hardware und PAN-OS 8.0 vorgestellt.

Weiter ging es am Dienstagnachmittag mit diversen Breakout Sessions. Dahinter verbergen sich technische Vorträge, die in diverse Themengebiete geclustered wurden.

Am Mittwoch nahm ich mit 23 anderen Teilnehmern an der Cyber Range teil. In dieser Simulation war man Firewall-Admin einer Firmenumgebung mit Servern, Clients und sogar einem Produktionsnetz. Ziel war es das Firmennetz gegen verschiedenste Angriffe von außen und innen zu verteidigen. Dabei wurde die neueste Schadsoftware aus dem Internet (nur wenige Minuten alt) besorgt und quasi live auf die simulierte Firmenumgebung losgelassen. Die Session ging vier Stunden und war wirklich sehr interessant und eine tolle Erfahrung. Anschließend folgten für mich weitere Breakout Sessions, bevor später die Abendveranstaltung startete.

Dafür mietete sich Palo Alto Networks das BC Place Stadium und baute es zu einer tollen Location mit diversen Essens- und Spielmöglichkeiten um. Als Music-Act wurde die in den USA berühmte Rockband “Lifehouse” aufgeboten.

Am Donnerstag folgten nochmals diverse Breakout Sessions. Während viele Teilnehmer schon die Heimreise angetreten haben, habe ich noch die Zertifizierung zum Palo Alto Networks Certified Network Security Engineer (PCNSE) gewagt. Diese war bei rechtzeitiger Anmeldung sogar kostenlos. Trotz vieler kniffliger Fragen habe ich am Ende bestanden und darf mich über meine Zertifizierung zum PCNSE freuen!

PAN PCNSE7 Logo

Vancouver, eine schöne Stadt

Abgesehen von der Ignite hat Vancouver eine Menge zu bieten. Glücklicherweise war ich etwas länger vor Ort und konnte diese wunderschöne Stadt noch ein wenig genießen.

Wer in Vancouver ist, sollte auf jeden Fall einen Abstecher auf die kleine Halbinsel Granville Island, südlich von Downtown, machen. Das lebendige Einkaufs- und Kulturviertel kann mit diversen Shoppingmöglichkeiten und vielen Essensgelegenheiten aufwarten. Besonders interessant fand ich den Granville Island Public Market. In diesem Gebäude befinden sich viele kleine Shops und Stände, die diverse Leckereien anbieten. Besonders angetan haben es mir die Donuts von  Lee’s Donuts. Wer Mitbringsel für daheim sucht, sollte hier auch fündig werden.

Ein weiteres Must-See ist der über 400 Hektar große Stanley-Park, welcher viele tolle Plätze bietet und eine perfekte Zuflucht vor dem hektischen Stadtleben bietet.

Aber auch das Stadtzentrum (Downtown) hat einiges zu bieten:

Kategorien: Privat Sonstiges

Laptop günstig finanzieren – einfach und unkompliziert zum neuen Laptop

21. Juni 2017, 09:13 · von · 0 Kommentare

Geld

Viele kennen es: mit der Zeit wird der Laptop immer langsamer und auch der Akku hält längst nicht mehr so lange wie am Anfang, so dass der Platz für den transportablen Rechner eben doch direkt neben der Steckdose ist. Manchmal lässt sich nicht einmal mehr das neue Betriebssystem installieren. Spätestens jetzt denken viele Laptop-Nutzer über ein neues Gerät nach. Besonders Menschen, die auch beruflich auf den Laptop angewiesen sind, brauchen schnell einen Ersatz.

Laptop-Preise variieren je nach Anforderung

Obwohl Laptops längst nicht mehr so teuer sind wie noch vor einigen Jahren, haben die Geräte ihren Preis. Dabei variiert der Preis abhängig von den individuellen Bedürfnissen des Nutzer sowie der gewünschten Ausstattung. Für Leute, die mit ihrem Laptop nur ein wenig im Internet surfen möchten oder einfache Bürojobs erledigen, reichen Laptops mit einer geringeren Ausstattung aus. Anders sieht das allerdings bei Nutzern aus, die Games spielen oder anspruchsvolle Jobs erledigen, für die schnelle Prozessoren oder Festplatten mit viel Speicherplatz benötigt werden. Laptopnutzer müssen hier deutlich tiefer in die Tasche greifen.

Qual der Wahl: den passenden Laptop finden

Nutzer sollten sich vor dem Kauf eines neuen Geräts zunächst Gedanken über die notwendige Ausstattung machen. Was soll mit dem Laptop tatsächlich gemacht werden? Das ist die wichtigste Frage, die jeder individuell beantworten muss. Der Kaufpreis sollte bei der Kaufentscheidung nicht das primär ausschlaggebende Kriterium darstellen. Denn nur wenn Ausstattung und Leistung passen, wird der Nutzer mit dem neuen Laptop zufrieden sein und nicht bereits zeitnah wieder nach alternativen Geräten Ausschau halten. Auch preislich zahlt sich unter Umständen eine etwas teurere, aber qualitativ hochwertige Entscheidung im Vergleich zu mehreren günstigen Anschaffungen langfristig aus.

Auf die richtige Finanzierung kommt es an

Mittlerweile gibt es viele Vergleichsportale, die dabei helfen den günstigsten Preis für den gewünschten Laptop zu finden. Wenn das passende Angebot erst einmal entdeckt ist, stellt sich im nächsten Schritt die Frage nach der Finanzierung. Menschen, die zum Kaufzeitpunkt nicht über die erforderliche Summe verfügen, können unterschiedliche Finanzierungsmethoden nutzen. Für Selbstständige und Freiberufler, die zum Teil aufgrund eines unregelmäßigen Einkommens Schwierigkeiten mit einem herkömmlichen Bankkredit haben, stellt ein Kredit von privat eine geeignete Möglichkeit dar. Die Beantragung und Auszahlung des Geldes erfolgt nicht weniger unkompliziert als bei der Bank. Wegen der privaten Geldgeber haben hier auch Menschen mit einer mittelmäßigen Bonität, die z.B. aus schwankenden Einnahmen resultieren kann, eine höhere Chance auf einen Kredit, mit dem dann der neue Laptop finanziert werden kann.

Kategorien: Internet Sonstiges

Infos zum Microsoft-Patchday Juni 2017

14. Juni 2017, 03:45 · von · 2 Kommentare

Microsoft Logo

Gestern (zweiter Dienstag im Monat) läutete Microsoft den Patchday für Juni 2017 ein. Wie immer behebt Microsoft viele kritische Sicherheitslücken. Die am Ende des Artikels aufgeführte Tabelle gibt einen kurzen Überblick.

Beginnend mit April 2017 hat Microsoft die bisher verwendeten Sicherheitsbulletin-Webseiten durch den Leitfaden für Sicherheitsupdates ersetzt. Das neue Portal soll durch die vielfältigen Such- und Filterfunktionen einen besseren Überblick über neue Updates bieten.

Für jede Windows 10 Version veröffentlicht Microsoft ein eigenes kumulatives Update, welche die entsprechenden Windows 10 Versionen auf neue Build-Nummern hebt:

  • Windows 10 Version 1703 Build 15063.413
  • Windows 10 Version 1607 Build 14393.1358
  • Windows 10 Version 1511 Build 10586.962
  • Windows 10 Version 1507 (RTM) Build 10240.17443
Produktfamilie Maximaler Schweregrad
Maximale Auswirkung		 Neustart erforderlich? Zugehörige KB-Artikel und/oder Supportwebseiten
Windows 10 und Windows Server 2016 (einschließlich Microsoft Edge) Kritisch
Remotecodeausführung		 Requires restart Windows 10 RTM: 4022727; Windows 10 1511: 4022714; Windows 10 1607: 4022715; Windows 10 1703: 4022725; Windows Server 2016: 4022715.
Windows 8.1 und Windows Server 2012 R2 Kritisch
Remotecodeausführung		 Requires restart Windows 8.1 und Windows Server 2012 R2: 4022717 (reines Sicherheitsupdate) und 4022726 (monatlicher Rollup).
Windows Server 2012 Kritisch
Remotecodeausführung		 Requires restart Windows Server 2012: 4022718 (reines Sicherheitsupdate) und 4022724 (monatlicher Rollup).
Windows RT 8.1 Kritisch
Remotecodeausführung		 Requires restart Windows RT 8.1: 4022726. Hinweis: Updates für Windows RT 8.1 sind nur über Windows Update verfügbar.
Windows 7 und Windows Server 2008 R2 Kritisch
Remotecodeausführung		 Requires restart Windows 7 und Windows Server 2008 R2: 4022722 (reines Sicherheitsupdate) und 4022719 (monatlicher Rollup).
Windows Server 2008 Kritisch
Remotecodeausführung		 Requires restart Updates für Windows Server 2008 werden nicht in Form eines kumulativen Updates oder Rollups angeboten. Die folgenden Artikel beziehen sich auf eine Version von Windows Server 2008: 3217845, 4018106, 4019204, 4021903, 4021923, 4022008, 4022010, 4022013, 4022883, 4022884, 4022887 und 4024402.
Internet Explorer Kritisch
Remotecodeausführung		 Requires restart Internet Explorer 9: 4021558; Internet Explorer 10: 4022724 und 4021558; Internet Explorer 11: 4021558, 4022714, 4022715, 4022719 , 4022725, 4022726 und 4022727.
Microsoft Office, Office-Dienste, Office Web Apps und sonstige Software im Zusammenhang mit Office Kritisch
Remotecodeausführung		 May require restart Diese Veröffentlichung besteht aus 42 KB-Artikeln für Office-Komponenten, die hier nicht alle aufgelistet werden können. Links zu diesen Artikeln finden Sie im Leitfaden für Sicherheitsupdates oder besuchen Sie die Office TechCenter-Angebotsseite für Office-Downloads und -Updates.
Microsoft Silverlight Kritisch
Remotecodeausführung		 May require restart Microsoft Silverlight: 4023307.
Microsoft Lync und Skype for Busines Kritisch
Remotecodeausführung		 May require restart Microsoft Lync: 3191939; Skype for Business: 3203382
Adobe Flash Player Kritisch
Remotecodeausführung		 Requires restart Informationen von Microsoft zu Sicherheitsupdates für Adobe Flash Player: 4022730.

Kategorien: Windows Windows 10 Windows 7 Windows 8

Microsoft Rewards startet heute in Deutschland

12. Juni 2017, 07:40 · von · 0 Kommentare

Microsoft Logo

Vor Kurzem hat Microsoft bekannt gegeben, dass Microsoft Rewards nun auch nach Europa kommen wird. Das Bonusprogramm ist quasi der Nachfolger von Bing Rewards und startet heute (12.06.2017) in Deutschland. In den USA ist Microsoft Rewards schon seit Jahren verfügbar.

Teilnehmer am Programm können durch das Erledigen von verschiedenen Aufgaben Prämienpunkte sammeln, die anschließend in diverse Inhalte getauscht werden können. Beispielsweise lassen sich beim Kauf im Xbox und Windows Store entsprechend Punkte sammeln. Für die Nutzung der Suchmaschine Bing bekommt ihr ebenfalls Punkte gutgeschrieben.

Sobald ihr euer vorher definiertes Punkteziel erreicht habt, könnt ihr die Punkte umtauschen. Als Prämien stehen unter anderem Geschenkkarten für den Store, ein Groove Music Pass oder eine Xbox Live Gold Mitgliedschaft zur Verfügung.

Kategorien: Internet

Amazon Aktie erstmals über 1.000 US-Dollar

30. Mai 2017, 20:00 · von · 0 Kommentare

Amazon Logo

Vor rund zwei Wochen konnte Amazon einen historischen Handelstag feiern: Vor 20 Jahren, am 15. Mai 1997, ging das damalige Internet-Start-up Amazon an die Börse. Kurze Zeit später folgt nun ein weiterer historischer Tag: Die Aktie von Amazon (AMZN) notierte an der New Yorker Börse heute kurz nach Handelsstart das erste Mal über der Marke von 1.000 US-Dollar.

Amazon Aktie

Die Aktie wurde seinerzeit für 18 US-Dollar an die Anleger ausgegeben. Nach drei Aktiensplits in den späten 1990er-Jahren entspricht dies einem Ausgabekurs von lediglich 1,50 US-Dollar. Wer also von Anfang an in die Aktie investiert gewesen und auch geblieben wäre, hätte heute einen wahnsinnigen Gewinn. Aus einer Investition von 1.000 US-Dollar wären bis heute genau 666.666 US-Dollar geworden. Außer dem Chef Jeff Bezos wird sich wohl niemand mehr finden lassen, der so lange durchgehalten hat ;-)

Kategorien: Internet Sonstiges

Verschiedene Möglichkeiten zum Deinstallieren von MSI-Dateien

29. Mai 2017, 17:35 · von · 5 Kommentare

Windows Logo

MSI-Dateien sind Installationspakete für den Windows Installer. Die Abkürzung MSI stammt noch von der ursprünglichen Bezeichnung des Programms: Microsoft Installer. Der Windows Installer ist eine Laufzeitumgebung für Installationsroutinen unter Windows. Mit Hilfe von MSI-Paketen können Programme installiert, repariert und auch wieder deinstalliert werden.

Es gibt sehr viele unterschiedliche Möglichkeiten, um MSI-Pakete zu deinstallieren. Nachfolgend ein kleiner Überblick.

  1. Ursprüngliche MSI-Datei
    Falls noch die ursprüngliche MSI-Datei vorhanden ist, funktioniert eine Deinstallation schnell und einfach. Ein Rechtsklick auf die Datei öffnet das Kontextmenü und dort könnt ihr den Punkt “Deinstallieren” auswählen.
  2. Programme und Features
    Öffnet den Ausführen-Dialog (Windows-Taste + R) und gebt dort “appwiz.cpl” ein. Jetzt öffnet sich das Fenster “Programme und Features” der Systemsteuerung. Dort einfach die gewünschte Software heraussuchen und mit Klick auf den Button “Deinstallieren” entfernen.
  3. msiexec.exe via Kommandozeile
    Die Deinstallation kann auch via “msiexec.exe” erfolgen. Dazu einfach eine Eingabeaufforderung öffnen, msiexec.exe aufrufen und entweder den Pfad der originalen MSI-Datei angeben oder die GUID. Die GUID erhaltet ihr am schnellsten via PowerShell:

    get-wmiobject Win32_Product | Format-Table IdentifyingNumber, Name

    Falls die ursprüngliche MSI-Datei vorhanden ist sieht die Deinstallation folgendermaßen aus:

    msiexec.exe /x "c:\filename.msi" /q

    Alternativ kann auch via GUID deinstalliert werden:

    msiexec.exe /x "{11111111-1111-1111-1111-11111111111X}" /q

    Bei Microsoft existiert eine Übersicht aller Command-Line Options für msiexec.exe.

  4. Cached MSI-Datei
    Wenn die ursprüngliche MSI-Datei nicht mehr vorhanden ist, könnte man immer noch über die zwischengespeicherte MSI-Datei erfolgreich sein. Das funktioniert wie unter dem 1. Punkt beschrieben. Ab Windows 7 werden alle installierten MSI-Pakete unter “%SystemRoot%\Installer” gecached. Leider wird der ursprüngliche Namen nicht beibehalten, sondern die Dateien werden unter einem zufälligen Namen im Hex-Format abgelegt. Es existieren zwei Möglichkeiten, wie ihr die richtige MSI-Datei finden könnt. Im Windows Explorer müsst ihr euch die Spalte “Kommentare” einblenden lassen, dort seht ihr, um welche MSI-Datei es sich handelt:

    Alternativ wieder via PowerShell:

    get-wmiobject Win32_Product | Format-Table Name, LocalPackage
  5. PowerShell
    Mit Hilfe des genauen Namens könnt ihr die Software auch direkt per PowerShell deinstallieren. In der zweiten Zeile müsst ihr lediglich “NAME” mit dem richtigen Namen austauschen.

    get-wmiobject Win32_Product | Format-Table IdentifyingNumber, Name
$app = Get-WmiObject -Class Win32_Product -Filter "Name = 'NAME'"
$app.Uninstall()

    Falls ihr den Namen der Software nicht wisst könntet ihr alternativ auch folgenden Code nutzen:

    $app = Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like "*NAME*" }
$app.Uninstall()
  6. Third-Party-Tools (z.B. CCleaner)
    In manchen Fällen sind Third-Party-Tools eine gute Alternative. Erwähnen möchte ich hier lediglich CCleaner (Download), welchen ich schon seit zig Jahren immer wieder benutze.

Weitere Details und noch ein paar zusätzliche Methoden könnt ihr bei Stackoverflow. einsehen.

Kategorien: Software & Apps Tutorials Windows

Bundestag beschließt automatisierten Zugriff auf biometrische Passdaten

27. Mai 2017, 12:02 · von · 2 Kommentare

Die Bundesregierung Logo

Der Deutsche Bundestag hat letzten Donnerstagabend (18.05.2017) den Gesetzesentwurf zur “Förderung des elektronischen Identitätsnachweises” verabschiedet. Die große Koalition konnte sich gegen die Stimmen von Linken und Grünen durchsetzen. In den Medien liest man sehr wenig bis gar nichts davon, obwohl das neue Gesetz von Juristen und Datenschützern sehr kritisch gesehen wird und einen großen Einschnitt der Bundesbürger bedeutet.

eID-Funktion des neuen Personalausweises automatisch aktiviert

Primär soll durch das Gesetz die Nutzung des elektronischen Identitätsnachweises (eID) ausgeweitet werden. Nur rund ein Drittel der 51 Millionen neuen Personalausweise wurden für eID freigeschaltet. Davon wiederum nur 15 Prozent, also ca. 2,5 Millionen Bürger, haben die Onlinefunktion überhaupt schon einmal genutzt. Das möchte die Bundesregierung ändern und wird mit dem Gesetz die eID-Funktion aller Personalausweise im Scheckkartenformat zukünftig automatisch aktivieren. Das eigentliche Problem der geringen Nutzung wird dadurch aber nicht behoben, was in meinen Augen hauptsächlich an den spärlichen Nutzungsangeboten liegt.

Im Vorfeld der Abstimmung kritisierten Datenschützer die automatische Aktivierung und verwiesen auf eine Beeinträchtigung des Rechts auf informationelle Selbstbestimmung. Zumindest diesen Teil hat sich die Koalition zu Herzen genommen und das Gesetz vor der Verabschiedung leicht nachgebessert. Demnach sind alle Meldeämter verpflichtet, über die künftig standardmäßig aktivierte eID-Funktion zu berichten und über die nachträgliche Deaktivierung aufzuklären.

Muster des Personalausweises (Bild: Bundesministerium des Inneren)

Muster des Personalausweises (Bild: Bundesministerium des Inneren)

Automatisierter Zugriff auf biometrische Daten und Fotos

Das Gesetz enthält allerdings einen zweiten Punkt, der noch kritischer zu sehen ist. Damit wird zukünftig fast allen Behörden ein automatisierter Zugriff auf Pass- und Personalausweisdaten inklusive Fotos ermöglicht. Der Zugriff soll ohne Bedingungen und Einschränkungen erfolgen können.

Die Polizeibehörden des Bundes und der Länder, der Militärische Abschirmdienst, der Bundesnachrichtendienst, die Verfassungsschutzbehörden des Bundes und der Länder, Steuerfahndungsdienststellen der Länder, der Zollfahndungsdienst und die Hauptzollämter dürfen das Lichtbild zur Erfüllung ihrer Aufgaben im automatisierten Verfahren abrufen. (§ 25 Absatz 2 PAuswG in der neuen Fassung)

Bislang war ein automatisierter Zugriff nur in begründeten Situationen bzw. Ausnahmefällen erlaubt. Außerdem war der Zugriff für Steuerfahnder, Zollverwaltung, Polizei- sowie Ordnungsbehörden beschränkt. Geheimdienste hatten bisher keinen Zugriff.

Bundesweite Biometriedatenbank?

Laut Gesetz darf keine Biometriedatenbank errichtet werden: “Eine bundesweite Datenbank der biometrischen Merkmale wird nicht errichtet. (§ 26 Absatz 4 PAuswG)”. Mit der Gesetzesänderung würde eine solche Datenbank aber quasi durch die Hintertür ermöglicht, denn die Geheimdienste haben nun einen uneingeschränkten, automatisierten und nicht protokollierten Zugriff auf alle Daten.

Der Chaos Computer Club (CCC) teilt in einer Stellungnahme mit: “Der nun vorgesehene automatisierte Zugriff von Geheimdiensten auf die biometrischen Passbilder in elektronischer Form wäre ein Schritt in eine umfassende und kaum kontrollierte Überwachung.” Ebenfalls scharfe Kritik kommt vom ehemaligen Bundesdatenschutzbeauftragten Peter Schaar, welcher von einer “datenschutzrechtlichen Ungeheuerlichkeit” und “Big-Brother-Gesetz” spricht. Längerfristig sei laut Schaar damit zu rechnen, dass die Behörden die De-facto-Biometriedatenbank für eine automatische Videoüberwachung mit Gesichtserkennung nutzen würden.

Kategorien: Internet Sonstiges

Windows 10: Neue Methode zur Umgehung der Benutzerkontensteuerung (UAC)

25. Mai 2017, 17:18 · von · 1 Kommentare

Windows 10 Logo

Es gibt sehr viele Methoden, wie die Benutzerkontensteuerung (englisch User Account Control, kurz UAC) ausgehebelt werden kann. Einige der populärsten Methoden werden im Tool UACMe, welches bei Github erhältlich ist, zusammengefasst und zum Download angeboten. Die neueste UAC-Bypass-Methode bedient sich der “fodhelper.exe”. Weiter unten beschreibe ich die genaue Funktionsweise.

Zunächst jedoch ein paar allgemeine Informationen zur Funktionsweise und Problematik der Windows-Benutzerkontensteuerung.

Funktionsweise der UAC

Die Benutzerkontensteuerung wurde unter Windows Vista eingeführt. Das Ziel war die Sicherheit unter Windows zu erhöhen, da unter Windows XP fast alle Benutzer als Administratoren arbeiteten und damit eine hohe Anfälligkeit für Viren und andere Schädlinge bestand. Bei aktiver UAC arbeiten sowohl Administrator-Konten als auch Standard-Benutzerkonten mit normalen Benutzerrechten. Wenn für eine Aufgabe erhöhte Berechtigungen notwendig sind, fordert der Prozess administrative Berechtigungen von Windows an. Windows-Funktionen, die administrative Berechtigungen erfordern, sind mit einem Symbol markiert (siehe Screenshot).

Anschließend erscheint eine Anfrage der Benutzerkontensteuerung, die der Benutzer bestätigen muss. Dadurch soll eine ungewollte Vergabe von Administratorberechtigungen verhindert werden. Die UAC-Abfrage muss entweder nur mit “Ja” bestätigt (bei Verwendung eines Administrator-Accounts) oder explizit mit dem Administrator-Kennwort autorisiert werden (bei Verwendung eines Standard-Benutzerkontos).

UAC-Bypassing kurz erklärt

Viele User arbeiten unter Windows 7, 8 oder 10 immer noch mit Accounts, die Mitglied in der Administratoren-Gruppe sind. Genau diese Tatsache ist problematisch, egal ob dies unwissentlich oder bewusst geschieht. Einige Leser fragen sich jetzt bestimmt warum? Die UAC sollte doch immer einschreiten, sobald administrative Berechtigungen angefordert werden!? Prinzipiell schon, aber es existieren einige Ausnahmen.

Ab Windows 7 steht die Benutzerkontensteuerung standardmäßig auf der zweiten Stufe von oben:

UAC Standardeinstellungen

Diese Stufe bewirkt, dass bei Änderungen an Windows-Einstellungen keine UAC aufpoppt, sofern man unter einem Account arbeitet, der Mitglied in der Administratoren-Gruppe ist. Dies wird durch die Auto-Elevation von allen Windows-Executables bewerkstelligt. Wenn man also mit einem Administratorkonto arbeitet und Windows-Einstellungen anpasst, erscheint kein UAC-Dialog. Microsoft hat dieses Verhalten mit Windows 7 eingeführt, um den Komfort für die Benutzer zu erhöhen. Unter Windows Vista wurden nämlich die extrem häufigen UAC-Abfragen stark kritisiert.

Genau hier setzt das UAC-Bypassing an. Anschaulich erklärt kann sich Schadsoftware beispielsweise an eine Windows-EXE hängen, die per Auto-Elevation mit administrativen Berechtigungen gestartet wird. Die potenzielle Malware oder Ransomware kann also administrative Berechtigungen erlangen, ohne dass die UAC anschlägt. Da dies vollautomatisch im Hintergrund abläuft bekommt natürlich auch der Benutzer nichts mit.

Die Umgehung der UAC kann auf zwei Wege unterbunden werden. Entweder arbeitet man unter einem Standard-Benutzerkonto oder man setzt die UAC auf die höchste Stufe “Immer benachrichtigen”. Bei der ersten Variante poppt die UAC in solchen Fällen immer auf, da das Admin-Passwort benötigt wird. Die zweite Lösung wird von vielen Nutzern ungern gesehen, denn dann meldet sich die UAC deutlich häufiger als auf dem Standard-Level und man ist quasi wieder auf dem Niveau von Windows Vista.

UAC-Bypass via “fodhelper.exe”

Der deutsche Student Christian B. hat im Rahmen seiner Masterarbeit eine neue UAC-Bypass-Methode für Windows 10 entdeckt. Neben einem ausführlichen Blogartikel hat er zudem einen Proof of Concept bei GitHub veröffentlicht.

Die Methode setzt auf die “fodhelper.exe”. Diese Microsoft-Datei wird gestartet, wenn man in den Einstellungen unter Windows 10 auf den Link “Optionale Features verwalten” klickt (siehe Screenshot).

Windows 10 - Optionale Features Verwalten

Wie oben beschrieben wird auch diese EXE via Auto-Elevation mit administrativen Berechtigungen gestartet. Christian B. hat nun herausgefunden, dass die EXE beim Start in der Registry nach weiteren Befehlen sucht. Der betroffene Pfad lautet:

HKey_Current_User\Software\Classes\ms-settings\shell\open\command\(default)

Da es sich um “HKEY_CURRENT_USER” handelt, können die entsprechenden Einträge ohne spezielle Rechte bearbeitet werden. So ist es beispielsweise möglich, eine Kommandozeile oder eine PowerShell mit Administratorrechten und ohne UAC-Abfrage zu starten.

Diese Lücke ist relativ gefährlich und könnte schon bald von diversen Schädlingen ausgenutzt werden. Besonders kritisch ist der Umstand, dass dafür keine Datei auf der Festplatte liegen muss und kein DLL-Hijacking stattfindet. Außerdem findet keine verdächtige Aktion statt, denn der UAC-Bypass ist ja by design in Windows 10 implementiert.

Bis Microsoft diese Lücke schließt, könnten Monate vergehen. Ein Schutz dagegen existiert nicht wirklich. Lediglich die bereits oben erwähnten Tipps, entweder die Benutzerkontensteuerung auf die höchste Stufe zu stellen oder unter einem Standard-Benutzerkonto zu arbeiten. Aber auch in diesen Fällen ist keine wirkliche Sicherheit geboten. Es erscheint dann lediglich die UAC-Meldung für die “fodhelper.exe”. Dass diese bei Bestätigung der UAC im Hintergrund dann den Registryschlüssel auswertet und weitere Programme mit Adminrechten nachlädt, kann nicht verhindert werden. Hier hilft nur der gesunde Menschenverstand weiter: Wurde der UAC-Dialog durch meine Tätigkeit geöffnet oder erschien er aus “heiterem Himmel”? Falls der zweite Fall zutrifft sollte man den Dialog auf keinen Fall bestätigen.

Kategorien: Windows Windows 10