Datenschutz & Sicherheit
Mini-Shai-Hulud-Klon Miasma nimmt Red Hat ins Visier
Ende Mai haben Cyberkriminelle in einer Lieferkettenattacke, die mittels eines Mini-Shai-Hulud-Klons erfolgte, bösartige Versionen von npm-Paketen verbreitet. Ziel der Malware, die sich selbst Miasma nennt, waren die Managed Cloud Services von Red Hat. Mittlerweile sind keine bösartigen Paketversionen mehr im Umlauf. Sicherheitsexperten raten dennoch dazu, die Credentials zu rotieren.
Weiterlesen nach der Anzeige
Miasma ist eine Variante des Shai-Hulud-Wurms. Sie brachte den Sicherheitsforschern von Socket zufolge 96 bösartige Versionen von 32 npm-Paketen in Umlauf, die sich dem Namespace @redhat-cloud-services zuordnen lassen. Insgesamt gab es drei Angriffswellen, die sich jeweils auf kompromittierte Konten von Projekt-Maintainern zurückführen lassen.
Laut Red Hat wurden alle drei Wellen mittlerweile gestoppt. Dabei betonte der Anbieter, dass die betroffenen Pakete ausschließlich für die interne Entwicklung bestimmt gewesen seien. Ein Einfluss auf Kundenumgebungen oder Produktivsysteme sei bislang nicht festgestellt worden.
Betroffene Pakete sind unter anderem @redhat-cloud-services/vulnerabilities-client, @redhat-cloud-services/tsc-transform-imports, @redhat-cloud-services/topological-inventory-client, @redhat-cloud-services/sources-client und @redhat-cloud-services/rule-components. OX Security hat nachgezählt, dass sie zusammen wöchentlich auf mehr als 100.000 Downloads kommen.
Autogramm in der README.md
Miasma folgt dem klassischen Mini-Shai-Hulud-Schema: Die Malware nutzt gestohlene Credentials, um manipulierte npm-Pakete in der CI/CD-Lieferkette zu platzieren. Die saugen dann eine Vielzahl sensibler Informationen ab, darunter Zugangsdaten zu Amazon Web Services (AWS) sowie SSH-Schlüssel, Crypto-Wallets, npm- und GitHub-Tokens. Die gestohlenen Daten landen verschlüsselt in einem neuen GitHub-Repository, das die Malware anlegt. Von Miasma kompromittierte GitHub-Konten lassen sich an der Textzeile „Miasma : The Spreading Blight“ in der README.md erkennen.
Der Cyberangriff von Miasma folgt dem Infektionsschema anderer Lieferkettenattacken, die unter der Eigenbezeichnung Mini Shai-Hulud laufen und es seit Ende April unter anderem auf npm-Pakete von SAP und TanStack abgesehen haben. Und er könnte mit der Cybergang TeamPCP in Verbindung stehen, die Mitte Mai den Quellcode des npm-Wurms Shai-Hulud auf GitHub veröffentlichte und parallel dazu zu einem Wettbewerb um den größten Supply-Chain-Angriff aufrief. Kurz danach erschienen die ersten Klone, von denen einer kürzlich AntV ins Visier nahm.
Weiterlesen nach der Anzeige
(mro)
Datenschutz & Sicherheit
Darknet Diaries Deutsch: Nackt im Netz – Teil 1
Dies ist der erste Teil von „Nackt im Netz“. Der zweite Teil wird in einer Woche veröffentlicht. Im Englischen Original von Jack Rhysider trägt diese Episode den Namen „Revenge Bytes“.
Weiterlesen nach der Anzeige
Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.
JACK: Okay, gleich vorweg eine inhaltliche Warnung. In dieser Folge geht es um sexuell explizite Themen. Wir sprechen über Nacktheit, und es wird auch geflucht – diese Episode ist also für erwachsene Hörer. Ihr seid gewarnt.
Okay, also – sind schon mal Nacktfotos online geleakt worden? Vielleicht ja. Ihr wisst es vielleicht nur nicht, denn da draußen passieren wirklich verrückte Dinge. Lasst es mich erklären. Erstens hat die Polizei Zugriff auf einige ziemlich heftige Werkzeuge – Datenbanken, die das Internet durchsuchen und dann jede Menge Informationen über eine Person speichern. Das soll wohl Ermittlungen unterstützen, damit Beamte schnell und einfach an alle möglichen Daten zu einer Person kommen. Sie sehen euren Familienstand, eure Adresse, euren Job, euer Gehalt, euer Auto, eure Flugdaten, eure Social-Media-Konten und natürlich auch Fotos von euch. Nun ja, einige Polizisten sind dabei erwischt worden, dieses Werkzeug zu missbrauchen. Ein Beamter wurde dabei ertappt, wie er auf Tinder nach Dates suchte – das ist okay. Polizisten dürfen auf Tinder nach Dates suchen. Aber er hat seine Matches in dieser Polizeidatenbank überprüft. Ein anderer Polizist nutzte die Datenbank, um eine Frau zu stalken, in die er verknallt war, und ein dritter, Bryan, ufff – der versuchte, mit dem Werkzeug Nacktfotos von Frauen zu finden.
Er nutzte seinen Zugang, um Informationen über Frauen zu sammeln, und arbeitete dann mit einem Hacker zusammen, um in deren Konten einzudringen und an Nacktfotos zu kommen. Ja, ein Polizist hat seine Macht missbraucht, um Nacktfotos von Frauen zu stehlen, und versuchte dann, sie damit zu erpressen. Dafür ist er ins Gefängnis gewandert. Aber es spielt eigentlich keine Rolle, ob es nun ein Polizist war oder nicht. Allein die Vorstellung, dass ein Hacker in euer Konto einbrechen und private Fotos von eurem Handy stehlen kann, ist ein riesiges Problem. Ich habe unzählige Geschichten gelesen von Männern, die Kameras an Orten platziert haben, wo sie nichts zu suchen haben – in Damentoiletten, in Umkleiden. Und mit immer kleineren, immer schwerer zu entdeckenden Kameras wird das Problem nicht kleiner. Aber tatsächlich installiert ihr selbst auch jede Menge Überwachungskameras in euren Wohnungen. ADT zum Beispiel ist eine Sicherheitsfirma, bei der ihr Kameras in eurem Zuhause platzieren könnt, um eure Sicherheit zu überwachen. Aber ratet mal: Ein ADT-Mitarbeiter wurde dabei erwischt, wie er seinen Zugriff missbrauchte und Frauen sowie Menschen beim Sex in ihren Wohnungen ausspionierte und Screenshots von ihnen machte.
Ach, und vergessen wir nicht LOVEINT. Der Begriff wird verwendet, wenn Geheimdienstmitarbeiter ihre Spionagebefugnisse nutzen, um ihre Liebespartner auszuspionieren. Es gibt dokumentierte Fälle, in denen NSA-Mitarbeiter ihren Zugriff auf die nationale Überwachungsinfrastruktur genutzt haben, um zu prüfen, ob ein Partner fremdgeht, oder um jemanden, an dem sie Interesse hatten, genauer im Auge zu haben.
Es gibt also jede Menge Fälle da draußen, die zeigen, wie eure Nacktfotos geleakt werden können, ohne dass ihr irgendetwas falsch gemacht habt. Denkt mal darüber nach, wenn ihr das nächste Mal eine Kamera seht – und wahrscheinlich seht ihr jeden Tag unzählige Kameras. Bei all unseren vernetzten und smarten Geräten sind wir nicht die Einzigen, die sie steuern können. Und die Leute, die Zugriff auf eure Kamera haben, können diesen Zugriff missbrauchen – und sie werden es tun. Vielleicht ist die Kamera auch einfach nur unsicher und jemand, der eigentlich keinen Zugriff haben sollte, kommt rein. Kameras sind heute allgegenwärtig in unserem Leben, macht euch bewusst, dass ihr nicht darauf vertrauen solltet, dass sie euer Privatleben privat halten. Denkt mal an all die Orte, an denen ihr nackt vor einer Kamera seid. Heutzutage nimmt doch jeder sein Handy mit auf die Toilette – – – oder?
Der Albtraum beginnt
Weiterlesen nach der Anzeige
JACK: Okay, also – lass uns einfach erstmal kurz’n bisschen kennenlernen. Wie heißt du, und wie sah dein Leben aus, bevor das alles angefangen hat?
MADISON: Ich heiße Madison, und meine Güte, das ist – die erste Frage, die du mir stellst, ist schon ziemlich schwer, weil ich mich kaum noch erinnern kann, wie mein Leben vorher war.
JACK: Madison, kein Problem. Ich versuche zu helfen. Madison ist in Florida aufgewachsen und ging nach der Highschool auf ein College in Florida.
MADISON: Ich habe Marketing und Kommunikation studiert.
JACK: Madison hat eine Zwillingsschwester namens Christine.
CHRISTINE: Ja.
MADISON: Ja, also, meine Zwillingsschwester und ich sind damals auf dasselbe College gegangen.
JACK: Christine wollte Anwältin werden, und an der Uni lernte sie einen Typen kennen.
CHRISTINE: Dana war in einer Verbindung, ich war in einer Mädchenverbindung, und wir wurden für die Homecoming-Feier zusammengelost. Er war damals der Präsident seiner Verbindung, und ich war für meine Verbindung als Homecoming Queen nominiert.
JACK: Dana, was hast du an der Uni gemacht?
DANA: Ich bin Verkehrspilot und war damals in meiner Ausbildung. Ich hab Luffahrt studiert und das Fliegen im College gelernt.
JACK: Dana war damals ziemlich aktiv in seiner Studentenverbindung; er traf sich mit den Jungs, schloss Freundschaft mit ihnen und knüpfte zu ein paar von ihnen andauernde Freundschaften. Christine aber war diejenige, die ihm am meisten gefiel. Dana und Christine fingen dann auch an, sich im College zu verabreden. Manchmal kam sie vorbei und verbrachte auch Zeit mit den Jungs aus der Studentenverbindung. Sie lernte einige von ihnen ziemlich gut kennen, und natürlich lernte Dana mit der Zeit auch Christines Zwillingsschwester Madison kennen.
DANA: Ich weiß nicht, ob du jemals Mary-Kate und Ashley Olsen gesehen hast – aber das waren so ihre Idole, als sie aufwuchsen. Die beiden haben ja so ein Art „wir lösen jeden Fall noch vor dem Abendessen“-Mentalität. So sind Christine und Madison auch seit sie fünf Jahre alt sind.
MADISON: Ich war so um die neunzehn oder zwanzig, und ich erinnere mich, dass ich aufgewacht bin, und – eine Bekannte aus der Highschool hatte mir eine Direktnachricht geschickt: Hey, jemand belästigt dich im Internet und postet Fotos von dir. Ich war nur so: Was? Nein. Schick mir Links. Was ist los?
JACK: Sexuell explizite Bilder von Madison waren öffentlich im Internet gepostet worden – für jeden zu sehen.
MADISON: Auf den Fotos war ich bedeckt, aber – ich nenne das Nip-Slips.
JACK: Diese Fotos entstanden im Rahmen eines Fotoshootings, das sie mit einem Fotografen in Florida gemacht hat. Eigentlich sollten sie keine Nacktszenen zeigen. Aber als sie sich während des Shootings bewegte, wurde ihre Brustwarze auf einigen Fotos teilweise sichtbar – doch das waren Fotos die eigentlich nur bei ihrem Fotografen hätten bleiben sollen. Niemand hätte diesen Nippelblitzer sehen dürfen. Wie konnte das passieren?
MADISON: Ich weiß bis heute nicht genau, wo die Leute die herhatten.
JACK: Wo wurde es gepostet?
MADISON: Also, da war 4chan – das ist die große Plattform, die du sicher kennst.
JACK: Mhm.
MADISON: Eine Zeit lang war es auch moe.com und 4archive, das ist eine Archivseite für 4chan. Dann gibt es motherless.com. Es gibt noch einige weitere, aber 4chan und das 4chan-Archiv sind die größten – diese richtig üblen Webseiten, auf denen sich Leute herumtreiben.
JACK: Okay, also wurden ihre Fotos nicht nur dort hochgeladen, sondern derjenige, der sie postete, schrieb auch noch Sachen wie: Helft mir, mehr Nacktfotos von ihr zu finden – und postete ihren Namen und ihre Daten zusammen mit den Fotos.
MADISON: Ja, ich glaube, es war mein vollständiger Name, mein Snapchat, mein Facebook und meine Telefonnummer.
JACK: Könnt ihr euch vorstellen, aufzuwachen und auf verschiedenen Webseiten Beiträge zu finden mit Fotos von euch, wo ihr teilweise nackt zu sehen seid? Beiträge, in denen jemand andere dazu aufruft, euch ins Visier zu nehmen, euch zu verletzen und mehr Nacktfotos von euch zu beschaffen? Klingt schlimm.
MADISON: Ich glaube, meine erste Reaktion war einfach Schock und Hilflosigkeit, weil ich nicht wusste, wer mir das antun wollte. Das war wahrscheinlich das Schlimmste – dass das jemand war, der mich vielleicht kannte oder auch nicht, der mir aber schaden wollte, und ich keine Ahnung hatte, wer es war. Das war sehr beängstigend.
JACK: Auf 4chan ist jeder anonym. Es gibt also kaum Anhaltspunkte, um herauszufinden, wer das sein könnte. Es ist ein anonymer Nutzer. Da aber in dem Beitrag ihre Social-Media-Profile aufgelistet waren, bekam sie jetzt seltsame Nachrichten und SMS.
MADISON: Das war schrecklich, weil mein Handy zu bestimmten Zeiten buchstäblich nonstop explodierte. Natürlich nie an einem Dienstagmittag, sondern um 3 oder 4 Uhr nachts an einem Montag, wenn man am nächsten Tag arbeiten muss. Es war ziemlich übel. Selbst Kleinigkeiten – das klingt vielleicht blöd, aber um mein Handy ausschalten zu können, musste ich mir einen Wecker kaufen. Unsere Handys sind ja unsere Wecker. Mitten in der Nacht musste ich also mein Handy ausschalten und habe dann verschlafen und kam zu spät zur Arbeit, weil ich einfach mal etwas Schlaf brauchte, um am nächsten Tag einen normalen Tag zu haben. Das Handy war also damals das Schlimmste. Am Anfang habe ich noch geantwortet, wenn mich Leute angeschrieben haben – ich habe versucht, herauszufinden, wer es ist. Damals wusste ich noch nicht, dass es mehrere Leute waren. Es hat wirklich lange gedauert, das ganze Ausmaß zu begreifen – was die Leute vorhatten und wie sie es taten. Es hat mich offensichtlich nicht weit gebracht.
JACK: Aber sie speicherte alles – Nachrichten, Telefonnummern und Benutzernamen –, falls irgendwann ein Sinn darin auftauchen würde. Es war nicht nur einmal. Wer auch immer das gepostet hatte, tat es unermüdlich, immer und immer wieder, Woche für Woche, und führte diese Kampagne gegen sie fort. Das gefiel ihr nicht. Sie wollte nicht, dass ihre Nacktfotos online sind. Sie wollte die Belästigung stoppen, dass die Nachrichten auch aufhören. Aber wie schafft man das?
Weil die Situation peinlich ist, fällt es einem wohl auch schwer, irgendjemanden um Hilfe zu bitten. Was willst du machen – deinen Vater bitten, dabei zu helfen, herauszufinden, wer Fotos von deinen halb entblößten Brustwarzen gestohlen hat? Nein, um Gottes willen. Aber sie hatte einen Freund, und den bat sie um Hilfe. Er fing an, der Sache nachzugehen. Weil sie ihrer Zwillingsschwester Christine so nah stand, wandte sie sich irgendwann panisch an Christine.
CHRISTINE: Okay, lass uns mal kurz durchatmen. Das wird sich legen. Du bist jung. Es ist keine große Sache. Aber dann wurde es immer schlimmer und schlimmer und schlimmer. Also haben wir versucht, es bei der Polizei zu melden. Ich war also irgendwie involviert, habe meiner Zwillingsschwester geholfen, mit der Polizei zu kommunizieren, recherchiert. Zu diesem Zeitpunkt war ich im Jura-Studium oder kurz davor, also – ich war noch keine Profi, aber ich war ein bisschen besser ausgerüstet, um zu recherchieren, Leute zu kontaktieren. So bin ich anfangs reingerutscht – ich wollte einfach meiner Schwester helfen, mit dieser schrecklichen Sache umzugehen.
JACK: Sie mussten sich hinsetzen und erstmal verstehen, wie diese Webseiten überhaupt funktionieren. Und es war für die Schwestern wirklich heftig, sich dafür auf 4chan herumzutreiben, dieser Ort ist einfach grauenhaft.
Die Menge an Gewaltdarstellungen und Pornografie, die sie gesehen haben müssen, hat wahrscheinlich für immer Narben hinterlassen. Es ist ein echt hässlicher Ort. Es ist die Unterwelt des Internets, und sie waren da unterwegs, um die Moderatoren zu finden, fragten sich, warum Beiträge nach einer Weile verschwinden. Wo gehen die hin? Kann man andere Nutzer hier anschreiben? Kann man die Seite bitten, Beiträge zu entfernen? Was ist das für eine merkwürdige Sprache, die die Leute benutzen – Sauce, Winds, Sage? Welche anderen Seiten greifen diese Inhalte ab, hören mit, beobachten, archivieren? Und wie bringt man diese Seiten dazu, Fotos zu entfernen? Hat das alles irgendwelche rechtlichen Konsequenzen? Während Christine das intensiv erforschte, machten Madison und ihr Freund einen Trip in die Florida Keys. Die Florida Keys sind ja für ihre wunderschönen Sonnenuntergänge bekannt, und Madison war am Strand und schaute sich so einen wunderschönen Sonnenuntergang an. Sie zückte ihr Handy und machte ein Foto davon. Sie postete es auf Snapchat und bekam fast augenblicklich eine SMS von einem Fremden auf ihr Handy.
Der Täter ist näher als gedacht
MADISON: Ich bekam eine Nachricht: „Was für ein wunderschöner Sonnenuntergang, den du gerade gesehen hast. Ich hoffe, du hast Spaß in den Keys mit Jeff“ – meinem damaligen Freund.
JACK: Was soll das, warum wird sie nicht in Ruhe gelassen und belästigt? Lasst Leute einfach ihren Urlaub genießen, ohne ihnen hinterherzuschleichen. Das hat Madison jedenfalls erschüttert. Sie war völlig durch den Wind. Wer beobachtet ihren Snapchat so genau? Moment mal, das ist eine gute Frage. Wer beobachtet ihren Snapchat?
MADISON: Bei Snapchat sieht man ja, wer die Bilder angesehen hat. Also bin ich sofort auf Snapchat gegangen und habe einen Screenshot von den Leuten gemacht, die das Foto gesehen hatten. Ich dachte: Es muss einer von denen sein – zu dem Zeitpunkt hatten wahrscheinlich 35 Leute es gesehen. Das waren nicht viele Leute, aber eben auch nicht nur eine Person. Also habe ich sofort einen Screenshot gemacht und das mal in der Hinterhand behalten.
JACK: Okay, ein guter Hinweis, denn das schränkt es wirklich ein. Die Belästigung ging nun schon so lange, dass sie ihre Social-Media-Konten auf privat gestellt hatte. Nur Leute, die sie kannte, durften die Fotos sehen, die sie postete. Ihr Belästiger könnte also jemand sein, den sie kannte?
MADISON: Diese 35 Leute waren zu diesem Zeitpunkt meine Verdächtigen, und das war wahrscheinlich vier oder fünf zwei Jahre nach Beginn der Belästigung. Es lief schon eine ganze Weile.
JACK: Zwei Jahre.
MADISON: Ja.
JACK: Zwei Jahre. Oh mein Gott. Wir haben noch nicht mal richtig angefangen, und schon zwei Jahre. Das ist so furchtbar.
MADISON: Ja.
JACK: Zwei Jahre Belästigung. Ich dachte, wir sind erst’n paar Monate drin.
MADISON: Nein.
JACK: So lange so übel belästigt zu werden, das zermürbt einen Menschen. Es ist harte Arbeit, sich durch 4chan zu wühlen oder zu versuchen, die einzelnen Punkte zu verbinden – nichts, was man im Urlaub machen will. Man will sich davon entfernen, nicht den Dreck aufsammeln und daran schnuppern. Sie schickte die Information also an ihre Schwester und versuchte wirklich, sich davon nicht runterziehen zu lassen, aber die belästigenden Beiträge und SMS kamen einfach immer weiter, und immer mehr. Wer auch immer das war, postete weiter auf all diesen Webseiten dieselben Nip-Slip-Fotos und ihre Kontaktdaten, und Leute riefen sie an und schrieben ihr Nachrichten.
MADISON: Ja, und irgendwann legte er nochmal eine Schippe drauf und gab meine Privatadresse heraus, die Social-Media-Profile meiner Eltern, die meiner Schwester und weitere Informationen. Das war ungefähr zur gleichen Zeit wie die Sache in den Keys, vielleicht in derselben Woche oder kurz danach. Er hatte eine Collage aus Fotos und Informationen zusammengestellt – ein paar Nacktfotos von mir, Facebook- und LinkedIn-Profilbilder von mir, meiner Familie, alle ihre Daten unter dem Foto von mir und meiner Familie, meine Privatadresse und verschiedene andere Informationen. Zu dieser Zeit drehte er definitiv auf und langweilte sich wahrscheinlich mit dem, was er vorher gemacht hatte. Meine Privatadresse da draußen zu wissen, war definitiv sehr beängstigend – wenn man weiß, wie viele Leute auf diesen Seiten unschuldige Frauen und Kinder belästigen und ihnen schaden wollen. Das war ein zusätzlicher Angstfaktor.
JACK: Das hat sie natürlich tief erschüttert. Es lähmt einen. Wie soll man sich auf die Arbeit konzentrieren, wenn ständig SMS reinkommen? Wie soll man sich zu Hause entspannen, wenn das Telefon ständig klingelt? Sie bat ihren Freund um Hilfe, und er ging der Sache nach – er stieg sogar ziemlich tief in die Ermittlung ein.
Der Ex-Freund gießt Öl ins Feuer
MADISON: Ich glaube, irgendwann – und wir wissen es eigentlich nicht – ich habe nie wirklich verstanden, was er da gemacht hat, aber irgendwann hat er angeblich versucht, beim IT-Aspekt zu helfen, IP-Adressen aufzuspüren und so. Ich glaube, er hat irgendwie angefangen mit dem Täter zu kommmunizieren und hat mit ihm hin und her geschrieben über E-Mails – das weiß ich definitiv, dass sie sich E-Mails geschrieben haben. Ich glaube, irgendwann – als er und ich uns trennten, aus mehreren Gründen, nicht nur wegen dieser Sache – könnte er einfach gedacht haben: Scheiß drauf, ich schicke ihm einfach noch ein paar zusätzliche Fotos von Madison. Er hat auch ein paar Fotos von meiner Schwester aus einem Fotoshooting geschickt. In dieser Zeit hat er die Situation also – sozusagen Öl ins Feuer gegossen – und alles tausendmal schlimmer gemacht.
JACK: Was zur Hölle? Ihr Freund hat den Typen, der das tat, ausfindig gemacht und ihm noch mehr Fotos gegeben? Was? Okay, ja – wir haben vorher über Nip-Slips gesprochen. Worüber reden wir jetzt?
MADISON: Es war sehr explizites Material. Wir waren in einer Fernbeziehung, also hatte er ein ganzes Arsenal an Sachen aus Videochats zwischen ihm und mir. Sehr explizit – komplette Vagina, ganzer Körper, alles, Videos und Fotos. Es waren also nicht mal nur Fotos.
JACK: Nicht gut. Das war der Stoff, der jetzt immer und immer wieder gepostet wurde, ohne Pause. Sie wusste, dass ihr Freund – jetzt Ex-Freund – derjenige sein musste, der das geleakt hatte, weil er der Einzige war, der diese Bilder und Videos hatte. Zwischen ihnen lief es nicht gut. Es lief sogar richtig schlecht, also war es möglich, dass er das aus Verletzung getan hatte. Aber Moment – die Nacktfotos ihrer Schwester waren auch dabei. Was geht da ab? Wie ist er an die gekommen? Christine, welches Foto hat er von dir gepostet?
CHRISTINE: Es gab ein Foto, von dem ich nicht mal wusste, dass es existiert. Es war ein angedeutetes Boudoir-Fotoshooting.
JACK: Okay, da waren also ein paar Nacktfotos von Christine, und diese Fotos brauchen einen Moment Erklärung, aber das ist es wert . Bei angedeuteten Boudoir-Fotos gibt es keine Nacktheit. Alles ist bedeckt. Das ist der „angedeutete“ Teil. Es ist neckisch, es ist anregend, aber es werden keine intimen Körperteile gezeigt. Christine hat die Fotos von dem Shooting, und es waren einfach keine Nacktfotos dabei. Hinzu kommt, dass sie nie irgendwelche Fotos aus diesem Boudoir-Shooting öffentlich geteilt hatte, nichts davon in Social Media gepostet hatte – aber es gab Nacktfotos von ihr aus genau diesem Shooting im Internet. Wie ist das passiert? Inzwischen hatte Christine Dana geheiratet.
DANA: Ich war grob im Bilde, was vor sich ging – die beiden haben das größtenteils unter sich geregelt. Ich meine in so einer Situation gilt ja: Je weniger Leute davon wissen, desto besser. Man kann ja niemandem trauen. Ich hab die dann erstmal machen lassen, aber dann natürlich, als mitbekommen habe, dass die Nacktfotos meiner eigenen Frau online sind, hat das doch sehr meine Aufmerksamkeit auf sich gezogen. Un da habe ich angefangen, mich da reinzuhängen. Es fühlte sich zwar falsch an, mich überhaupt damit zu beschäftigen, ich mein es geht um Nacktfotos meiner Schwägerin. Dann noch diese Website, sind einfach schreckliche Orte. Man fühlt sich ja schon komisch, allein wenn man sie anschaut. Aber als Christine im Internet auftauchte und wir wussten, dass das von irgendwem ausgeht, habe ich entschieden, dass das aufhören muss und ich alle Fähigkeiten einsetzen würde, die ich habe, um das hinzubekommen.
JACK: Okay, ein neuer Verbündeter tritt dem Kampf bei – Dana, der Pilot. Erstmal denkt er: Moment, woher kommen diese Fotos? Wie konnte der Unbekannte sie bekommen?
DANA: Bei diesen Shootings machen Fotograf*innen so um die 2.000 Bilder in einer Stunde, und wenn man die alle in ein Bildbetrachtungsprogramm lädt und durchscrollt, ist es im Grunde wie ein Video mit niedriger Bildrate. Die fotografieren ja ständig, mehrere Bilder pro Sekunde. Wenn man die zusammensetzt, ist es fast wie ein Video. Wenn die Model dann ihre Position ändern – also Frauen ihre Brüste mit den Armen verdecken oder was auch immer sie tun bei solchen andeutenden Boudoir-Shootings – irgendwann wechselt man die Position, dreht sich in einem bestimmten Winkel, und plötzlich ist die Brustwarze zu sehen. Was der damalige Freund gemacht hat…
CHRISTINE: Ja, wir nennen die Nip-Slips.
DANA: Also was der Freund gemacht hat: Er ist 1.200 Fotos auf einer CD von meiner Frau durchgegangen und hat die zwei Frames rausgepickt, in denen eine Brustwarze zu sehen war. Er hat sie gefunden, gespeichert und dem Typen geschickt.
JACK: Mann, das ist viel Arbeit – Hunderte von Fotos durchzugehen, um die ein oder zwei mit einem Nip-Slip zu finden. Aber trotzdem – diese Fotos waren auf einer CD in einer Kiste im Haus ihrer Eltern, vermischt mit anderen Fotos von Madison. Christine wusste nicht mal, dass diese Nip-Slips drin waren. Wie ist er also an die Fotos gekommen? Nun, wie ihr vielleicht wisst, sind Fotos auf einer CD ziemlich umständlich zu handhaben. Unsere Laptops und Handys haben keinen Schlitz mehr für CDs. Vor einer Weile ist Madison also einfach diese Kiste durchgegangen, hat einen Stapel CDs genommen und sie auf Dropbox kopiert, um leichter darauf zugreifen zu können. Und Madisons Freund hat sich irgendwie Zugang zu ihrer Dropbox verschafft und sich diese Fotos ihrer Schwester Christine angesehen – wo er diese Nip-Slips fand und hat sie dann diesem Typen, ihren Belästiger, geschickt. Was für ein riesiges Problem, mit dem sie sich jetzt auseinandersetzen müssen. Versteht das bitte: Dass Christines Nacktfotos so im Internet landen, ist das Unwahrscheinlichste, was passieren konnte. Sie hat ja keine Nacktfotos.
Die Tatsache, dass ein paar versehentlich aufgenommene Bilder, von denen sie nicht mal wusste, dass sie existierten, in einer Kiste im Haus ihrer Eltern – sogar offline – irgendwie auf einer Revenge-Porn-Seite landeten, ist so unfaur.
Manche Leute machen in solchen Situationen gerne den Opfern Vorwürfe – Victim-Blaming; ach, du, du schmutziges Mädchen, du, das hast du davon, wenn du Nacktfotos machst. Mit der Einstellung kannst du dich mal richtig gehackt legen.
Christine ist eine gute Person, und wenn so etwas Leuten passieren kann, die alles richtig gemacht haben, dann ist das ganz klar nicht die Schuld des Opfers. Wir sollten ihr und anderen Menschen in dieser Situation helfen, statt ihnen die Schuld zu geben.
Ich gehe sogar noch einen Schritt weiter: Mindestens einmal im Monat schreibt mir ein Typ ne E-Mail und erzählt mir, dass er in einer ähnlichen Situation steckt. Er hat ne Frau online kennengelernt, es ging heiß her, er schickte ihr’n Dick-Pic, es stellte sich aber raus, dass sie eigentlich ein Mann war und nur auf etwas aus war, um ihn damit zu erpressen. Jetzt fragt er mich: Was soll ich tun? Sie wollen, dass ich 500 Dollar zahle, sonst schicken sie mein Nacktfoto an meinen Chef.
Und wisst ihr was? Mit ihm habe ich auch Mitgefühl, denn die Person, die sein Dick-Pic als Lösegeld festhält, bricht einfach das Gesetz. Sie betrügen ihn, erpressen ihn, belästigen ihn, und das gefällt mir nicht. Mir gefällt es nicht, wenn Belästiger mit ihrem Mist davonkommen, egal, wer das Opfer ist. Das Opfer ist irrelevant. Es ist der Kriminelle, der dafür beschuldigt und bestraft werden sollte.
Sorry, bin etwas vom Thema abgekommen. Online-Belästigung ist’n sensibles Thema für mich. Ich habe das Gefühl, dass es völlig außer Kontrolle geraten ist. Jeden Tag gehe ich online und sehe genau sowas, und jedes Mal ist das wie ein Stich ins Herz. Hört auf, Leute zu belästigen, okay? Wir können so viel Besseres mit unserer Zeit anfangen.
Wenn du ein Belästiger bist, hör auf damit. Und ist mir egal, wenn du glaubst, dass dein Verhalten gerechtfertigt ist. Hör einfach auf. Finde einen Weg, das Leben eines anderen positiv zu beeinflussen, nicht negativ. Lass es sein. Lasst uns versuchen, die Welt zu einem besseren Ort zu machen, nicht zu einem schlechteren.
Scham und Sprachlosigkeit
MADISON: Wir haben es vor unseren Eltern verheimlicht, und nicht, weil unsere Eltern – sie sind super hilfsbereite Eltern. Wir kommen nicht aus einer streng katholischen Familie, die uns verstoßen oder ins Internat schicken würde. Aber es war einfach dieser Peinlichkeitsfaktor – wir sind, oder wir denken gerne, dass wir gebildete, kluge Frauen sind, und irgendwie sind wir in diese Situation geraten.
JACK: Ja, und ich kann mir auch nicht vorstellen, meinem Vater zu zeigen, was da draußen vor sich geht. Das wäre wohl die schrecklichste Erfahrung überhaupt.
MADISON: Genau. Egal, wie cool deine Eltern sind, das ist einfach kein Gespräch, das du mit ihnen führen willst.
JACK: Wie haben sie es dann erfahren?
MADISON: Sie haben es eigentlich gemerkt, als sie unaufgeforderte Bilder von mir bekamen. Ich glaube, von meiner Schwester nie, aber definitiv von mir. Aber sie haben das einfach gelöscht, weil sie nicht wussten, wie ernst die Lage war, weil wir es ihnen ja nicht gesagt hatten. Mein Vater meinte nur: Ja, ich habe die paar Sachen, die sie mir geschickt haben, einfach gelöscht, weil es so unangenehm war. Das hat er uns am Anfang gar nicht erzählt.
JACK: Mann, wie schrecklich muss das gewesen sein – als Elternteil zu sehen, dass dir jemand ein Nacktfoto deiner Tochter schickt. Aber dass Madison später erfahren musste, dass ihre Eltern es schon gesehen hatten, sich aber zu sehr, ja, schämten, etwas dazu zu sagen? Was für eine chaotische Situation für alle Beteiligten.
Okay, also Madison und Christine haben jetzt diesen dampfenden Haufen Mist, mit dem sie sich auseinandersetzen müssen.
MADISON: Ja, und es war einfach – ich glaube nicht, dass – darf ich sagen, dass es scheiße war?
JACK: Ja, leg los.
MADISON: Okay. Ich war so – ich kann fließender sprechen, wenn ich sagen kann, was mir auf der Zunge liegt.
JACK: Auf jeden Fall. Ich denke, diese Folge ist von Anfang an als FSK 16 oder höher eingestuft.
MADISON: Ja, also – zu diesem Zeitpunkt waren Christine, Dana und ich ziemlich gut darin geworden, im Dark Web rumzuschnüffeln, Informationen über uns selbst zu finden, um Take-Downs zu machen und Dinge aufzuräumen. Wir hatten also erfolgreich herausgefunden, wie man Bilder von diesen Webseiten entfernen lässt, und wir machten das ziemlich schnell.
JACK: Auf welche Art, mit welcher Sprache sozusagen sagt ihr: Ey, ich will das entfernt haben?
MADISON: DMCAs ist das Fachwort.
JACK: Das ist interessant, oder? Die meisten Nacktbilder, die so geleakt werden, sind Selfies, und die Sache ist: Wenn du das Foto gemacht hast, hast du automatisch das Urheberrecht daran. Du musst es nicht beim Urheberrechtsamt registrieren oder so. Es ist automatisch dein urheberrechtlich geschütztes Werk. Wenn jemand also ohne deine Erlaubnis ein Foto verwendet, das du gemacht hast, ist das eine Urheberrechtsverletzung. Also klopft auf das Schild. Zeigt auf das Gesetz und sagt: Hey, es ist illegal, das ohne meine Erlaubnis zu posten. Nehmt es runter. Viele Seiten tun das dann. Natürlich war es eine große Hilfe, dass Christine Jura studierte und das wusste, und sie wollte dabei besonders vorsichtig und sicher sein, dass sie dabei mit beiden Beinen auf dem Boden des Gesetzes steht, und das Gesetz also auf ihrer Seite war. Sie sprachen sie mit dem Fotografen, der ihre Fotos gemacht hatte, ob sie das Urheberrecht der Bilder auf sie übertragen lassen können. Das ging klar. Dann ging sie also zum US-Urheberrechtsamt, um sich das Urheberrecht an ihren Nip-Slips übertragen zu lassen, einfach, um über mehr Autorität zu verfügen, die Bilder entfernen zu lassen.
MADISON: In dieser Zeit hatte ich mehrere Arbeitgeber, weil sich das Ganze über einen Zeitraum von acht oder neun Jahren erstreckt hat. Manager wurden in meinem Namen angerufen und belästigt. Sie sahen also bei LinkedIn oder Facebook, wo ich arbeitete, und riefen meinen damaligen Chef an und belästigten ihn und fragten: Wissen Sie, was über sie im Internet steht? Die typische Belästigung, nur an meine damaligen Chefs gerichtet.
JACK: Das… das, ich fass es nicht. Es ist so gruselig, weil es kein Entkommen gibt, oder? Egal, wo du hingehst. Du fährst in den Urlaub – du wirst im Urlaub belästigt. Du gehst zur Arbeit – du wirst auf der Arbeit belästigt. Zu Hause – du wirst zu Hause belästigt.
MADISON: Mhm. Wir haben es schließlich unseren Eltern erzählt, weil Christine und ich eines Tages zusammenbrachen und einfach losheulten und mit unseren Eltern dann darüber gesprochen haben.
JACK: Was hat den Zusammenbruch ausgelöst? Einfach, weil es nonstop war?
MADISON: Ja, ich glaube, es war einfach nonstop und wir haben unser Bestes gegeben, und – die Emotionen kochten hoch. Das Stresslevel war hoch.
JACK: Als du es deinen Eltern gesagt hast, fühlte es sich an – sie wussten nicht – du wusstest nicht, dass sie es wussten.
MADISON: Nein, sie wussten es bis zu einem gewissen Grad, aber sie hatten keine Ahnung, wie schlimm es war, weil sie nur das gesehen hatten, was ihnen zugeschickt wurde. Sie wussten nicht, wie schlimm es tatsächlich war.
JACK: Ja, ich stell’s mir gerade vor, wie – oh mein Gott, das ist also losgegangen, und sie sagten dann: „Ja, wir haben Nachrichten bekommen und wir haben uns damit nicht wohl gefühlt, mit dir darüber zu reden.“
MADISON: Ja, genau.
JACK: So ist das Gespräch verlaufen. Oh mein Gott.
MADISON: Ja, und dann, abgesehen davon…
JACK: Das macht es nur schlimmer, oder? Weil du schon kurz vor dem Zusammenbruch bist und dann denkst: Was? Du hast es auch gesehen? Sie wissen, dass du – ahh. Es wird immer – nicht besser.
MADISON: Ja, nein. Überhaupt nicht.
JACK: Da Christine ja Anwältin ist, wollte sie natürlich das Rechtssystem nutzen, um das zu klären.
CHRISTINE: Ich helfe – also, meine Schwester ging in die Sheriff-Abteilung in Melbourne, Florida, und wurde abgewimmelt. Das ist auch ungefähr die Zeit, in der das Florida-Gesetz gegen einvernehmenslose Pornografie in Kraft tritt. Es ist also nicht nur Belästigung, Stalking, eine Bundesstraftat – es ist zu diesem Zeitpunkt tatsächlich illegal im Bundesstaat Florida, genau das. Wenn man das Gesetz liest, ist es – in Laienbegriffen – absolut für genau diese Situation gemacht.
Sie wird also abgewimmelt, und ich denke: Das ist Schwachsinn. Also werde ich Informationen für sie zusammenstellen. Ich werde das Gesetz für euch ausdrucken. Ich wohnte zu der Zeit nicht in ihrer Nähe, aber ich versuchte, eines Tages mit ihr dort hineinzugehen, als ich in der Stadt war. Aber ich glaube, es war ein Wochenende oder ein Feiertag, und diese Abteilung hatte einfach nicht geöffnet. Also sagte ich: Ich hinterlasse euch diesen Ordner. Du gehst da rein und sorgst dafür, dass dir jemand zuhört. Letztendlich ging sie hinein, und sie hörten ihr wieder nicht zu. Ich erinnere mich, dass ich ihnen danach eine E-Mail schickte und sagte: Hey, ich würde mich freuen, herzukommen und – euren Beamten Schulungen zu diesem neuen Gesetz zu geben. Eure Beamten verstehen das Gesetz offensichtlich nicht. Bitte sorgt für Schulungen. Ich bin eine frisch vereidigte Anwältin, die euch und euren Beamten gerne mit diesem neuen Gesetz helfen würde. Diese E-Mail hat ihnen nicht gefallen, und sie versicherten mir, dass ihre Beamten geschult seien und ihre Arbeit machten.
JACK: Oh, wie frustrierend. Als sie sagte, Madison sei abgewimmelt worden – die Polizei hat nicht mal ihren Namen oder irgendwelche Informationen über die Verbrechen aufgenommen, die sie meldete. Es klang, als ob es ihnen absolut egal war. Aber diese Schwestern waren zäh und klug und ließen sich kein „Nein“ als Antwort geben. Hier endet Teil I, seid in der kommenden Woche auch dabei, wenn die Schwestern anfangen, die Sache selbst in die Hand zu nehmen.
Diese Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Marko Pauli und Isabel Grünewald übersetzt und gesprochen.
Produktion: Marko Pauli
Titelmusik: Breakmaster Cylinder
Dies sind die Darknet Diaries auf Deutsch von Heise Online.
(igr)
Datenschutz & Sicherheit
Peinliche Lücke: Hacker bringen Meta-KI dazu, fremde Instagram-Accounts herauszugeben
Einfacher geht’s kaum: Hacker:innen haben den KI-gestützten Support-Chatbot von Meta genutzt, um sich Zugang zu Profilen auf der Plattform Instagram zu verschaffen, berichtet das Online-Medium 404. Betroffen von dem Angriff waren unter anderem das White-House-Profil von Barack Obama und ein Account eines ranghohen Offiziers der US Space Force. Auch ganz normale Nutzer:innen waren von Account-Übernahmen betroffen.
Meta hat die Sicherheitslücke mittlerweile bestätigt und nach eigenen Angaben behoben. Es ist nicht bekannt, wie viele Accounts mit dieser Methode übernommen wurden.
In einem Video, das in sozialen Medien kursierte, wird klar, wie simpel der Angriff funktionierte. Der Angreifer täuschte mit einem VPN vor, aus der Region des Ziel-Accounts zu stammen und nutzte dann die „Passwort vergessen“-Funktion. Danach gab er dem Meta-Chatbot eine neue Mailadresse für den fremden Account und forderte den Bot auf, mit dieser zu kommunizieren. An diese Adresse schickte Meta dann fahrlässigerweise einen Verifikationscode, mit dem der Angreifer den anvisierten Instagram-Account übernehmen konnte.
Zu keinem Zeitpunkt musste der Angreifer Zugriff auf die echte Mailadresse des Accounts haben. Die Nutzung der originalen Mailadresse soll grundlegend vor Accountübernahmen schützen, da sich Angreifer in der Regel Zugriff auf diese Adressen verschaffen müssen. Hilfreich gegen Account-Übernahmen ist auch die Aktivierung einer weiter gehenden 2‑Faktor-Authentifizierung.
Der Vorfall zeigt einmal mehr, dass so genannte Künstliche Intelligenz nicht nur Sicherheitslücken entdecken, sondern selbst grobe Sicherheitslücken eröffnen kann. Meta hatte den „KI Support Assistenten“ weltweit am Anfang dieses Jahres für Facebook und Instagram eingeführt.
Datenschutz & Sicherheit
Juni-Patchday bei Samsung: Zahlreiche Sicherheitslücken gestopft
Samsung hat sein Security-Bulletin für Juni 2026 veröffentlicht. Demzufolge verteilt der Hersteller in diesem Monat wichtige Sicherheitspatches für zahlreiche Galaxy-Smartphones. Die Aktualisierung dürfte nach und nach für alle Modelle bereitgestellt werden, die noch seitens des Herstellers unterstützt werden. Fünf der gestopften Sicherheitslücken stuft Samsung als „kritisch“ und 28 als „hoch“ ein.
Weiterlesen nach der Anzeige
Wie der Konzern auf seiner Webseite zu Sicherheitsupdates schreibt, stammen viele der Patches von Google, die im Security-Bulletin für Juni 2026 aufgelistet sind. Andere Patches betreffen nur Samsung-Geräte. Die Sicherheitslücken im Framework, Kernel und System gefährden Smartphones und Tablets mit Android 14, 15, 16 und 16 QPR2 – letztere Android-Version liefert Samsung seit Mai mit One UI 8.5 für viele Geräte aus.
Kritische Lücken
Durch die kritische Bluetooth-LE-Lücke (CVE-2026-0097) erhalten Angreifer etwa die Möglichkeit, lokale Rechte auszuweiten, ohne dass zusätzliche Ausführungsrechte erforderlich sind. Für die Ausnutzung ist keine Benutzerinteraktion erforderlich, heißt es.
Durch eine weitere adressierte Lücke (CVE-2026-21352) war unter anderem ein Schreibzugriff außerhalb des zulässigen Bereichs möglich, der zur Ausführung von beliebigem Code führen könnte. Die Ausnutzung dieser Schwachstelle erfordert jedoch eine Benutzerinteraktion, bei der das Opfer eine schädliche Datei öffnen muss.
Der Juni-Patch versorgt kompatible Galaxy-Modelle mit insgesamt 44 Fehlerbehebungen, während Modelle mit Exynos-Prozessoren einen zusätzlichen Patch von Samsung Semiconductor erhalten. Neben den seitens Google und Samsung Semiconductor ausgelieferten Patches stellt Samsung Mobile 11 bereit.
Lesen Sie auch
Die Updates sollten im Laufe der kommenden Tage auf vielen Galaxy-Geräten angeboten werden. Samsung erklärt ferner, dass die Verfügbarkeit von Sicherheitspatches je nach Region und Modell variieren könne. Updates im monatlichen Rhythmus erhalten bei Samsung zudem nur „wichtige Flaggschiff-Modelle“, während weitere Galaxy-Geräte nur quartalsweise versorgt werden – hierfür bietet Samsung auch eine Übersicht an.
Weiterlesen nach der Anzeige
(afl)
-
Entwicklung & Codevor 3 MonatenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 3 MonatenBlade‑Battery 2.0 und Flash-Charger: BYD beschleunigt Laden weiter
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Der beste Luftgütesensor im Test – CO₂, Schadstoffe & Schimmel im Blick
-
Apps & Mobile Entwicklungvor 3 MonatenMähroboter ohne Begrenzungsdraht für Gärten mit bis zu 300 m²
-
Künstliche Intelligenzvor 3 MonateniPhone Fold Leak: Apple spart sich wohl iPad‑Multitasking
-
Künstliche Intelligenzvor 2 Monaten
JBL Bar 1300MK2 im Test: Soundbar mit Dolby Atmos, starkem Bass und Akku‑Rears
-
Künstliche Intelligenzvor 3 MonatenPetra‑AI: KI soll Frauen in der Perimenopause unterstützen
-
Social Mediavor 2 MonatenVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
