Connect with us

Künstliche Intelligenz

Phishing und Passwort-Klau: Bösartige Skripte im Mail-Anhang als Vektorgrafik


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Seit Anfang des Jahres enthalten immer mehr Phishing-Mails einen Datei-Anhang mit einer SVG-Grafik, wie nahezu alle Anbieter von E-Mail-Sicherheits-Lösungen übereinstimmend berichten. Jetzt warnt auch das österreichische CERT.at vor der davon ausgehenden Gefahr.

Scalable Vector Graphics, kurz SVGs, bestehen aus beschreibendem Text im XML-Format, der den Renderer – im Allgemeinen den Browser – anweist, Objekte an bestimmten Positionen zu zeichnen. Das lässt sich dann beliebig in der Größe variieren, ohne dass dabei etwa Schrift verpixelt.



  
  
    heise security
  
  
    ROCKS
  


Allerdings können solche Vektorgrafiken auch JavaScript-Code enthalten, den der Browser beim Öffnen der Datei ausführt. Das machen sich die Phisher zunutze, indem sie die Empfänger auf gefälschte Anmeldeseiten lotsen oder auch Schadsoftware installieren. Ziel ist es fast immer, Passwörter oder andere Zugangs-Credentials abzugreifen. Die SVGs kommen häufig als Rechnungen, angebliche Sprachnachrichten oder zu signierende Dokumente.



Diese Demo aus meinem Vortrag auf der heise security Tour enthält harmloses JavaScript, das „Hello World“ ausgibt (eventuell muss man es dazu in einem eigenen Fenster öffnen).

Viele Sicherheitslösungen überprüfen SVG-Dateien nicht ausreichend, sodass auf diesem Weg Schadcode auf die Systeme der Opfer gelangen könne, warnt das Advisory der österreichischen Security-Experten. Als vorbeugende Schutzmaßnahme blockiert man im einfachsten Fall vorsichtshalber den Empfang von SVG-Grafiken, etwa auf dem Mail-Gateway. Allerdings kann das durchaus zu Problemen führen, wenn diese Anhänge benötigt werden. Dann ist es vielleicht eine Option, zumindest jene Mails, die Skripte enthalten, in Quarantäne zu verschieben. Ansonsten muss man notgedrungen darauf setzen, dass Anwender die von SVGs ausgehende Gefahr richtig einschätzen, und kann versuchen, dies durch entsprechende Hinweise und Schulungen zu unterstützen.


(ju)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Künstliche Intelligenz

Cookie-Einwilligung: Deutsche Datenschützer wegen „Untätigkeit“ verklagt


Die Pay-or-Consent-Angebote (auch „Pur“-Abo) von Verlagen im Internet sind erneut ein Fall für deutsche Gerichte. Im Namen eines ungenannten Beschwerdeführers hat die österreichische Datenschutzorganisation Noyb die Datenschutzbehörden von Hessen und Nordrhein-Westfalen verklagt, weil die bisher nicht auf zwei vorangegangene Beschwerden reagiert haben.

Schon im August 2021 hatte Noyb Beschwerden gegen „Pay or OK“-Banner auf verschiedenen deutschen Nachrichtenportalen eingelegt, darunter auch heise.de. In zwei Fällen – faz.net und t-online.de – haben die zuständigen Aufsichtsbehörden von Hessen und Nordrhein-Westfalen (NRW) dazu noch immer nicht entschieden.

Die betroffenen Banner stellten Nutzer vor die Wahl, den Verlagsangeboten entweder die Verarbeitung und Weitergabe von persönlichen Daten zu Werbezwecken zu erlauben oder ein kostenpflichtiges Abo abzuschließen.

Die Datenschutz-Grundverordnung (DSGVO) besage ausdrücklich, dass eine Einwilligung freiwillig erteilt werden müsse, begründet Noyb den Gang vor Gericht. Doch 99 Prozent der Nutzer, die sich mit Pay-or-OK-Bannern konfrontiert sähen, stimmten der damit verknüpften gezielten Werbung zu. Dabei wollten nur drei bis zehn Prozent der Online-User tatsächlich getrackt werden. In einem Verfahren gegen die Facebook- und Instagram-Mutter Meta habe daher mittlerweile sogar die EU-Kommission diesen Ansatz für rechtswidrig erklärt.

Die Beschwerde bei der NRW-Datenschutzbehörde sei über ein Jahr verschollen gewesen, moniert Noyb. Die hessische Aufsicht wiederum verwies demnach auf die Komplexität des Falls und die laufende Ausarbeitung neuer Richtlinien dazu.

Die Datenschutzkonferenz von Bund und Ländern erklärte „Pur-Abo-Ansätze“ 2023 grundsätzlich für zulässig. Demnach müssen für Tracking aber alle Anforderungen an eine informierte, wirksame Zustimmung nach der DSGVO erfüllt sein. Der Europäische Datenschutzausschuss (EDSA) hat dazu bereits Leitlinien aufgestellt. Das Gremium sieht Pay-or-Consent kritisch und brütet über einen dritten Weg, gegen den Verlegerverbände Sturm laufen.

Jonas Breyer, Anwalt des Beschwerdeführers, bezeichnete die Verzögerung als „äußerst bedauerlich“. Leider sei das kein Einzelfall. Der Jurist fragt sich, „was die Behörden mit dem Geld der Steuerzahlenden eigentlich tun“. Noyb verklagte auch schon die Hamburgische Datenschutzbehörde, weil sie das Pay-or-OK-Modell vom Spiegel nicht beanstandete. Viele relevante Tatsachen seien in dem Fall nie untersucht worden.

Transparenzhinweis: heise online bietet selbst ein Pur-Abo an. Nach Beanstandung wurde das Consent-Banner in Rücksprache mit der Landesbeauftragten für den Datenschutz Niedersachsen überarbeitet.


(dahe)



Source link

Weiterlesen

Künstliche Intelligenz

c’t-Story: Sphärenklänge | heise online


Fasziniert starrte ich auf den von der fahlen Sonne schwach beleuchteten größten Planeten des Sonnensystems. Das Kaleidoskop aus verschiedenfarbigen Bändern und Wirbeln von Wolken in Rot-, Braun-, Gelb- und Blautönen weckte in mir einen Hauch von Verständnis für die mir angetragene Aufgabe. Einen zugegebenermaßen kleinen Hauch. Tatsächlich hatten mich ausschließlich der mangelnde Auftragseingang meiner Agentur für interplanetare Privatermittlungen und der traurige Anblick meines Kontostands dazu bewogen, als Security Commander für dieses in meinen Augen sinnfreie Projekt anzuheuern.

SpecA-7-Verdi startklar.“ Neds trockene Stimme riss mich aus meinen Gedanken. Das Radar verzeichnete neben den sechs bereits in Jupiters Umlaufbahn abgesetzten spektroskopischen Audiowandlern keine künstlichen Objekte. Im Gegensatz zu den anderen sollte Nummer sieben keine Wolkenbänder, sondern die Wirbel des roten Flecks in Töne wandeln, was ein paar knifflige Anforderungen an Umlaufbahn, Startzeitpunkt und Geschwindigkeit der Sonde mit sich brachte. Aus den Augenwinkeln musterte ich meinen Astronavigator. Entspannt schwebten die Finger seiner linken Hand über der Sensorfläche des Schaltpults. Mit der rechten hielt er seinen obligatorischen Becher Synthkaffee an die von Bartstoppeln umsäumten Lippen.

„Dann lass uns das Schätzchen auf die Reise schicken, Nerd!“ Mein jovialer Tonfall prallte an ihm ab wie mein letzter Anbaggerversuch bei Eva, der Bardame vom Blauen Frosch.


Das war die Leseprobe unseres heise-Plus-Artikels „c’t-Story: Sphärenklänge“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

Österreichs Regierung will Altersgrenzen in Sozialen Netzen durchsetzen


Nachdem ein 21-Jähriger an einer Grazer Schule elf Menschen erschossen hat, möchte Österreichs Bundesregierung Kinder aus Sozialen Netzen draußenhalten. „(Wir werden) uns auch für strengere Regeln für Kinder und Jugendliche im Umgang mit Sozialen Medien einsetzen“, sagte Bundeskanzler Christian Stocker (ÖVP) am Montag bei seiner Regierungserklärung zum Amoklauf. „Denn wir sehen: Digitale Plattformen sind längst nicht mehr nur Orte der Information oder der Unterhaltung. Sie können auch Orte der Radikalisierung und der Verrohung sein. Hier braucht es klare Regeln und klare Verantwortung auf Seiten der Plattformbetreiber.“ In der deutschen Bundesregierung ist ebenfalls die Forderung nach wirksamen Altersgrenzen für Social Media erhoben worden.

Der für Digitalisierung zuständige österreichische Staatssekretär Alexander Pröll (ÖVP) möchte „die Plattformen dazu verpflichten, dass sie ihren Altersbeschränkungen auch nachkommen. Sie müssen quasi Türsteher sein für die Jugendlichen, und wir werden in Österreich eine nationale Lösung machen.“ Das sagte er im in der ORF-Radiosendung Ö1 Mittagsjournal am Dienstag. Die Methode der Durchsetzung ist nicht geklärt. Pröll zeigt sich offen für die Idee, Konten in Sozialen Netzen mit der staatlichen elektronischen Identität ID Austria zu verknüpfen.

Welche Altersgrenze genau gelten soll, ist ebenfalls noch nicht entschieden. Die großen Betreiber haben selbst 13 oder 14 Jahre festgelegt, setzen das aber nicht streng durch. „Ich sage nur: Die DSGVO schreibt vor, dass Daten für unter 14-Jährige eigentlich nicht verarbeitet werden dürfen“, glaubt Staatssekretär Pröll. Spanien, Frankreich und Griechenland haben sich auf der EU-Digitalministerkonferenz in Luxemburg für ein EU-weites Verbot Sozialer Netze für Kinder unter 15 Jahren starkgemacht, Spanien fordert es für unter 16-Jährige.

Norwegen plant, das Mindestalter von 13 auf 15 Jahre anzuheben und Strukturen für die Altersüberprüfung auszubauen. In Australien ist der Ausschluss von Menschen unter 16 aus Sozialen Netzen bereits beschlossene Sache. Das wünschen sich auch die oppositionellen österreichischen Grünen. Zusätzlich möchten sie die Plattformbetreiber für alle Inhalte haftbar machen.


(ds)



Source link

Weiterlesen

Beliebt