Es reicht doch, wenn wer den Rechner so beeinflusst/beeinflussen kann: es möge so aussehen, als ob der Bildschirmschoner mit anstößigem Inhalt während dem Vortrag anspringt.
Sowas hinterher mit "der Rechner wurde gehäckt" zu erklären, glaubt dann niemand, auch wenns so war.
Thomas Prufer
Am 27.03.2020 um 08:14 schrieb Thorsten Böttcher:
Da der Einsteckleser einen Endkontakt hat, könnte man auch gleich die Batterie darüber ganz abtrennen. Der bootet ja schliesslich kein Windows...
Bernd
Eben. Gleich mehrere planen. Für mich? Und mit "gut" meinte ich die EDV-Seite. Selbst wenn ich wüßte, wie ich Malware über die Tastatur in einen Rechner bekäme, in weniger als einer halben Stunde wäre das für mich kaum zu schaffen. Wie schnell kann man Tastaureingaben emulieren, bevor der Puffer der Zielmachine sich verschluckt?
Aber ich habe ja längst konzediert, daß, auch wenn mein Scheunentor für die meisten zu langweilig wäre, es doch besser ist, es zu schließen.
Ich bin halt so. An meinem Auto dürften die Schlösser wegen jahrelanger Nichtbenutzung längst fest sein. Und in einer früheren Wohnung hatten die links und rechts von mir aufwendige Zusatzschlösser und meine eine Klinke außen. Sicherheitsbewußtsaein ist meine Stärke nicht. War schon immer so.
Hör bitte auf. Jetzt machst du selbst mir angst!
-- /¯\ No | Dipl.-Ing. F. Axel Berger Tel: +49/ 221/ 7771 8067 \ / HTML | Roald-Amundsen-Straße 2a Fax: +49/ 221/ 7771 8069 X in | D-50829 Köln-Ossendorf
Eben.
Wenn man sich jetzt nur vorstellt: wer sucht das Passwort der Notendatenbank, des Kontos, der Heimautomation, okay: dazu muß einer schon Energie und bösen Vorsatz gezeilt kombinieren.
Aber das wer ein nur lustiges Video für Youtube provozieren will, wär schon eher vorstellbar, das moderne Äquivalent eines Furzkissens aufm Stuhl halt -- da kann ich mir einen größeren Kreis vorstellen...
Thomas Prufer
Es ist ohne Vorbereitung auch für niemanden sonst zu schaffen, allerdings auch nicht besonders schwierig ein USB HID Keyboard zu emulieren. Dazu benötigt man einen Arduino Uno oder Leonardo, muß auf Ersteren allerdings vorher ein frei verfügbares Firmware-Update draufspielen [1]. Mit ein paar Verrenkungen geht das sogar auf Controllern, die nativ gar nicht über USB verfügen, man muß sich eben mit niedrigen Baudraten begnügen - für Tastaturemulation überhaupt kein Problem [2].
Die ganze Geschichte ist dann so simpel wie über den seriellen Port ein paar Daten rauszuschreiben. Jetzt muß man nur noch wissen, wie man welches System mit Tastatureingaben hackt - aber glücklicherweise gibt es auch da schon genügend Zeitgenossen, die bereits vor Dir die zeitraubende Entwicklungsarbeit geleistet haben [3]. Damit ist die Geschichte ungefähr so trivial wie Metasploit [4] und jedem hirntoten Scriptkiddie zugänglich.
Unkritisch. Zumal das bösartige USB-Gerät auch einen hybriden Modus aktivieren kann, wo es nicht nur eine Tastatur, sondern auch ein Flash Drive emuliert, auf dem sich beliebig große Binärdaten befinden. Die führt Dein Windows-OS entweder sowieso bereitwillig via autorun.inf aus, versucht Vorschaubilder für die darauf enthaltenen, harmlos aussehenden PDFs und JPGs [5] zu generieren (und fängt sich dabei einen Virus ein) oder wird vom emulierten Keyboard via Windows+R-Hotkey ausgeführt.
Ja, man könnte da mit PKI herumtun und ein bisserl Trusted Computing betreiben, aber das will der User ja nicht. Der will, daß seine neue Gamertastatur _sofort_ funktioniert und nicht erst, nachdem er im BIOS ein Zertifikat abgenickt hat.
Darf auch gerne so bleiben. Bis zu dem Moment, wo Du für einen Hacker interessant wirst. Oder dann, wenn der Zugang zu solcher Technik inflationär einfach wird. Einfach mal bei Insecam [6] nachsehen, was aktuell so an neuen Streams läuft. Dank SARS-CoV-2 dürfte jetzt bei den DAUs zu Hause richtig was los sein. Vielleicht ist ja auch das Fernwartungsmodul in Deinem DSL-Modem noch offen und das Default-Paßwort drauf?
Man glaubt ja gar nicht, was eine Suche im Internet of S***ty Things [7] an Perlen hervorbringt. Und spätestens, wenn mal wieder Deine Zugangsdaten nebst Klartextpaßwort (die Du aus Faulheit auch überall sonst verwendest) vom Server eines Ladens abgesaugt wurden, wo Du mal eingekauft hast, denkst Du über Dein Sicherheitsbewußtsein evtl. nochmal nach. Falls Deine digitale Identität dann überhaupt noch besteht.
Volker
[1]
Ich habe zwar ein deutliches Sicherheitsbewußtsein, will aber kaum Mühe in meine Sicherheitsmaßnahmen investieren, sondern durch einfache logische Überlegungen punkten.
1) Ich weiß immer, was ich tue. 2) Ich nutze NUR Youtube als soziales Medium, lesend, und Google nur als Suchmaschine und Maps. Weiterhin nur Newsgroups und Telekom-Service-Forum. 3) Ich benutze zu etwa 95% das Betriebssystem FreeBSD. Insbesondere zum Internetzugang. 4) Ich nutze ein halbautomatisches selbst entwickeltes 3-fach-Backup per 'rsync'. 5) Ich verwalte meine hunderte von Konten im Internet mit einer zentralen Datei unter FreeBSD.Ich arbeite seit 1985 mit PCs und hatte noch NIE Probleme mit Schadsoftware. Ich habe keinerlei Sicherheitssoftware, außer Defender unter Windows.
Ich hatte auch schon diverse Server betrieben und ins Internet gestellt. Alle Angriffe darauf waren zwecklos - Es waren Milliarden von Angriffen.
Letztes Jahr hatte ich ERSTMALS einige Tage lang mit einem eMail-Konto (Provider) Probleme, indem ich bis zu 1000 eMails pro Tag erhielt. Nach Paßwort-Wechsel war das Problem erledigt.
Meine Paßwörter existieren oftmals seit etwa 1997. Ich nutze aber jede Gelegenheit, diese durch besonders sichere zu ersetzen. Die Paßwörter zyklisch pauschal zu ersetzen, unterlasse ich bewußt.
Am 28.03.20 um 17:17 schrieb Helmut Schellong:
*prust*
Mein Erfolg, ohne Schutz-Software seit fast 40 Jahren KEINEN Schaden zu haben, spricht sehr dafür, daß ich stets weiß, was ich tue. Das ist offensichtlich.
Das ist für mich irrelevant. Ich sehe mir da NUR technische und Musik-Videos an.
35 Jahre lang ahnungslos und nix mitgekriegt. Ja, das ist auch eine "Leistung".
Im selben Posting schrieb ich von Milliarden von Angriffen, die ich registriert und analysiert hatte.
"ahnungslos und nix mitgekriegt" kann folglich nicht zutreffend sein.
Es wird eher umgekehrt sein: nämlich daß ich viel mehr registrierte und analysierte als fast alle Anderen.
Aha, wieviel Zeit setzt Du dabei für die Analyse eines Angriffs an? Nein, ich erwarte keine Antwort - die Frage ist rhetorischer Natur.
Ich hatte das mit mehreren Shell-Skripten analysiert. Zeitbedarf pro Angriff einige Millisekunden.
Es ist unbenannt, WAS genau analysiert wurde.
Andreas Neumann schrieb:
Ja, und das Spam-Problem löste er mit einem Passwortwechsel... Also alles gelogen wie immer
MfG Rupert
Am 28.03.20 um 17:51 schrieb Helmut Schellong:
Leute, die von sich behaupten, keine Fehler zu machen, sind entweder zu dumm, sie zu erkennen (vgl. Dunning-Kruger), oder sie lügen. Das ist offensichtlich - denn daß sie übermenschliche Fähigkeiten haben, kann man getrost ausschließen.
Die Manipulation ist dennoch real.
Hanno
Am 28.03.2020 um 18:50 schrieb Hanno Foest:
Sieht ehr nach einer Psychose aus.
Nein, nicht verstanden von Dir, wie fast immer.
Ich hatte kein Spam-Problem. Der betreffende Provider teilte mir mit, daß ich mein Paßwort wechseln soll, da mein eMail-Konto mißbraucht würde.
Falsch. Ich habe hier nicht gesagt, daß ich keine Fehler machte!
Das, was ich oben schrieb, sind unumstößliche FAKTEN! Da kann JEDER schreiben, WAS er will - niemand kann das umstoßen.
Jain, es ist ein Manipulationsversuch, der natürlich mich betreffend niemals gelingen kann.
Es sieht vor allem nach Fakten aus.
Ich hatte seit nahezu 40 Jahren intensivem PC-Betrieb keinen Schaden. Das ist ein gegebener Fakt und sehr einfach zu verstehen.
Hauptgründe sind, daß ich fast ausschließlich unter FreeBSD arbeite (wie aktuell) und ein 3-fach-Backup betreibe. Es ist einleuchtend, daß ich dadurch fast vollkommen unangreifbar bin, in mehreren Hinsichten.
Wird wohl ehr am großen Jagdschein liegen.
Have something to add? Share your thoughts — no account required.
Ask the community — no account required