News Webseite des US-Finanzministeriums gehackt

+Flori+

Lieutenant
Registriert
Juli 2007
Beiträge
574
Onlinekriminellen ist es gelungen, in die Webseite des US-Finanzministeriums einen iFrame einzubetten. Er dient dazu, im Verborgenen eine der wesentlichen URLs des Eleonore Exploit Kit zu laden, welches verschiedenen Exploits für unterschiedliche Browser oder andere Anwendungen zusammenfasst und Sicherheitslücken ausspioniert.

Zur News: Webseite des US-Finanzministeriums gehackt
 
Na wenn da mal nicht die Heimatschutzbehörde zu poltern anfängt.

Ich bin ja eigentlich davon ausgegangen dass in den USA Prävention in grossem Umfang betrieben wird.
Man denke nur an die "Attacken aus China" zurück.
 
Selber schuld wenn man Java installiert hat.

edit: Ich meine das Java-Plugin für den Browser.
 
Zuletzt bearbeitet:
Hui, da werden sicher gleich die hochwertigsten und themenbezogensten Kommentare das Monats auftauchen *Popcorn hol'*.

Zur Sache selbst: ein Fingerzeig, dass auch staatliche Institutionen sich Gedanken über die fortdauernde Sicherstellung von Schadprogrammfreiheit auf ihren Seiten zu machen. Schließlich haben solche Seiten meines Wissens nach ja noch einen sehr hohen Vertrauensvorschuss.
 
joomoo schrieb:
Selber schuld wenn man Java installiert hat.

Oh mann was für ein ...... ist das denn?

Java an sich ist eine der Sichersten Sprachen, d. h. Keine Bufferoverflows durch miesen Code von PseudoProggern. Das schlimmste was passieren kann sind Exceptions.

In diesem Fall ist ein Fehler in der JAVA Virtual Machine (dem Interpreter welcher den uebersetzten Byte-Code ausführt) entdeckt worden.

[Passage entfernt]

Fehler sind in jeder Software zu finden, merk dir das!

EDIT: Verwechselt bitte nicht JavaScript mit Java, das eine hat mit dem anderen nichts zu tun!!
 
Zuletzt bearbeitet:
cbmik schrieb:
In diesem Fall ist ein Fehler in der JAVA Virtual Machine (dem Interpreter welcher den uebersetzten Byte-Code ausführt) entdeckt worden.
Jep und die ist zum großen Teil in C geschrieben. Hab ja auch nicht gesagt "Selber Schuld wenn man ein Java-Programm installiert" sondern ich meinte die JVM von Sun.

Da du aber eh keinen blassen Schimmer davon hast was ein Byte, Bufferoverflows oder Exceptions sind, solltest du dein geschwätz besser jmd. erzählen der genauso ein Experte wie du ist (wenn du jmd. findest)!
Ich weiß was alle diese drei Sachen sind.

Fehler sind in jeder Software zu finden, merk dir das!
Aber mit nem Java-Plugin holt man sich nur eine potentielle Gefahrenquelle mehr in seinen Browser. Ist nicht wirklich notwendig fürs Internet und wird meiner Meinung nach auch aussterben.
engine schrieb:
Wie willst du ohne Java anständig im Internet arbeiten?
Sicher dass du es nicht mit Javascript verwechselst? Also ich brauch Java überhaupt nicht, Flash leider noch, aber sonst keine Plugins.
 
joomoo schrieb:
Jep und die ist zum großen Teil in C geschrieben. Hab ja auch nicht gesagt .... sondern ich meinte die JVM von Sun.

OK, entschuldige meine harte Reaktion, mich nerven nur immer wieder die selben aussagen wie JAVA ist so unsicher ....

Warum sollte die JVM von Sun so unsicher sein, welche alternative JVM erachtest du denn als besser (bitte nicht die grottige IBM-JVM)?

BTW: Das JVM-Plugin im Browser ist im Gegensatz zu Quicktime, Flash, Acrobat-Plugin usw. ein sehr sicheres!!
Außerdem setzt du die JVM gennerell mit dem Browser-Plugin gleich, man muss es ja nicht im Browser nutzen und kann trotzdem Java-basierende SW nutzen!
 
wer oder was ist jetz genau zu schaden gekommen?
 
cbmik schrieb:
OK, entschuldige meine harte Reaktion, mich nerven nur immer wieder die selben aussagen wie JAVA ist so unsicher ....
Okay, ich entschuldige mich auch für meine sehr unklare Aussage, die eigentlich nur Flamewars hervor ruft.

Warum sollte die JVM von Sun so unsicher sein, welche alternative JVM erachtest du denn als besser (bitte nicht die grottige IBM-JVM)?
Kenn mich mit Java nicht aus. Meine eigentlich jedes Browser-Plugin wie Java, Flash oder Silverlight. Sollte man alle lieber nicht nutzen wenn möglich, da sie ihre eigenen Sicherheitslücken mitbringen und oft auch nicht regelmäßig aktualisiert werden vom Nutzer (Bei Java gab's da allerdings son automatischen Updater für Windows IIRC).

BTW: Das JVM-Plugin im Browser ist im Gegensatz zu Quicktime, Flash, Acrobat-Plugin usw. ein sehr sicheres!!
Wie kommst du darauf?

Außerdem setzt du die JVM gennerell mit dem Browser-Plugin gleich, man muss es ja nicht im Browser nutzen und kann trotzdem Java-basierende SW nutzen!
Jo das stimmt. Ich hab mal meinen ursprünglichen Beitrag editiert.
 
Wieso, ist doch nix kaputt.

In 2 Jahren gibts dann auch Geldstrafen für nicht aktuelle Systeme.
Vgl. Internet Regelung.

mfg,
Markus
 
Ist das in den USA eigentlich auch so wie hier, dass veraltete Software im Einsatz ist weil nur Software genutzt werden darf die ausgiebig getestet wurde und somit schon lange veraltet ist bevor sie genutzt werden kann? Wenn ja ist das ein gutes Beispiel, dass man hier doch ggf. mal ein Stück umdenken sollte.
cbmik schrieb:
Java an sich ist eine der Sichersten Sprachen, d. h. Keine Bufferoverflows durch miesen Code von PseudoProggern. Das schlimmste was passieren kann sind Exceptions.
Du verwechselst gerade Sprache mit der eigentlichen Software die das Produkt dieser Sprache ausführt. Übrigens gibt es genug andere Sprachen die das selbe von sich behaupten, da wäre z.B. Ada.

Auch ist das mit den PseudoProggern vollkommen daneben. Falls das eine Anspielung auf zum Beispiel C / C++ Programmierer sein soll, so kann man von Leuten die diese Sprachen auf hohem Niveau beherrschen (denen aber dennoch schon fast zwangsläufig Fehler unterlaufen, genauso wie dies bei jeder anderen Sprache auch der Fall ist) auf keinen Fall von PseudoProggern reden, ganz im Gegenteil sind viel mehr Leute als PseudoProgger zu beschimpfen die nur was zu Stande bekommen können, wenn die Sprache / die Umgebung hier mehr Arbeit rein steckt, dass alles reibungslos funktioniert als der Programmierer selber!

Auch sind viel mehr Leute PseudoProgger (Wirtschaftsinformatiker und co.) die nur in der Lage sind irgendwelche UML Diagramme zu zeichnen und Softwarestücke wie Lego zusammen zu puzzeln und vollkommen überfordert sind etwas selber zu entwickeln, zum Beispiel solche die nicht einmal eine Liste programmieren könnten!

Damit will ich keines Falls sagen, dass es immer sinnvoll ist alles selber zu entwickeln oder mit Maschinennahen Sprachen zu programmieren ohne unzählige Sicherheitsmechanismen jedoch sind Leute die dazu in der Lage sind jedem PseudoProgger überlegen der das nicht einmal im Ansatz kann.

Und es gibt genügend Bereiche in denen solche Leute auch benötigt werden und Java oder ähnliche Programmierer eher nutzlos. Zum einen wäre da die Entwicklung von Betriebssystemen, von Treibern, von Computerspielen (aufwendigen 3D Spielen keinen schlichten 3D oder 2D Spielen) und etlichen anderen Bereichen.
cbmik schrieb:
In diesem Fall ist ein Fehler in der JAVA Virtual Machine (dem Interpreter welcher den uebersetzten Byte-Code ausführt) entdeckt worden.
Die Java Virtual Machine ist kein Interpreter :evillol:, ein solcher würde implizieren, dass Java eine Skriptsprache wäre.
cbmik schrieb:
Fehler sind in jeder Software zu finden, merk dir das!

EDIT: Verwechselt bitte nicht JavaScript mit Java, das eine hat mit dem anderen nichts zu tun!!
Damit hast du jedoch vollkommen Recht!

Es ist aber falsch deswegen zu sagen, dass man das Java Plugin verwenden sollte. Java mag zwar relativ sicher sein, jedoch wie du hier so gut bemerkt hast, gibt es überall Fehler und Java in einem Browser, zumindest wenn es standardmäßig aktiv ist, ist in der Regel eine unnötige Gefahrenquelle (wenn auch nur eine geringere als so manch anderes wie Flash / Javascript) und somit hat joomoo Recht wenn er meint, dass man selber schuld sei, wenn das Java Plugin installiert ist (und es ständig von jeder beliebigen Webseite genutzt werden könnte).
joomoo schrieb:
Aber mit nem Java-Plugin holt man sich nur eine potentielle Gefahrenquelle mehr in seinen Browser. Ist nicht wirklich notwendig fürs Internet und wird meiner Meinung nach auch aussterben.
Genau so denke ich auch, bis auf das mit dem Aussterben. Ich hoffe, dass der ganze andere Dreck wie Flash aus stirbt aber gerade Java vielleicht doch einmal wieder etwas populärer wird, da Java für einige Anwendungsfälle perfekt wäre, zum Beispiel für Onlinespiele und Onlineanwendungen. Der Trend das ganze in Javascript zu machen ist meiner Meinung ziemlicher Schwachsinn und in der Regel ist das auch eine höhere Gefahrenquelle! Gerade solche Dinge wie 3D Spiele in HTML und Javascript sollten meiner Meinung niemals die Welt erblicken!
 
die Art der Schwachstelle interessiert mich weiter nicht. Bedenklich ist an dem Vorfall, dass offenbar selbst (hoffentlich von guten Admins überwachte) Server von eigentlich vertrauenswürdigen Stellen manipuliert werden können. Was, wenn das bei Geizhals, Amazon, SpOn oder so passieren würde? Da Browser in der Regel von Antiviren-Programmen als vertrauenswürdig behandelt werden, dürften auch nur die wenigsten anschlagen, wenn damit im Hintergrund (per Iframe) Verbindungen zu Malware-Servern aufgenommen werden.
 
Scheinweltname schrieb:
Bedenklich ist an dem Vorfall, dass offenbar selbst (hoffentlich von guten Admins überwachte) Server von eigentlich vertrauenswürdigen Stellen manipuliert werden können. Was, wenn das bei Geizhals, Amazon, SpOn oder so passieren würde?
Was ist Spon?

Übrigens ist es nicht so, dass nicht schon öfters vertrauenswürdige Webseiten manipuliert wurden...
Scheinweltname schrieb:
Da Browser in der Regel von Antiviren-Programmen als vertrauenswürdig behandelt werden, dürften auch nur die wenigsten anschlagen, wenn damit im Hintergrund (per Iframe) Verbindungen zu Malware-Servern aufgenommen werden.
Zu aller erst, ein Virenkiller bietet generell keinen vollen Schutz! Virenkiller sind meist nur in der Lage alte Schädlinge zu finden (und selbst dann nicht mal immer), bei neuen haben sie gerade mal wenn es hoch kommt eine 10% Erfolgschance! Zum Beispiel wäre kein Malware schreiber so dumm seine Malware nicht einmal mit den herkömmlichen Virenkillern gegen zu checken. Daher sollten Virenkiller nicht die einzige Sicherheitsmaßnahme (z.B. deaktivieren von Javascript, Flash, Java und einigen andere Dinge) sein! Auch kann man es unterbinden, dass iFrames überhaupt geladen werden!

Jedoch erkennt ein Virenkiller, Viren nicht weil sie Virus1.exe oder Virus2.exe heißen sondern anhand dem Inhalt (welcher bei einem Virusbefall entsprechende verändert ist). Das bedeutet, dass es dem Virenkiller egal ist ob der Virus nun in FireFox.exe oder in Virus.exe enthalten ist! Auch können die meisten aktuellen Virenkiller die Verbindung zwischen Browser und Internet überwachen, so dass das nicht das eigentliche Problem ist, sondern viel mehr das oben erwähnte, dass in der Regel nur alte bekannte Viren entdeckt werden können, da ein Viruskiller eben nicht intellligent genug ist und diese teilweise gezielt in die Irre geführt werden!
 
Zuletzt bearbeitet:
Ich denke mit Spon meint er SpiegelOnline ;)
 
Die Nachricht sollte noch einmal neu Verfasst werden, da passt irgendwie inhaltlich nichts, jedenfalls weiß man nach dem lesen des Textes immernoch nicht worum es eigentlich geht :D

Schließe mich da Terrordrome an...

und wer ist eigentlich Luis Corrons ? ;)
 
joomoo schrieb:
Selber schuld wenn man Java installiert hat.

edit: Ich meine das Java-Plugin für den Browser.

You Fail! ;) Manche Seiten brauchen einfach Java. Die einfachsten sind Chatseiten.
Aber: Ja, in gewisser Weise hast Du schon Recht. Diese Mittel sollten nicht pauschal jeder Seite zur Verfügung stehen, wofürs zB NoScript gibt. (Das kann in der aktuellen Version fast jeden Content blocken...)

Alles in allem sollte es mit einem anständigen System so schwer sein sich über Webseiten zu infizieren, wie einen Lottogewinn. Der Virenscanner sollte Port 80, 8080 und ggf. den Browser dediziert monitoren. Damit kann über einfache inifzierte Dateien schonmal nix reinkommen. Irgendwelchen Exploits bleibt man dann nur noch sehr eingeschränkt ausgeliefert, weil dieser dank Noscript irgendwo im HTML-Bereich liegen müsste, und da sollten die Browser solide sein.

Dumm nur, wenn der User einer vermeintlich vertraulichen Website alle Türe öffnet. Und im Falle der US Treasury wäre das ja sogar iwo berechtigt.

MfG, Thomas
 
BPhoenix schrieb:
Du verwechselst gerade Sprache mit der eigentlichen Software die das Produkt dieser Sprache ausführt. Übrigens gibt es genug andere Sprachen die das selbe von sich behaupten, da wäre z.B. Ada.
Ich verwechsel hier garnix, Grund war das Java (die Sprache) ansich angegriffen wurde und das wollte ich nicht so dastehen lassen!

BPhoenix schrieb:
Auch ist das mit den PseudoProggern vollkommen daneben.
Es gibt nunmal viele die sich um richtiges Exceptionhandling, sauberes Freigeben von Resourcen, Umgang mit Pointer keine gedanken machen. Kernaussage war das diese Leute (Pseudoprogger) in Java weniger anrichten koennen als in C/C++ (Stichwort: Security-Leaks durch BufferOverflows).

BPhoenix schrieb:
Und es gibt genügend Bereiche in denen solche Leute auch benötigt werden und Java oder ähnliche Programmierer eher nutzlos.
Nur weil in manchen Bereichen kein Java verwendet wird sind die Leute nutzlos, glaubst du Java zu beherrschen bedeutet geleichzeitig C/C++ nicht zu beherrschen?
Ich habe Assembler,Cobol, C/C++, Java, usw. genutzt und muss sagen, Java ist mir persönlich am liebsten (nur meine pers. Meinung) !


BPhoenix schrieb:
Es ist aber falsch deswegen zu sagen, dass man das Java Plugin verwenden sollte. Java mag zwar relativ sicher sein, jedoch wie du hier so gut bemerkt hast, ...
Es ist aber auch kein grund es zu verdammen, im Gegensatz zu Flash, AcrobatReader, Quicktime, Realplayer hört man nämlich vom Java-Plugin viel weniger Exploit-Meldungen.
Da müssten vorher die anderen gemieden werden!!!

BPhoenix schrieb:
Die Java Virtual Machine ist kein Interpreter :evillol:, ein solcher würde implizieren, dass Java eine Skriptsprache wäre.

Der java-Compiler uebersetzt den Java-Code in Byte-Code (nicht Maschinencode), dieser wird vom Java-VM zur Laufzeit Interpretiert und ausgefuehrt! Also nix :evillol:

http://www.teialehrbuch.de/Kostenlose-Kurse/JAVA/6544-Der-Java-Interpreter.html
 
Zuletzt bearbeitet:
Zurück
Oben