Monthly Archives: Februar 2024

Online-Banking-Check 2024

Posted on by

Weil wir gerade mal bei Sicherheitschecks waren, haben wir kurzerhand den Online-Banking-Check vom 2019 nochmal nachgeholt.

TLS-Gate – Online-Banking-Check

Online-Banking-Check 2024

Das Testziel war TLS 1.3, wenn das kommt: Test bestanden
Das zweite Ziel war, daß TLS < 1.2 nicht mehr geht. Den Test haben alle Kandidaten bestanden.

Hier das Testergebnis im Detail: Die Liste erhebt keinen Anspruch auf Vollständigkeit, falls Eure Bank nicht dabei ist, einfach mal selbst nachsehen 😉

Domainname[:443]TLS 1.3TLS 1.2CA
www.commerzbank.de++GlobalSign
www.nordlb.de–+Atos
www.ksk-stade.de++QuoVadis
meine.postbank.de–+Digicert
meine.deutsche-bank.de++Digicert
www.berliner-sparkasse.de++QuoVadis
www.bv-activebanking.de–+Digicert
meine.norisbank.de++Digicert
www.dkb.de++Digicert
www.sparda-berlin.de–+QuoVadis
www.vrbankmecklenburg.de–+QuoVadis
www.volksbank-demmin.de–+QuoVadis
calenberger.de (Calenberger Kreditverein)++Lets Encrypt!
www.ksk-walsrode.de++QuoVadis
www.diebank.de–+QuoVadis
banking.seeligerbank.de––Digicert
www.sparkasse-nordhorn.de++QuoVadis
hbciweb.olb.de–+D-Trust GmbH
www.apobank.de++QuoVadis

Unsere Testmittel

Für TLS 1.2

echo „TEST“ | openssl s_client –connect www.commerzbank.de:443 -tls1_2 -nbio

Für TLS 1.3

echo „TEST“ | openssl s_client –connect www.commerzbank.de:443 -tls1_3 -nbio

Hier ein Negativbeispiel für TLS 1.3:

$ echo „TEST“ | openssl s_client –connect www.diebank.de:443 -tls1_3 -nbio | grep -E „(version|Cipher)“
004E9A2CE67F0000:error:0A000410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:ssl/record/rec_layer_s3.c:1586:SSL alert number 40

Wenn diese Meldung + etwas Restausgabe kommt, dann ging es nicht. Manchmal sieht man auch „SSL alert number 70“.

Glückwunsch an alle Banken, die es geschafft haben!

ALARMSTUFE GELB – vermehrte Trojaner Emails durch Hack von Outlook / Exchange Mailservern

Posted on by

Da jetzt 2 Mails in 2 Tagen aufgetaucht sind, die Trojaner enthalten und dem gleichen Schema folgen, und wir von mehr wissen, muß ich folgende Warnung abgeben:

Achten Sie dringend darauf:
KEINE ATTACHMENTS ANKLICKEN/SPEICHERN/AUSFÜHREN .

 

Die Trojaner Emails sind an folgendem Muster erkennbar

ZIP Attachment mit 4-5 Buchstaben als Filename.

Der Inhalt der Email knüpft an eine Korrespondenz an, die Ihr mit einem Kontakt früher hattet.

I.d.R. so was: „Ich habe Ihnen gestern ein Dokument gesendet. Ist es dir angekommen?“

UND Umlaute gibts nicht mehr im Text, es gibt Buchstabendoppler und andere Bugs:

Sehr geehrte Projektbeteiligte,
im Anhang erhalten Sie das Protokoll Nr.: 208/AA 012 zur Baubesprechung vom 01.11.2024 zu Ihrer Kenntnisnahme und frIhre Unterlagen.
Termin der nchsten Baubesprecchng 019:
Bei Rckfrgen stehen wir Ihnen gerne zurr Verfgung.
Mit freundlichen Gren

MAßNAHMEN:

  1. Attachment mit der rechten Maus anklicken -> Anhang löschen
  2. Mail nicht löschen, zwecks Beweissicherung. Kann nach 6 Monaten weg.
  3. echten Kontakt über bekannte! Kontaktwege informieren, daß deren Outlook/Exchange gehackt wurde:

Diese Links mitschicken:

https://thehackernews.com/2024/02/critical-exchange-server-flaw-cve-2024.html

http://blog.fefe.de/?ts=9b3393bb

https://krebsonsecurity.com/2024/02/fat-patch-tuesday-february-2024-edition/

Weil:

Rapid7’s lead software engineer Adam Barnett highlighted CVE-2024-21413, a critical remote code execution bug in Microsoft Office that could be exploited just by viewing a specially-crafted message in the Outlook Preview pane.

Narang called special attention to CVE-2024-21410, an “elevation of privilege” bug in Microsoft Exchange Server that Microsoft says is likely to be exploited by attackers. Attacks on this flaw would lead to the disclosure of NTLM hashes, which could be leveraged as part of an NTLM relay or “pass the hash” attack, which lets an attacker masquerade as a legitimate user without ever having to log in.

Brian Krebs kommentiert dazu:

BrianKrebs @briankrebs

„IDK when Microsoft knew what, but this was definitely a vulnerability that was going to get reverse engineered and pounced on. It’s a scroll-your-Outlook-inbox-and-get-pwned bug. This could get bad quick.“

Und Ja, Brian Krebs hat recht, die Hütte brennt lichterloh!

LIEGT DER HACK BEI IHNEN?

Wenn Sie Outlook einsetzen, dann stellen Sie sicher, daß es alle Updates bekommen hat. Wenn Sie nicht auf dem neuesten Stand sind, könnten Sie betroffen sein. Wir empfehlen sofort auf Thunderbird umzusteigen, sollten keine Updates einspielbar sein.

Die Anzahl der Hacks in Emails im Zusammenhang mit den Outlook/Exchange Hacks nimmt rapide zu.

Daher kontaktieren Sie Ihre IT, informieren diese ggf. mit den obigen Links und lassen Sie alles Updaten.