Hacker: So kriegen wir dich in 5 Minuten!

0:00 Wir können nämlich als Angreifer alles byipassen und umgehen. Also auch das beste Antivirenprogramm der Welt dauert bei uns in der Regel 14 bis maximal 16 Stunden. Dann sind wir dran vorbei. Hab jetzt letztes Jahr ein Hochsicherheitsrechtenzentrum. Da sollten wir physisch eindringen und dann haben wir uns als Rettungssanitäter verkleidet volle Montur mit Verkleidung, mit Fahrzeug, mit allem. Sitzt du selbst am Telefon und versuchst die Jungs und Mädels davon zu überzeugen, dass du die Volkswag bist? Häufig. Macht dir das Spaß? Sehr. Auf meinem Handy ist quasi mein gesamtes Leben. Es geht aber nicht nur um vertrauliche Chats und E-Mails, sondern auch um bares Geld. Mein heutiger Gast ist ein echter Hacker. Er kommt ursprünglich vom Militär, ist heute einer der gefragtesten IT Security Experten der Welt und stellt sich meinen Fragen, denn ich wollte wissen, wie arbeiten die Hacker wirklich? Ich wollte

0:47 verstehen, was dahinter funktioniert und ich wollte natürlich auch verstehen, wie ich und [musik] wie ihr euch schützen könnt. Ironischer Fun Fact, nach dem Gespräch mit Florian sind mir so einige Dinge aufgefallen, die ich selbst und auch in meiner Firma ändern müsste. Denn wenn man nicht verstanden hat, wie die Hacker arbeiten, kann man sich unmöglich davor schützen können. Das habe ich dann aber nicht direkt umgesetzt, sondern dachte, das hat ja noch Zeit, weil es läuft schon immer so. Dann habe ich eine E-Mail bekommen und wir sind gehackt worden, schaden über eine halbe Million Euro. Wenn du das vermeiden willst, lege ich dir diesen Podcast besonders ins Herst. Und wenn du Bock hast, mich live auf der Bühne zu erleben in Köln am 18. November in Halleor 2, dann klick gerne auf den Link in der Videobeschreibung oder in Shownotes und natürlich im Link Tree. Ich freue mich dich und euch zu sehen und jetzt gute Erkenntnisse mit

1:33 Florian Hansemann ungeskriptet. Du hast gerade schon auf dem Weg nach oben gesagt, es kommt darauf an, wer dich angreift oder wer dich angreifen will. Wie leicht oder schwer ist es denn so ein, ich sag mal so ein normalen Durchschnittsuser, der ein Android oder ein iPhone hat äh und mit WhatsApp schreibt und auf Instagram was postet, wenn ich sage, pass auf, den will ich. Ich will Zugriffe aufs Handy, ich will wissen, wo der seine Pornos guckt und ich will wissen, mit wem der schreibt. Wie schwer ist das? Ja, am Ende ist es eine Frage des Aufwandes, ne? Du kannst tatsächlich, wenn du beliebig viel Ressourcen zur Verfügung hast, ist kannst du jedes beliebige Ziel kompromieren, aber ich sag mal den 0815 Benutzer, ja, den 0815 Anwender, ähm wenn du da zumindest mal Profihacker

2:19 beauftragst und fünfstelligen Betrag auf dem Tisch liegst, dann äh ist es schon sehr sehr wahrscheinlich, dass der zumindest mal Zugriff zu einigen Accounts von den bekommt. Wie machen die das? In der Regel das einfach das Fishing. Ja, ganz klassisches Social Engineering. Ähm, kombiniert mit Call ID Spoofing ist immer ganz cool. Ja, das Was ist Callid Spoofing? Ja, will ich gerade erläutern. Gut. Calloofing ist quasi, dass im Telefon andere Nummer angezeigt wird, als die eigentlich anruft. Ja, das heißt der recherchiert vorher über dich, wo du unterwegs bist, vielleicht wer deine Bank ist, äh welche Freunde du hast, wo du arbeitest, whatever. Und ähm dann überlegt er sich eine passende Story, dass sich jetzt dein Anwalt, dein Steuerberater, deine Bank sich bei dir meldet. In deinem Display taucht die Nummer von der Bank, nehmen wir jetzt mal die Bank als Beispiel, ruft die Bank an mit der Telefonnummer. Wenn du sie im Telefonbuch abgespeich, zeigt er dir sogar deinen Banknamen und dann sagt er

3:07 dir hier ganz urgent, wir haben ihn gerade ein E-Mail geschickt. Äh in der E-Mail steht dann auch die gleiche Domain äh wie du auch von deiner echten also Absendeadresse die gleiche, wie du auch erwarten würdest und dann ist es eine ziemlich fiese Kombination, wenn sie da noch äh geschickt Druck aufbauen auf der Tonspur parallel. Ja, okay. Wenn wir da mal sozusagen Schritt für Schritt re der ein, wenn wenn ich jetzt jemanden hacken will, wenn ich quasi Zugriff auf den irgendwie Accounts bekommen will, das ist das eine, also auf den keine Ahnung E-Mail Account, auf den Dropbox Account, auf den iCloud Account, das sind wahrscheinlich so Ziele, die interessant sein könnten. Dann gibt es noch sozusagen eine Backdoor aufs Handy. Das dürfte schon deutlich komplexer sein. Da muss ich schon ein bisschen Ahnung für haben, aber wenn ich jemandem sein Passwort für Gmail abnehmen kann,

3:52 äh dann kann ich mich da einloggen im Regelfall. So und das heißt, der das einfachste ist dem dem Ziel quasi eine E-Mail zu schicken und den Absender so ein bisschen zu fälschen und zu sagen, hier ich bin die Volksbank, die Sparkasse, was auch immer ganz platt, ich bin der Prinz von Samunda und habe eine Milliarde geerbt und muss brauche aber ein Bankkonto. Das ich sag mal das ist so lowest level, aber dann das ich sag mal erste ernsthafte Level ist ich schreib mal mit der mit der Volksbank scheinbare Adresse, dann mache ich hier Volksbank- Köln minus und dann keine Ahnung Stadthil vonköl.de so dass ich nicht kenne, ich kann die Domain registrieren, vielleicht nicht dde, sondern dnet oder so und dann dann fake ich mir so ein Absender E-Mail, dann nehme ich das Logo

4:38 rein, guck, wie die sonst E-Mails verschicken und dann schicke ich mal ein paar E-Mails raus. Das ist ja sind auch schon wieder zwei Methoden 1000 E-Mails rauszuschicken oder ich möchte den Stefan, den Florian, den Benjamin. Ähm okay, dann schicke ich eine E-Mail raus und dann klicken die auf den Link und in dem Link äh ist das allerbasicste ist bitte gibt dein Passwort ein und dann baue ich mir eine Webseite und die die liest ne braucht das Passwort noch nicht mal auslesen, sondern ist so quasi fake login. Ich log mich ein. D sag dann hat sagt die Webseite login Fehler tut uns leid. Schönen Gruß, dann habe ich das Passwort. Korrekt du? Ich ja alles gut. Also jobs.de. Ja, also falls du dann hier mal keine Lust Podcast hast. [gelächter] Nee, ist alles richtig, was du sagst. Ja, okay. Also das ist so, das kann ich,

5:24 wenn ich so ein bisschen ein E-Mail Programm bedienen kann, dann kann ich das bauen. Ich brauche ein bisschen kriminelle Energie, bisschen Kreativität. Ja, und das ist der Punkt, wo ich gerne einsteigen würde. Mittlerweile gibt es halt ganz viele Tools für wenig Geld. keine Ahnung für $50$ im Monat oder so, was das Ganze für dich voll automatisiert übernimmt. Ja, das heißt, du musst eigentlich gar keine Skills mehr mitbringen. Du musst nur wissen, wo du suchst oder wen du frägst. Ja, und dann kannst du sehr wenig Geld sehr professionell Fishingseiten nutzen und die fischen dann auch noch Multifaktor für dich gleich mit. Ja, also ne, das muss mal kurz erklären. Also sind das Dienstleister, die für mich fischen? Nein, die bieten Software Service an. Ja, so wie weiß ich nicht, du deine Buchhaltung vielleicht über eine SASARS Lösung, also Software Servicelösung machst, so kannst du auch diese Fishing Dienste nutzen und äh dann klickst du dir das über ein Dashboard zusammen. Ich hätte jetzt gerne Microsoft Login, ein

6:10 Banklogin, whatever. Ja, und dann wird das im Hintergrund gebaut. Klar, die Domäne musst du kaufen, okay, das aber das kriegt man ja wohl hin. Ja, und dann lässt du das auf deinen Server zeigen und dann ist alles vorbereitet und sieht alles relativ echt aus. Und äh diese Lösungen, zumindest die kommerziellen, die können auch diese ganzen Microsoft Authenticator, OTP Tokens, also diese Zahlen, die so durchlaufen, ähm die meisten Methoden davon tatsächlich einfach mitfischen und dann hilft dir das auch nicht mehr. Das ist Gangster. Das ist Gangster. Das heißt, es gibt äh Hacker, die verstanden haben, ich muss nicht mehr selbst hacken, sondern ich ähm stellen mein Software Tool irgendwelchen Amateuren oder oder einfach Leuten, die selbstsichtig nicht die Mühe machen wollen zur Verfügung. Und da kann ich jetzt quasi, da kann ich 50 € im Monat sage ich: "Pass mal auf, ich möchte gerne [email protected]

6:56 ist mein Target." Und außerdem shantal.myer.com ist auch noch mein Target. nicht standaler.com, sondern [email protected] oder was auch immer, die E-Mailadressen möglicherweise, die Handynummer, alles was ich weiß von dem baller ich da rein und dann schickt der verschiedene E-Mails, aber schon von meiner Domain. Der hat nicht fertige. Nee, nee, schon von Domains, die du dann vorher erwerben musst. Ja, und aber da auch da, ne, das wissen die meisten auch nicht. So eine Domaine zahlst du irgendwie 2,30 € im Jahr, wenn du das irgendwo kaufst. Ja, das heißt, das ist dann kein Problem. Und wenn du dann bisschen Gehirnschmal anwendest und dir überlegst bei den Domainenamen, was hole ich mir denn da? Wir haben z.B. eine Domäne. Die offizielle Domäne vom Finanzministerium ist bundesfinanzministerium.de.

7:41 Ja, und wir haben eine Domäne bundesfinanzministerium.de. Das heißt, das T ist durch ein Lgetauscht, sonst alles gleich und äh das nennt man dann Typo Squatting, denn ist wirklich nur ein einzelner Buchstabe vertauscht und in dem schwachen Moment sieht man das nicht, ne? Und das ist halt super Kombination, ne? Wenn du dann so ein Tool verwendest, dann so eine Domaine, die sehr stark dem ähnelt, dann ist das schon unfair. Wenn du dann auch das mit dem Telefonanruf kombinierst, dann ist eigentlich fertig. Moment, beim Telefon sind, sondern wir sind jetzt das ja wirklich low level 50 € um mal 50 € und ich sag mal Nachmittag, ich kaufe mir drei Domainen und sag, pass mal auf, ich bin jetzt hier mal die Volksbank, ich bin jetzt mal Dropbox, ich bin mal Microsoft und ich bin mal Apple. So. Ähm und dann gucke ich mir mal, was alles illegal ist, ne? Also ich weiß nicht, ob wir den Disclaimer an der Stelle ma, also für mich ist das so so

8:26 ey, wir sprechen über den perfekten Mord. Mord ist übrigens illegal. Ja, ist offensichtlich, ne? Ja. Ja. Okay. Nicht, dass nachher heißt hier, der Flor hat gesagt, wie es läuft. Ja, also grundsätzlich ähm auch Markenrecht und so, ne? Also jetzt mal gar nicht, dass der Angriff an sich illegal ist. Alleine Domaine sich zu holen, die so ähnlich aussieht und das Logo dort zu verwenden ist schon illegal. Und eine Markenrechtsstreit in USA magst du nicht haben. Ja. Ähm, man würde sich das vermutlich jetzt ich, okay, ich jetzt geht der Disclaimer im Kopf los. Man wird das ja auch nicht mit seinem echten Namen machen. Jetzt muss ich sagen, dass es wie okay ähm alles was wir besprechen ist tendenziell illegal, wenn wir nicht explizit sagen, dass das legal ist. Bitte macht keiner von euch das jemals in irgendwie. Es geht aber darum, ja, nicht zu verstehen, wie ich andere hacken kann, sondern wenn ich verstehe, wie ich jemanden angreife, dann kann ich auch daraus ableiten, wie

9:13 ich mich verteidige. Weil wenn mir einer sagt, du brauchst ein sicheres Passwort, du brauchst ja, das habe ich verstanden. So, aber warum denn eigentlich so und ähm das erste wäre quasi das Passwort ist sozusagen heilig, wie bekomme ich das über eine Fishingseite, die versuche ich, die brauche ich noch nicht mal selbst bauen, sondern gibt's Dienstleist dafür. Äh und dann ist ja das große Thema äh nicht groß, aber das nächste Thema zwei Faktor Authentifikation. Äh, das kann ich mit dem Handy machen, das kann ich mit so einem OTP Generator machen und das macht das Tool gleich mit. Das sieht dann aus wie die echte Microsoft Seite, die echte Dropbox Seite, die echte iCloud Seite und sagt, okay, wir schicken jetzt eine Handy w beispiels Handy nehmen, wir schicken eine SMS, die schicken, also die nutzen tatsächlich die Automatismen von den jeweiligen Dienstleistern oder Software

9:58 Lösungen. Also, es wird dann tatsächlich über Dropbox diese Pushbenachrichtigung geschickt, SMS geschickt. Nur gibst du es bei der Anmeldemaske von mir ein, also vom Angreifer ein und der schleift das sozusagen durch und nimmt das Gangster. Okay, das heißt, ich lade als Beispiels lass mal ein iCloud nehmen. Ich gehe auf dann den Link und der Link ist irgendwie kleiner iCloud-login.se oder irgendwas absurdes, was nicht iCloud.com ist. So, das habe ich aber irgendwie nicht gesehen oder es gibt ein Zahlendreher Typero irgendwas so und die Seite sieht genauso aus. Dann gebe ich meine Daten da ein, klicke auf Login. Das sieht auch alles genauso aus. Im Hintergrund nehmen die meine Daten und versuchen sich von ihrem Rechner quasi automatisch auf dem echten iCloud.com

10:44 einzu einzuloggen und nutzen mein Passwort und dementsprechend äh kriege ich auch aufs äh aufs Handy eine Benachrichtigung. Ah, Junge, du versuchst überl Ja, bin ich, bin ich. Ja, ja, bin ich. Und dann nehmen die diese OTP, dieser diese einmal Pin und leiten die auch komplett durch und dann sind sie drin. Korrekt. Das heißt, das muss ich einmal machen und dann sind die drin. Das dauert 30 Sekunden und dann ist meine ganze Zweifaktor Gedöns für Füß. Das ist das der basicste einfacher einfachste Fall für 50 € im Monat mit drei Domains und ein bisschen kriminelle Energie. Korrekt. Das ist ja schon crazy und da kriegt man bestimmt schon viele Leute drüber, würde ich denken. Also bestimmt, aber meistens brauchst du

11:30 das nicht mal, ne? Also häufiger geht das noch viel triviilialer, weil die Leute weiß ich nicht, du du hast als Angreifer so verschiedene Knöpfe, die du drücken kannst, ne? Gear, Angst, äh wie auch immer. Und meistens muss es nicht mal sophisticated sein. Ja, meistens geht's noch einfacher. Aber wie geht's noch einfacher? Na ja, also so der Klassiker, wenn wir jetzt auf Unternehmen z.B. gehen, den schicke ich dir eine E-Mail und fälst den Absender und sag hier Personalabteilung an Geschäftsführung aus Versehen an alle Mitarbeiter und in der E-Mail verweise ich auf eine Excel Datei, wo die Übersicht von allen Gehältern drin sind. und sagt dann hier lieber Geschäftsführer, guck mal hier und schick das aber aussehen an alle, also in Blind Copy und da reicht, also da brauche ich nicht mehr noch irgendwie ja, das ist dann schon fertig, weil die öffnen diese Exceltabelle und wenn sie ihre Sicherheitsmechanismen wie die meisten nicht im Griff haben, dann sind diese Rechner direkt kompromiert. Also

12:16 bin ich direkt schon auf Betriebssystemebene. Das geht aus einem Excel raus. Ja, Makros äh CSV Injection, also gibt's verschiedene Angriffsvektoren, die man dann nutzen kann. Aber ganz früher war mal so, dass es quasi gab Makros in Excel und die sind nur innerhalb von Excel gelaufen. Nein, das war noch nie so. Das war okay. Das habe ich dann vielleicht Du kannst über die Makros kannst du also die meisten wissen über Makros kann ich irgendwie komische Funktionen Berechnung machen und dergleichen äh oder irgendwelche Knöpfe machen, die dann irgendwelche Dinge tun, aber am Ende kannst du auch externe Programme wie eine Kommando Zeile, PowerShell Programme ausführen, runterladen kannst. Du kannst alles damit machen, wie wenn du eine normale. Excelit Datei öffnest. Ah, krass. Wir sprechen jetzt Windows, ne? Das Ja, genau. Aber es gibt Makros auch für MacOS. Also, du kannst auch über Makros

13:02 auf macOS oder Linux, ist egal, kannst auch Bashbefehle ausführen. Also das ist wurscht. Du musst vorher wissen, wen du angreifst. Natürlich, wenn ich jetzt dich angreife und ich gehe jetzt mal davon aus, ich sehe es jetzt nicht, aber anyway. Aufgrund deiner Branche gehe ich mal davon aus, n ein Macgerät. So, ja, das weiß ich nicht, Flores, würde ich auch niemals Preis geben. So, wenn dem so wäre, dann nutzt natürlich ein Makro, wer der eine PowerShell aufrufen möchte über Pun Exe nichts. Ja, aber wenn ich das vorher weiß und können wir auch drüber sprechen, wie ich drauf komme und woher ich das dann wissen kann, welches Betriebssystem du nutzt, ähm, dann mache ich halt Bashbe Befehle oder dergleichen, die Linux kompatibel sind. Ja, theoretisch kannst du auch einfach beides machen. Ja. Ähm und brauchst es noch nicht mal vorher machen. Okay. Das heißt selbst eine Exceltabelle, die würde ich selbst, ich bin ein bisschen drin im Game, aber eine Exceltabelle wäre für mich äh harmlos und ich verstehe natürlich, dass

13:49 okay, dass dass man dann verschiedene Knöpfe drücken kann. Äh, der bekloppteste, einfachste Knopf ist, bitte loggen Sie sich ein und akzeptieren Sie die neuen AGBs. Aber ich verstehe, dass wenn man die Falle besser macht, wie hier ist die Gehaltstabelle aller Mitarbeiter, oh, sorry, dass von den 1000 Mitarbeitern wahrscheinlich und mir reicht einer, egal was du sagen willst, einer reicht mir. Ja, krass. Okay, das ist also die Frage ist halt, wie gestalte ich ein Köder, dass die Leute drauf gucken? Ja, und dann gibt's sagst du verschiedene Emotionen, die ich also Angst ist die eine, ne Gear Neugar. Genau. Also das sind so die, ich meine, das sind die Themen, die auch die Vertrieblich ansprechen [gelächter] auf den Messen. Ja. Was gibt's sonst für typische E-Mails, die man schickt, also außer die Gehaltstabelle? Also, was wir auch ganz oft machen, ist

14:35 wir hatten jetzt das Thema Apple Cloud oder Google Cloud oder auch Microsoft, dass wir dann die E-Mail, ich weiß nicht, ob du das kennst, manchmal kriegt, also hoffentlich nicht so oft, ja, aber manchmal diese E-Mail, hey, da hat sich ein fremdes Gerät von dir hat sich da angemeldet. von Lokation, weiß ich nicht, wo sonst wo und genau diese E-Mail zu verwenden, dass wir sagen: "Hey, da gab's gerade einen auffälligen Login, schau mal nach." Das auch, das geht auch immer ganz gut. Das ist aber auch einfach fies, ne? Also fies im Sinne von nee, ich will mich nicht hacken lassen. Ich habe die E-Mail gesehen und dann klicke ich drauf und dann ach das ist okay. Und das ja noch das Ding, wenn man das über eine Zeit macht mit verschiedenen da hat sich ein verdächtiges Gerät eingelogt, ah, habe ich verstanden. Da hat sich keine Ahnung, hier ist die Gehaltstabelle der Mitarbeiter. Ähm das ist, du kannst viel spielen, ne?

15:20 Standortschließung. Also irgendwann musst du hal die ganze ziehen beim Ethischen, ja? Auch wenn du also wir werden ja vorher beauftragt, ja, dass wir das machen. Ja. Ähm, aber auch da muss man natürlich gewisse Spielregeln äh definieren im Vorfeld, die die Angreifer nicht haben, weil ansonsten, wenn du auf dem freien Feld äh agieren kannst und keine Regeln hast, gibt's unendlich viele Möglichkeiten, wo du weißt, da klicken definitiv keine Ahnung 30, 40, 50 mehr Prozent der Leute. 30 40 das ist bess man 85%. [gelächter] Ja, weiß nicht, ob ich das erzählen will. Kannst du im Nachhinein elich schneiden? Äh, ich könnte, ich mache das nicht, aber ich könnte, aber wir können es rausnehmen, wenn du sagst. Nein, nein, so schlimm ist es nicht. Also rein ähm fiktiv, also wir haben die Regeln definiert im Vorfeld und dann hat er gesagt: "Nee, go for it, macht's was ihr wollt, gibt keine Regeln."

16:06 Und ähm das war in der Coronazeit und das war ein produzierendes Gewerbe, mehrere Standorte und dann haben wir halt eine E-Mail gefakt von der Mutter sozusagen von dem Hauptstandort an die anderen Standorte und haben die darauf hingewiesen, dass jetzt ähm letzte Woche einen ISO Audit stattgefunden hat mit einem TÜFP Prüfer und ähm dass ich da jetzt rausgestellt hat, dass der Covid positiv ist und dass sie im Anhang entnehmen können, wo da lang gelaufen ist und sie doch bitte prüfen, ob sie in den Bereich sich aufgehalten haben. Ihr seid Füchse, gemeine Füchse. Ja, das war im Nachhinein auch nicht so gut. Ja, kam nicht so gut an, aber ich meine, am Ende haben alle verstanden, hey, die Bösen spielen auch ohne Regeln. Ähm, man muss sich halt damit abfinden. Ja, aber so das Level, was ich kenne, ist halt Prinz von Samunda mit 14

16:52 Rechtsschreibfehlern hier klicke jetzt um deine 10 Milliarden auf dein Konto zu buchen. So, okay, das gibt's einer von 100.000 drauf klickt, aber bei euch 85% ist absurd. Ja, voll. Aber man muss dazu sagen, also diese diese die Prinzen aus Nigeria, die ein dan 3 Millionen versprechen, wenn man dann den 5000 überweist, was total sinnig ist, ähm das nimmt ja immer mehr ab, weil durch JetGPT und Co, die jetzt mittlerweile sehr hochwertige E-Mails schreiben können, auch voll automatisiert ähm und die Maschen auch ja einfach immer noch einfach sind, aber effizient Beispiel, wir waren jetzt vor wie lange ist es her 6 Wochen oder so haben Fernsehbeitrag mitgemacht und da war das wie folgt die Story, da wurden die Leute angeschrieben. geschrieben über WhatsApp oder eBay Kleinanzeigen, die nach Jobs gesucht haben und hat man

17:38 gesagt: "Hey, wenn du Hotelbewertungen abgibst, dann kriegst du dafür Geld." Voll cool, ne? So und dann haben die am Anfang tatsächlich Geld bekommen, 30 € 40 € 50 € und dann haben die irgendwann den Modus aber Randi geswitcht. Also, wenn die mal 2 300 € überwiesen haben, also den Opfern quasi und die sich gut gefühlt haben, dann haben die Angreifer die Modusoperande geswitcht, hab gesagt, so jetzt jetzt gehen wir an die großen Ketten und damit ihr da freigeschaltet werden könnt, müsst ihr uns 5000 € auf unser Bitcoin Konto überweisen, was total Sinn macht. Mhm. Massiv viele Leute sind da drauf reingefallen, weil die erst erstmal angefüttert worden sind und tatsächlich ihre 300 € auf dem Konto gesehen haben und äh ja und dann sind 25 000 € auf einmal weg, weil sie halt fünf mal hintereinander die Hoffnung gesehen haben. Ach krass. Und okay, es gibt diesen ganz

18:25 großen menschlichen Angriffsvektor und das ist ja den du mehr oder weniger nutzt. Du sagst, okay, technisch gibt's paar Sachen, aber was haben wir gerade? Was interessiert die Leute? Was wird die so richtig emotional triggern? Das in der Coronazeit. Es ist einer infiziert, die ich meine so Gehälter ist ein Evergreen. Das kann man immer machen im Zweifel aus dem Bauch raus und da gibt's wahrscheinlich fünf, sechs andere Dinge, die mich triggern, wo ich denke, das ist die wichtigste E-Mail meines Lebens. Und da denke ich Podcast Aufnahme hier. Ja. Ja. Z. Das wä wä das wäre ein schöner schöner Scam, um auch meinen Namen so richtig schön den Dreck zu ziehen. So, wenn ihr eingeladen seid, das könnte eine Okay. Ähm das ist verrückt, wenn man so kriminell kreativ sich treiben lässt. Okay, Podcast Aufnahme, wie

19:10 können wir das mal richtig abfucken? Das ganze Ding gibt's schon Möglichkeiten. Okay, das heißt, E-Mail ist das das eine dann das Zweifaktor Ding. Das ist quasi fast als Dienstleister. Äh, wenn ich auf ein Unternehmen ziele mit 2000 Mitarbeitern, die kann ist ja unmöglich. So, ich 2000 selbst 10 wirst du nicht so geschulten, dass da keiner drauf krieg klickt. Wahrscheinlich selbst. Wie hoch ist die Quote so bei IT-PIS, die sich eigentlich auskennen sollten? IT-PR ist eh so ein schwieriger Begriff. Ja, also ähm oft gehen wir dann in in den Gespräch mit den ITungen und wenn die anfangen mit ich mach seit 25 Jahren IT, dann wissen wir schon wieder Hase läuft. Ja. Ähm nee, aber um eine Quote zu nennen, da sind trotzdem immer noch ihre 10, 15, vielleicht auch 20%. Das ist ähm das nimmt sich da nicht. So

19:57 ist immer noch besser als bei einem normalen Newsletter. So je nachdem, was du für Newsletter Marketing machst, hast du halt dann 5 6 7 % das ein schlechter Newsletter. Ähm gibt auch bessere, aber du schreibst den quasi kalt E-Mail. Nee, aber du gibst ja vor nicht kalt zu sein, ne? Okay, genau so das Angriffsvektor E-Mail, das heißt zwei Faktor ist dann sowieso für die Füße. Ja, um Gottes Willen, also trotzdem wichtig und machen, ne? Weil bei Cyburity, wir kommen ja vielleicht nachher nachher drauf, äh wie man sich schützt und das ganze, aber es geht immer darum, möglichst viele Hürden aufzubauen. Ja, also es gibt diesen 100% Schutz nicht und jede Hürde, die wir mit überschaubaren Aufwand dem Angreifer in den Weg legen können, die nehmen wir mit. Also äh ja Multi, wir können nämlich als Angreifer alles byen und umgehen. Also auch das beste

20:44 Antivirenprogramm der Welt dauert bei uns in der Regel 14 bis maximal 16 Stunden, dann sind wir dran vorbei, egal was du im Satz hast. Ja, aber es geht halt darum, es möglichst schwer zu machen, damit der Angreifer dann irgendwann sagt, dass mir zu anstrengig geht zum Nachbar. Ja, das gilt für wenn also gibt ja diese zwei grundsätzlichen Angreifer, die sagen: "Hey, ich möchte Geld verdienen als Beispiel, ich möchte Leute scammen jetzt wie dein dein 5000 € Hotel Scam." So, ob ich den Stefan scamme oder den Thorsten ist mir eigentlich egal. So, dann wenn meine wenn meine Mauer quasi am Grundstück, wenn mein Haus quasi eine Mauer hat, die muss ein halben Meter höher sein als die von meinem Nachbarn, dann gehen die halt bei meinem Nachbarn drüber. Ja. Happy Happy, das ist doch geil. Blöd für Nachbarn, aber im Prinzip

21:30 muss ich da konkuriere ich da mit dem Nachbarn. Anders ist, wenn irgendjemand sagt, in das Haus will ich rein, der Nachbar ist mir scheißegal, ich will Ben, Florian, Stefan, wen auch immer. So, dann funktioniert das mit einem halben Meter nicht mehr, weil dann ist auf einmal ja der Fallen ganz anderer, weil dann muss ich quasi 10 m auch bauen und es gibt immer noch eine 11 m hohe Leiter und dann könnte ich auch sagen, pass auf, es gibt auch eine 100 m hohe Leiter oder im Z kommt im Heli, ich brauche gar keine Mauer, aber das wahrscheinlich auch Quatsch. Nee, ist nicht Quatsch. Und dann sind wir direkt in dem Thema, wie viel Cyburity, ob ich jetzt privat oder als Unternehmen betrachte, muss ich machen, generieren, damit ich auf einem guten Stand bin. Und da haben wir den anderen Ansatz, die meisten sagen hier, die meisten Gud, dass ja sagen, hey, wir schauen mal, wo deine Kronjuwen sind und schauen, dass

22:16 wir die schützen. So, unser Ansatz ist ein anderer. Wir sagen, was sind denn unsere realistischen Angreifer? Es gibt diese Script Kidys, es gibt irgendwie so die semiprofessionellen, die sie irgendwo Software zusammenkaufen, dann gibt's Auftrags Hacker und dann gibt's vielleicht irgendwann noch n Nation State hier so die ganzen anderen Staaten und Geheimdienste und dergleichen und da muss man sich dann einfach mal wirklich ganz rational damit auseinandersetzen, wer sind die Angreifer und daran orientiert dann man seine Schutzmaßnahmen, weil auch wenn d ein Unternehmen wenn ein Unternehmen einen Auftragshacker drauf ansetzt, jetzt nicht zu hacken, wenn die auch ein Betrag X auf dem Tisch legen, Und der Hacker wird sich irgendwann ab dem Zeitpunkt X sagen, das ist das Geld nicht wert, wenn das unverhältnismäßig ist. Ja, keine Ahnung, wenn so ein Auftragshacker für dich 20.000 € irgendwie nimmt, dass er dich

23:01 kompromitiert und er stellt nach 3 Monaten fest, er kommt nicht rein, dann wird das sein lassen, weil es nicht im Verhältnis steht. Das heiß ist immer so ein Abwegen zwischen den Ressourcen, die die Angreifer haben und was du für ein Ziel bist. Wir haben z.B. Also wir betreuen von der Handwerks dreim Handwerksbetriebe in Bartölz über Kernkraftwerke und Rüstungskonzerne so ziemlich alles so und Behörden und das sind völlig unterschiedliche Games, die wir da spielen und das ist eigentlich genau das auf dem Punkt. Ja, also der Handwerksbetrieb in Böls, der muss Multifaktor machen, der braucht einen vernünftigen Virenscanner, aber der braucht jetzt hier nicht State of the Art next Generation Zeug, äh wo wir hingegen bei einigen Kunden gar nicht über Internet kommunizieren aus Gründen. Das ist dann das andere Extrem. Okay, gar nicht über Internet klingt.

23:48 Okay, Rüstung verstehe ich, ne? den nächsten Kampfjet irgendwie baus, da haben natürlich alle Interesse dran, die unbegrenzte Mittel haben und quasi außerhalb des juristischen Raums operieren. Okay, verstanden. Lass noch mal kurz so die die Mittel des Zugangs durchgehen, um dann halt auf auf Verteidigung zu kommen. So, E-Mail Fishing easy, habe ich verstanden. So, zwei Faktor besser als nicht Zweifaktor, aber okay. Ja, je nachdem wo ich mich einlogge, ist dann das Zweifaktor Ding auch irgendwie egal. Aber es gibt auch zwei Faktormethoden, die Fishing sicherer sind, ne? Also UBY z.B. die sind nicht so einfach oder sind stand heute nicht so trivial zu fischen. Also das ist dann schon wesentlich aufwendiger als Angreifer an den vorbeizukommen. Wie würde man vielleicht musst du kurz

24:34 erklären, was ein UB ist. Ja, ist quasi wie ein USB-Stick, den du noch zusätzlich am Gerät angeschlossen haben musst, damit das Gerät, was du jetzt gerade verwendest, sich dort anmelden kann. Ja. und dann mit Kryptografie und das kann nicht gefischt werden. Das kann ich, das heißt, ich muss quasi physisch sagen, steck den USB rein oder halt den mit NFC an mein mein Telefon. Das unterstützt aber fast kein Dienst. Ähm zumindest nicht die im privaten Umfeld. Ja, aber Google unterstützt es. Aber wenn du dich jetzt einloggst bei ich habe 30 Logins, die meisten nicht 28 davon funktionieren halt nicht im Ubik. Äh, okay, das habe ich verstanden. Äh, dann hast du erwähnt, ähm, also was relativ einfach ist, ist sich eine falsche Domain zu besorgen. Das kostet 2,30 €. Äh, und da baue ich ein Typo rein. Äh, das Caller ID Spoofing, also

25:20 eine falsche Absender Telefonnummer, ist noch mal ein anderes Game oder ist auch so einfach? Ist auch so einfach. Gibt's fertige Apps, hast du 6$ pro Minute und gibst an, welche Nummer du angezeigt haben willst. Wie machen die das? Es gibt Apps im Play Store. Wie die das machen. Ach soo, das ist ja Voice over IP. Sind TCP Pakete. Ja. Die Software schubst zwei, drei Bites um und dann wird das da angezeigt. Kein Rocket Science. Okay alles. Aber ich meine 6$ die Minute ist ja schon relativ teuer. Das ja, da der Return of Invest ist da dann der entscheidende, ne? Ja, aber das ist schon das musst du schon wollen. Ja. Das das musst du wollen, also überhaupt mit jemand zu sprechen, hast du Stimme, ähm dann hast brauchst du die Telefonnummer, da da ist ja dranzukommen, aber dann rufst du quasi, dann schickst du die Mail dreimal, ey,

26:07 letzte Erinnerung, ihr Bankkonto wird geschlossen. Wenn du we du musst ja nur den sehen, dass der zur Volksbank geht. Ah, der ist bei der Volksbank. So und dann weißt weißt ja schon fast alles und dann rufst du an. Hier der Müller, den sie sonst haben, der ist ja sonst hier erkrank, dies das genau. Äh machst du das selbst so Anrufe? Call Poofing nutzen wir bei unseren Assessments auch. Ja, aber mal sitzt du selbst am Telefon und versuchst die Jungs und Mädels davon zu überzeugen, dass du die Volksbank bist? Häufig. Macht dir das Spaß? Sehr [gelächter] okay. Würd dir glaube ich auch Spaß machen. Ja, du machst du musst ja also du musst ja überlegen, also anders. Wir haben z.B. auch Assessments. Ähm, wir haben jetzt letztes Jahr ein Hochsicherheitsrechtenzentrum da sollten wir physisch eindringen und dann haben wir uns als Rettungssanitäter verkleidet, volle Montur mit

26:53 Verkleidung, mit Fahrzeug, mit allem und ähm haben die halt sind reingekommen. Ja, Long Shor Short und ähm natürlich hat das im ersten Moment so ein Geschmäckle, wie die Schwarben sagen, ja, äh für die Mitarbeiter, aber was halt ganz klar rauskommt, dass es in der Regel immer Prozessfehler sind und da sorgen wir auch für, dass am Ende immer die Geschäftsführ die Torte im Gesicht hat und nicht der einzelne Mitarbeiter. Das ist da dann auch das gleiche. Ähm natürlich ist es in dem Moment fühlen die sich erwischt und tappt, aber am Ende sind das immer Prozessfehler. Mhm. Ja, so kann man das erklären, aber ich ich bin doch im Geist jetzt ähm am Telefon mit dir als Volksbank. So, dann habe ich ja mit der Volksbank Vertrauensverhältnis und dann was du dann vermutlich machst

27:38 ist im Gespräch so ein bisschen grenzüberschreitend zu sein und was ich eigentlich machen müsste ist eine Grenze wer sind Sie eigentlich? Rufen Sie mich nicht nie wieder an, aber ich werde hier mit dem Geschäftsführer sprechen. Das wäre aber eine ganz ganz hohe Eskalation, weil du bist ja gut darin mir zu sagen, ich muss doch nur den Link klicken und es geht jetzt hier um Wir haben ja so lange ja die E-Mail bekommen und ich meine sie sehen die Telefonnummer am Display. Ja, also ich meine wie soll das sonst, also sie kennen die Telefonnummer doch oder? Weil die 99% der Leute draußen nicht wissen, dass ich die Telefonnummer beliebig ändern kann. was die richtige Reaktion wäre. Also jetzt mal Tipp für die Leute da draußen ähm sagen, habe ich verstanden. Ähm ich finde das aber hier gerade irgendwie bisschen schwierig. Ich rufe sie zurück, weil was ich jetzt Angreifer kontrollieren kann, ist meine

28:24 ausgehende Nummer dir anzeigen, aber wenn du die dann zurückrufst, landest du beim richtigen Mitarbeiter, weil er nicht kontrolliert, wo. Also, ne, wenn denn die Volksbank Nummer angezeigt wird und er ruft die dann an, also das Opfer, dann landet er auch bei der Volksbank und dann klärt sich das relativ schnell. Also, man muss jetzt nicht gleich sagen, ich eskaliere zum Chef hoch. Man muss nur sagen, h und die meisten Unternehmen sollten haben mittlerweile Verständnis, wenn die Leute ein bisschen sensibler sind, ne? Also, ich würde sagen, wie gesagt, bin ein bisschen drin, aber das ist Call ID Spoofing, dass das funktionieren, also das ist irgendwie funktioniert, ja, das ist für 6$ die Minute funktioniert, hätte ich jetzt nicht gedacht. So, das heißt ja oder technische Knohow und halbe Stunde investieren dann for free. Okay, aber alles im Rahmen von hier hast du 50 €. Ähm, das das ist schon das

29:11 schon verrückt. Das heißt, ich kann mich eigentlich auf keine E-Mail verlassen. Ich kann mich auf keinen eingehenden Anruf verlassen, auf einen ausgehenden aber schon. Das ist richtig. Okay, das ist ja auch wichtig zu wissen. Außer und das machen wir auch, wenn ich jetzt eine gefälschte E-Mail dir schicke von irgendeinem anderen Unternehmen oder whatever, dann schaue ich, dass ich über die typischen Marketing Tools mir eine Telefonnummer aus dem Ort besorge, die dann auf meine Telefonnummer umleite und tausch die Nummer in der Signatur aus. Das muss natürlich auch ein Schirm haben, ne? die E-Mail, die da kommt, wenn die gefälscht ist, kann ich natürlich auch einen Frankfurter Nummer da haben. So, das ist schon, also um das zu sehen, also quasi, oh, ist eine gefakte E-Mail, das eine gefakte Nummer. Ich weiß, dass ich äh inbound Faken kann, aber nicht Outbound. Ich habe die Nummer aus meinem

29:56 Telefonbuch Das sehen, glaube ich, die allerwenigsten, ähm, dass das ein Scam ist, würde ich jetzt mal denken. Da kriegst du sie ja alle mit. Da brauchst du ja äh gar nicht programmieren können, sondern im Zweifel vor allem, wenn der Angriffsvektor ist, äh ich habe 2000 Mitarbeiter äh und dann spiele ich das Game mit der Gehaltsabrechnung, da brauche ich noch nicht mal anrufen, ähm mit einem gut mit einer guten Überlegung. Äh das macht mir ein bisschen Angst. Und dann, ich meine, wir reden halt, das eine ist Login, das nächste ist aber Kompromitettierung des lokalen Systems. Ähm, das heiß mit Login zu iCloud, dann sind meine Fotos weg, meine E-Mails, was auch immer ich in der iCloud habe, meine Dateien, contact the dies. So, das ist

30:43 aber noch nicht jemand hat Zugriff auf mein Handy, auf meine Kamera, auf mein Mikrofon, kann mich abhören. Das wäre aber möglich mit der E-Mail mit dem Excel anhang z.B. Genau. Also es gibt so 28 Datei, also es gibt über hunderte von Dateitypen, also Punktungen, ja, und 28 davon werden so akut derzeit für Shartcode missbraucht, dass wenn du sie öffnest Chartcode ausgeführt wird. Es kann eine OneNote Datei sein, es kann eine CSV Datei sein, das gibt ganz viele verschiedene Varianten. So, das muss ich einmal machen und ich merke, dann reicht der Chartcode aber im Regelfall aus, um Vollzugriff zu haben auf dem Rechner oder? Ja, in dem Kontext, das immer ganz wichtig. Deswegen sollte man zu Hause auch getrennte Konten haben. Einmal ein Konto, womit man seine Sachen installiert und einmal seinen normalen User, weil ich kompromtiere immer den

31:30 Account, der jetzt die Datei geöffnet hat. Das heißt, wenn du jetzt mit deinem Administratorkonto unterwegs bist, dann habe ich vollzugriff das ganze System. Wenn du nur mit deinem normalen User Account bist, den du separat verwendest, dann habe ich nur die gleichen Rechte wie du. Und da müssen die Leute sich einfach nur merken, dann kann der Angreifer alles machen, was du machen kannst am Rechner. Mm. Aber gibt es Privat Leute, die ein Adminkonto haben und ein Benutzerkonto? Also zumindest mal alle in meinem Umfeld. Ja, okay. [gelächter] Aber es ist ja schon auch einfach, das ist ja wirklich Arbeit dann inst Nein, gar nicht. Also du musst ja nur einmal initial am Anfang das machen, wo du dein Programm installierst. Einmal ganz am Anfang und danach brauchst du in der Regel nie wieder dein Admin Konto. Ja, dann installierst du ein neues Programm, dann musst du dich wieder abmelden, dann installierst du das Nee, nee, das reicht da, wenn du ähm dann poppt da diese Eingabemaske auf. Betriebssystem unabhängig. Wenn du jetzt

32:16 irgendwie administrative Rechte brauchst, dann poppt bei Windows wie bei Mac, wie bei Linux poppt dann diese UAC auf, nennt sich das User Access Control und dann kommt da okay, dein User darf das nicht. Hast du Zugangsdaten von dem Admin? Dann gib hier bitte Benutzername da Passwort ein. Du musst dich nicht noch groß an und um melden, aber ähm das habe ich beim Mac, den ich möglicherweise benutze, doch sowieso, dass wenn ich eine Software ein einrichte, die halt System weit installiert werden soll, dann fragt er mich nach meinem Admin Passwort. Das heißt, da hilft mir auf Mac der der zweite Benutzer. Ähm, es kommt drauf an, also du kannst also dein normaler User, der kann unter Umständen, der hat keine Routrechte, also bei MacOS ist er rot, dann noch eins Systemrechte höher. ähm dein Rechter, dein Computer Account hat oder dein Mac Account an der Stelle hat schon

33:02 erweiterte Rechte und mit Soodo Permissions und hast du nicht gesehen, ja, also da kann privilierte Operation machen, aber halt nicht alles. Beim Windows System entgegen, wenn du ein Administratorkonto kompromettierst, ist der Sprung dann zum äh System heißt es dort. Äh Systemrechte nicht mehr so weit. Okay. Aber ähm separate Slogin für mich als Benutzer ähm auch am Mac, ja oder nein? Jetzt muss ich mich tatsächlich, wir hatten vor bevor die Podcast Aufnahme losging, hatten wir kurz das Thema Android und iPhone, du dich oder iOS und ich habe gesagt, wir verwenden Android bei uns. Bei MacOS ist es tatsächlich so und bei Android bei MacOS und iOS ist es tatsächlich so, dass die das Universum, die Technologie, die das aufgebaut haben mit verschiedenen Containern wesentlich

33:49 restriktiver ist als jetzt auf Windows System. Das heißt, es ist dort nicht ganz so schlimm, wenn du das nicht tust, wie auf Windows. Äh, warum verwenden wir dann Windows und äh äh Android Geräte? Ist es wahrscheinlich die nächste Frage. Ähm, weil wenn du weißt, was du da tust, äh die diese Einschränkungen auch an Dingen hindern, die du vielleicht brauchst in deinem täglichen Doing. Aber ich sag mal, für die meisten Leute und Unternehmen ist wahrscheinlich der Weg, dass die User mehr restriktiv behandelt werden, äh der bessere. Schönes Beispiel. Ähm Windows ist von Haus aus alles aktiviert, damit du dein dein Leben erleben kannst, dein Zeug erledigen kannst und alles smooth funktioniert. Also Usability first Linux hingegen ist alles deaktiviert und nichts funktioniert und musst alles einzeln installieren und konfigurieren

34:35 und alles ist super aufwendig. Ähm Mac hängt so in der Mitte und da gibt's kein richtig oder falsch. Also du kannst ein Windows System auch sicher konfigurieren und Linux kannst du auch Usability konfigurieren, aber es ist halt immer so die Entscheidung, die man pflegt. Aber um auf der Frage zurückzukommen, macOS ist nicht ganz so schlimm, wenn du keine getrennten Kunden hast. Ist nicht ganz so schlimm, aber wäre auch gut das zu tun. Wäre auch gut. Okay, verstehe ich. Das heißt, es gibt das Call ID Spoofing, es gibt E-Mail, dann gibt es ganze Social Ding. Ich meine, was du gerade gesagt hast mit, ihr seid als Rettungsteam gekommen. Das natürlich ja, das passiert privater wieder nicht. Ja, ein krasser Vektor, ne? ähm eher eher eher unüblich. Ähm in dem Moment, wo ich einen Dateianhang ausführe, kriege ich Vollzugriff auf das System bei Windows, wenn es nicht konfiguriert

35:21 ist. Bei Mac, aber tendenziell, der fragt mich halt, möchtest du die Kamera freigeben und möchtest das Mikrofon freigeben? Ähm, das geht nicht daran vorbeizugehen. Doch. Okay. Also auch da gibt's Tools und Exploit nennt man das. also ähm Tools, um quasi Sicherheitslücken oder Fehlkonfiguration auf dem Betriebssystem auszunutzen, dass du aus diesem Containern ausbrechen kannst. Aber dann sind wir wieder beim Aufwand und Nutzen, ne? Also das ist dann nicht mehr dieses 0815, aber ähm preislich, also was kostet das so ein, also wenn ich jetzt sage, pass auf, dass hier den Stefan, ich will sein Mikrofon und seine Kamera, der hat ein MacBook. Also da kann ich dir jetzt keinen Preis raushauen, weil das bauen wir selbst, ne? Und dann kann ich dir sagen, das sind dann zwei Manntage bei uns. Wenn ich dir jetzt mein Tagessatz sage, dann doof. Ja, also äh

36:07 ja ja, also der Tag ist dreieinhalb, so dann zwei Manntage, aber es gibt sicherlich draußen Tools, die das fertig bereitstellen und wenn ich jetzt raten müsste, würde ich schätzen 300 $, wenn ich jetzt irgendeine Zahl sagen müsste, okay, aber zwischen 300$ und 7000 € ähm kriegst du ein Tool, um aus den Containern auszubrechen, wenn du mit dem E-Mail Client was öffnest oder dass diese Permission Abfrage anders oder gar nicht kommt. Okay, ich könne mir jetzt durchaus ähm ein paar Das müssen noch nicht mal Highprofile Leute sein, wo du sagst, pass auf, ich investiere mal 10.000 € und ich möchte wissen, was der den ganzen Tag redet, äh wenn er zu Hause ist. Ähm, das scheint ja, also mir scheint das zu billig zu sein für das Gefühl, was ich

36:53 habe. Nämlich, wenn ich ein ein MacBook habe oder wenn ich ein iPhone habe, habe ich schon ein subjektives Sicherheitsgefühl, denn irgendwie ist das aus meiner Sicht irgendwie nicht ganz State of the Art Security, aber für Konsumenten schon ganz schön gut. Nee, voll. Und äh was jetzt vielleicht vergessen oder unten runtergefallen ist, dann hast du diese dieses Tool, um diese Sicherheitslücke auszunutzen. Du hast aber noch keine Story, wie du den fischt. Du hast noch dieses ganze Setup drumherum nicht. Du hast noch nicht die, also diese Datei äh die am Ende diesen Schadcode ausführt, die musst du ja dann auch noch verschleiern. Also in der Regel werden die erkannt. Ich habe schon gesagt 14 Stunden dauert's bei uns maximal. Ähm, aber das sind ganz viele Hürden, wo wir bei dem Thema sind, die der Angreifer auch noch nehmen muss. Also nur, aber am Ende, sag mal, 20.000

37:41 € oder 15 000 € dann wirst du wahrscheinlich bei vielen Privatpersonen Zugriff erlangen. Ja, auf das Endgerät. Äh und das würde ich aber Voraussetzung ist immer, ich führe eine Datei aus. Ja, es ist nicht außer du hast veraltete Software, ne? Also wenn Patch Management nicht im Griff hast, veralteten Dobi hast, veren VLC, dann reicht es schon die falsche E-Mail nur in der Ansicht zu machen oder sowas. Ja, wenn du es nicht gepatcht hast. Wie würdest du Okay, das weißt du ja nicht. Da ist jetzt der Stefan ist jetzt unser hypothetisches Ziel und der Stefan dem schickst er jetzt mal paar E-Mails oder überlegst erstmal, okay, was wer ist das so, wo geht zur Bank, wo holt er sein Geld ab, wenn der Fotos teilt? Weiß man vielleicht aus dem privaten Umfeld,

38:26 je nachdem wie nah man dem ist. hat der Anlehnungsrechner so so ein paar Informationen hast du so und jetzt versuchst du den zu hacken und sagst okay der hat ein MacBook und ähm ich will halt quasi Kameramikro so und dann weißt du aber nicht obalt VLC Player hast da das kannst du ja nur durch ich probiere dem mal ein Attachment zu schicken was auf den alten VLC Player gibt er den letzten let vier Wochen nicht abgedatet hat und dann muss er das öffnen und dann könnte das Attachment ja probieren, hat ein alten VLC Player, hat der ke ICQ von früher oder keine Ahnung das Adobe und quasi d dass das Tool

39:11 lokal gängige Sicherheitslücken versucht auszunutzen oder pass auf, wir gehen mal auf die letzten zehn. Das wäre auch so ein Standardtool eigentlich, ne? Wir gehen mal auf die letzten zehn und wenn eins davon vor fängt, dann ist gut. Ja, rein theoretisch wäre das ein Weg. Aber das wird nicht funktionieren, weil wenn du den Chartcode in dieser Datei packst, der theoretisch zehn Sicherheitslücken ausnutzt, dann wirst du ih definitiv nicht so verschleiert bekommen, dass der Wcanner nicht mehr findet. Ja. Ja. Mac hast du ja tendenziell kein Wirenscanner. Ja, das stimmt. Ähm, aber auch die Datei wird dann beliebig groß, ne? Also, wenn du dann auf einmal eine, weiß ich nicht, eine VC dati bekommst, also irgendwann kommst du, es sind dann zu viele Indikatoren, ob das Okay, aber ich hab ein VLC, es wäre jetzt nicht, dass ähm beispielsweise,

39:57 dass ich ein Excel äh Datei schicke und da ist ein Code Code drin, der checkt, gibt es ein V. Ach so, ja, das könntest du machen, dass du das mehrstüffig machst. erst die Excel, der enummeriert die Software und dann kommt vier Wochen später kommt dann oder wann auch immer kommt die E-Mail mit der VLC Datei, also mit der aber das noch mal für mein Verständnis das ich meinte das ein bisschen anders. Das heißt, wenn ich ein VLC Exploit nutze, dann VLC Videoplayer, dann muss ich ein Video schicken, dass der mit VLC öffnet. Es reicht nicht, dass ich eine Excel anhäng schicke und der hat ein VLC auf dem auf dem Rechner und ich nutze irgendwie da eine eine Sicherheitslücke von dem VLC, was nicht offen ist, sondern ich muss die das Pfeile in Adobe oder VC je nachdem, was ich nutzen

40:43 möchte aus. Ja, aber das brauchst du ja dann ja gar nicht mehr. Also, wenn du den Nutzer dazu gebracht hast, dass er deine Excel öffnet, damit du enummerieren kannst, welche Software installiert hat, dann hast du eh schon Code Ja, okay, das stimmt. Okay. Ja, ja, okay. Das ja offensichtlich. Ja, das äh habe ich nicht ganz bedacht. Ja, wir sind jetzt auch bisschen schnell gelaufen, unser technisch. So. Ähm und dann, wenn ich einmal Zugriff habe über die Excel File beispielsweise, dann habe ich eigentlich immer Zugriff und auch möglicherweise über 3 4 F neue MacBooks hinweg, weil ich spiegel das MacBook immer auf das M. Das ist tatsächlich auch im Unternehmenskontext ganz wichtig. ähm nur weil eine Datei ein Virus hat und du

41:29 die dann von deiner Datenablage A nach B ziehst, ist nicht automatisch auch das Vector mit da. Also ähm also der der Callback, der dauerhaft persistent ist, sondern dafür benötigst du immer gewisse Dienste, die du auf dem System benötigst. Also beispielsweise in Microsoft den Aufgabenplaner, ja, dass du sagst, der soll immer dann und dann starten, ja, immer morgens um 8 Uhr oder äh auf macOS gibt's Crownjobs, ne, wo du sagst, hier oder Crontubs, dann und dann soll das starten. Wenn du jetzt aber nur die Nutzdaten, nennen wir das, über siehst, also die Excel Files, Worddokumente und was du auch alles da hast, ähm dann wird kein Chartcode von Haus ausgeführt. Klar, wenn du das Excel wieder neu öffnest, neues Game. Ja, aber grundsätzlich, wenn du nur die Daten dir ziehst, passiert nichts. Außer du machst ein Backup von allen den

42:15 Konfigurationsdateien und der Angreifer hat sich da reingesetzt. Andere Geschichte. Genau, das wäre ja genau der Fall. Ich würde es schaffen ähm mit meiner Excel mitzuliefern, der eine Backdoor installiert und die startet sich immer. Wenn ich den Rechner neu starte, startte die sich mit und dann kaufe ich mir neues MacBook und dann sagt Apple: "Ey, du hast ein neues MacBook. Willst du die Daten vom alten übertragen?" Dann würden im Regelfall ja alle Konfigurationsdaten übertragen werden und meine Vektor lädt sich ganz wunderbar immer wieder mit, weil nicht nur die Fils übertragen werden, sondern die Konfiguration also weiß ich nicht welche Konfiguration MacOS da automatisch mitnimmt, aber wenn das alle Konfigurationen mitnimmt dann wäre das so korrekt. Mm. Okay. Ähm und dann äh sprachst du hast du das Wort persistent in den Mund genommen. Äh was das meint, wenn ich es

43:00 richtig verstehe, ist wenn ich neu starte, ist weg oder ist nicht weg. und persistent wäre, ich starte neu und es ist aber immer noch da. Ja genau. Okay. So, das heißt, das Leben ist gefährlich. [gelächter] Äh, das Leben ist gefährlich. Ähm und Excel Code gefährlich und die Backdoor, wenn ich die einmal installiert habe, unterstellen wir jetzt mal, ich wechsel keinen Laptop, dann kann es sein, ich habe den Laptop 3 Jahre lang, ähm die ist immer da, die macht kein Problem, aber es kann jemand 3 Jahre lang äh Mikrofon Kamera Tastaturanschläge, Bildschirmaufzeichnung, alles was du alles was du machst, kann der auch. So ähm finde ich das mit einem Virenscanner oder ähnlichem Virenscanner hätte das ja schon, also hätte ne hätte hätte Fette

43:47 hätte das ja schon erkannt eigentlich. Also insofern der ist schon mal raus. Kann natürlich sein, dass irgendwann im späteren Verlauf die Signaturen heißen die und die Erkennungsraten optimiert werden und dass das dann erkennt eher unwahrscheinlich. Äh sowas zu fitten ist relativ aufwendig. Deswegen wir empfehlen immer, wenn der Verdacht im Raum ist, dass du sowas hast, System neu aufsetzen von Null auf. Das heißt, du kannst, also du kannst quasi nie sicher sein, dass dein System infiziert ist. Nicht du, ich sag mal, du als Pro guckst da drauf und siehst, das ist das System dieses 23 27 D. Nee, es ist tatsächlich so, dass du dann das in eine isolierte Umgebung, also der so macht man es eigentlich in der isolierte Umgebung. Dann hast du ganz viele Sensoren am am Rand ausgebracht an netzwerktechnisch, wo telefoniert der hin? welche IP-adress angefunkt, welche

44:33 Prozessor Monitoring lässt du also sehr aufwendig und ähm dann hast du schon eine sehr hohe Wahrscheinlichkeit, dass du am Ende sagen kannst ja oder nein, die ausreichend hoch genug ist, aber steht in der Regel kein Verhältnis zu, ich mache das System neu, wenn wir von Kleins sprechen, ne? Jetzt von Servern, da geht man meistens den Weg, dass man sagt, okay, die Forensiker haben gesagt, höchstwahrscheinlich ist nichts drauf, weil es zu aufwendig ist, den Server neu aufzusetzen, beispielsweise, wenn du da so ein fettes SAP-Klaser Datenbankkluster hast. Okay, das ist wirklich unter also ein Unternehmenserver, wenn ich meinen eigenen Server betreibe, der komplex auf mich eingestellt ist, da würde ich eher forsten, aber bei ich sag mal Klegeräten, das heißt alles was ein normaler Nutzer sei es jetzt ein Angestellter irgendwie im Büro hat oder ich zu Hause habe, das würde ich im

45:19 Zweifel immer wieder neu aufsetzen und hoffe ich nicht so oft, aber ja. Ja, aber ich du sagst, wenn der Verdacht besteht, aber der Verdacht besteht ja eigentlich, ey, ich habe jetzt letzte Woche die Gehaltsdaten im Excel bekommen, die scheiß Excel hat nicht funktioniert. Ähm, habe ich schon wieder vergessen. Ähm, so, dann habe ich die nächsten zwei Jahre das System benutzt. So, das liest möglicherweise jemand mit da. Wieso sollte ein Verdacht bestehen? Das habe ich ja sofort vergessen. So, das da sehe ich quasi als als Gegenmaßnahme eigentlich nur das regelmäßig neu aufzusetzen, weil du weißt es ja nicht, oder? Na ja, oder? Ähm, man nennt das ja Härtung, dass man sagt, man konfiguriert das Betriebssystem so, dass die Angreifer gar nichtcode ausführen können. Ja, das ist aber wieder Ich mache die Mauer ein bisschen höher. Ja absolut. Also, okay. Ähm, wir haben jetzt

46:06 umfangreich besprochen dieses äh Link Klick Fishingseite äh Dateianhang und dann ich me am Telefon kann ich alles mögliche sagen. Bitte gib mir dein Passwort, bitte komm um 15 Uhr dahin, dann füh ich dich. So, das ist wahrscheinlich relativ unüblich, aber auch das ist na jetzt vor vier Jahren in Las Vegas, ich weiß gar nicht mehr, MGM hießen die, glaube ich. Ähm, der ganze der größte Casinobetreiber in Las Vegas, der wurd genauso gehackt. Da hat der Angreifer den Admin am Telefon gefragt, was dein Passwort? Also nicht so flapsig, aber am Ende des Tages ist das so passiert. Okay, da fragt man sich, was der beruflich macht, dieser Network oder wie gut andere telefonieren konnte. Ja, aber es gibt ja da, also wenn du Oma anrufst, so und die gibt dir das

46:52 Passwort, ich sag, okay, da warst du halt einfach dreckig zu Oma Erna, Oma Erna auch in keiner Welt kann die das verstehen, dass jetzt die Telefonnummern gleich die kann vielleicht noch irgendwann auflegen, aber das kannst kannst du eher da keinen Vorwurf machen, wenn du in deiner Signatur Network Admins stehen hast und hast in irgendeinem Telefonat mal dein Passwort ausgesprochen ausgesprochen. So, da würde ich sagen, das hast du irgendwie das schlecht. Also auch ich hatte das mal in dem Assessment, habe den Admin am Telefon gehabt und habe mich dann als dummen Buchhalter ausgegeben, habe gesagt, hier tut das total schwer, diese Passwort daz merken, ob er dann Tipp hat. Und dann hat er mir gesagt, wie er sich, also hat mir sein Klartext Passwort nicht genannt, aber er hat mir halt gesagt, wie er seine Passworter sich merkt. Kundenname minus Jahreszahl Ausrufezeichen.

47:37 Das gibt's nicht. Der ist ja verrückt. Alter, ich bin ja der arme Buchhalter da. Also wie man in den Scammerkreisen so sagt, jeden Tag steht ein dummer auf, ne? Nein, das würde ich so nicht sagen. Das ist einfach unfair gespielt von den Angreifern, weil sie ja diese Emotion Mitleid oder dass die Leute den Leuten helfen wollen, Gear, das hat schon immer funktioniert. Ja, das verstehe ich. Aber wenn du Network Admin bist und ich zitiere, ich beschäftige sich, ich bin seit 25 Jahren in der IT, dann solltest du das wissen. So würde ich, ich verstehe, dass es auch immer noch unrealistisch ist, dass der wirklich anruft und dann so spielt er mit mir, aber eigentlich würde ich das erwarten. So, wenn du Jäger bist, sagst ja auch nicht, da war so ein jemand nettes an der Tür, ich habe dir mal mein Gewehr gegeben, weil der brauchte sein

48:24 so nein, das das geht nicht. So egal, wenn der Not hat, keine Ahnung, das Wildschwein kommt g, du gibst das nicht aus der Hand, das machst du einfach nicht. Und man spricht auch Passwörter nicht aus, so oder die Passwortlogik nicht aus. So, das ist also würde ich jetzt denken, aber ich bin ja nur was weiß ich schon. Okay. Ähm, Challenge accepted. Besser nicht, besser nicht. Ähm E-Mail Attachment ähm was noch an Ja, System am am Perimeter kompromettieren. Ja, also Sachen, die aus dem Internet erreichbar sind. ähm ob das jetzt irgendwelche Firewalls sind oder Fritzboxen, die irgendwie im Internet stehen und nicht gepatcht sind. Ähm jetzt ganz aktuell vor 5 Tagen gerade gab's eine ganz krasse Sicherheitslücke bei Cisco. Wenn du jetzt seit 5 Tagen dein Cisco nicht gepatcht hast, dann geh mal davon aus,

49:10 dass dein Netzwerk kompromettiert ist, weil da gibt's gerade ein öffentliches Exploit, was einfach ja die Firewalls dann kompromitiert und dann hat er direkt Zugriff aufs Netzwerk, also auf das ganze Netzwerk. Ähm, also System Perimeter oder wenn du irgendwelche Stop, lass uns da mal reingehen. Also, wenn jetzt meine Fritzbox komplimentiert wird, das ist ja im Prinzip habe ich mein WLAN zu Hause, da hängt meine Fritzbox dran, wenn ich eine hätte, weiß man ja auch nicht, ne? Ähm und dann gibt's eine Firewall, die in der Fritzbock drin ist, dass nicht jeder von draußen bei mir Drucker ausdrucken kann, quasi, der im WLAN hängt. Ähm, und wenn ich das schaffe, diese Firewall zu komprimettieren, ist das quasi das gleiche wie wenn bei mir jemand zu Besuche sagt, ey, was ist ein WLAN Passwort? Dann ist er ja auch im

49:55 Netzwerk. Ja, noch schlimmer, aber ja. Warum noch schlimmer? Na ja, weil wenn er deinen Router kompromettiert oder deine Firewall, deine Zentrale, ähm dann verwaltet die ja nicht nur dein dein dein Netzwerk, dass wer von A nach B darf, sondern die verwaltet ja auch den sogenannten DNSdienst. Das heißt, wenn du auf Sparkasse.de gehst oder volksbank.de de oder völlig egal. Äh ist die erste Instanz, die gefragt wird, wo du hin sollst im Internet, deine Router. Und wenn der jetzt nicht sagt, das ist die IP-Adresse von der echten Volksbank, sondern das ist die IP-Adresse vom Flo, dann gehst du auf folksbank.de und landest bei mir. Und das sieht dann auch täuschend echt aus, weil das Nein, das ist das gleiche. Nein, dann dann ist es gar also dann ist es das gleiche, nicht typus, sondern dann ist volksbank.de meine IP-Adresse. Das heißt, dann kann ich selbst in meinem Browser, wenn ich sage, ich muss

50:41 aber gucken, ob die Domain passt, die passt 110przentig. Ja, genau. Da ist dann nichts mehr. Und und das ist und jetzt ist ein Beispiel, ne, für Fishingseiten, aber natürlich, wenn der Angreifer dann gewim privaten Umfeld, ne, aber wenn ich kontrolliere, wo du landest, wenn du Seiten aufrufst, kann ich alles machen, dann kann ich auch kontrollieren, wo du deine Patches runterlädst, ne? Und wenn du dann sagst, ich mache ein Windows Update, dann kommt das Update aber von mir und dann installierst du kein Update, sondern mein Chartcode. Das heißt, dieser Angriffsvektor Fritzbox respektive DNS Server ist eigentlich ein krasser, weil wenn ich den und da das kann ich ja nicht, das spüre ich nicht, ich bin einfach zu Hause in meinem WLAN. Ja, ich mache noch mal die Updates für morgen. Und außerdem gehe ich noch mal überweise was in der Sparkasse. Ähm,

51:28 dass ich das ich kann das an meinem Endgerät nicht mehr sehen, dass das nicht real ist. wenn es gut gut gemacht ist. Das kommt halt drauf an. Und und wenn der, wo du hin willst, ob das jetzt die Bank ist oder Microsoft, ihre Hausaufgaben nicht gemacht haben, also das muss auch noch sagen, mittlerweile die Banken, die meisten Banken haben so Security Features auf ihren Webseiten, nennt sich HSTS, die haben quasi in dem Cookie, die setzen den Cookie, wenn du das erste Mal drauf bist bei denen und der ist dann für 90 Tage gültig und da wird der Fingerprint, der Fingerabdruck von dem Zertifikat der Bank gespeichert auf deinem Rechner und wenn dann jetzt DNS umgebogen wird bei dir lokal und du gehst es jetzt auf mein volksbank.de de, dann passt dieser Fingerabdruck nicht mehr und dann sagt dein System, da ist nicht gut, aber es machen nicht alle. Ja, gut. Dann sagt das System, da ist nicht gut und dann fragt mich das,

52:15 willst du es trotzdem machen und da würde ich euch sparkasse.de drin. Ja, die haben wieder ITP. Ja, genau. Die Ich will das ja überweisen ja dringend, weil geht ja keine Ahnung das Auto dies das Ananas und der hat vorhin angerufen. Ja, wenn es richtig hart läuft das. Okay, der anderen Respektor war mir noch überhaupt nicht klar, dass tatsächlich ich dachte halt meinen Gästen gebe ich auch mein WLAN Passwort. Ähm und dann hat die in meinem Netz rum, aber mein eigenes Laptop hat ja eine Firewall. Das heißt, der dass man jetzt im Netzwerk mich angreift, ist eigentlich eher unwahrscheinlich. Könnte man auch, aber der eigentliche Vektor ist das DNS zu verändern. Ja, genau. Aber das ist schon, also wir kamen jetzt über den die Kompromitettierung von System am Internet, so Unternehmen, weiß nicht, Webshop, Firewalls und dergleichen. Ähm,

53:00 damit jemand eine private Fritzbox kompromettiert. So ist auch schon der Vergangenheit passiert, dass dann Leute also grundsätzlich in der Standardkonfiguration bei neueren Modellen bei der Fritzbox ist so, die kannst du von außen nicht groß ansprechen. Also selbst wenn die IP-Adresse irgendwie rausbekommst, kannst du von außen da nicht groß was machen. Aber es gab mal waren andere Hersteller nicht Fritzbox, die hatten dann einen Patch, da haben sie ausvenden Management Port geöffnet. Das heißt, wenn du die IP-Adresse hattest, dann kamst du da drauf und ja, dann hast du das Standardpasswort vielleicht noch gehabt und all solche Geschichten. Ja, oder du sagst halt, ich stelle mein Nass zu Hause hin, also Netzwerk Speicherzeug und ich finde es total cool, dass ich von überall drauf zugreifen kann. So, damit das aber funktioniert, musst du gewisse Dienste nutzen oder halt ein Port öffnen in der Fritzbox ins Internet

53:47 raus, damit man auf deinem Nast landet. Du denkst, du bist alles, oh, sorry, du bist äh total gut, weil du hast ja dein Passwortschutz. Ähm, dass man aber dann durch sich auch eine Tür für Angreifer öffnet, ist dann das andere. Ja, und dann das ganze Smart Thema, Smart Türen, Smart Glühbirn, äh da ist dann Amagedon. Ja, weil da ist meistens nach 3 Monaten kriegen die oder nach 3 Jahren kriegen die keine Updates mehr und dann hast du hier deine Smart Steuerung über die deine App, die auch schon seit vier kein Update mehr bekommt. Äh ja, genau. Und dann okay, dann geht der Angreifer kompromitiert meine Glühbirne. Äh, das fe ich jetzt noch nicht so wahnsinnig schlimm, ne? Türschloss vielleicht was anderes, Kameras was ganz anderes, ne? Aber okay. Glühbirne und Wecker ist

54:32 vielleicht ein bisschen nervig. Dann Chr Wecker auf auf 4 Uhr morgens gestellt. Ja, hat doch alles keine große Relevanz. Jetzt sind wir ein bisschen abgespeichert. Also grundsätzlich Angriffsvektor, wir haben gesagt Fishing, also Social Engineering und auf der anderen Seite Systeme am Perimeter kompromettieren, ob das jetzt die Firewall ist, private Fritzbox oder beim Unternehmen oder halt irgendwelche Anwendungen, ne? Wenn du ein Webshop hast oder eine Webseite, dann kannst du da natürlich auch die angreifen und dann kompromettieren. Und wenn das nicht irgendwo extern gehostet ist bei Strato, Telekom und wie sie alle heißen, sondern vielleicht bei dir im Rechenzentrum, bei dir zu Hause, ähm dann hast du halt auch wieder ein Bein im Netzwerk, wenn du das System kompromierst. Ja, also ich würde sagen, dieses ganze Ding, einen eigenen Server betreiben mit einem eigenen Webshop, äh das scheint mir sowieso

…