Thursday, November 21, 2002

War with Iraq will mean virus outbreak, hacker says A Malaysian virus writer who is sympathetic to the cause of the al-Qaeda terrorist group and Iraq and who has been connected to at least five other malicious code outbreaks is threatening to release a megavirus if the U.S. launches a military attack against Iraq... Melhacker confirmed earlier reports by Chantilly, Va.-based iDefense Inc. that he has developed and tested a "three-in-one" megaworm code-named Scezda that combines features from the well-known SirCam, Klez and Nimda worms. [The Hacktivist] 21:35 # G!

Hactivists help human-rights fight, bit by byte A hybrid has arrived at the intersection of human-rights activism and the derring-do of computer hacking. It is called hacktivism. Across the globe, elite computer experts with some of the world's most technically innovative minds are setting their sights on ways to help human-rights causes. Armed with what may become one of the most important weapons in the struggle for human rights - computer code - the "hactivists" are trying to give activists electronic ways to circumvent government surveillance and information management. ... [The Hacktivist] 21:35 # G!

The Cult of Hackers Hackers are typically portrayed as one of two stereotypes: digital Robin Hoods taking on the Internet's wired establishment or sinister masterminds who can upend everyday users' lives with their technical exploits. In reality, hackers -- who tend to resist that blanket term in favor of more specialized designations, such as cracker, white hat or black hat -- are usually tech-savvy individuals experimenting with their skill sets by probing applications and Web sites for vulnerabilities, security expert Ryan Russell told NewsFactor. But how did hacker myths arise? What sparks our fascination with those who illicitly explore computer systems? Comic Book Characters Gartner research director Richard Stiennon told NewsFactor that the public's desire to view real-world individuals as fictional good guys and bad guys is the driving force that determines how hackers are perceived. [...] [NewsFactor Cybercrime & Security] 21:34 # G!

Sex, Text, Revenge, Hacking and Friends Reunited A 21-year old student who took revenge on his cheating girlfriend was jailed for five months at Guildford Crown Court on Tuesday. Philip Nourse hacked the Friends Reunited account of his 19 year-old girlfriend -referred in court simply as "the young lady" - altered her details and pasted photographs of the two having sex. Enough revenge? Wrong: Nourse also set up a web site "showing video footage of him engaged in sexual acts with the 19-year-old air stewardess", The Telegraph reports. Surely that got it off his chest? Wrong. Nourse also printed 50 "explicit" posters of "the young lady" which he planned to paste up in her home town. That's enough? No, there's more: after hacking into the woman's e-mail account, he directed a friend of hers to the on-line sex images", The Telegraph reports. So how did Nourse discover his girlfriend's infidelity? Simple, he persuaded two friends, employees at O2, to intercept her text messages and pass them on to him. The student then "realised she had been two-timing him with a previous boyfriend", the Telegraph says. Nourse committed his offences after the young lady dumped him in June this year. His barrister told the court that he "accepts that what he did was utterly wrong. He was so upset and angry that he didn't think through what he was doing." But as a sport science student at Loughborough, this comes as little surprise. [moreover Computersecurity] 17:25 # G!

Germany, Austria take stand against EU ISP data retention laws Big Brother laws welcomed by other European govts [The Register] 16:16 # G!

Impressum einer Homepage muss gut auffindbar sein Das Impressum auf einer Homepage muss gut auffindbar und schnell zu erkennen sein. Das geht aus einem Beschluss des Landgerichts Hamburg hervor (Az.: 416 O 94/02), über den die Zeitschrift Verbraucher und Recht in der Ausgabe 11/2002 berichtet. So müsse das nach Paragraf 6 des Teledienstegesetzes vorgeschriebene Impressum auf der Startseite auch eindeutig gekennzeichnet werden. [heise] 16:15 # G!

Streit um Bugtraq-Eintrag: Aufkl[per thou]ren oder schweigen? Spätestens seit Microsofts Forderung, Sicherheitslücken geheimzuhalten, bis entsprechende Bugfixes verfügbar sind, herrscht ein Streit darüber, ob Security-Alerts hilfreich sind oder Hackern als Anleitung dienen. Viele Experten sind der Ansicht, Hersteller würden Patches nur sehr langsam oder überhaupt nicht zur Verfügung stellen, wenn nicht öffentlich vor in betreffenden Anwendungen entdeckten Lecks gewarnt würde. Andere, wie der oberste US-Sicherheitswächter Richard Clarke, meinen, Anbietern müsste eine angemessene Frist zur Entwicklung der Fehlerbereinigungen eingeräumt werden. Nun erhitzt ein Eintrag in die Mailing-Liste Bugtraq erneut die Gemüter. Der Autor beschreibt darin detailiert einen so genannten Exploit (Exploit = Anwendung, mit der sich gezielt einzelne Sicherheitslücken ausnutzen lassen), der die Festplatten von Anwendern der Versionen 5.5 und 6.0 des Internet Explorers formatiert, wenn diese manipulierte Web-Seiten aufrufen. Er verstehe nicht, sagte der unabhängige Sicherheitsexperte Richard Smith, inwiefern die Veröffentlichung des Exploits die Sicherheit betroffener Systeme erhöhe. Vielmehr helfe der Anitivirenhersteller Symantec, der die Mailing-Liste hostet, Script Kiddies, Internet-Seiten entsprechend zu präparieren. Offenbar werde das Forum nicht mehr moderiert, nachdem es von Symantec übernommen wurde. Der Eintrag sei explizit zur Veröffentlichung in Bugtraq freigegeben worden, erwiderte Symantec-Sprecherin Genevieve Haldeman. Die Mailing-Liste gelte als unabhängige Kommunikationsplattform für Sicherheitsexperten und habe die Aufgabe, vor Gefahren dieser Art zu warnen, bevor sie "in the wild" auftauchen. [ComputerWoche: Nachrichten] 16:10 # G!

Accused eBay hacker out on bond Accused superhacker Jerome Heckenkamp was released from jail last week after seven months in federal stir, but only after assuring two federal judges that he respects their authority after all. Heckenkamp, 23, was taken into custody last March during a court appearance in San Jose, Calif. where, representing himself against a battery of computer crimes charges, he angered federal judge James Ware with a series of baffling legal arguments apparently inspired by failed tax-protester tactics. In one gambit, Heckenkamp challenged one the indictment against him on the grounds that it spelled his name in all capital letters, while he spells it with the first letter capitalized, and subsequent letters in lower case. Seemingly moved into doubting Heckenkamp's commitment to appear at trial, Judge Ware ordered him taken into custody on the spot. Two months later, from behind bars, Heckenkamp argued in his related San Diego case that he wasn't subject to the jurisdiction of U.S. courts because he had expatriated from "the corporation known as United States" and "re-patrioted into the de-jure California republic." He went on to demand that the plaintiff in the case, the U.S. government, appear in court, and accused prosecutors of fraud or mental incompetence for proceeding without a "client." The judge in that case, Napoleon Jones, Jr., rejected Heckenkamp's arguments, and assigned him a court-appointed attorney over his objections. Heckenkamp refused to meet with the panel attorney, but in September apparently gave up on representing himself and hired Los Angeles lawyer Blair Berk -- a decision that promptly reversed his fortune. In a month of filings in both courts, Berk argued that Heckenkamp, who dutifully made all his court appearances before his arrest, would continue to show up if freed again on bail -- regardless of how his name was capitalized. "Jerome Heckenkamp acknowledges the authority of this court to require him to physically appear or to appear through counsel and answer the charges presently pending before the court," wrote Berk. Prosecutors didn't oppose his release, and Judge Ware eventually agreed to leave the decision up to Judge Jones, who, after holding a hearing on the matter, set bail at $50,000. Now free on a signature bond executed by his father, Heckenkamp will live in Los Angeles under house arrest, forbidden to leave home except to attend legal meetings or go to work, or for 90 minutes of exercise a day. By court order he's barred from the Internet, but is permitted to use a single "drone" computer at home to review the electronic evidence in his case, without a modem, and with all the connectors but the mouse, keyboard and power ports covered with police evidence tape. He'll also wear a GPS tracking device, monitored by federal Pre-Trial Services officers. A former Los Alamos National Labs network engineer, Heckenkamp faces 10 felony charges in his San Diego case for allegedly hacking telecom equipment-maker Qualcomm while a gradate student in 1999. In the San Jose, Calif. case, he's charged with penetrating computers belonging to Lycos, Exodus Communications, Juniper Networks and Cygnus Support Solutions, and defacing online auction site eBay under the hacker handle "MagicFX." That case is on hold pending the conclusion of the San Diego case, in which no trial date is currently set. [The Register - Security] 16:09 # G!

Security flunks Horn's final exam Overall, agencies earned an 'F' on Rep. Horn's latest report card on government security [FCW: Security] 16:09 # G!

Lego Site Irks Maori Sympathizer A website dedicated to a Lego product that uses some Maori words comes under a furious cyberattack and has to pull its user forums. Kim Griggs reports from Wellington, New Zealand. [Wired News] 16:08 # G!

Germany, Austria take stand against EU ISP data retention laws Big Brother laws welcomed by other European govts [The Register] 14:20 # G!

All CDs will be protected you are a filthy pirate EMI Deutschland consumer relations ups the ante... [The Register] 14:05 # G!

Computer Virus Families: Origins and Differences Klez.F and Klez.I or Opaserv, Opaserv.D and Opaserv.H are just some examples of malicious code which due to common characteristics and roots are grouped into families by the antivirus industry. "The biggest families like I Love You or the veteran Marker can have as many as 60 variants," explains Luis Corrons, Virus Laboratory Director at Panda Software. Sometimes a new variant of malicious code originates from another virus which has been modified. On other occasions, the authors of the virus create them using the basic features that define a family of viruses as a type of template. For this reason, some malicious code come in a series, behaving basically in the same way with only minimal differences such as the subject of the e-mail they arrive in or their ability to carry out certain actions, as the examples below illustrate: Variants "I" and "F" of Klez: both are spread through e-mail and take advantage of the same vulnerability detected in the Internet Explorer navigator (corrected by Microsoft), which makes it possible to execute the attached file automatically when viewed in the Preview Pane. The versions differ in the following ways: Klez.I is sent in an e-mail message with text and has two attached files. The objective of this malicious code is to stop certain processes and erase files in infected computers. Klez.F: is sent in an e-mail with no text and includes only one attached file. It modifies some of the system controls (preventing the system from starting up correctly) and overwriting executable files, rendering them useless. W32/Opaserv and W32/Opaserv.D are able to spread through networks and they attempt to access a web page to update some of their components. In order to infect, both worms create SCRSVR.EXE in the Windows directory, which contains their infection code. In addition W32/Opaserv.D generates the file TMP.INI in the root directory of the hard drive and enters an instruction in WIN.INI to activate the worm. Opaserv.H is different in that the file that contains it comes in different sizes and is compressed with the PCShrink utility, which encrypts the code that causes the infection. The "J" variant of Opaserv has the ability to create various files in the infected computer. Among them "INSTIT.BAT", copies the worm that contains the infection code. "GUSTAV.SAT" and "INSTITU.VAT" are generated to exchange information with the web page they connect to. I love you: variants differ, principally in the characteristics of the messages that are sent. The names of the attached files, the web pages they connect to and the file extensions which they affect, are all variable. The appearance within just a few hours of successive variants contributed greatly to their ability to spread. Corrons also explained how, "Some variants still manage to spread, even though for some time now antivirus solutions have been available to detect and neutralize them." One example is the "I" variant of Klez, which appeared in April and still remains the most damaging malicious code affecting users over the past seven months, according to data collected by Panda ActiveScan. [Help Net Security] 14:04 # G!

Remote net probe reveals sloppy software upkeep A unique study of hundreds of live internet servers shows that many computer administrators do not repair even the most serious computer bugs. [Help Net Security] 14:04 # G!

Träge Administratoren Im Zusammenhang mit Sicherheitsproblemen wird häufig diskutiert, wie schnell ein Unternehmen ein Patch bereitstellen muss, oder wieviel Zeit der Entdecker einer Sicherheitslücke den Verantwortlichen gewähren sollte, bis er mit seinen Informationen an die Öffentlichkeit tritt. Der Amerikaner Eric Rescorla macht auf ein anderes, fast schon wichtigeres Problem aufmerksam: Selbst wenn Patches angeboten werden, lassen sich die meisten Administratoren zu viel Zeit mit der Installation. Rescorla hat zum Nachweis dieser Behauptung einen Test durchgeführt. Er hatte Ende Juli, noch vor Veröffentlichung der Informationen über eine schwere Sicherheitslücke in OpenSSL einen Tip bekommen. Daraufhin sammelte er eine Stichprobe von 890 Servern, die OpenSSL verwenden. Diese Stichprobe beobachtete er über einen Zeitraum von über zwei Monaten. Täglich überprüfte er, ob eine Aktualisierung der Software vorgenommen worden war, oder ob die Administratoren Patches installiert hatten. Interessanterweise tauchte nach anderthalb Monaten auch noch der Wurm Slapper auf, der eben diese OpenSSL-Lücke missbrauchte. Dieser Wurm erhöhte nicht nur die Notwendigkeit von Sicherheitsmaßnahmen. Er sorgte auch erneut für einen hohen Bekanntheitsgrad des Problems. Seine Ergebnisse kann Rescorla im Zeitverlauf präsentieren. Nach etwa 40 Tagen, kurz vor dem ersten Erscheinen des Virus', waren noch fast 60 Prozent aller Rechner ungeschützt. Nach dem Bekanntwerden des Virus, über den in den einschlägigen Medien ausführlich berichtet wurde, stieg der Anteil der nicht mehr anfälligen System zwar nochmals. Doch auch nach über 70 Tagen waren noch über 30 Prozent der Rechner ungeschützt. Dieses Ergebnis ist nicht besonders ermutigend. Zumal man gerade bei diesem Problem und bei der damit verbundenen Administratorengruppe eine schnellere Reaktion erwartet hätte. Immerhin handelte es sich ja um das schwerwiegende Problem einer Software, die gerade der Erhöhung der Sicherheit dient. Außerdem gehört die überwältigende Mehrheit der OpenSSL-Nutzer dem Unix/Linux-Lager an. Diese Personen haben nach Meinung von Rescorla eine größere Erfahrung in Sachen Server Administration, als Windows-Anwender. Doch trotz aller Faktoren, die für eine rasche und umfassende Lösung des Problems gesprochen haben, zeigten sich die Administratoren eher träge. Und wenn diese Trägheit schon bei (Unix-) Adminstratoren so ausgeprägt ist, wie nachlässig mag da erst Otto Normal-User mit seinem Windows-Rechner umgehen? Studie: Security Holes.. Who cares? http://www.rtfm.com/upgrade.html Studie im Volltext (PDF) http://www.rtfm.com/upgrade.pdf C|Net: Study: System admins slow to zap bugs http://news.com.com/2100-1001-966398.html [intern.de] 14:03 # G! Translate

Longhorn-Leck angeblich bedeutungslos Im Internet sind angebliche Alpha-Versionen der nächsten Windows-Version mit Codenamen Longhorn aufgetaucht. Manchen Computernutzern kann es nicht schnell genug gehen. Seit einem Jahr erst ist Windows XP auf dem Markt und hat sich seitdem als bestes Windows-Betriebssystem aller Zeiten bewährt. Trotz der Stabilität von XP sehnen die Fans bereits das Jahr 2005 herbei, in dem der Nachfolger veröffentlicht werden soll. Im Internet sind jetzt internationalen Medienberichten zufolge erste Versionen des XP-Nachfolgers aufgetaucht, der derzeit unter dem Codenamen Longhorn entwickelt wird. Wie es in den Artikeln heißt, sei derzeit die Build-Version 3683 im Umlauf. Sie sei zwar noch völlig unausgereift, erlaube aber einen ersten Blick auf künftige Funktionalitäten des Betriebssystems. Ein Microsoft-Sprecher versuchte, das Longhorn-Leck herunterzuspielen. Die Build-Version, die derzeit im Umlauf sei, werde bis 2005 noch so viele Änderungen durchlaufen, dass sie mit dem endgültigen Produkt nicht mehr viel zu tun haben werde. Deshalb sei es nicht nur riskant, sondern auch nutzlos, Longhorn auf dem heimischen Rechner zu installieren. [PC-Magazin] 12:55 # G!

Notebook-Ortung nach Diebstahl Notebooks sind insbesondere bei Geschäftsleuten beliebt, die viel auf Reisen sind. Aber auch immer mehr Privatuser legen sich den mobilen Rechner zu. Doch die Diebstahlgefahr ist groß. Wichtige Daten sind oft unwiederbringlich verloren, wenn der Dieb einmal Herr über den Klappcomputer geworden ist. Softwareentwickler haben sich nun dem Problem angenommen. Mit dem Programm zTrace Gold können gestohlene Notebooks schnell und einfach geortet werden. Wählt sich der Dieb nämlich über den mobilen Rechner ins Internet ein, sitzt er in der Falle. Anhand der IP-Adresse und des Internet Providers kann der Dieb lokalisiert werden. ZTrace arbeitet dabei vollkommen verdeckt. Das Programm ist weder durch Ordner, Dateien oder Icons auf dem Rechner zu erahnen. Auch akustische Signale werden nicht abgegeben. Wird der Rechner nun gestohlen, muss der Besitzer den Diebstahl dem zTrace Center melden. Durch ein Tracking-System kann das Notebook durch die vorher individuell zugeordnete Identifikationsnummer bei der nächsten Einwahl ins Internet geortet werden. Denn: ZTrace meldet sich generell bei jeder Einwahl ins Internet beim eigenen zServer an, um den Status des Notebooks zu checken. Der Dienst ist allerdings nicht ganz günstig. Jährlich werden 49,95 Euro fällig. [PC-Magazin] 10:52 # G!