Sicherheitslücken bei Hersteller von Smartphone-Apps (Update)

Rainbow Dash aus der Serie "My Little Pony" - bekanntes Maskottchen der "AnonyPwnies"

Die eigentlich aufgelösten AnonyPwnies - eine Splittergruppe des Onlinekollektivs Anonymous - wollen es noch einmal wissen und veröffentlichen einen letzten Leak. Dieser betrifft die Die Firma "appia.com", die Shoplösungen für Smartphone-Software programmiert. Diese Shoplösungen weisen offenbar erhebliche Sicherheitslücken auf und ermöglichten den Pwnies das Kopieren großer Mengen sensibler Daten.

"Wir hatten noch paar Sachen laufen vor der Auflösung und die Lulz/Drama/Datensicherheitsaufklärung wollten wir euch nicht vorenthalten," erklären die AnonyPwnies ihren Entschluss, trotz ihrer vor rund zwei Wochen öffentlich verkündeten Auflösung (gulli:News berichtete) einen weiteren Leak zu veröffentlichen. Der aktuelle Leak betrifft die Firma "appia.com" die Shoplösungen für Smartphone-Software programmiert und für bekannte Portale wie Chip.de, Inside-Handy.de, Gamesload.com, Dell.com, Samsung.com und Opera.com hostet. Die Software-Lösungen von appia.com weisen offenbar erhebliche Mängel auf, durch die sensible Daten in falsche Hände gelangen können. Zudem reagierte man wochenlang nicht auf Hinweise von Hackern. Sicherheitsexperten hatten versucht, appia.com im Rahmen von "Responsible Disclosure" auf die Lücken aufmerksam zu machen, bevor man diese der Öffentlichkeit preis geben wollte. Auf diese Versuche reagierte appia.com jedoch nicht.

Die AnonyPwnies wurden durch einen Bericht über eine mögliche SQL-Injection beim Portal "Sicherheit Online" auf die Sicherheitsmängel bei appia.com aufmerksam. Die Gruppe beschloss, die Plattform selbst zu untersuchen. Nach eigenen Angaben erbeuteten sie "40GB SQL Backups, 2 GB PHP Scripten, 2 Rootserver Passwörtern, 2 Paypal Accounts und rund 100 GB Android/Windows Mobile/Symbian Apps". Die Gruppe erwägt nach eigenen Angaben, die erbeuteten Apps auf der Tauschbörse "The Pirate Bay" anzubieten, ist sich aber noch nicht sicher, ob sie dies wirklich tun wird. Die erbeuteten Backups beinhalten nach Angaben der Hacktivisten "private Daten und Kontoverbindungen von Entwicklern und bekannten Firmen wie Avira, Kaspersky, VITO, Brightpoint, Palm sowie rund 1,2 Mio Kunden aus aller Welt, die irgendwann einmal bei einem Shop von appia.com eingekauft haben, gemeinsamen Datenbankservern sei Dank."

Die Pwnies nutzen offenbar eine Kombination verschiedener Sicherheitslücken, darunter SQL-Injection-Schwachstellen, mangelhafte Passwort-Sicherheit und Fehler bei der Vergabe von Datei-Rechten. Eine genaue Schilderung findet sich in der Erklärung der Hacktivisten auf pastebin.com.

Nach dem erfolgreichen Einbruch versuchten die Pwnies, die Verantwortlichen zu kontaktieren. Dieser Versuch scheiterte jedoch. "[A]nstatt eine Antwort zu bekommen wurde unser Wegwerf-Email-Account bei freenet.de, von wo unsere Mails kamen, dauerhaft gesperrt, wahrscheinlich wegen einer Beschwerde durch mobile2day.com", berichten die Hacktivisten. Mobile2day ist eines der Unter-Unternehmen von appia.com.

Die AnonyPwnies entschieden sich daher für eine schrittweise Veröffentlichung der erbeuteten Daten. "Wir wollen nicht so weit gehen müssen alles zu releasen, deshalb fangen wir mit den Sourcecodes an, auf denen die Shops laufen, viel Spaß beim Suchen nach Sicherheitslücken, schließlich nutzen namhafte Portale diese Software!", schreiben sie, "Wir empfehlen mobile2day.com sich auf ein Gespräch mit uns einzulassen, ansonsten müssen wir die Betroffenen auf den unangenehmen, direkten Weg informieren." Die Hacktivisten versprechen, die Daten würden im Falle einer Veröffentlichung "natürlich zensiert, damit die Kunden nicht die Geschädigten sind". Es wird sich zeigen, ob die Gruppe diese Drohung wahr macht oder ob appia.com doch noch auf die Versuche einer Kontaktaufnahme reagiert.

Update (31.10., 23:16):

Der Artikel von Sicherheit Online, der zeitweise vom Netz genommen war, um eine Behebung der Sicherheitslücken zu ermöglichen, ist nach dem Leak durch die AnonyPwnies wieder online und wurde mit einem aufklärenden Update versehen. Das Sicherheits-Portal gibt darin sehr detaillierte Informationen zum genauen Ablauf der Ereignisse.

Die AnonyPwnies bittet Sicherheit online, "Abstand davon zu halten, Kundendaten zu veröffentlichen - sofern dies nicht bereits geschehen ist". Zur Begründung erklären die Sicherheitsexperten, dass "die Kunden nichts für die Imkompetenz der Betreiber können. Ihr schadet damit nicht direkt dem Unternehmen, sondern unschuldigen Leuten. Denkt daran, dass eventuell auch eigene Freunde und Bekannte unter den Kunden sein könnten. Es macht keinen Sinn, derartige Daten zu verbreiten."

Annika Kremer am Montag, 31.10.2011 23:16 Uhr

tags Tags: smartphone anonymous hacktivismus sql-injection anonypwnies

Weitere interessante News

7 Reaktionen zu dieser Nachricht

IIWhiteHatII am 01.11.2011 23:20:02

Das ist etwas ungünstig formuliert. Sicherheit-online hat die Ponys gebeten, das nicht zu veröffentlichen, nicht umgekehrt :) Exakt. :beer: ...
withmorten am 01.11.2011 11:32:06

Ohoooo, ganz neue Töne von dem Haufen. Das ist etwas ungünstig formuliert. Sicherheit-online hat die Ponys gebeten, das nicht zu veröffentlichen, nicht umgekehrt :) ...
deKay89 am 01.11.2011 01:22:23

Die AnonyPwnies bittet Sicherheit online, "Abstand davon zu halten, Kundendaten zu veröffentlichen - sofern dies nicht bereits geschehen ist". Ohoooo, ganz neue Töne von dem Haufen. ...
IIWhiteHatII am 31.10.2011 22:53:59

Der Beitrag bei Sicherheit-Online.org wurde aus Sicherheitsgründen und auf Wunsch von appia.com vorübergehend deaktiviert. Hier der Beitrag samt Update: http://www.sicherheit-online.org/Aktuelle-Themen/Sicherheitslucke-bei-mobile2day.de-wird-ignoriert.html Bitte wenn möglich im Beitr ...
Meff am 31.10.2011 22:45:35

Die eigentlich aufgelösten........wollen es noch einmal wissen und veröffentlichen einen letzten Leak Und nächste woche,nachdem sie sich wiedermal Aufgelöst haben,wollen sie es nocheinmal wissen und Veröffentlichen wieder was neues. Wie Lange soll das noch so gehen ? Entweder ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...