Elia

Angriffe auf Passwörter

Passwörter werden verwendet, um Werte oder wichtige Informationen zu schützen. Logisch also, dass es Leute gibt, die versuchen, an diese Passwörter zu kommen, um damit dann meist direkt oder indirekt Geld zu „verdienen“. So gibt es verschiedene Angriffsmöglichkeiten auf Passwörter.

Brute-Force

= systematisches Ausprobieren von Passwörtern, um so auf das richtige zu kommen.

Brute-Force Angriffe gehen – wie der Name schon sagt – mit „roher Gewalt“ vor. Das Prinzip hier ist: ein Programm bzw. ein Bot probiert Passwörter für einen speziellen Account (beim Anbieter / der Website) aus, in der Hoffnung, so auf das richtige zu kommen.
Da die meisten Websites / Dienste mittlerweile nur noch eine bestimmte Anzahl von Anfragen je Minute pro IP zulassen, verwenden die entsprechenden Programme / Hacker eine Menge an Proxies, um mit diese zusätzlichen vielen IPs möglichst viele Anfragen je Minute senden zu können.
Eine Sicherung des Logins via Captchas wie ReCaptcha oder Ähnlichem hilft viel, da diese dann vor jeder Anfrage gelöst werden müssen. Doch auch darum gibt es einen Weg herum: die Programme / Hacker können via API entsprechende Anfragen an Dienste wie AntiCaptcha senden, die das Captcha dann von der Ferne aus durch „Arbeiter“ manuell lösen lassen. (Kosten liegen hier bei 0.5-1$/1000 gelöster Captchas) Selbst das Lösen des brandneuen hCaptchas wird bereits angeboten.
Doch es gibt mehrere Möglichkeiten bzw. Systeme welche Passwörter „ausprobiert“ werden:
Einerseits können einfach alle möglichen Passwörter ausprobiert werden können, sagen wir z.B. bis zu einer Länge von 8 Stellen. (Angefangen mit aaaaaaaa, aaaaaaab, etc.) Da dies allerdings eine riesige Menge an möglichen Passwörtern darstellt, wird diese Methode immer seltener verwendet (insbesondere weil die Passwörter immer länger werden).
Viel effektiver ist da dann schon der Einsatz von sog. Wordlists. Diese Listen enthalten meist einige Millionen der am häufigsten / häufig genutzten Passwörter, können aber selbstverständlich auch viel mehr enthalten. Diese Passwörter werden dann alle der Reihe nach ausprobiert, und beinhalten häufig das Passwort des Opfers. Additionell werden auch häufig zusätzlich Passwort-Kombinationen mit dem Username oder dem Namen des Opfers gebiltet (sofern bekannt), um die „Trefferrate“ zu maximieren.

Phishing

Phishing ist eine der bekanntesten und sehr häufig verwendete Methode, um an Passwörter zu kommen. Hier sollte man allerdings zwischen gezieltem und unspezifischen Fishing unterscheiden, dazu später mehr.

Doch wie funktioniert Phishing?
Nunja, hier gibt es keine festen Schemata, allgemein wird aber meist versucht, das Opfer mittels (gefälschten) Mails, Kurznachrichten o.Ä. auf Webseiten zu locken. Diese Webseiten sind meist Immitationen von Zahlungsdienstleistern oder Banking Services wie PayPal, können aber auch jegliche andere Form von Webseiten immitieren. Meist ist der Inhalt der Mails entweder etwas Alarmierendes nach dem Motto „Login wird benötigt sonst kommt es zur Löschung d. Accounts“, oder aber ein Hinweis auf einen Gewinn o.Ä. Das Ziel der Kriminellen ist es, das Opfer dazu zu bewegen, seine Login-Daten, insbesondere das Passwort, im Login der Webseiten der Kriminellen einzugeben und ihnen diese so zu übermitteln. Gibt das Opfer das Passwort ein, wird dann häufig eine Fehlermeldung angezeigt und das Opfer wird auf die „echte“ Webseite von z.B. PayPal weitergeleitet, sodass es keinen Verdacht schöpft.

Doch wie vorhin angedeutet unterscheidet man hier von zwei Varianten.
Dem „normalen“ Fishing, bei dem z.B. Millionen Mails versendet werden, nach der Idee, „irgendwer wird schon hereinfallen“. Diese Mails sind dann häufig in schlechtem Deutsch und daran allein schon leicht zu enttarnen.
Alternativ dazu gibt es dann das „Spear-Fishing“. Hier werden im Voraus gezielt Informationen über einzelne Personen / Gruppen gesammelt, um diesen dann sogar häufig von Mailadressen, die denen ihrer Freunden / Bekannten ähnlich sind, die entsprechenden Links mit passenden Nachrichten zukommen zu lassen.

Doch es gibt noch eine ganz andere Herangehensweise an das Phishing:
Das sogenannte Pharming. Hier werden die DNS Einträge des PCs des Opfers so geändert, dass es, wenn es beispielsweise die reguläre Adresse von PayPal im Browser eingibt, auf die Seite der Betrüger gelangt. Der Browser zeigt in der URL-Leiste allerdings weiterhin die URL von PayPal an, sodass sehr viele Opfer keinen Verdacht schöpfen. Die Kriminellen / Betrüger bekommen diese DNS-Änderungen u.A. mit kleinen Trojanern, oder anderen Angriffen auf Browsern hin. Diese Trojaner können z.B. in Word-Dokumenten stecken („Makros / erweiterte Inhalte aktivieren“ lässt dann den Trojaner ins Haus), oder in anderen modifizieren Dokumenten. Selbstverständlich auch in .exe Dateien, da die Leute allerdings immer weniger fremde EXEs öffnen, bedienen sich die Kriminellen raffinierteren Methoden, wie eben modifizierten Word Dateien.

Database Dumping

= hacken der Database einer Website um so an alle gespeicherten Zugangsdaten zu kommen.

Beim sog. Database Dumping haben es die entsprechenden Kriminellen nicht weniger als auf die Passwörter / Login Daten sämtlicher Kunden einer Webseite abgesehen. Databases sind auch „nur“ mit einem Passwort gesichert (in vielen Fällen zumindest).
Hier werden sich dann einzelne Ziele gesucht, und diese dann systematisch Angegriffen, oder eben unbekannte Schwachstellen ausgenutzt.
Diese Angriffe glücken in einigen Fällen, und die Kriminellen kommen an Millionen Zugangsdaten. Diese sind zwar meist verschlüsselt, aber die sehr verbreiteten Verschlüsselungsverfahren SHA1 bzw. MD5 können (mittlerweile) relativ einfach entschlüsselt werden, mit guten Wordlists / Rainbow Tables lässt sich sogar ein Teil der mit besseren Verschlüsselungsverfahren wie SHA265 oder BCrypt verschlüsselten, geklauten, Daten entschlüsseln.
Am weitesten verbreitet (für die Entschlüsselung von Passwörtern) ist hier das OpenSource Programm HashCat, das offiziell der „password recovery“ (also der Passwort-Wiederherstellung) dient.
Diese entschlüsselten Daten werden dann verkauft, von den Käufern häufig weiterverkauft, usw. So verbreiten sich diese Daten dann effektiv sehr schnell im Deepweb/Darkweb.
Dienste wie Firefox Monitor https://monitor.firefox.com/ zeigen einem die neuestens Hacks bzw. Leaks an und können zudem testen, ob man von entsprechendem betroffen ist oder nicht.
Die Daten werden sehr häufig an sogenannte Cracker weiterverkauft, die dann diese ihrerseits mittels systematischem Cracking von Accounts„weiterverarbeiten“.

Keylogging

= Aufzeichnen von allem was in die Tastatur eingegeben wird, um so die Passwörter / Login-Daten herauszufinden.

Keylogging kann sowohl phyisch als auch virtuell geschehen. Hier wird alles aufgezeichnet, was in eine Tastatur eingegeben wird, und potentielle Passwörter & Email-Adressen dann entsprechend markiert. Virtuell kann dies mit einem Trojaner geschehen, der auf verschiedenen Wegen auf den Computer eines Opfer gelangen kann, siehe Phishing. Doch Keylogging kann auch physisch eingesetzt werden. Physische Keylogger sind meist kleine USB-Brücken, die dann zwischen Tastatur und PC gesteckt werden. Eingesetzt werden sie meist aber nur in (fremden) Arbeitsplätzen in Unternehmen, Bilbiotheken & InternetCafes. Diese physischen Keylogger kommen jedoch immer seltener zum Einsatz.