Angriffe auf Passwörter

Passwörter werden verwendet, um Werte oder wichtige Informationen zu schützen. Logisch also, dass es Leute gibt, die versuchen, an diese Passwörter zu kommen, um damit dann meist direkt oder indirekt Geld zu „verdienen“. So gibt es verschiedene Angriffsmöglichkeiten auf Passwörter.

Brute-Force

= systematisches Ausprobieren von Passwörtern, um so auf das richtige zu kommen.

Brute-Force Angriffe gehen – wie der Name schon sagt – mit „roher Gewalt“ vor. Das Prinzip hier ist: ein Programm bzw. ein Bot probiert Passwörter für einen speziellen Account (beim Anbieter / der Website) aus, in der Hoffnung, so auf das richtige zu kommen.
Da die meisten Websites / Dienste mittlerweile nur noch eine bestimmte Anzahl von Anfragen je Minute pro IP zulassen, verwenden die entsprechenden Programme / Hacker eine Menge an Proxies, um mit diese zusätzlichen vielen IPs möglichst viele Anfragen je Minute senden zu können.
Eine Sicherung des Logins via Captchas wie ReCaptcha oder Ähnlichem hilft viel, da diese dann vor jeder Anfrage gelöst werden müssen. Doch auch darum gibt es einen Weg herum: die Programme / Hacker können via API entsprechende Anfragen an Dienste wie AntiCaptcha senden, die das Captcha dann von der Ferne aus durch „Arbeiter“ manuell lösen lassen. (Kosten liegen hier bei 0.5-1$/1000 gelöster Captchas)
Doch es gibt mehrere Möglichkeiten bzw. Systeme welche Passwörter „ausprobiert“ werden:
Einerseits können einfach alle möglichen Passwörter ausprobiert werden können, sagen wir z.B. bis zu einer Länge von 8 Stellen. (Angefangen mit aaaaaaaa, aaaaaaab, etc.) Da dies allerdings eine riesige Menge an möglichen Passwörtern darstellt, wird diese Methode immer seltener verwendet (insbesondere weil die Passwörter immer länger werden).
Viel effektiver ist da dann schon der Einsatz von sog. Wordlists. Diese Listen enthalten meist einige Millionen der am häufigsten / häufig genutzten Passwörter, können aber selbstverständlich auch viel mehr enthalten. Diese Passwörter werden dann alle der Reihe nach ausprobiert, und beinhalten häufig das Passwort des Opfers. Additionell werden auch häufig zusätzlich Passwort-Kombinationen mit dem Username oder dem Namen des Opfers gebiltet (sofern bekannt), um die „Trefferrate“ zu maximieren.

Phishing

Phishing ist eine der bekanntesten und sehr häufig verwendete Methode, um an Passwörter zu kommen. Hier sollte man allerdings zwischen gezieltem und unspezifischen Fishing unterscheiden, dazu später mehr. Beim Phishing gibt es keine festen Schemata, allgemein wird aber meist versucht, das Opfer mittels (gefälschten) Mails, Kurznachrichten o.Ä. auf Webseiten zu locken. Diese Webseiten sind meist Immitationen von Zahlungsdienstleistern oder Banking Services wie PayPal, können aber auch jegliche andere Form von Webseiten immitieren. Meist ist der Inhalt der Mails entweder etwas Alarmierendes nach dem Motto „Login wird benötigt sonst kommt es zur Löschung d. Accounts“, oder aber ein Hinweis auf einen Gewinn o.Ä. Das Ziel der Kriminellen ist es, das Opfer dazu zu bewegen, seine Login-Daten, insbesondere das Passwort, im Login der Webseiten der Kriminellen einzugeben und ihnen diese so zu übermitteln. Gibt das Opfer das Passwort ein, wird dann häufig eine Fehlermeldung angezeigt und das Opfer wird auf die „echte“ Webseite von z.B. PayPal weitergeleitet, sodass es keinen Verdacht schöpft.
Formen:

• „klassisches“ Fishing: hier werden z.B. Millionen Mails versendet, nach der Idee, „irgendwer wird schon darauf hereinfallen“. Diese Mails sind dann häufig in schlechtem Deutsch und daran allein schon leicht zu enttarnen.
  
• Spear-Fishing: Hier werden im Voraus gezielt Informationen über einzelne Personen / Gruppen gesammelt, um diesen dann sogar häufig von Mailadressen, die denen ihrer Freunden / Bekannten ähnlich sind, die entsprechenden Links mit passenden Nachrichten zukommen zu lassen.
  
  

Doch es gibt noch eine ganz andere Herangehensweise an das Phishing:
Das sogenannte Pharming. Hier werden die DNS Einträge des PCs des Opfers so geändert, dass es, wenn es beispielsweise die reguläre Adresse von PayPal im Browser eingibt, auf die Seite der Betrüger gelangt. Der Browser zeigt in der URL-Leiste allerdings weiterhin die URL von PayPal an, sodass sehr viele Opfer keinen Verdacht schöpfen. Die Kriminellen / Betrüger bekommen diese DNS-Änderungen u.A. mit kleinen Trojanern, oder anderen Angriffen auf Browsern hin. Diese Trojaner können z.B. in Word-Dokumenten stecken („Makros / erweiterte Inhalte aktivieren“ lässt dann den Trojaner ins Haus), oder in anderen modifizieren Dokumenten. Selbstverständlich auch in .exe Dateien, da die Leute allerdings immer weniger fremde EXEs öffnen, bedienen sich die Kriminellen raffinierteren Methoden, wie eben modifizierten Word Dateien.
Möglicher Schutz:
- Vorsicht beim Öffnen von E-Mail Anhängen, auch wenn die Mailadresse d. Absenders legitim aussieht.
- Nutzung eines aktuellen (und guten) Virenschutz zur Vermeidung von Trojanern o.Ä.

Angriffe auf Databases

= Angriff auf eine Database einer Website, um so an alle darin gespeicherten Zugangsdaten & persönlichen Daten zu kommen.

Beispielhaftes Programm zum Angreifen von Databases

Bei Angriffen auf Databases haben es die Kriminellen nicht weniger als auf die Passwörter / Login Daten sämtlicher Kunden / User einer Webseite abgesehen. Es werden sich meist einzelne Ziele gesucht, und diese dann systematisch Angegriffen, oder eben unbekannte Schwachstellen ausgenutzt.

Angriffsmethoden:
* SQL-Injection
* Brute-Force
* Ausnutzung anderwertiger Schwachstellen

Wenn die Angriffe glücken, kommen die Kriminellen an Millionen Zugangsdaten. Diese sind zwar gewöhnlich verschlüsselt, aber meist mit sehr verbreiteten (schwächeren) Verschlüsselungsverfahren wie SHA1. Die können mithilfe von großen Wordlists und Rainbow-Tables mittlerweile relativ einfach entschlüsselt werden; komplexere Verschlüsselungsverfahren wie SHA256 machen es den Kriminellen wesentlich schwerer, die Passwörter / Daten zu entschlüsseln.

Diese entschlüsselten Daten werden dann verkauft, von den Käufern häufig weiterverkauft, usw. So verbreiten sich die Daten sehr schnell im Deepweb/Darkweb.

Möglicher Schutz:
Dienste wie Firefox Monitor zeigen einem die neuestens Hacks bzw. Leaks an und können zudem testen, ob man von entsprechendem betroffen ist oder nicht.

Keylogging

= Aufzeichnen von allem, was in die Tastatur eingegeben wird, um so die Passwörter / Login-Daten des Opfers herauszufinden.

USB Hardware Keylogger

Keylogging kann sowohl phyisch (mit Hardware-Keyloggern) als auch virtuell (mit Software-Keyloggern) geschehen. Hier wird alles aufgezeichnet, was in eine Tastatur eingegeben wird, und potentielle Passwörter & Email-Adressen dann entsprechend markiert. Virtuell kann dies u.A. mit einem Trojaner geschehen, der auf verschiedenen Wegen auf den Computer eines Opfer gelangen kann, siehe Phishing. Doch Keylogging kann auch physisch eingesetzt werden. Physische Keylogger sind meist kleine USB-Brücken, die dann zwischen Tastatur und PC gesteckt werden. Eingesetzt werden sie meist aber nur in (fremden) Arbeitsplätzen in Unternehmen, Bilbiotheken & InternetCafes. Diese physischen Keylogger kommen jedoch immer seltener zum Einsatz.
Möglicher Schutz:
- Nutzung eines aktuellen und guten Virenschutz zur Vermeidung von Trojanern o.Ä.
- (Regelmäßiges) Überprüfen der USB-Ports

Man-in-the-Middle

Eavesdropping

Quellen