Wie Twitter am Telefon gehackt wurde

Der Twitter-Hack der letzten Woche, der verschiedene äusserst prominente User betraf, könnte als Schulbeispiel für Social Engineering in die Geschichte eingehen – falls die Story in der schnelllebigen Digital Society in ein paar Jahren überhaupt noch jemanden interessieren wird. Jedenfalls wurde der Täter gefunden (in Florida) und verhaftet.

Drei Punkte aus der 30-Punkte-Aklageschrift gegen den Twitter-Hacker.
Der junge Täter wurde in der Zwischenzeit gegen eine hohe Kaution
aus der Haft entlassen.

 Gemäss Presseberichten heisst der gerade mal 17jährige Cyberkriminelle Graham Ivan Clark. Er übernahm Mitte Juli 130 Twitter-Konten von sehr prominenten Menschen und wollte damit Bitcoin verdienen. Was ihm auch gelang. Bevor er geschnappt wurde, gingen immerhin 117‘000 Dollar auf seinem Konto ein - in einem einzigen Nachmittag. Clark scheute auch vor ganz grossen Namen nicht zurück: Er hackte unter anderem die Twitter-Konten von Jeff Bezos, Elon Musk, Kim Kardashian, Joe Biden und Barack Obama.

Doch wie gelang es dem Jüngling (der mit zwei Kollegen zusammenarbeitete) alle Sicherheitsvorkehrungen zu umgehen (zu denen auch Zwei-Faktor-Authentifizierung gehört) und dann noch die persönlichen Passwörter der betroffenen Weltprominenz zu knacken? Standen ihm raffinierte Hacking-Tools zur Verfügung, mit denen er, wie im Film, in kurzer Zeit sein Ziel erreichte? Es war viel einfacher: Graham Clark rief bei Twitter an, und  überzeugte den Mitarbeiter am anderen Ende davon, dass er ein Kollege sei, der für Supportzwecke Anmeldeinformationen benötige. Diese Informationen bekam er dann auch – und der Hack nahm seinen Lauf. Wie Twitter bekannt gab, wurden von 45 der geknackten Konten Tweets verschickt. In 36 Fällen stöberte der Hacker im Direktnachrichten-Postfach der Betroffenen herum, und in sieben Fällen wurden gar Daten heruntergeladen.

Die Angelegenheit zeigt deutlich, dass die raffiniertesten Sicherheitssysteme nutzlos sind, wenn Mitarbeiter, die zugriffsberechtigt sind, Betrügern auf den Leim gehen. Twitter will sich denn in dieser Beziehung auch bessern. In einer offiziellen Verlautbarung hat das Unternehmen eingeräumt, dass Mitarbeiter dazu verleitet worden seien, sensible Informationen per Telefon auszutauschen, und dass man deshalb beschlossen habe, den Zugang zu den internen Twitter-Tools vorübergehend einzuschränken. Man versuche jetzt, das ganze Ausmass der Angelegenheit zu verstehen und gleichzeitig die Sicherheitsprotokolle zu verbessern, um sie "noch ausgefeilter zu machen".
Für den jungen Hacker wird die Angelegenheit ernsthafte Folgen haben. Staatliche Behörden haben Clark als Erwachsenen nach Florida-Recht und nicht nach Bundesrecht angeklagt, weil es sich um einen Finanzbetrugsfall handelt. Die Wirtschaftsagentur Bloomberg zitiert den US-Staatsanwalt David Anderson, der andere Möchtegern-Hacker warnt:  

„Es gibt diese falsche Annahme unter Hackern, dass sie Angriffe wie den Twitter-Hack anonym und ohne Konsequenzen durchführen können. Die Anklage zeigt, dass das Hochgefühl der Hacker aus Spass oder Profit nur von kurzer Dauer sein wird".

Konsequenzen hin oder her: Das Hacker-Geschäft scheint sich wirklich zu lohnen: Auf dem Bitcoin-Konto des Angeklagten liegen 300 Bitcoin, das sind etwa 3,4 Millionen Dollar. Das Geld war bereits früher einmal beschlagnahmt, dann wieder zurückerstattet worden... Die Kaution im aktuellen Fall wurde vom Richter auf 725'000 Dollar gesetzt.

Twitter Hack: Insider und Homeoffice auf der Verdachtsliste

Wer war es, der in einem Streich eine ganze Reihe von prominenten Nutzern gehackt und deren Twitter-Accounts für eine allerdings sehr durchschaubare Aktion missbraucht hat? Die Aktion ist für Social-Media-Nutzer beunruhigend: Wie konnten die Hacker alle Sicherheitsvorkehrungen und sogar die Zwei-Faktor-Authentifizierung der Account-Inhaber umgehen?

Da hat wohl ein Insider-Vögelchen gezwitschert, das nicht
hätte zwitschern sollen.                                    Bild Pixabay

Die Aktion kompromittierte Twitters Sicherheit wie keine andere in der Firmengeschichte. Der Angriff führte zur Übernahme von mehr als einem Dutzend hochkarätiger Accounts. Betroffen waren unter anderen Ex-Präsident Obama, Kandidat Joe Biden, Amazon-CEO Jeff Bezos und Tesla-Boss Elon Musk.  Momentan ist nicht bekannt, wie die Aktion durchgeführt wurde, obwohl Twitter letzte Woche einige Details bekannt gab. Unter anderem bestätigte das Unternehmen, dass ein Twitter-Mitarbeiter in den Vorfall verwickelt war. Mehr wollte man aber noch nicht sagen. Das Wall Street Journal spekuliert:

“Das Social-Media-Unternehmen hat nicht genau gesagt, wie die Angreifer in seine internen Systeme und Tools eingedrungen sind oder wie lange sie Zugang zu ihnen hatten. Twitter hat nur gesagt, dass die Hacker "Social Engineering"-Techniken verwendet haben, bei denen Mitarbeiter dazu gebracht werden, auf einen Link zu klicken, Informationen preiszugeben oder Aussenstehenden auf andere Weise zu helfen. Die Hacker könnten auf Informationen zugegriffen oder andere böswillige Aktivitäten unternommen haben, sagte Twitter und fügte hinzu, dass es "bedeutende Schritte unternommen habe, um den Zugang zu internen Systemen einzuschränken", während es den Vorfall weiter untersuche.“ (wsj.com)

Dass die Aktion nur mit Social Engineering zum Erfolg führte, überrascht nicht. Die Manipulation von Insidern ist eine der besten Methoden, um in ein IT-System einzudringen, weil eben die Mitarbeiter mit Abstand das schwächste Glied in der Sicherheitskette sind. Siehe Sony-Hack, siehe Hillary Clinton Wahlkampf-E-Mails. Im Falle von Twitter sei es allerdings möglich, dass die mangelnde Sicherheit im Homeoffice eine Rolle gespielt habe, glauben Experten. ZDnet zitiert Liviu Arsene, Analyst für digitale Bedrohungen bei Bitdefender:

“ Der spektakuläre Angriff auf prominente Twitter-Accounts kann eigentlich nur auf einen koordinierten Cyberangriff auf die Mitarbeiter und Systeme von Twitter hindeuten. Es ist zu vermuten, dass die Angreifer den Home-Office-Kontext ausnutzten: Mitarbeiter fallen hier viel eher Betrügereien und Spam-E-Mails zum Opfer, die dann Geräte und letztlich auch Unternehmenssysteme kompromittieren.“

Der Betrug, den die Hacker auf Twitter mit den gehackten Accounts anrissen, war leicht als solches zu erkennen. Das ist ein Grund, weshalb die Aktion viele Twitterer nervös macht. Tatsächlich stellt sich die Frage: Was war der eigentliche Sinn und Zweck des Hacks?

Hackerangriffe: Denn wir wissen nicht, wer es tut

Der Hackerangriff auf die IT-Infrastruktur der deutschen Regierung wäre ein weiteres Kapitel im Buch, das über die digitale Datenunsicherheit geschrieben werden könnte. Interessant ist aber nicht nur der Angriff selber, sondern auch die Berichterstattung darüber. Denn wer die Übeltäter sind, weiss in Wirklichkeit fast niemand. Wohl deshalb nehmen die meisten Medien jegliche Art von Hinweisen (am liebsten aus anonymen Quellen) dankbar auf und verbreiten sie möglichst schnell weiter.

Wir wissen nicht, wer es war - und wir werden es wohl auch nie erfahren.
                                                                                      Bild Creative Commons

Im Zweifel werden es schon die Russen sein, vermuten die zahlreichen “Experten“, welche derartige Fälle von Cyber-Spionage oder Cyber-Kriminalität kommentieren. Das ist auch im aktuellsten Fall nicht anders, wie verschiedene Zeitungen berichten:

“Eine unter dem Namen Snake bekannte russische Hackergruppe soll hinter dem Angriff auf das Datennetzwerk des Bundes stehen. Das berichten die Deutsche Presse-Agentur und Spiegel Online. Demnach soll die Gruppe versucht haben, an deutsche Regierungsinterna zu gelangen. Die Gruppe ist auch unter den Namen Turla und Uroburos bekannt und soll seit 2007 aktiv sein. Experten zufolge sei der Code, den die Gruppe für den Hack benutzte, weiter entwickelt als Codes von anderen russischen Hackern wie APT28. Diese Gruppe stand zunächst im Verdacht, für den Angriff auf das Netz des Bundes verantwortlich zu sein.“

Mit anderen Worten: Es war nicht die eine, sondern wahrscheinlich die andere russische Hackergruppe, die im Moment den behördlichen Computersystemen übel mitspielt. Wieso wir das wissen? Der Spiegel hat es berichtet. Und die Russen haben es dementiert - dann stimmt es wahrscheinlich erst recht:

“Wir nehmen mit Bedauern zur Kenntnis, dass alle Hackerangriffe in der Welt mit russischen Hackern in Verbindung gebracht werden", sagte Kreml-Sprecher Dmitri Peskow. Dafür gebe es aber "keine greifbaren Beweise.“

Die gibt es tatsächlich nicht, und obwohl es im gegenwärtigen politischen Klima naheliegend ist, zuerst einmal Russland zu verdächtigen, gibt es durchaus echte Experten die nicht Sergei oder Vladimir zum Vornamen heissen, die zur Vorsicht mahnen, wenn es um schnelle Schuldzuweisungen geht. Die NZZ zitiert Sandro Gaycken, der zu Themen wie Cyperkrieg an der European School of Management and Technology in Berlin forscht, und findet, solche Angriffe seien gar nicht überraschend:

“Gaycken sieht solche Zuschreibungen kritisch, wenn sie auch plausibel sein mögen. Angeführt werde etwa, dass die Angriffe zum Teil über russische Computer liefen oder während Bürozeiten, die auf die Zeitzone für Moskau passten. Dies seien aber schwache Indizien, sagt er. Man dürfe nicht vergessen, dass die Geheimdienste einander auch imitierten, um falsche Spuren zu legen…“

Ob Russen oder Geheimdienste oder nicht, immerhin dürfen die Bürger davon ausgehen, dass nicht jeder Idiot es schafft, in die Computer der Regierung einzudringen. “Technisch anspruchsvoll und von langer Hand geplant“ sei der Hackerangriff gewesen, sagt der deutsche Innenminister Thomas de Maizière.

Genau das haben die amerikanischen Parteifreunde von Hillary Clinton auch behauptet, als Wikileaks im Jahr 2016 plötzlich den E-Mail-Verkehr der Wahlkämpfer öffentlich machte - was zur Niederlage von Kandidatin Clinton beitrug. Auch hier wurden natürlich hochqualifizierte Russen als Übeltäter angeführt, obwohl Wikileaks dies konsequent dementierte. In Wirklichkeit war es ganz einfach: Social Engineering war der Schlüssel. Ein gefälschtes E-Mail an den Wahlkampfleiter reichte aus, um sein Google-Passwort in Erfahrung zu bringen - der Rest ist Geschichte.

Wenn “Microsoft“ anruft: Auflegen oder lügen!

Die Abzockmethode wird schon seit Jahren angewandt, und immer noch gibt es Menschen, die sich von den Lügnern am anderen Ende der Leitung um den Finger wickeln lassen und ihnen wichtige Daten oder gar den Zugang zum PC überlassen. Dabei ist es so einfach, die Möchtegern-Microsoft-Mitarbeiter loszuwerden.

Achtung: Die Anrufer von Microsoft gehören zu jenen digitalen Wegelagerer,
die versuchen, mit social Engineering ans Ziel zu kommen.                Bild PfW

Bei der inzwischen als Microsoft-Support-Betrugsmasche bekannten Betrugsmethode, gehen die meistens Englisch sprechenden Täter, die in der Regel einen starken südostasiatischen Akzent aufweisen,  im grossen Ganzen immer nach dem gleichen Muster vor:  Angerufene potentielle Opfer, die sich mit ihnen auf ein Gespräch einlassen, werden eindringlich davor gewarnt, ihren PC weiter zu verwenden – dieser sei nämlich mit Schadsoftware verseucht und werde ohne entsprechende Gegenmassnahmen demnächst seinen Dienst aufgeben. Die Betrüger bieten natürlich ihre Hilfe an – gegen ein bescheidenes Honorar  von oft mehreren 100 Euros. Dafür offerieren sie eine Fernreparatur, sowie eine Garantie. Die dazu benötigte Software muss das ausgesuchte Opfer vom Net herunterladen und am PC installieren – was dann zur zweiten Stufe der Abzocke führt: Die Täter verfügen nun über einen Trojaner im PC des Opfers, mit dem sie den Computer des Opfers auch in Zukunft ausspähen und manipulieren können. Wohin das führen kann, zeigt ein aktueller Fall, den die Faz ausführlich dokumentiert hat, der aber recht glimpflich ausgeht:

“Martin Schmitt hat dennoch Glück. Nachdem er nach dem verhängnisvollen Telefonat unverzüglich bei seiner Bank anruft, kann diese die Überweisung gerade noch zurücknehmen. Danach meldet er den Vorfall der Polizei, um Strafanzeige gegen unbekannt zu stellen. […] Ganz so glimpflich kam Schmitt nun doch nicht davon. Als er seinen Computer wieder anschaltete, verlangt dieser noch vor Windows-Start ein Passwort, das natürlich nicht er, sondern nur die Kriminellen kennen und wofür sie vermutlich noch einmal Geld haben wollen. Anlass genug für Schmitt, seinen Rechner „neu aufzusetzen“, also die Festplatte neu zu formatieren und Windows 10 noch einmal zu installieren. Ist das ausreichend? Wir haben auch hier mit den Fachleuten vom Cispa, dem BSI und zudem mit einem Virenanalysten von Kaspersky gesprochen. Zwei Szenarien sind theoretisch vorstellbar: Erstens könnte sich ein Trojaner „unterhalb“ des Betriebssystems einnisten wie etwa auf der physischen Festplatte, dem Mainboard, der Firmware des CD-Laufwerks oder im Bios. Solch eine Schadsoftware ist eher selten, würde allerdings eine Neuinstallation des Betriebssystems überleben. Zweitens könnte sich ein Virus auf der Datenfestplatte einnisten und Programme infizieren, die dort etwa in einem Download-Ordner liegen und bei abermaligem Start nach der Bereinigung wieder aktiv werden könnten. Das ist wahrscheinlicher, kann aber einfach überprüft werden, indem man die Datenfestplatte mit mindestens einem Anti-Viren-Programm untersucht. Zudem kann man eine abermalige Infizierung verhindern, indem man keine Dateien aus diesen Ordnern abermals ausführt.“

Vorbeugen ist bekanntlich besser als heilen; das gilt auch in diesem Fall. Und obwohl wir das ja nur ungern tun, gibt es eigentlich nur ein richtiges Vorgehen,  gegen die betrügerischen Anrufer: Entweder sofort auflegen – oder ganz freundlich lügen. Wenn Sie nämlichen dem “Microsoft“-Mitarbeiter mitteilen, dass sie gar keinen PC besitzen – höchstens einen iPad – werden Sie die Erfahrung machen, dass der Anruf in der Regel blitzschnell und ohne weitere Höflichkeiten abgebrochen wird.