NSA

NSA hackte Uni Genf und missbrauchte drei Server für Cyberangriffe

Der US-Geheimdienst NSA hat weltweit Server von Universitäten für Online-Attacken missbraucht. In der Schweiz war die Uni Genf betroffen. Dies bestätigt die Schweizer IT-Organisation Switch, welche die Hochschulen vernetzt und vor Hacker-Angriffen schützt.

01.11.16, 14:30 02.11.16, 09:08

Mit einer neuen Datenveröffentlichung pünktlich zu Halloween hat die Hackergruppe, die unter dem Namen Shadow Brokers auftritt, für Furore gesorgt. Demnach soll der US-Geheimdienst NSA hunderte Server von Forschungseinrichtungen als Ausgangspunkt für Cyberangriffe missbraucht haben. Betroffen war auch die Universität Genf.

Der grösste Teil der infizierten Server befindet sich einer auf Pastebin veröffentlichten Liste zufolge in China, gefolgt von Japan, Korea, Spanien und Deutschland. Insgesamt tauchen 352 IP-Adressen mit 306 Domain-Namen auf der Liste auf. Die Daten sollen aus dem Hack der mit der NSA assoziierten Equation Group stammen, heisst es in einem Shadow-Brokers-Blogpost.

Uni Genf wurde von der NSA gehackt

watson hat sich die von den Hackern publizierte Liste angeschaut. Darauf ist mindestens drei Mal der Standort Genf zu finden. Die entsprechenden IP-Adressen führen zur Universität Genf, die somit mutmasslich für Hacker-Attacken der NSA missbraucht worden ist. In der Schweiz betreibt die Stiftung Switch das Schweizer Hochschulnetzwerk. Sie vernetzt die Hochschulen seit 1989 und unterstützt die Schweizer Wirtschaft im Kampf gegen Internetkriminalität.

Auf Anfrage bestätigt Switch den Angriff: «Infektionen im Netz sind nichts Aussergewöhnliches und passieren mehrmals täglich. Speziell an diesem Fall ist der Absender NSA. Konkret waren im Zeitraum von 2001 bis 2003 drei Server der Universität Genf betroffen. Von den betroffenen Servern sind zwei seit 2009 nicht mehr aktiv. Der letzte aktive Server ist von aussen nicht erreichbar.» Die Verantwortung der IT-Infrastruktur liege klar bei den Universitäten. «Unser Security-Team unterstützt die Hochschulen aber dabei, ihre Systeme zu schützen», sagt Michael Breitenmoser von Switch. Auch in diesem konkreten Fall sei das eigene Computer Emergency Response Team (CERT) aktiv geworden und habe die Universität entsprechend über die Infektion informiert.

Verschiedene Medien wie das Tech-Portal Ars Technica berichten, die Server sollen im Zeitraum von August 2000 bis 2010 angegriffen worden sein. Die Ziele sollen sich in 49 Ländern befunden haben.

Server sollen für Angriffe missbraucht worden sein

Die Shadow Brokers sorgten bereits im August für Aufsehen, als sie geheime Hacking-Werkzeuge der NSA im Netz anboten. In diesem Kontext wurden gravierende Sicherheitslücken bei Routern bekannt. Wer hinter dem Namen Shadow Brokers steckt, ist nach wie vor unklar. Sicherheitsforscher vermuten, dass es sich um eine russische Gruppe handelt.

Die sogenannte Equation Group steht mutmasslich der NSA nahe und soll nach Angaben der Shadow Brokers die Server kompromittiert haben, um von ihnen aus Angriffe zu steuern. Um Spuren zu verwischen, nutzen Angreifer Server in verschiedenen Ländern für ihre Operationen. Daher ist es für Ermittlungsbehörden sehr schwer nachzuvollziehen, aus welchem Land ein Angriff tatsächlich stammt.

Als mögliche Quelle für das Datenleck gilt der NSA-Mitarbeiter Harold Martin. Der Mann sitzt derzeit in den USA in Haft. Er soll zu Hause mehr als 50 Terabyte an Daten auf Dutzenden Computern und Speichermedien gelagert haben, darunter viele Geheimdokumente. Seine Anwälte betonen allerdings, Martin sei kein Whistleblower. Warum Martin über Jahre hinweg Daten mit nach Hause nahm, ist bislang unklar.

(oli/brt)

Hol dir die App!

Markus Wüthrich, 5.5.2017
Tolle Artikel jenseits des Mainstreams. Meine Hauptinformations- und Unterhaltungsquelle.
Abonniere unseren NewsletterNewsletter-Abo
17
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 72 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
17Alle Kommentare anzeigen
    Alle Leser-Kommentare
  • pamayer 01.11.2016 23:03
    Highlight Kann nicht nachvollziehen, warum die NSA die Genfer Uni Server hackt. Um via gehackte Server unerkannt weiter Hacken zu können?
    Wenn dem so wäre, warum ist's dann aufgeflogen? Sollte der NSA eigentlich nicht passieren.
    Oder liege ich da falsch?
    Danke für Aufklärung.
    3 7 Melden
    • Madison Pierce 02.11.2016 10:22
      Highlight Die Server waren von der NSA "akquirierte" Jumphosts. Zwielichtige Sachen macht man nicht von seinem Rechner aus, sondern über Drittserver. Der Anfänger mietet per Bitcoin einen Server in China, die NSA machte im grösseren Stil Kisten auf. Ob von der Uni aus Angriffe gefahren wurden weiss nur die NSA, aber es wäre zumindest möglich gewesen. Aufgeflogen ist die Sache, weil die Liste von Dritten erbeutet und publiziert wurde.

      Man sollte die Jumphosts übrigens immer im Hinterkopf haben, wenn es heisst, ein Angriff sei aus Russland oder China gekommen.
      15 0 Melden
    • http://bit.ly/2mQDTjX 02.11.2016 14:04
      Highlight Es ist unklar, ob der Genfer Uni-Server gehackt, bzw. "akquiriert" wurde.

      Die geleakte Liste ist eine Ansammlung von Servern zusammen mit deren offenen Ports und weiteren hilfreichen Angaben, zB. welche Software die Ports bedienen und welche Protokolle sie anwenden. Das ist äusserst nützlich, um sogenannte Zeroday-Exploits zu fahren. Das heisst, neu (am Tag Null) bekanntgewordene Sicherheitslücken zeitnahe auszunutzen, um die dadurch angreifbaren Server zu "akquirieren", noch bevor die Löcher mit Sicherheits-Updates gestopft werden.

      Man frägt sich allerdings, wie das NSA zu dieser Liste kam.
      1 0 Melden
    • http://bit.ly/2mQDTjX 02.11.2016 14:25
      Highlight Ich meine, mit der Genfer Uni hat das alles wenig zu tun. Mit Genf allerdings schon. Und dort vermutlich vorallem mit dem CERN.

      Die veröffentlichten Daten lassen vermuten, dass die NSA massiv Kabelaufklärung auf Routern betrieb, welche Forschungseinrichtungen und deren Netzwerke (SWITCH, Deutsches Forschungsnetz DFN, und viele andere) untereinander verbindet. Das geschieht rechtlich gesehen alles auf dem Netz und mit der Infrastruktur des CERN.

      Sich im CERN zu installieren macht für NSA Sinn, weil dort Sonderrechte gelten.

      https://de.wikipedia.org/wiki/CERN#Standort_und_rechtlicher_Status
      2 2 Melden
  • Ignorans 01.11.2016 20:04
    Highlight Zum Glück gibt es Russland...
    12 7 Melden
  • thenenek 01.11.2016 18:54
    Highlight Was für ein reisserischer Titel. Und von einem Beweis noch weit entfernt
    9 21 Melden
    • ben_fliggo 01.11.2016 22:43
      Highlight und das Teaserbild erst, meine Güte – gehts noch Klischeehafter?
      6 5 Melden
  • Dä Brändon 01.11.2016 18:08
    Highlight USA! USA! USA!
    46 3 Melden
  • kuzkzk 01.11.2016 16:53
    Highlight Schon tragisch immer wieder das Gleiche. Unsere Politiker tun aber nichts um uns vor dieser Verbrecherbande zu schützen, im Gegenteil, sie wollen auch mitmischen. Wahrscheinlich wird es wieder ein devotes "wir sind empört" geben, wenn überhaupt.
    54 4 Melden
  • oXiVanisher 01.11.2016 15:30
    Highlight Ist doch super! Die Schweiz mischt ja bald auch mit beim Cracken von Servern in anderen Ländern. Mal schauen wie sich alle drüber aufregen wenn die Amis das bei uns tun ... wenn wir das aber tun werden ist es dann irgendwie OK.
    Yay für das NDG!
    (Ja, das war Sarkasmus)
    109 7 Melden
  • rothi 01.11.2016 15:20
    Highlight Die Kombination Mailserver/SunOS resp. Solaris taucht sehr oft auf. Evtl ist der Einsatz dieser Software bei vielen Unis der Grund weshalb diese so oft auf der Liste sind...
    27 8 Melden
    • Alnothur 01.11.2016 18:36
      Highlight Wenn man von der Materie nichts versteht, sollte man sich mit solchen Kommentaren zurückhalten...
      14 5 Melden
    • http://bit.ly/2mQDTjX 01.11.2016 18:56
      Highlight In der Liste geht es vorallem um Routing und um Netzwerk-Infrastruktur. Das macht natürlich vorallem dort Sinn, wo der Datenverkehr zusammenläuft. Also zB. in Genf, wo SWITCH, DFN (deutsche SWITCH), CERN und viele andere traditionell den Datenverkehr unter ihren Forschungs- und Lehrinstitutionen austauschen.

      Die Liste wäre von demher eher eine Werbung für Cisco als für Sun.

      Cisco betreibt sehr viel Forschung für die Internet-Sicherheit, lässt sich diese Forschung aber grösstenteils von Regierungsbehörden bezahlen. Wer zahlt, hat natürlich auch Begierden.
      10 0 Melden
    • rothi 01.11.2016 22:47
      Highlight Von wegen keine Ahnung. Bittesehr: https://twitter.com/hackerfantastic/status/793113098110533632

      War vermutlich Sendmail.
      2 1 Melden
    • http://bit.ly/2mQDTjX 01.11.2016 23:23
      Highlight Das ist weit hergeholt und spekulativ, rothi.

      Mach mal einen Scan auf "Apache", und du wirst Einträge finden wie:

      80 Apache httpd (2.2.15)
      80 Apache httpd (2.0.52)
      80 Apache httpd (2.2.14)
      80 Apache httpd (2.2.14)
      8000 Apache httpd (2.2.14)

      Das heisst zB bei IP 129.194.41.4, geosun1.unige.ch, Universite de Geneve, sind Port 80 und 8000 offen und werden von Apache httpd (2.2.14) bedient.

      Es heisst nicht, dass Apache 2.2.14 angreifbar ist oder gar für Attacken missbraucht wird. Genausowenig bedeuten die Sendmail-Einträge deines Twitter-Links.

      Die Frage ist doch: Woher kommen diese Daten?
      4 0 Melden
    • Alnothur 02.11.2016 00:54
      Highlight Mal davon ab, dass "sendmail" eine aus historischen Gründen oft verwendete Programmbezeichnung für diverse Programme ist.
      5 0 Melden
    • rothi 02.11.2016 10:17
      Highlight Klar ists spekulativ. Kann auch sein, dass es eine SunSSH Lücke war welche vorwiegend ausgenutzt wurde.
      Sendmail (und Alnothur, ich meine DAS Sendmail, welches von delivermail abstammt, davon gibts zwar verschiedene Implementierungen aber es ist nicht die Bezeichnung für verschiedene Programme) ist bekannt dafür, dass es sehr schwer konfigurierbar ist. Könnte also auch einfach ein common Konfigurationsfehler sein. Wir werden sehen ob in einem weiteren Leak ein Sendmail oder SunSSH Exploit auftaucht. Schlussendlich lasse ich mich aber auch gerne von Profis eines Besseren belehren. ;)
      0 0 Melden

Facebook ist verloren

Nikotin, Fast Food, Social Media: Mark Zuckerberg hat ein süchtig machendes Monster geschaffen. Im Zaum halten will er es nicht. Das müssen andere tun. Zum Beispiel du!

Aus Mark Zuckerbergs «sozialem Netzwerk» ist eine asoziale Propaganda- und Desinformations-Maschinerie geworden, die nicht nur Menschen verbindet, sondern die Gesellschaft spaltet.

Nonstop bombardiert uns der Facebook-Algorithmus mit Banalitäten, Halbwahrheiten und Schlimmerem.

Die Verantwortung übernehmen kann oder will der 33-jährige Firmenchef nicht. Das wird immer offensichtlicher.

Zuerst verleugnete er die Probleme, dann entschuldigte er sich via Facebook und bat an Yom Kippur um …

Artikel lesen