Digital
Wir verwenden Cookies und Analysetools, um die Nutzerfreundlichkeit der Internetseite zu verbessern und passende Werbung von watson und unseren Werbepartnern anzuzeigen. Weitere Infos findest Du in unserer Datenschutzerklärung.

NSA hackte Uni Genf und missbrauchte drei Server für Cyberangriffe

Der US-Geheimdienst NSA hat weltweit Server von Universitäten für Online-Attacken missbraucht. In der Schweiz war die Uni Genf betroffen. Dies bestätigt die Schweizer IT-Organisation Switch, welche die Hochschulen vernetzt und vor Hacker-Angriffen schützt.



Mit einer neuen Datenveröffentlichung pünktlich zu Halloween hat die Hackergruppe, die unter dem Namen Shadow Brokers auftritt, für Furore gesorgt. Demnach soll der US-Geheimdienst NSA hunderte Server von Forschungseinrichtungen als Ausgangspunkt für Cyberangriffe missbraucht haben. Betroffen war auch die Universität Genf.

Der grösste Teil der infizierten Server befindet sich einer auf Pastebin veröffentlichten Liste zufolge in China, gefolgt von Japan, Korea, Spanien und Deutschland. Insgesamt tauchen 352 IP-Adressen mit 306 Domain-Namen auf der Liste auf. Die Daten sollen aus dem Hack der mit der NSA assoziierten Equation Group stammen, heisst es in einem Shadow-Brokers-Blogpost.

Uni Genf wurde von der NSA gehackt

watson hat sich die von den Hackern publizierte Liste angeschaut. Darauf ist mindestens drei Mal der Standort Genf zu finden. Die entsprechenden IP-Adressen führen zur Universität Genf, die somit mutmasslich für Hacker-Attacken der NSA missbraucht worden ist. In der Schweiz betreibt die Stiftung Switch das Schweizer Hochschulnetzwerk. Sie vernetzt die Hochschulen seit 1989 und unterstützt die Schweizer Wirtschaft im Kampf gegen Internetkriminalität.

Auf Anfrage bestätigt Switch den Angriff: «Infektionen im Netz sind nichts Aussergewöhnliches und passieren mehrmals täglich. Speziell an diesem Fall ist der Absender NSA. Konkret waren im Zeitraum von 2001 bis 2003 drei Server der Universität Genf betroffen. Von den betroffenen Servern sind zwei seit 2009 nicht mehr aktiv. Der letzte aktive Server ist von aussen nicht erreichbar.» Die Verantwortung der IT-Infrastruktur liege klar bei den Universitäten. «Unser Security-Team unterstützt die Hochschulen aber dabei, ihre Systeme zu schützen», sagt Michael Breitenmoser von Switch. Auch in diesem konkreten Fall sei das eigene Computer Emergency Response Team (CERT) aktiv geworden und habe die Universität entsprechend über die Infektion informiert.

Verschiedene Medien wie das Tech-Portal Ars Technica berichten, die Server sollen im Zeitraum von August 2000 bis 2010 angegriffen worden sein. Die Ziele sollen sich in 49 Ländern befunden haben.

Server sollen für Angriffe missbraucht worden sein

Die Shadow Brokers sorgten bereits im August für Aufsehen, als sie geheime Hacking-Werkzeuge der NSA im Netz anboten. In diesem Kontext wurden gravierende Sicherheitslücken bei Routern bekannt. Wer hinter dem Namen Shadow Brokers steckt, ist nach wie vor unklar. Sicherheitsforscher vermuten, dass es sich um eine russische Gruppe handelt.

Die sogenannte Equation Group steht mutmasslich der NSA nahe und soll nach Angaben der Shadow Brokers die Server kompromittiert haben, um von ihnen aus Angriffe zu steuern. Um Spuren zu verwischen, nutzen Angreifer Server in verschiedenen Ländern für ihre Operationen. Daher ist es für Ermittlungsbehörden sehr schwer nachzuvollziehen, aus welchem Land ein Angriff tatsächlich stammt.

Als mögliche Quelle für das Datenleck gilt der NSA-Mitarbeiter Harold Martin. Der Mann sitzt derzeit in den USA in Haft. Er soll zu Hause mehr als 50 Terabyte an Daten auf Dutzenden Computern und Speichermedien gelagert haben, darunter viele Geheimdokumente. Seine Anwälte betonen allerdings, Martin sei kein Whistleblower. Warum Martin über Jahre hinweg Daten mit nach Hause nahm, ist bislang unklar.

(oli/brt)

Abonniere unseren Newsletter

17
Bubble Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 48 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis!
17Alle Kommentare anzeigen
    Alle Leser-Kommentare
  • pamayer 01.11.2016 23:03
    Highlight Highlight Kann nicht nachvollziehen, warum die NSA die Genfer Uni Server hackt. Um via gehackte Server unerkannt weiter Hacken zu können?
    Wenn dem so wäre, warum ist's dann aufgeflogen? Sollte der NSA eigentlich nicht passieren.
    Oder liege ich da falsch?
    Danke für Aufklärung.
    • Madison Pierce 02.11.2016 10:22
      Highlight Highlight Die Server waren von der NSA "akquirierte" Jumphosts. Zwielichtige Sachen macht man nicht von seinem Rechner aus, sondern über Drittserver. Der Anfänger mietet per Bitcoin einen Server in China, die NSA machte im grösseren Stil Kisten auf. Ob von der Uni aus Angriffe gefahren wurden weiss nur die NSA, aber es wäre zumindest möglich gewesen. Aufgeflogen ist die Sache, weil die Liste von Dritten erbeutet und publiziert wurde.

      Man sollte die Jumphosts übrigens immer im Hinterkopf haben, wenn es heisst, ein Angriff sei aus Russland oder China gekommen.
    • http://bit.ly/2mQDTjX 02.11.2016 14:04
      Highlight Highlight Es ist unklar, ob der Genfer Uni-Server gehackt, bzw. "akquiriert" wurde.

      Die geleakte Liste ist eine Ansammlung von Servern zusammen mit deren offenen Ports und weiteren hilfreichen Angaben, zB. welche Software die Ports bedienen und welche Protokolle sie anwenden. Das ist äusserst nützlich, um sogenannte Zeroday-Exploits zu fahren. Das heisst, neu (am Tag Null) bekanntgewordene Sicherheitslücken zeitnahe auszunutzen, um die dadurch angreifbaren Server zu "akquirieren", noch bevor die Löcher mit Sicherheits-Updates gestopft werden.

      Man frägt sich allerdings, wie das NSA zu dieser Liste kam.
    • http://bit.ly/2mQDTjX 02.11.2016 14:25
      Highlight Highlight Ich meine, mit der Genfer Uni hat das alles wenig zu tun. Mit Genf allerdings schon. Und dort vermutlich vorallem mit dem CERN.

      Die veröffentlichten Daten lassen vermuten, dass die NSA massiv Kabelaufklärung auf Routern betrieb, welche Forschungseinrichtungen und deren Netzwerke (SWITCH, Deutsches Forschungsnetz DFN, und viele andere) untereinander verbindet. Das geschieht rechtlich gesehen alles auf dem Netz und mit der Infrastruktur des CERN.

      Sich im CERN zu installieren macht für NSA Sinn, weil dort Sonderrechte gelten.

      https://de.wikipedia.org/wiki/CERN#Standort_und_rechtlicher_Status
  • Ignorans 01.11.2016 20:04
    Highlight Highlight Zum Glück gibt es Russland...
  • thenenek 01.11.2016 18:54
    Highlight Highlight Was für ein reisserischer Titel. Und von einem Beweis noch weit entfernt
    • ben_fliggo 01.11.2016 22:43
      Highlight Highlight und das Teaserbild erst, meine Güte – gehts noch Klischeehafter?
  • Dä Brändon 01.11.2016 18:08
    Highlight Highlight USA! USA! USA!
  • kuzkzk 01.11.2016 16:53
    Highlight Highlight Schon tragisch immer wieder das Gleiche. Unsere Politiker tun aber nichts um uns vor dieser Verbrecherbande zu schützen, im Gegenteil, sie wollen auch mitmischen. Wahrscheinlich wird es wieder ein devotes "wir sind empört" geben, wenn überhaupt.
  • oXiVanisher 01.11.2016 15:30
    Highlight Highlight Ist doch super! Die Schweiz mischt ja bald auch mit beim Cracken von Servern in anderen Ländern. Mal schauen wie sich alle drüber aufregen wenn die Amis das bei uns tun ... wenn wir das aber tun werden ist es dann irgendwie OK.
    Yay für das NDG!
    (Ja, das war Sarkasmus)
  • rothi 01.11.2016 15:20
    Highlight Highlight Die Kombination Mailserver/SunOS resp. Solaris taucht sehr oft auf. Evtl ist der Einsatz dieser Software bei vielen Unis der Grund weshalb diese so oft auf der Liste sind...
    • Alnothur 01.11.2016 18:36
      Highlight Highlight Wenn man von der Materie nichts versteht, sollte man sich mit solchen Kommentaren zurückhalten...
    • http://bit.ly/2mQDTjX 01.11.2016 18:56
      Highlight Highlight In der Liste geht es vorallem um Routing und um Netzwerk-Infrastruktur. Das macht natürlich vorallem dort Sinn, wo der Datenverkehr zusammenläuft. Also zB. in Genf, wo SWITCH, DFN (deutsche SWITCH), CERN und viele andere traditionell den Datenverkehr unter ihren Forschungs- und Lehrinstitutionen austauschen.

      Die Liste wäre von demher eher eine Werbung für Cisco als für Sun.

      Cisco betreibt sehr viel Forschung für die Internet-Sicherheit, lässt sich diese Forschung aber grösstenteils von Regierungsbehörden bezahlen. Wer zahlt, hat natürlich auch Begierden.
    • rothi 01.11.2016 22:47
      Highlight Highlight Von wegen keine Ahnung. Bittesehr: https://twitter.com/hackerfantastic/status/793113098110533632

      War vermutlich Sendmail.
    Weitere Antworten anzeigen

Kriminelle versenden gefälschte Swisscom-Rechnungen per E-Mail – so erkennst du den Betrug

Eine neue Phishing-Welle grassiert seit heute Mittag in der Schweiz. Die Betrüger fälschen Swisscom-E-Mails, um an Passwörter, Kreditkartendaten etc. ihrer Opfer zu gelangen und somit das Bankkonto leerzuräumen. Das Computer Emergency Response Team des Bundes schreibt auf Twitter:

Der E-Banking-Trojaner Gozi war erstmals 2007 entdeckt worden. Er wird von Internet-Kriminellen immer wieder verändert und per Fake-Mails oder manipulierte Webseiten neu in Umlauf gebracht. Wer in die Falle tappt, …

Artikel lesen
Link to Article