Es ist schon lange bekannt: Im Netzwerkdienst von Vista klafft ein Riesenloch. Microsofts offizielle Empfehlung dazu lautet: Den Dienst abschalten. Das dürfte aber bisher kaum jemand getan haben, denn es schien ja keine ernste Gefahr zu drohen. Genau das hat sich jetzt geändert: Im Metasploit-Framework gibt's ab sofort einen Exploit, der den SMB2-Fehler ausnutzt und beliebigen Code – also beispielsweise eine Meterpreter-Session – starten kann.

Damit sind alle Vista-Editionen seit dem Service Pack 1, die Server-2008-Editionen mit SP1 und SP2 und alle Windows-7-Ausgaben vor der RTM ein Sicherheitsrisiko. Noch ist zwar keine ausgewachsene Panik angesagt, denn der veröffentlichte Exploit hat mit nicht-virtuellen Maschinen seine Schwierigkeiten, aber ein Update ist bereits angekündigt. Wer also eins der genannten Betriebssysteme betreibt, sollte wirklich dringend den SMB2-Dienst abschalten. Andernfalls kann bald jedes Script Kiddie, das im selben LAN herumspielt, die verwundbare Maschine übernehmen.

Microsofts Empfehlung lautet, den entsprechenden Registry-Schlüssel zu ändern, sodass statt SMB2 nur noch SMB1 verwendet wird. Außerdem sollen die Ports 139 und 445 an der Firewall geblockt werden. Letzteres ist aber nur gegen Verbindungsversuche von außen sinnvoll, da das Blocken der beiden Ports innerhalb des LANs dazu führt, dass keine Windows-Netzwerkdienste mehr verfügbar sind. Da könnte man den Server auch gleich abschalten...

Apropos Metasploit: H. D. Moore und seine Mitstreiter haben mit Metasploit Unleashed eine lehrreiche und kostenlose Sammlung von Anleitungen für ihr Framework online gestellt. Sie orientiert sich an der Standardvorgehensweise beim Eindringen in andere Rechner und liefert für jede Phase nützliche Hinweise und Tipps. Die benutzten Programme werden detailliert dargestellt und ihre Bedienung erläutert: Leichter kann man's nicht kriegen.

Letzte Woche hatte ich davon gesprochen, wie viel oder wie wenig Geld die eigenen Daten so wert sind. Den größten Posten in diesem Paket dürfte die Kreditkarte darstellen: Ihre Nummer und die zugehörigen Prüfziffern sind die fetteste Beute für Datendiebe. Nur mit der Kartennummer und der Prüfziffer kommt man aber außerhalb des Netzes nicht weit – man braucht die physische Karte.

Um eine solche fälschen zu können, muss man im Besitz der vollständigen Daten des Magnetstreifens sein. An dieser Stelle kommen die Skimmer ins Spiel: Skimmer sind meist schlecht bezahlte Angestellte im Dienstleistungsbereich – Kellner, Kassierer, Verkäufer. Sie bessern ihr überschaubares Einkommen auf, indem sie Kreditkartendaten verhökern. Wenn sie die Karte eines Kunden überreicht bekommen, ziehen sie diese durch zwei Lesegeräte: Einmal durch das des Ladens, damit der Kunde tatsächlich bezahlt. Ein zweites Mal aber durch ein eigenes Lesegerät, das die Daten des Magnetstreifens speichert, um mit denen später eine Kopie der Karte anzufertigen. Idealerweise notiert der Skimmer auch noch die Prüfziffer der jeweiligen Karte.

Nun sollte man hoffen, dass solche bösen Buben eher selten sind. Doch weit gefehlt: Wie das Wired-Magazin berichtet, sind allein in Florida in praktisch allen Fast-Food-Ketten schon Skimming-Fälle vorgekommen. Das ist auch gar kein Wunder, denn das Skimmen lohnt sich: Beim Asiaten Lan Pan verdiente sich ein Kellner 7,50 $ pro Kartensatz hinzu. Ein Drive-In-Kassierer bei Burger King kam schon auf 10 $ und ein bei MacDonald's beschäftigter Kollege strich sogar 30 $ für jede kopierte Kreditkarte ein. Sie alle vertickten die Daten an technisch versiertere Verbrecherfreunde, die sie dann entweder ebenfalls weiter verkauften oder sogar selbst die gefälschten Karten herstellten.

Wer jetzt erleichtert aufatmen möchte, weil das ja alles nur Amerika betrifft, der muss die Luft leider noch ein bisschen anhalten: Auch in Deutschland nimmt das Skimming zu und es ist nur eine Frage der Zeit, bis auch hierzulande Kellner und Kassierer mit zwei Lesegeräten hantieren.

Sie sind ein Überbleibsel aus dem Ostblock, aber in Berlin-Marzahn und dem Rest von Ostdeutschland findet man sie noch: Neubaublöcke. Vielleicht waren es diese architektonischen Untaten, die Alexei Paschitnow 1984 zur Erfindung von Tetris inspiriert haben. Jedenfalls scheinen sie sich ganz hervorragend dazu zu eignen...