[Chaos CD]
[Datenschleuder] [24]    Der Einbruch in das SPANNet
  [ -- ] [ ++ ] [Suchen]  

 

Der Einbruch in das SPANNet - Hacker kannten Password

(aus DECBlatt)


Die Hacker, die über das SPANet unter anderem in VAX-Rechner der NASA und der ESA eingedrungen sind, hatten fremde Hilfe. Ermöglicht wurde der ganze Coup erst durch einen Hamburger Studenten, der ihnen seinen Benutzernamen samt zugehörigem Passwort nannte.

(Karikatur: Hacker inmitten von PC's am telefonieren, Fahne an der Wand "Hacker e.V.", Text daneben: "Guten Tag, hier spricht die NASA. Unser Computer ist abgestürzt. Können Sie uns vielleicht mit einer Kopie unserer Daten aushelfen?")

Angefangen hat alles in Hamburg. Auf der VAX 11/750 der dortigen Aussenstelle der EMBL (European Molecular Laboratory - Europäisches Laboratorium für Molekularbiologie) konnten die Hacker trainieren - ein Student hatte ihnen Usernamen und Passwort seines Accounts mit allen Privilegien verraten. Einmal im Besitz dieser Informationen, konnten die Hacker beliebig auf den EMBL-Rechner zugreifen.

Von Hamburg ging es weiter nach Heidelberg zr EMBL-Zentrale. Über das Netz drangen die Hacker in den dortigen Rechner, einen Cluster aus einer VAX 8600 und einer 11/785, ein. Möglich war dies nur dadurch, da× sie über eine Mailbox in den Besitz von sogenannten Patches gekommen waren, die unter anderem die Login-Prozedur verändern.

Diese Patches wiederum konnten nur funktionieren, weil die Versionen 4.4 und 4.5 des DEC-Betriebssystems VMS einen Fehler aufwiesen, der sich nun als echtes Sicherheitsrisiko entpuppte. Dieser Fehler war zumindest seit Ende des letzten Jahres bekannt. In den USA hat DEC auch reagiert und eigene Patches entwickelt,
die diese Sicherheitslücke geschlossen. In Europa allerings waren die DEC-Patches erst Mitte 1987 zu bekommen - nachdem die Hacker 135 VAXen im Forchungsnetz SPAN (Space Physics Analysis Network) geknackt hatten.

"Es hat viel zu lange gedauert, bis DEC diese Patches zur Verfügung stellen konnte", sagt Roy Omond, als Head of Computing Services zuständig für die Rechner des EMBL. "Das Technical Support Center wusste anscheinend von nichts, und die Zweigniederlassung überspielte uns Programme, die mit unserem Problem nicht das geringste zu tun hatten." Omond besorgte sich die Patches schliesslich per Mailbox von einem Kojlegen in den Niederlanden.

Roy Omond ist von dem Hacker-Coup ganz besonders betroffen. Von seinem Rechner aus "telefonierten" die Eindringlinge mit Computern in aller Welt. "Sie haben uns echtes Geld gekostet", beklagte sich der schottische System-Manager in einem weltweiten Rundschreiben an Kollegen, nachdem er, "eigentlich durch Zufall",
die Hacker in seinem System entdeckt hatte.Auf die Schliche war er ihnen gekommen, als er eines nachts an seinem System arbeitete und plötzlich einen weiteren Benutzer entdeckte. Einen Benutzer, der eigentlich gar nicht da sein konnte. Denn die Prozedur "show user" hatte nur Omond als aktuellen Benutzer ausgewiesen, die angegebene Benutzerzahl 1. Nachdem Omond den ihm unbekannten Prozess auf seinem Rechner gestoppt hatte, zeigte "show user" 0 Benutzer - obwohl der
System-Manager noch eingeloggt war. Nachdem er sich ausgeloggt hatte, war es auf einmal -1 Benutzer.

Der Trick: Die Hacker hatten nur die Login-Prozedur verändert und einen "Generalschlüssel" entwickelt; sie hatten auch jedesmal, wenn sie sich einloggten, die Benutzerzahl um eine heruntergezählt. Beim Ausloggen imkrementierten sie sie wieder. Auf diese Weise konnte ein zusätzlicher User dem System-Manager
normalerweise nicht auffallen.

Der Fehler: Die Hacker hatten die Möglichkeit übersehen, dass ein Prozess auch ohne Logout gestoppt werden kann. Ein solcher Stop aber umging die Inkrementierung der Benutzerzahl, und so konnte es zu dem seltsamen "negativen User" kommen - ein eindeutiges Zeichen dafür, dass etwas nicht stimmen konnte.

Bei seinen Nachforschungen fiel Omonds Interesse sehr schnell auf den EMBL-Rechner in Hamburg. Von dort waren in den Wochen zuvor ungewöhnlich viele lange Anrufe im Heidelberger System eingegangen. Auf der Hamburger VAX wurden schliesslich die Patches der Hacker gefunden, "Gefunden", so Omond, "haben wir auch einige Mails aus Karlsruhe, mit denen diese Patches nach Hamburg geschickt worden waren. Was uns am meisten verwundert hat, war allerdings ein kleines Programm, mit dem man sämtliche Benutzernamen sowie deren Passwörter auflisten konnte." Besonders priviligierte Benutzer wurden in diesen Listen fein säuberlich
mit einem "*" gekennzeichnet.

Das alles begab sich gegen Ende Juli. Etwa zwei Wochen vorher waren die Hacker zum ersten Mal in Omonds System gewesen. Zeit genug für sie, über den Heidelberger Rechner mehr als 130 weitere VAXen im SPANet zu knacken. Alles Systeme, die unter den Betriebssystem-Versionen 4.4 oder 4.5 liefen.

Unter diesen Systemen befand sich auch das des europäischen Kernforschungszentrums CERN in Genf, nach derzeitiger Erkenntnis das einzige System, indem die Hacker tatsächlich Schaden anrichteten. Hier wurden Daten verändert oder gelöscht. BEI CERN wird nun erwogen, rechtliche Schritte gegen die Hacker
einzuleiten. Bereits im vergangenen Jahr war CERN das Ziel von Hacker-Aktionen gewesen. Wegen dieser älteren Geschichten wurden jetzt auch die Räume des Hamburger Chaos Computer Clubs (CCC) von der Polizei durchsucht; schriftliche Unterlagen, sowie eine Reihe von Disketten wurden beschlagnahmt.

Der CCC war es auch gewesen, der den Hack im SPANet an die breite Öffentlichkeit brachte - allerdings erst, nachdem Omond die Hacker in seinem System entdeckt hatte. Die Hacker seien jedoch keine Clubmitglieder gewesen, beteuerte der CCC. Sie hätten sich lediglich an den Club gewandt, als ihnen die Sache zu heiss geworden sei.

Der CCC bestreitet energisch, dass in irgendeinem betroffenem System Schäden angerichtet wurden. Vorstandsmitglied Reinhard Schrutzki zum DECKBLATT: "Wir hätten uns niemals zum Sprachrohr dieser Hacker gemacht, wenn es solche Schäden gegeben hätte. Die Hacker haben allerdings in verschiedenen Datenbeständen "gewühlt" - Dokumentationen darüber liegt uns vor."

Das deutsche Strafrecht sieht für solche "elektronische Einbrüche" bis zu drei Jahren Freiheitsstrafe vor. Es gestaltet sich allerdings in der Praxis ausgesprochen schwierig, einzelnen Personen solche Straftaten zweifelsfrei nachzuweisen. (th)


Netzvermerk: 8710281654 8711 BBPR.DCB Andy, Ls 16
(CLINCH:DATENREISEN&DFUENEWS)

 

 

  [Chaos CD]
[Datenschleuder] [24]    Der Einbruch in das SPANNet
  [ -- ] [ ++ ] [Suchen]