Sicherheitswoche 37: Sicherheitslücke in Android, Microsoft versus Deepfakes, Popularität von Windows 7

Sicherheitslücken in iOS, die wir letzte Woche besprochen haben , die Wende der Sicherheitslücken in Android ist gekommen. Am 4. September veröffentlichten Forscher der Zero Day Initiative (Informationen zum Problem in Android) Nachrichten, Bulletin ) und zum Zeitpunkt der Veröffentlichung war es nicht geschlossen. In dem am Vortag veröffentlichten Patch-Set für Android wurden zwei kritische Fehler im Media Framework behoben, aber dieses Problem im Video4Linux 2-Treiber ist weiterhin relevant.

Daher werden nur wenige Details offenbart. ZDI schätzt die Sicherheitslücke laut CVSS auf 7,8. Das Problem besteht im Wesentlichen darin, dass der Treiber die Existenz des Objekts nicht überprüft, bevor er Operationen daran ausführt. Ein Fehler für den Betrieb erfordert lokalen Zugriff auf das System. Mit anderen Worten, eine Anwendung mit bösartigem Code und geringen Berechtigungen kann vollen Zugriff auf das Smartphone erhalten, diese Anwendung muss jedoch irgendwie installiert werden.

Vertreter von Google haben den Schwachstellenbericht noch nicht kommentiert. Laut ZDI erhielt der Android-Entwickler bereits im März dieses Jahres Informationen über das Problem. Im Juni gab er an, an dem Patch zu arbeiten, antwortete jedoch nicht auf nachfolgende Anfragen nach dem Veröffentlichungsdatum des Patches. Die Einschätzung des Anbieters ist nach wie vor wichtig: Apple hat beispielsweise letzte Woche auf die Untersuchung von Google-Sicherheitslücken in iOS mit einer Erklärung reagiert, in der das Vorhandensein einer böswilligen Kampagne bestätigt, Behauptungen über die Dauer des Angriffs jedoch widerlegt wurden. Laut Apple dauerte die Kampagne zwei Monate, nicht zwei Jahre.

Microsoft und Facebook begeben sich unter Beteiligung mehrerer amerikanischer Universitäten auf einen Kriegspfad gegen Deepfakes. Die Unternehmen organisierten einen Wettbewerb ( Nachrichten , Projektseite) der Deepfake Detection Challenge, dessen Aufgabe es sein wird, effektive Methoden für den Umgang mit gefälschten Inhalten mithilfe von Methoden des maschinellen Lernens zu finden. Ende dieses Jahres wird das Projekt einen Datensatz (Original- und modifizierte Videos) veröffentlichen, auf dessen Grundlage die Teilnehmer gefälschte Erkennungswerkzeuge trainieren können. Im Frühjahr 2020 wird ein Black-Box-Test durchgeführt, der die effektivsten Entwicklungen ermittelt.


Bei der Erstellung des Gifs wurde kein einziger Nicolas Cage verletzt. Quelle

Deepfake ist ein relativ junges Thema, das 2017 eine breite Diskussion begann. Dann tauchten in sozialen Netzwerken Videos auf, in denen das Gesicht der Person durch ein anderes ersetzt wurde, manchmal mit unglaublicher Glaubwürdigkeit. Der Begriff selbst tauchte dank eines Reddit-Benutzers mit dem Spitznamen Deepfakes auf, der auf die Art des Endprodukts (Fälschung) und die Herstellungsmethode (Deep-Learning-Technologie) hinwies. Seitdem wurden mehrere Projekte mit Quellcode veröffentlicht, um zu Hause Fälschungen zu machen. Die Technologie hat breite Anwendung gefunden, mit einer Vielzahl von Ergebnissen - von relativ unschuldig (wenn Sie Mel Gibsons Gesicht in den Film Mad Max: Fury Road einfügen , in dem er nicht die Hauptrolle spielte) bis zu zweifelhaften und wirklich gefährlichen (Pornografie und Fälschungen von Reden von Politikern).

Vor dem Deepfake-Phänomen konnte davon ausgegangen werden, dass jeder Text im Internet gefälscht sein könnte, während das Video etwas mehr Vertrauen verdient. Nun ist das nicht so und es geht nicht nur um Videos. Am 30. August meldete das Wall Street Journal den ersten dokumentierten Fall von intelligentem Betrug mit der Stimme einer Person. Ein namenloses Energieunternehmen litt darunter: Betrügern gelang es, die Stimme seines Direktors nahezu fehlerfrei zu reproduzieren. Danach riefen sie einen Mitarbeiter der Organisation an und forderten die Überweisung von 220.000 Euro. Die "Aufgabe" war erledigt, das Geld ging an die Angreifer. Dies ist nicht nur ein Beispiel für fortgeschrittenen Telefonbetrug, sondern auch ein Szenario, in dem Technologien zum Erstellen von Fälschungen, die schwer von der Realität zu unterscheiden sind, offline geschaltet werden.

Auf der Website des Deepfake Detection Challenge-Projekts wird der Kampf gegen Fälschungen mit einem Schachspiel verglichen: Die Entwicklung intelligenter Systeme von Gegnern muss mit noch leistungsfähigeren Algorithmen zur Erkennung von Fälschungen beantwortet werden. Dies ist eine ehrenvolle Aufgabe, aber es scheint, dass wir in naher Zukunft alle noch strengere Methoden zum Filtern von Netzwerkinhalten anwenden müssen. In der neuen wundersamen Realität sollte man nicht sofort nicht nur E-Mail-Nachrichten vertrauen, die angeblich von einem großen Unternehmen stammen, sondern auch Videonachrichten von bekannten Personen. Und Anrufe. Bisher sind nur persönliche Treffen vor digitalen Störungen geschützt. Hoffentlich wird diese letzte Bastion lange dauern.



Herkömmliche Sicherheitsprobleme, insbesondere die Verwendung veralteter Software, gehen nirgendwo hin. Kaspersky Lab untersuchte, welche Windows-Versionen von mittleren und großen Unternehmen, kleinen Unternehmen sowie normalen Benutzern verwendet werden. Die Verbraucherergebnisse stimmen mit den jüngsten Daten aus anderen Quellen überein : Windows 10 hat erst kürzlich etwas mehr als die Hälfte des Marktes besetzt. Das modernste Windows ist bei 53% der Endbenutzer installiert, und der Anteil kleiner Unternehmen ist mit 55% sogar noch etwas höher.

An zweiter Stelle steht Windows 7, dessen erweiterte Unterstützung am 14. Januar 2020 endet. Je größer das Unternehmen ist, desto langsamer ist die Migration auf neue Betriebssystemversionen. Bei mittleren und großen Unternehmen beträgt der Anteil von Windows 7 47%. An dritter Stelle steht die Version von Windows 8.1 (7% der Verbraucher, 5% der Unternehmen), deren Unterstützung bis 2023 fortgesetzt wird. Nicht unterstütztes und ehrlich gesagt unsicheres Windows XP wird bei 2% der Benutzer installiert, während größere Unternehmen praktisch nicht verwendet werden. Sowohl Verbraucher als auch Unternehmen haben möglicherweise unterschiedliche Argumente gegen eine Aktualisierung. Aus Sicherheitsgründen ist jedoch früher oder später ein Upgrade erforderlich. Im Fall des immer noch beliebten Windows 7 wird es sehr bald benötigt.

Haftungsausschluss: Die in dieser Übersicht geäußerten Meinungen stimmen möglicherweise nicht mit der offiziellen Position von Kaspersky Lab überein. Sehr geehrte Redakteure empfehlen generell, Meinungen mit gesunder Skepsis zu behandeln.