Mein bitcoin-Qt gehackt oder MitM attack auf bitcoin.de ?

[fyahfox]

Satire: Gestern wurden mir 10 € geklaut. Soviel zum Thema Sicherheit beim EUR.

[Gast iflash]

@segeln: Mir kommt es etwas merkwürdig vor, dass eine relativ "frische" BTC Adresse beklaut wird wie in deinem Fall.

 

Deshalb eine vielleicht etwas unangenehme Frage: Wer außer dir hat oder hatte Zugriff auf deinen Computer, seitdem du die Wallet angelegt hast?

[fyahfox]

Frisch? Wenn das eine "neu" generierte Adresse aus einem Bitcoin-Qt mit älterer wallet.dat war, dann war die Adresse so alt wie die wallet.dat.

 

Bitcoin-Qt erzeugt nach dem Installieren direkt 100 Adressen, die aber erst sichtbar werden, wenn man sie im Programm durch einen Klick auf "Neue Adresse" in die grafische Oberfläche holt.

[segeln]

.

Wer außer dir hat oder hatte Zugriff auf deinen Computer, seitdem du die Wallet angelegt hast?

!keiner! außer meiner Frau

shit happens

[Gast Erforderliche Angaben]

20 Bitcoins, das sind doch nur rund 16.600 Euro, davon geht die Welt nicht unter.

[fyahfox]

Dann spende ihm doch 2 Bitcoins, damit er nicht mehr so traurig ist. Wenn du 16.600 Euro mit "nur" umschreibst, jucken dich 1.600 Euro ja sicherlich nicht mal annähernd...

[Bitcoin]

Hat sich der Support schon gemeldet? Würde mich sehr interessieren wie und wo da die Coins hin sind.

[fjvbit]

Dann spende ihm doch 2 Bitcoins, damit er nicht mehr so traurig ist. Wenn du 16.600 Euro mit "nur" umschreibst, jucken dich 1.600 Euro ja sicherlich nicht mal annähernd...

 

das halte ich für eine prima Idee. Für alle mit sehr vielen BTC, lindert den Schmerz.

 

@segeln

wir brauchen Deine public Adresse. Du kannst die Einzahladresse von bitcoin.de nehmen

[Iron]

Tut mir echt leid für dich segeln. Ich bin vor Jahren mal um 15.000 Euro beschissen worden. Das war und ist verflucht viel Kohle für mich. Ich weiß genau wie sich das anfühlt.

[fyahfox]

Letztlich sind die geklauten Bitcoins jetzt auf diesen beiden Adressen gelandet:

http://blockexplorer.com/address/1FugHD36WeW81McndrPXZazchtCJAgeRVd

http://blockexplorer.com/address/1FA3BU8DoQWsmHKna3m2dFo69kJCSkYD4T

 

Auf beiden Adressen sind jetzt 248,756 BTC. Was geht denn da ab??

[fjvbit]

Letztlich sind die geklauten Bitcoins jetzt auf diesen beiden Adressen gelandet:

http://blockexplorer.com/address/1FugHD36WeW81McndrPXZazchtCJAgeRVd

http://blockexplorer.com/address/1FA3BU8DoQWsmHKna3m2dFo69kJCSkYD4T

 

Auf beiden Adressen sind jetzt 248,756 BTC. Was geht denn da ab??

 

Mix Service, denke ich. Um die Herkunft zu verschleiern.

 

so was wie hier:

 

http://blockchain.info/de/wallet/send-shared

 

Du sendest Bitcoins dorthin und kriegst andere zurück, gegen eine kleine Gebühr. Hier 0,5%.

So kann man die geklauten coins nicht identifizieren.

[fyahfox]

Ist mir schon klar, ich meinte eher die Tatsache, dass der Typ anscheinend 500 BTC besitzt...

[AldousOrwell]

Tut mir leid für den derben Verlust, das is viel Kohle.

Vielleicht eine Anregung, Avira/AVG/Kaspersky/Norton und ähnliche Abzocksoftware für Computerbild-Leser mal zu deinstallieren und seine Firewall richtig zu konfigurieren, oder NoScript zu nutzen, oder sich ein bißchen über Verschlüsselung zu informieren?

Wer sich auf ein "Antivirenschutzprogramm" verläßt und seine wallet unverschlüsselt speichert, spricht den Bitcoin-Abzockern da draußen eine Einladung aus; ich hab noch nie so viel Scamming gesehen wie die letzten Wochen. Jeder Kursanstieg der Coins wird von neuen Nachrichten über gehackte Börsen oder beklaute Privatpersonen begleitet.

Nicht schön...

[Stonie]

Vielleicht eine Anregung, Avira/AVG/Kaspersky/Norton und ähnliche Abzocksoftware für Computerbild-Leser mal zu deinstallieren und seine Firewall richtig zu konfigurieren, oder NoScript zu nutzen, oder sich ein bißchen über Verschlüsselung zu informieren?

Vielleicht eine Anregung: Selber mal informieren und nicht so einen Blödsinn verkünden, der dem unkundigen Leser Flausen in den Kopf setzt. Antivirensoftware ist nach ständiger Aktualisierung aller verwendetes Programme (Betriebssystem UND Anwendungen) die zweitwichtigste Maßnahme für Privatanwender, um die "richtige Konfiguration der Firewall" muss sich der Privatanwender hingegen nicht kümmern, da sind die Default-Einstellungen von Windows 7 alles, was der Normalnutzer braucht. NoScript kann in der Tat einige Drive-By-Infections verhindern, ist allerdings auch nicht ganz trivial, sofern man sich bei der Internet-Nutzung nicht in die 90er zurückversetzt fühlen möchte. Was das Informieren über Verschlüsselung im vorliegenden Fall gebracht hätte (dessen Hintergründe wir nebenbei nicht kennen), erschließt sich mir nicht.

 

Wer sich auf ein "Antivirenschutzprogramm" verläßt

Klar sollte man sich nicht darauf "verlassen", man darf aber auch keinesfalls darauf verzichten.

 

Gruß

Stonie

[AldousOrwell]

Daß Du Antivirensoftware nutzt, macht sie auch nicht besser.

Und ich habe mich informiert, deswegen benutze ich seit langer Zeit keine mehr; und hatte weder bei Windows 2000, XP noch 7 irgendwelche Würmer, Viren oder Malware.

Weißt Du, wie Malware funktioniert? Auf youtube gibts n gutes Video, in dem jemand, der früher Schadsoftware geschrieben hat, erklärt, warum Kaspersky und Co. keinen oder nur unzureichenden Schutz bieten: die Signatur des Wurms/Trojan loaders etc. ändert sich alle 4 bis 5 Stunden, um der Identifikation durch Antivirensoftware zu entgehen- wer aktualisiert denn seine entsprechenden Def.-Dateien 6mal am Tag?

http://www.zdnet.com/eighty-percent-of-new-malware-defeats-antivirus-1139263949/

Bei Browser hijacks oder BHO helfen AVG o.Ä. ja, aber bei Sachen a la Sasser/Flame etc. verstehen die Antivir-Entwickler nicht mal den Quellcode (remeber "iloveyou", z,B.?)

http://www.wired.com/threatlevel/2012/06/internet-security-fail/

Die Rechner, die ich im Freundes- und Bekanntenkreis wieder zusammenflicken darf wenn mal wieder "das Internet nicht geht", haben alle irgendeine AV-Software drauf, geholfen hat das bis jetzt keinem...

ich hab auch das "Windows-Tool zum Entfernen bösartiger Software" unter Win7 deaktiviert, da es nicht nur nix nützt, sondern selber Sicherheitslücken enthält, über die man Schadcode ausführen kann (die auch schon exploited wurden!)

Hier noch Quotes von IT-Security-Leuten, die erklären, warum sie keine Antivirusprogramme nutzen:

http://www.wired.com/wiredenterprise/2012/03/antivirus/

Für mehr Info empfehle ich, unter blog.fefe.de mal nach dem Thema zu suchen, Stichwort "Schlangenöl"

[Stonie]

Tja,

 

und ich bekomme dann Deine Freunde auf den Schreibtisch, wenn es um die Verfolgung und Aufklärung von Zwischenfällen im Bereich Informationssicherheit geht bzw. tat dies in meinem früheren Job. Es tut mir leid, aber Deine Informationen zu Antivirus (AV) Produkten bzw. genau genommen die Schlüsse, die Du daraus ziehst, sind falsch und hochgradig fahrlässig.

 

Daß Du Antivirensoftware nutzt, macht sie auch nicht besser.

Streng genommen schon, da ich Samples zur Analyse liefere, aber das ist jetzt zugegeben kleinlich.

 

Und ich habe mich informiert, deswegen benutze ich seit langer Zeit keine mehr; und hatte weder bei Windows 2000, XP noch 7 irgendwelche Würmer, Viren oder Malware.

D.h. tatsächlich eigentlich nur, dass Du keine Malware bemerkt hast. Ob im Hintergrund eine werkelte und z.B. mit Deinem Rechner BTC gemint hat oder an DDoS-Angriffen beteiligt war, hast und wirst Du nie erfahren.

 

Weißt Du, wie Malware funktioniert?

Wenn ich meinem universitären Abschluss und meinen Arbeitszeugnissen trauen darf, ja.

 

die Signatur des Wurms/Trojan loaders etc. ändert sich alle 4 bis 5 Stunden, um der Identifikation durch Antivirensoftware zu entgehen- wer aktualisiert denn seine entsprechenden Def.-Dateien 6mal am Tag?

Wo soll denn bitte bei 6 mal am Tag bei einem automatisierten Prozess in Zeiten der Flatrate-Breitbandanbindung das Problem sein? Mein (nicht kostenloses) AV-Produkt hat zwei Scan-Engines und aktualisiert Signaturen alle 20 Minuten, also beim 24 Stunden Betrieb mehr als 70 Mal am Tag (auf meinem Windows-Zweitrechner, auf dem ich nie etwas mit BTC machen würde, dafür steht eine dedizierte Kiste auf einem Raspberry-Board bereit, dort und auf meiner Linux-Hauptkiste sieht die Sache anders aus). Stört mich nicht.

 

Fraglich ist eher, woher Deine Informationen stammen bzw. wie veraltet diese sind. Mittlerweile mutiert der Code eines Wurms eigentlich bei jeder Kopie, wir sehen mehr als eine Mio. Schädlinge am Tag. Und unabhängig von der Frequenz der Aktualisierung ist fraglich, ob die AV-Labore einem entsprechenden Sample überhaupt (rechtzeitig) habhaft werden. Wenn ich z.B. in einer Targeted Operation gezielt angreife (Spear Phishing, Whaling) und z.B. alle Einsteiger eines Bitcoin-Forums attackiere und die Selbstverbreitung des Schädlings einschränke, wird dieser vielleicht nie oder erst nach Monaten erkannt. Das spräche erst einmal für Dich. Deinen Schlussfolgerungen liegen jedoch zwei kapitale Fehleinschätzungen zugrunde:

 

1.) Du glaubst, weil es - unbestritten - fortschrittliche Schadsoftware gibt, gegen die herkömmliche AV-Software nutzlos ist, wäre JEDE Schadsoftware so fortschrittlich. Obwohl richtig ist, dass man sich z.B. kaum wird schützen können, wenn einen die NSA mit riesigen Ressourcen und einem beträchtlichen Wissensvorsprung angreift, geschehen die meisten Angriffe und Infektionen durch alte Bekannte. Das ist sozusagen ein virales Grundrauschen im Netz mit Dingen, die auf dem Schwarzmarkt verschleudert oder von Script-Kidies hochgekocht werden und die jeder 08/15-Virenscanner kennt. Wegen der Existenz fortschrittlicher Schadsoftware auf AV-Software zu verzichten ist ungefähr so, als wenn ich sagen würde, einen Schnupfen kann ich mir allein durch die Tröpfchen- oder Schmierinfektionen holen, also ist die Verwendung von Präservativen beim One-Night-Stand überflüssig.

 

2.) Du setzt AV-Produkte ganz offenbar mit signaturbasierter Erkennung gleich. Allerdings arbeiten eigentlich alle AV-Programme dazu mit Heuristiken, können also Muster in Schädlingen erkennen, selbst wenn der konkrete Code differiert. Die guten Programme analysieren darüber hinaus das Verhalten, d.h. wenn ein Programm eine Privilege Eskalation über eine aktuell entdeckte Schwachstelle versucht oder eine bekannt gewordene Dropzone anfunkt, dann ist es egal, ob der konkrete Code als bösartig bekannt ist, die schädlichen Aktionen werden blockiert und der laufende Code isoliert.

 

Bei Browser hijacks oder BHO helfen AVG o.Ä. ja, aber bei Sachen a la Sasser/Flame etc. verstehen die Antivir-Entwickler nicht mal den Quellcode (remeber "iloveyou", z,B.?)

Aha. Mal davon abgesehen, dass der Kenntnistand auch veraltet ist, magst Du mir das AV-Produkt nennen, das Sasser, Flame und iloveyou nicht erkennt?

 

Die Rechner, die ich im Freundes- und Bekanntenkreis wieder zusammenflicken darf wenn mal wieder "das Internet nicht geht", haben alle irgendeine AV-Software drauf, geholfen hat das bis jetzt keinem...

Und das weißt Du woher? Wie viel früher hätten sie Dich denn vielleicht ohne AV-Software rufen müssen? Kennst Du einen Unfallsachverständigen der sagt "Alle Unfallautos hatten ABS, geholfen hat das bis jetzt keinem..."? Oder rufen die Dich alle pflichtschuldig an und sagen: "Gerade ist wieder nichts passiert!"?

 

Ich habe bereits gesagt, dass man sich nicht allein auf AV-Software verlassen darf, vor allem sind der gesunde Menschenverstand, ein wacher Geist und ein grundsätzlichen Misstrauen gute Freunde. AV-Software trägt aber viel bei. Es sei denn natürlich, sie wird falsch eingesetzt, was meiner Erfahrung nach meist das Problem ist. Die Leute kaufen sich einen Rechner und haben eine 30 Tage Testlizenz eines x-beliebigen AV-Programms vorinstalliert. Und wenn die Lizenz angelaufen ist, dann wird die entsprechende Meldung fleißig weggeklickt und nicht weiter drüber nachgedacht, Engine und Signaturen werden nicht mehr aktualisiert. Das ist natürlich so dämlich und uninformiert, als würde ich denken, meine Frau könne nicht schwanger werden, weil sie letztes Jahr schließlich mal einen ganzen Monat lang die Pille genommen hat. Dort gilt dann tatsächlich Deine nächste Befürchtung, die AV-Software schadet vielleicht mehr, als sie nutzt:

 

ich hab auch das "Windows-Tool zum Entfernen bösartiger Software" unter Win7 deaktiviert, da es nicht nur nix nützt, sondern selber Sicherheitslücken enthält, über die man Schadcode ausführen kann (die auch schon exploited wurden!)

Die möglichen Sicherheitslücken in der AV-Software werden durch den Nutzen um ein Vielfaches aufgewogen, zudem werden die richtig guten AV-Labore über die Forensiker exzellent mit Infos aus der Underground-Economy versorgt und haben ein extremes Interesse am schnellen Fixen ihrer Produkte. Dazu würde ich Microsoft jetzt nicht gerade zählen, obwohl die in Riesenschritten besser werden.

 

Hier noch Quotes von IT-Security-Leuten, die erklären, warum sie keine Antivirusprogramme nutzen:

Abgesehen davon, dass ich Dir für jeden Profi ohne AV-Software zwei andere Profis mit AV-Software anschleppen kann, darfst Du doch nicht Äpfel und Birnen vergleichen. Du stellst gerade Deine Freunde, bei denen - Zitat - das Internet mal wieder nicht funktioniert - Zitat Ende - und die Dich dann rufen müssen, mit der Elite der Security-Branche gleich. Freeclimbing-Profis benutzen auch keine Seile und Base-Jumper haben keinen Reserveschirm. Sind deshalb die Sicherungsseile im Kletterwald bei mir um die Ecke und der Reserveschirm beim Tandemsprung-Event via myDays.de nur Schlangenöl? Nö.

 

Und zuletzt: Selbst wenn Deine Einschätzung richtig wäre (was sie nicht ist), können die von Dir betreuten Freunde ganz unabhängig vom jeweiligen Nutzen der AV-Software im konkreten Fall darunter leiden, weil die ständige Rechtsprechung in Deutschland die Nutzung eines aktuellen AV-Programms als im Verkehr übliche Sorgfalt annimmt, vgl. z.B. AG Wiesloch vom 20.06.2008, 4 C 57/08 oder LG Landshut vom 14.07.2011, 24 O 1129/11. D.h. zum Beispiel wenn es eine unberechtigte Verfügung durch einen Banking-Trojaner gibt, dann kann man sich grundsätzlich auf die fehlende Willenserklärung berufen und die Buchung von der Bank rückgängig machen lassen. Deinen Freunden wird dann die fehlende AV-Software zum Verhängnis, denn die Bank wird aus der Verletzung der Sorgfaltspflicht einen Schadenersatz ableiten, wenn die AV-Nutzung nicht sogar in den Geschäftsbedingungen festgelegt ist, und mit dem Bereicherungsanspruch aus der betrügerischen Buchung aufrechnen. Deine selbstbewusste Fehleinschätzung führt dann direkt zu einem finanziellen Verlust, ganz egal, ob ein konkreter Virenschutz im jeweiligen Fall etwas genutzt hätte.

 

Deine Einstellung macht mich, der ich etwas Erfahrung in dem Feld vorweisen kann, einfach nur sauer, ungefähr so wie Impfkritiker beim Kinderarzt. Wenn es nur Dich betreffen würde, wärest Du ja selbst schuld und es könnte mir egal sein, aber Du verbreitest Dein gefährliches Halbwissen an Freunde und am Ende des Tages stehen deren Rechner oder gar Dein eigener unbemerkt von Dir und denen in Reih und Glied der nächstbesten Botnetz-Armee und bei mir klingelt nachts das Telefon.

 

Gruß

Stonie

Bearbeitet 5. Dezember 2013 von Stonie
Typos

[fyahfox]

@AldousOrwell: Sei dankbar, dass du diese ausführliche Erklärung von Stonie bekommen hast. So sachlich reagiert nicht jeder, wenn man so unqualifizierten Kram zu lesen bekommt.

 

@Stonie: Bist du wissenschaftlicher Mitarbeiter?

[fyahfox]

Aber zurück zum Thema...

@segeln: Ich würde übrigens Anzeige gegen unbekannt erstatten. Kann nicht schaden, wenn sich die Polizei mal mit Bitcoin auseinander setzen muss...

[segeln]

@AldousOrwell: Sei dankbar, dass du diese ausführliche Erklärung von Stonie bekommen hast. So sachlich reagiert nicht jeder, wenn man so unqualifizierten Kram zu lesen bekommt.

Ich schließe mich an. Aber Du ,fyahfox , bist auch einer der sehr freundlichen und sehr höflichen "Sorte Mensch".

Bearbeitet 5. Dezember 2013 von segeln

[onetop]

Schlimme Sache ein hoher monetärer Verlust. Anzeige, ja, sicher für die Statistik nötig, vermutlich aber zu 99% sinnlos. Der arme Beamte wird den User vermutlich verwirrt anschauen, wie die Kuh das neue Tor. Aus eigener Erfahrung kann ich mitteilen, dass selbst wenn irgendeiner ermittelt werden würde, dieser nicht der Täter sein müßte. Selbst wenn ip's bekannt sein würden scheitert man momentan bei der Gesetzeslage an den Providern.

[fyahfox]

Schlimme Sache ein hoher monetärer Verlust. Anzeige, ja, sicher für die Statistik nötig, vermutlich aber zu 99% sinnlos. Der arme Beamte wird den User vermutlich verwirrt anschauen, wie die Kuh das neue Tor. Aus eigener Erfahrung kann ich mitteilen, dass selbst wenn irgendeiner ermittelt werden würde, dieser nicht der Täter sein müßte. Selbst wenn ip's bekannt sein würden scheitert man momentan bei der Gesetzeslage an den Providern.

Da hast du natürlich leider Recht. Vorratsdatenspeicherung würde das Problem allerdings auch nicht lösen, denn die Leute, die sich auskennen, nutzen VPN-Server, die irgendwo im Ausland stehen. Wer da höflich nach nem log fragt, wird ausgelacht.

[segeln]

Ob ich das der Polizei melde habe ich noch nicht entschieden.

[...]

Ob ich das der Polizei melde habe ich noch nicht entschieden.

Naja davon abgesehen dass es zu 99% sowieso nix bringt, mit jedem Tag den man wartet sinkt die Wahrscheinlichkeit bei Internetbetrügereien etc. überhautp noch was zu erreichen.

[xCNapo]

wieso nicht? jede anzeige erhöht den druck, die gesetzeslage auf dem gebiet schneller anzupassen und die infrastruktur auszubauen.

[Stonie]

@AldousOrwell: Sei dankbar, dass du diese ausführliche Erklärung von Stonie bekommen hast. So sachlich reagiert nicht jeder, wenn man so unqualifizierten Kram zu lesen bekommt.

Naja, ich war vielleicht etwas brüsk, weil ich halt die Konsequenzen kenne und es mich wütend macht, aber natürlich hat jeder das Recht auf eine eigene Meinung und man muss positiv anmerken, dass es ja keine sch***egal-Haltung war und auch Belege und Argumente geliefert wurden, also so schlimm war es jetzt auch nicht. Es entsprach nur nicht meiner Sicht der Dinge und ich empfand auch einige Dinge objektiv falsch. Ich hoffe, das wurde deutlich, es war menschlich nicht so böse gemeint, wie es vielleicht klang.

 

@Stonie: Bist du wissenschaftlicher Mitarbeiter?

In einem anderen Leben, in dem ich gewusst hätte, dass und wie ich mit BTC reich werden kann, wäre ich das, so habe ich des Familienunterhalts wegen die schnöde Wirtschaft gewählt. Danke für die Blumen.

 

wieso nicht? jede anzeige erhöht den druck, die gesetzeslage auf dem gebiet schneller anzupassen und die infrastruktur auszubauen.

Was für ein Infrastruktur soll denn aufgebaut werden? Einen BTC-Diebstahl kann man bei einem qualifizierten Angreifer, der weiß, wie man Tor und Mixing Services benutzt, nicht aufspüren. Wenn ich böse wäre, würde ich zudem die "Blockchain-Spur" abschneiden, indem ich die BTC bei einer Börse (z.B. BTC-E) in Altcoins tausche und bei einer anderen (z.B. Vircurex) zurück, da verliert sich jede Spur und durch Vorratsdatenspeicherung bekommt man gar nichts (nur nebenbei gesagt kommt man heute recht fix an Nutzerdaten, siehe Abmahnungen beim Dateitausch).

 

Bezüglich der Anzeige wäre die spannende Frage, weswegen denn Anzeige erstattet werden soll. So lange kein Schädling nachgewiesen ist, fällt mir wenig ein, weshalb man einen geänderten Eintrag in einer weltweiten Datenbank verfolgen sollte. Hier müsste erst einmal Klarheit geschaffen werden.

 

Gruß

Stonie