25C3: NPD-Webseiten fest in Hackerhand

Vom 25. Chaos Communication Congress (25C3) in Berlin gehen derzeit konzertierte Hackerangriffe auf Webseiten und Server der NPD aus. So haben Sicherheitstester aus dem Umfeld des Treffens, das am heutigen Dienstagabend zu Ende geht, nicht nur die Internetauftritte des Landesverbands Schleswig-Holsteins der "Nationalen" und der NPD Südwestpfalz mit dem Bild eines Affen "geschmückt", der die Hand wie zum Hitlergruss erhebt und eine Nazi-Armbinde trägt. Alternativ lädt der NPD-Server im hohen Norden auch die Website der CDU in einem Frame ein. Darüber hinaus haben die Hacker auch einen niederbayerischen NPD-Server "aufgemacht" und sich Datenbankzugang zu NPD.de verschafft.

Auf der Unterseite zum NPD-Hack im Kongress-Wiki ist davon die Rede, dass gegenwärtig am Knacken der Passwörter für die Datenbank hinter der Adresse weltautor.npd.de gearbeitet werde. Diese könne den Weg zu einem zentralen Content-Management-System der Rechtspartei öffnen. Zudem stehe der Weg zur Serverdatenbank hinter www.npd.de offen. Darüber könne man etwa auf NPD-Blogs zugreifen. Als besonders umfangreiche Informationsquelle hat sich ein schlecht abgesicherter niederbayerischer NPD-Server erwiesen. Dort lassen sich zur Stunde Einblicke gewinnen in zahlreiche interne Dateien, die von einem Aktionsprogramm über die Bayerische Verfassung und einen "6-Punkte-Plan" zur Einschätzung von Personen bis hin zu Anleitungen für "Dein Verhalten vor Polizei und Justiz" sowie bei Demonstrationen reichen. Andy Müller-Maguhn vom Chaos Computer Club (CCC), der den Kongress veranstaltet, sprach gegenüber heise online davon, dass bei dem ein oder anderen Teilnehmer offenbar "das bürgerliche Engagement durchgegangen ist".

Auch sonst haben die Hacker beim CCC-Jahrestreffen wieder einmal viele Schwachstellen von Servern gefunden. Hunderte Webseiten sind erneut mit ungewöhnlichen Botschaften und Fotos oder dem Kongresslogo verziert. Getroffen hatte es etwa das Bündnis Zukunft Österreich (BZÖ), auf dessen Internetauftritt Jörg Haider kurzfristig seine Rückkehr als Zombie bekannt gab. Unfreiwillig Werbung für die Tagung machen zudem derzeit unter anderem die Kantonspolizei Zürich und Bern, die Polizei Nordrhein-Westfalen oder die italienischen Carabiniere. Selbst auf der Webseite des Pentagon haben Hacker auf dem Weg zum Meldungsarchiv Spuren des Kongresses hinterlassen.

In den meisten Fällen haben die Hacker Sicherheitslücken in Datenbanken und Webanwendungen über gängige Angriffe wie SQL Injection oder Cross Site Scripting (XSS) ausgenutzt. Viele solcher Attacken sind vergleichsweise einfach durchzuführen, manchmal reicht die Nutzung von Suchmaschinen schon dafür aus. Damit das leibliche Wohl nicht zu kurz kommt, gibt es auch einen Eintrag zu "Foodhacks". Dort findet sich unter anderem ein Link auf einen Generator für Gutscheine für eine Schnellimbiss-Kette, mit denen der eifrige Sicherheitsexperte Burger, Fritten und Cola etwas billiger bekommt.

Zum 25C3 siehe auch:

• [Erfolgreicher Angriff auf das SSL-Zertifikatsystem
• CA-Zertifikat durch MD5-Kollision geknackt
• CCC rät zum "Selbstschutz" vor biometrischer Vollerfassung
• NFC-Handy-Anwendungen anfällig für Hackerangriffe
• Schwere Sicherheitslücken beim Schnurlos-Telefonieren mit DECT
• Zuverlässige Exploits für Cisco-Router
  
• Kryptografische Krücken für das E-Voting?
  
• Linux läuft auf Nintendos Wii
• Mit dem 3D-Drucker zurück zur Heimindustrie
• "Denial of Service"-Schwachstellen in TCP näher beleuchtet
• Hacker haben großen Zulauf
• Brüche in der Sicherheitsarchitektur des iPhone
• CCC will Beschlagnahmen von Festplatten reduzieren
• Hackerparagraphen sorgen weiter für Verunsicherung
• Pauschale Entschädigung für Datenpannen gefordert
• Krypto-Aktivist John Gilmore liebäugelt mit der "transparenten Gesellschaft"
• Live-Videostreams aus dem Berliner Congress Center
• Europäischer Hackerkongress hat "nichts zu verbergen"

(as)