Mein erster Security Fail und wie es dazu kam

Auf der Suche nach Inspiration und neuen Ideen stoße ich des Öfteren auf zahlreiche TED Talks, die mit Ihrer unglaublichen Informationsdichte herausstechen. In 10 Minuten langen Talks erfährt man über einen Sachverhalt meistens mehr, als durch zwei Stunden Schulbankdrücken. So kam es, dass ich über einen Newsletter über diverse Talks informiert wurde. Darunter auch textuelle Beiträge, die wiederum auf mehrere Talks verweisen. Darunter der Talk mit dem Titel „The unexpected benefit of celebrating failure“. Die Details seiner Ideen könnt ihr euch gerne im folgenden Video näher anschauen:

Astro Teller – The unexpected benefit of celebrating

Ich dachte mir zum neuen Jahr 2018 hin möchte ich diese Idee aufgreifen und damit einem Vorsatz für das neue Jahr nachgehen. Ich berichte von meinen Fehlern und hoffe, dass ihr auch erzählt von Dingen, die nicht so gut liefen und was ihr daraus gelernt habt. Denn wie ein Sprichwort so schön sagt: „Der Unterschied zwischen dem Profi und dem Anfänger ist, dass der Profi bereits alle Fehler in seinem Fachgebiet gemacht hat.“

Falls ihr selbst auf der Suche nach kreativen Vorsätzen seid, die nichts mit Abnehmen und gesundem Leben zu tun haben empfehle ich euch natürlich meine Quelle für diesen Artikel: Zum Video/

Jung, dumm und naiv

Noch während meiner Schulzeit hatte ich mit Bekannten ein Online Spiele Magazin aus dem Boden gestampft. Das Magazin gibt es heute nicht mehr, da unsere Wege auseinander gingen, gleichwohl ist die Erinnerung geblieben. Wir schrieben über alle möglichen News über Computerspiele und boten auch ein Downloadportal für Demos und Videos an. Ich glaube YouTube gab es damals noch gar nicht wirklich oder war noch sehr unbekannt. Zumindest war uns das egal, wir waren einfach nur froh, dass das PHP Gemurkse was wir programmiert hatten gut funktionierte. Wer hat schon etwas von Content Management Systemen zu dieser Zeit gehört? Vermutlich alle außer uns damals. So schrieben wir fleißig und unterhielten uns über ein eigenes IRC Netzwerk, in welchem wir auch alles koordinierten.

So kamen immer mehr interessierte Jugendliche hinzu, die mehr oder weniger gute Artikel schrieben, mich eingeschlossen. Ich bin ehrlich gesagt froh, dass man die Artikel nicht mehr sieht. Ich kann mich aber heute noch gut an einen besonderen User erinnern, er immer etwas forscher an die Sache herangegangen ist und mehr wollte als nur Autor sein. Diverse Passwörter waren sein Ziel, um auf die Datenbank zugreifen zu können. Und jetzt kommt mein Fail Moment, wie gesagt mit 14 oder 15: Ich muss dazu sagen, dass ich damals am PC meines Vaters saß, da nur dieser mit dem Internet verbunden war. Besagter Kollege wollte mir etwas zu kommen lassen und nutzte mein Vertrauen und meine Naivität aus. Die Datei war wohl eine Art Bild, er habe Urlaub gemacht und wollte mir das Bild eben über ICQ oder IRC (das weiß ich nicht mehr genau) schicken. Die Datei sah nicht sonderlich gefährlich aus, aber jeder von euch Lesern kann es sich ab jetzt denken. Die besagte JPG Datei (JPG war auch die Endung und mein Vater hatte das Ausblenden bekannter Endungen deaktiviert) wurde als von mir geöffnet und es öffnete sich leider kein Urlaubsfoto. In diesem Moment startete ich einen Trojaner auf einem PC der mir nicht gehörte.

Toll gemacht Andre! Ich habe es bemerkt, als der Kollege einen Chat öffnete, den ich nicht zu schließen vermochte und mir drohte er wolle Passwörter haben und hätte meinen PC unter Kontrolle. Mein Herzschlag ging in die Höhe und das Adrenalin rauschte durch meine Blutbahn. Ich schaltete den Computer auf die denkbar einfachste Weise aus: Strom weg! Hochfahren im abgesicherten Modus (Windows 98!). Dort fand ich nach kurzer Zeit neu angelegte Dateien, die ich nicht kannte. Leider weiß ich nicht mehr, welcher Trojaner die war, aber die Dateien konnte ich gottseidank löschen. Ich lernte plötzlich schnell und viel über IT Sicherheit und wie man diese Trojaner entfernen kann. Nach der Aufräumaktion, die einige Stunden benötigte (mein Vater war arbeiten), konnte ich den PC wieder hochfahren und die Verbindung zur Command & Control Stelle des Kollegen war unterbrochen.

Ob noch mehr auf dem System gewütet worden ist, ist mir nicht bekannt. Ich drängte meinen Vater später dazu eine Neuinstallation mit Windows 2000 durchzuführen, was er irgendwann auch machte. Seit damals dürfte der Trojaner nicht mehr im System sein. Damals habe ich noch diverse Antiviren Software genutzt, um Reste zu entfernen. Weitere Details sind aber leider nur noch verschwommen.

Lessons learned

Der Schock saß damals tief, weswegen ich wohl auf die harte Tour schnell gelernt habe, was man mit unbekannten Dateien, die man geschickt bekommt, anstellen soll. Das sind eigentlich Standards, die ich jetzt mit meinen 31 Jahren verinnerlicht habe, trotz allem habe ich damals schon folgendes gelernt:

  • Eine Firewall ist kein Allheilmittel
  • Antiviren Programme erkennen längst nicht alles
  • Vermeintliche Freunde sind vielleicht Feinde? (Lebenserfahrung!)
  • Anhänge und Dateien immer überprüfen, auch wenn die Quelle scheinbar vertrauenswürdig ist (sie könnte kompromittiert sein)

Ich hoffe ihr hattet euren Spaß mit meinem Security Fail, ich habe daraus viel gelernt und kann sagen, dass in den folgenden 15 Jahren nie wieder so etwas passiert ist. Lernt also auch aus meinen Fehlern, oder erzählt mir in den Kommentaren oder per E-Mail welche Fails ihr bereits hattet. Und denkt daran: Die peinlichsten sind die, durch die man am meisten lernt!

Schreibe einen Kommentar