Gestohlene Daten im Google-Cache Suchmaschine indiziert Log-Dateien von Command and Control Server

Die einfache Google-Suche kann dazu dienen, sensible Informationen auszuspähen. Die Crawler der Search Engine hatten die Log-Dateien ungeschützter Hacker-Server indiziert. Sensible Daten wie Online-Banking- und Firmen-Zugänge sowie Sozialversicherungs-Nummern ließen sich so mittels einer Schlagwort-Kombination ausfindig machen.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Rapid7 Germany

M86 Security GmbH

Erschreckend, mit welch einfachen Mitteln man sensible Daten im Internet finden kann: Im vergangenen Mai hatten die Sicherheitsforscher des Finjan Malicious Code Research Center zwei ungeschützte Command and Control Server aufgespürt. Nun galt es herauszufinden, ob und wie einfach diese zugänglich waren.

Dazu bedienten sich die Experten eines der simpelsten und bekanntesten Internet-Werkzeuge: der Google-Suche. Wie Security-Insider.de Anfang Mai berichtete, waren auf einem der Command and Control Server insgesamt 5.400 Log-Dateien mit einem Umfang von 1,4 Gigabyte gespeichert. Und genau diese Protokolle hatte ein Google-Crawler indiziert.

Weil zahlreiche Kritiker Finjan eine Falschmeldung vorgeworfen hatten, veröffentlichte der Forscher Ayelet Heyman das Vorgehen im Blog seines Unternehmens und kommentierte: „Es ist kein Hoax, wie einige Leute behaupten; es ist die 100-prozentige, bittere Wahrheit.“

Jede Search Engine bietet kriminelle Möglichkeiten

Tatsächlich ist es nicht das erste Mal, dass eine Search-Engine dazu dient, sensible Daten oder Schwachstellen auf Webseiten ausfindig zu machen. Der Penetration-Tester Johnny Long schrieb als erstes Schlagzeilen, indem er erläuterte wie sich Google als bösartiges Tool missbrauchen lässt. Auf seiner Webseite findet sich heute noch die Google Hacking Database.

Heyman ruft aber dazu auf, Google nicht für das Indizieren sensibler Informationen anzuprangern. Die Crawler der Suchmaschine hatten die Daten auf dem ungeschützten Hacker-Server wie jeden anderen öffentlichen Web-Inhalt behandelt. Vielmehr sollten sich Unternehmen mithilfe dieses Beispiels klarmachen, dass Daten im Internet generell unsicher aufgehoben sind.

Auch Tom Bowers, Managing Director der amerikanischen Security Constructs LLC, warnt Security-Administratoren vor dem verheerenden Gefahrenpotential von Suchmaschinen: „Sie selbst sind dafür verantwortlich, Sicherheitsstrategien zu entwerfen, damit sensible Informationen und geistiges Eigentum nicht von Google gefunden werden.“

(ID:2013137)