Cracker besorgen sich Filme, Musik & Vollversionen gratis und dringen in fremde Websites ein. Wir blicken den Software-Piraten bei der Arbeit über die Schulter.

„Alles, was aus elektronischen Schaltkreisen und Zahlenreihen besteht, kann geknackt werden. Egal, ob es sich dabei um einen iPod, die neue CD von Madonna oder den Kont¬rollrechner eines Kernkraftwerks handelt.“ So erklärt uns Tom (Name von der Redaktion geändert), ein Cracker aus der Szene, was er von Firewalls, Verschlüsselung und den Bemühungen um Kopierschutz der Musik- und Filmindustrie hält.

Alles knacken, nix riskieren

Er benutzt dabei eigenwillige Begriffe, denn die Menschen, die sich auf Hackerkonferenzen wie der Defcon oder der weniger bekannten ShmooCon herumtreiben, leben in einer eigenen Welt mit eigenen Regeln und einer eigenen Sprache. Selbst würde sich Tom nie als »Cracker« bezeichnen. Er nennt sich Freak, was in Hackersprache folgendermaßen aussieht: »phr34|<«. Ihr könnt euch gerne den Spaß erlauben und euren eigenen Namen in diese Sprache übersetzen. Unter catb.org erfahrt ihr, wie das geht.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
WLAN, Passwörter & Co.: Erlaubt oder verboten? Wir klären auf.
mehr Bildersteckenalle Bilderstrecken

Warum wir das erwähnen? Ganz einfach: Wer die Gepflogenheiten der Hackerwelt nicht kennt, fällt in der Szene auf wie ein bunter Hund. Er wird sofort als »|0053r« (Looser = Verlierer, Anfänger) abgestempelt, bekommt garantiert keinen Zugang zu »//4r3z« (Warez = Raubkopien) und darf sich unter keinen Umständen als »<|00<|3« (Dude = Elite-Hacker/Profi) bezeichnen.

Vollversion: Nix zahlen, alles nutzen

Seriennummern oder Key-Generatoren, also Tools, die einen gültigen Lizenzschlüssel anfertigen, sind nicht schwer zu finden.

Das Eingeben eines Begriffes wie »Serialz« oder »Crackz« bei Google genügt. Als Eingeweihter weiß Tom allerdings, dass es in der dunklen Szene nichts umsonst gibt: Die meisten Serialz-Seiten schleusen schädlichen Code auf den PC. Den Preis für die Seriennummer bezahlt man folglich mit den Daten auf der Festplatte. Aus diesem Grund startet Tom einen virtuellen PC mit Windows XP, den die Seitenbetreiber nach Belieben verseuchen und ausspionieren dürfen. Toms Systemfestplatte bleibt unangetastet.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Gefährliche Suchbegriffe: Die meisten Serialz-Seiten schleusen schädlichen Code auf den PC.
mehr Bildersteckenalle Bilderstrecken

Findet er keine funktionierende Seriennummer, sucht er sich einfach eine geknackte Version der gewünschten Anwendung auf der Piratebay-Website. Um sie herunterzuladen, benötigt er einen BitTorrent-Client wie Azureus. Diesen lässt er über eine anonyme Proxy-Kaskade wie zum Beispiel das Tor-Netzwerk laufen, damit die Ermittler der Software-Industrie seine Spur nicht ohne Weiteres zurückverfolgen können.

Laufzeit: Demos dauerhaft freischalten

Viele bekannte Hersteller bieten zeitlich beschränkte Demoversionen ihrer Software an. Möchte Tom die Programme uneingeschränkt nutzen, dreht er mit dem Date Cracker 2000 die Systemuhr zurück.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Diskeeper 2008 Professional: Die Aufforderung zum Kauf der Software lässt sich einfach umgehen.
mehr Bildersteckenalle Bilderstrecken

Willkürlich pickt sich Tom die Demoversion von Diskeeper 2008 Professional heraus. Diese Programm-Demo installiert er zunächst ganz normal. Dann startet er Date Cracker und klickt auf »Add«. Als »Program Description« trägt er »diskeeper« ein und fügt über die Schaltfläche »...« die Datei hinzu, die das Demoprogramm startet. In diesem Fall ist das »AppLauncher.exe«. Jetzt wird unter »Simulated Run Date« noch das Datum eingetragen, an dem die Anwendung installiert wurde. Zum Test drehen wir die Systemzeit zwei Monate nach vorn. Tatsächlich läuft Diskeeper, obwohl der Testzeitraum abgelaufen ist.

Als kleine Fleißaufgabe entfernt Tom noch den Reminder, der bei jedem Start von Diskeeper zum Kauf der Software auffordert. Durch Herumstochern in der Registry und eine genaue Analyse des Dienstes »DKservice.exe« findet er heraus, dass die Meldung durch eine Datei namens »DKService¬Msg.exe« ausgelöst wird. Er ersetzt das Original einfach durch eine leere Textdatei mit demselben Namen – die Meldung erscheint jetzt nicht mehr.

Auch das Freischalten kommerzieller Software ist simpel. Dreh- und Angelpunkt ist die dazu erforderliche Se¬riennummer. Findet Tom diese Nummer nicht heraus, bleibt immer noch der Download einer gecrackten Version.

Schnüffeln auf fremden Rechnern

Um zu demonstrieren, dass Windows ein Hackertool nach § 202c ist, dringt Tom mit darin verfügbaren Programmen in einen fremden Rechner ein. Dieses Beispiel zeigt, wie Hacker grundsätzlich vorgehen.

Informationen sammeln

Zu Beginn nennt uns Tom einen neuen Szenebegriff: Footprinting. Damit ist das Sammeln möglichst vieler Informationen über das Opfer gemeint. Dafür genügt heutzutage schon fast ein Dienst wie www.robtex.com. Dort erfährt Tom, bei wem die anzugreifende Seite gehostet ist, wie sie geroutet wird, ob sie sich die IP-Adresse mit anderen Seiten teilt und vieles mehr.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Footprinting: Dienste wie www.robtex.com informieren darüber, wo die anzugreifende Seite gehostet ist und wie sie geroutet wird.
mehr Bildersteckenalle Bilderstrecken

Genügen diese Informationen nicht, sieht er zusätzlich auf www.dnswatch.info nach und – falls er plant, sich über den SMTP-Port 25 einzuschleichen – auch auf www.mxtoolbox.com. Ferner gibt es noch die gute, alte Abfrage mit ping und tracert über die Eingabeaufforderung und den Quellcode der Website des Opfers. Dieser enthält oft Kommentare von Programmierern, die Hinweise auf wirksame Angriffsmethoden geben.

Hacken mit der Kommandozeile

Wie wichtig das Footprinting ist, sehen wir an den Informationen, die Tom gesammelt hat: Der Provider freenet lieferte vor einiger Zeit einen Router aus, über den die ganze Hackerszene lacht. Denn er ermöglicht den ältesten Trick überhaupt: Zugriff über Telnet. Tom baut sich eine Batch-Datei, die den IP-Adressbereich des Providers abfragt und stößt so auf Opfer, die diesen Router besitzen.

Für den eigentlichen Angriff benötigt er allerdings noch eine zweite Batch-Datei. Diese enthält den Befehl »telnet IP-Adresse des Routers«, gefolgt von einigen Passwörtern und Benutzernamen. Darunter befand sich auch das Standard-Log-in dieses Routers: Benutzername »root«, Kennwort »admin«. Diese Information fand Tom in einem Blog. Hoffnungsvoll startet er die Batch-Datei und somit den Angriff.

Auf dem Zielrechner schnüffeln

Über den Standard-Telnet-Port 23 schleicht er sich nun auf das fremde System. Die Verbindung wird aufgebaut, allerdings bleiben die Passwörter und Benutzernamen aus der Batch-Datei wirkungslos: Das Opfer hat die Voreinstellungen geändert, das Eindringen mit Windows allein klappt nicht mehr. Ab hier wären Methoden wie Brute Force nötig.

Multimedia: DRM-Schutz abschalten

Auch Tom mag es möglichst einfach und komfortabel. „Niemand plagt sich mit Kopierschutz- Mechanismen ab, solange er die Musik und Filme aus Tauschbörsen herunterladen oder einfach umwandeln kann“, klärt er uns auf.

„Sucht nicht auf irgendwelchen dubiosen Russen-Servern“, rät er, „schaut lieber mal bei Musikern oder in den Filmstudios nach.“ Wir folgen seinem Rat und stoßen auf handelsübliche Konvertier-Programme von Daniusoft – diese dürften die DRM-Fraktion das Fürchten lehren.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
DRM abschalten: Mit Tunebite entfernt ihr den Kopierschutz von Musik oder Filmen auf legale Weise.
mehr Bildersteckenalle Bilderstrecken

Beim Umwandeln einer geschützten Musik- oder Filmdatei wird der Kopierschutz nicht geknackt, er geht einfach verloren. Über die Schaltfläche »Add« laden wir als Beispiel eine Handvoll Musikdateien in Daniusofts »WMA MP3 Converter«. Als Ausgabeformat stellen wir »MP3« ein. Jetzt noch auf »Start« klicken, das war alles. Je nach Anforderung (Audio/Video) und dem Codec der Ausgangsdateien (WMA, WMV, VOB, M4V, ...) bietet Daniusoft verschiedene Konvertiertools an, deren Preise im Durchschnitt zwischen 20 und 40 Euro liegen.

Hinweis: Es gibt noch eine zweite Methode, die legal ist – das Aufzeichnen. Genau das macht das Tool Tunebite. Bei Crackern ist dieser Weg aber nicht beliebt, weil ihnen da der Spaß fehlt.

Backdoor: Fremde PCs öffnen

Besonders perfide wird es, wenn Tom in andere PCs eindringt. Dazu muss er entweder nach einer Sicherheitslücke suchen – oder eine solche schaffen. Tom zeigt uns beide Möglichkeiten für solche Angriffe.

Hintertüren aufspüren

Dieser Weg führt über die Suchmaschine Google. Mit dem von der bekannten Hackergruppe „Cult of the Dead Cow“ entwickelten Goolag Scanner fahndet Tom nach Passwörtern, Benutzernamen, verwundbaren Servern und ähnlich nützlichen Dingen. Nach dem Starten des Scanners gibt er die Adresse des anzugreifenden Rechners ein. Anschließend wählt er unter »Dorks« eine Suchmethode wie »Files containing passwords« und startet den Vorgang mit »Scan«. Der Goolag Scanner schickt nun mehrere Anfragen an Google. Bei den Passwörtern sind es immerhin 137 verschiedene. Das Resultat: Google sperrt unsere IP-Adresse, denn dort ist das Hackertool inzwischen bekannt.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Websites angreifen: Mithilfe von Google fahndet der GoolagScanner nach Passwörtern.
mehr Bildersteckenalle Bilderstrecken

Einen echten Freak hält so etwas natürlich nicht auf. Mit dynamischen IP-Adressen ist eine neue Anfrage bei Google kein Problem. In diesem Fall wird einfach eine neue Internetsitzung geöffnet, der Provider weist dem PC eine neue IP-Adresse zu. Dieses Mal geht Tom schlauer vor und klickt auf das Pluszeichen vor »Files containing passwords«. So sieht er alle Suchmöglichkeiten einzeln aufgelistet.

Er wählt die ersten fünf und startet die Suche, ohne dass Google Verdacht schöpft. Es folgen die nächsten fünf und immer so weiter bis die gesamte Liste durchgeackert ist. Die angegriffene Website übersteht den Hackerangriff tadellos, sämtliche Attacken schlagen fehl.

Hintertür erzeugen

Im Internet kursieren geknackte Versionen von Windows XP, die einen ganz bestimmten Zweck erfüllen. Betriebssysteme wie Black XP richten eine Hintertür (Backdoor) auf dem Rechner ein, sobald man sie installiert. Durch diese kann Tom, mit vollen Administratorrechten ausgestattet, ein- und ausgehen.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Gratis-XP mit Hintertür: Black XP sieht verlockend aus, hat aber jede Menge Backdoors eingebaut - Hacker können darüber den PC kontrollieren.
mehr Bildersteckenalle Bilderstrecken

Auf ähnliche Weise funktionieren Websites, die Crackz, Serialz und Warez anbieten. Dort fangt ihr euch blitzschnell einen Trojaner ein, mit dem Hacker wie Tom in Zukunft euren Rechner kontrollieren könnten.

So schützt ihr euch: Finger weg von Seiten wie cracks.am und dubiosen Windows-Ver¬sionen. Diese Dinge sind immer gefährlich.

Rainbow-Tables: Windows hacken

Über Microsoft als „das sicherste Betriebssystem der Welt“ kann Tom nur schmunzeln. Ophcrack, eine auf Ubuntu basierende Live-CD, knackt das Administrator-Passwort von Vista und XP innerhalb weniger Minuten.

Denn Windows speichert Passwörter nicht in Klartext, sondern als Hash-Wert. Normalerweise lässt sich ein solcher Hash-Wert nicht einfach in Text zurückverwandeln, wodurch die Sicherheit in Windows gewährleistet ist. Ophcrack holt sich aber alle relevanten Hash-Werte aus einem gesicherten Bereich der Registry (SAM) und vergleicht diese mit vordefinierten Hash-Werten, die es selbst in Tabellenform (Rainbow-Tables) mitbringt. Dadurch kann das Passwort erheblich schneller erraten werden als mit der inzwischen veralteten Brute-Force-Methode.

Um zu sehen wie schnell Ophcrack arbeitet, setzen wir Windows Vista in einem virtuellen PC auf und wählen für das Administratorkonto ein Passwort, das vom Microsoft Passwort-Checker als »Best«, sprich hochsicher eingestuft wird. Mit der Brute-Force-Methode würde es mehrere Tausend Jahre dauern, bis man es errät – vorausgesetzt, es steht dafür ein Großrechenzentrum zur Verfügung. Ophcrack hingegen benötigte bei Windows XP drei und bei Vista etwa zehn Minuten, um unser Kennwort »ftb5@alyx3z.com« zu knacken – unberücksichtigt der Zeit, um Ophcrack hochzufahren.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Windows-Knacker: Ophcrack startet wahlweise im Grafik- oder Textmodus. Das Programm findet Windows-Kennwörter minutenschnell.
mehr Bildersteckenalle Bilderstrecken

Die Vorgehensweise ist ganz einfach: Je nachdem welches Windows geknackt werden soll, besorgt sich Tom Ophcrack für XP oder Vista von SourceForge. Das heruntergeladene, etwa 500 Megabyte große ISO brennt er auf eine CD. Direkt nach dem Start drückt er die Eingabetaste, um Ophcrack im Grafikmodus zu starten. Nach wenigen Minuten zeigt das Tool den Benutzernamen und das Passwort. Klappt es nicht, existiert der passende Hashwert in den Rainbow-Tables nicht. Doch die Hersteller bieten auf ihrer Website weitere Tabellen an...

So schützt ihr euch: Lasst niemanden unbeaufsichtigt an euren Rechner. Er könnte Ophcrack dabeihaben.

WLAN & Passwörter knacken: Erlaubt oder verboten?

Mit dem als Hackerparagraf bekannt gewordenen §202c StGB hat der Gesetzgeber den Bürger eher verwirrt als Klarheit geschaffen. Wir klären euch über die populärsten Rechtsirrtümer auf und zeigen, was ihr (noch) dürft.

Sind Portscans illegal?

Grundsätzlich ist das Abhören von Ports erlaubt. Kommt es dadurch allerdings zu einer Überlastung oder Störung des Zielrechners, ist das gem. §303a Abs. 1 StGB und §303b Abs. 1, Nr. 1 StGB eine schwere Straftat.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
Portscans: Grundsätzlich ist das Abhören von Ports erlaubt.
mehr Bildersteckenalle Bilderstrecken

Offenes WLAN? Selbst schuld!

Sind Daten frei einsehbar, weil ein WLAN-Netz nicht durch WEP- oder WPA-Verschlüsselung geschützt wurde, liegt keine Straftat gemäß §202a StGB vor. Der Grund: Das Gesetz schützt Daten nur, wenn ihr Eigentümer durch Schutzvorrichtungen zeigt, dass er diese nicht öffentlich zugänglich machen will. Umgekehrt zeigt ein Surfer erst dann kriminelle Absichten, wenn er eine Schutzvorrichtung aushebelt, um an die Daten zu gelangen. Auf der sicheren Seite seid ihr, wenn euer WLAN-Netz mit WPA2 verschlüsselt ist.

Hackertools sind erlaubt, aber...

Der §202c soll die Vorbereitung von Straftaten gemäß §202a und 202b StGB verhindern. Aber was passiert, wenn ein Netzwerk-Administrator lediglich die Sicherheit seiner IT-Infrastruktur überprüfen will? In der Regel akzeptiert die Justiz eine schriftliche Einwilligungserklärung von demjenigen, dessen Computer angegriffen werden soll. Liegt die Erklärung vor, handelt es sich nicht mehr um die Vorbereitung einer Straftat.

Passwort vergessen? Kein Problem

Das Strafrecht verbietet Hacken von PCs nur, wenn damit unbefugter Zugriff auf Daten erfolgt. Knackt ihr den eigenen Rechner, weil ihr das Windows-Passwort vergessen habt, liegt keine Straftat gem. §202a StGB vor.

Code anschauen ist gestattet

Viele Software-Hersteller verbieten in ihren Lizenzvereinbarungen (EULA) das Zurückverwandeln ihrer Programme in Source-Code mithilfe eines Disassemblers oder Decompilers. Diese Einschränkung kollidiert mit §69d Absatz 3 des Urheberrechtsgesetzes. Das bestätigt ein Urteil des Bundesgerichtshofes vom 24.2. 2000, Aktenzeichen I ZR 141/97.

Zugang: Geschützte Websites knacken

Um nachzuvollziehen, wie diese Leute vorgehen, blicken wir Tom bei der Arbeit über die Schulter. Vieles, über das wir hier berichten, ist in Deutschland strafbar und darf unter keinen Umständen nachgeahmt werden. Andere Dinge – das hat uns selbst überrascht – erlaubt das Gesetz ausdrücklich.

Als Erstes knackt Tom eine Website. Genauer gesagt den Passwortschutz, mit dem Besitzer von Internetseiten den Zugriff auf bestimmte Bereiche sperren. Den Schutz umgeht Tom mithilfe von IntelliTamper, einem Tool der Kategorie »Webspider«. Es zeigt Verzeichnisse und Dateien, die auf dem attackierten Webserver liegen. Der Angreifer kann, wie im Windows-Explorer, darin herumstöbern, nicht freigegebene Bilder herunterladen oder Dokumente lesen.

Cracker - Geheimreport: Erlaubt oder verboten?

alle Bilderstrecken
Wischen für nächstes Bild, klicken um Infotext ein- / auszublendenBild 1/11Bild 20/301/30
IntelliTamper: Der Angreifer kann auf dem attackierten Webserver, wie im Windows-Explorer, in Verzeichnissen und Dateien herumstöbern.
mehr Bildersteckenalle Bilderstrecken

Mit der Suchanfrage »intitle:login« findet Tom über Google jede Menge Seiten, die für eine Attacke infrage kommen. Weil er sich nicht mit Loosern abgeben will, fällt seine Wahl auf das Portal einer renommierten Universität, die nicht genannt werden möchte. Dort gibt es jede Menge Informatik-Professoren; wir dürfen gehobenes Fachwissen – und somit würdige Gegenspieler – voraussetzen. IntelliTamper benötigt eine Weile, um die komplette Verzeichnisstruktur der Seite auszulesen. Aufgrund der Vielzahl vorhandener Dokumente und Ordner beschränken wir uns auf Stichproben.

Tom kopiert einige Dokumente, die nach unserer Einschätzung nicht für jedermanns Augen bestimmt sind. Diese legen wir dem zuständigen Datenschutzbeauftragten vor, der verständlicherweise nervös reagiert. Unverzüglich leitet er Maßnahmen zur besseren Absicherung des Portals ein, der IntelliTamper wird wissenschaftlich untersucht. Ergebnis: Das Tool lässt die bei den meisten Webauftritten vorhandene Startseite »index.html« einfach links liegen. Weil dort in der Regel das für die Passwort¬abfrage zuständige Skript untergebracht ist, startet diese logischerweise nicht.

So schützt ihr euch: Wirklich sicher ist nur eine Verschlüsselung der sensiblen Bereiche. Dafür muss der Webhoster eine Unterstützung des zum Kodieren nötigen SSL-Protokolls anbieten. Derart gesicherte Websites, erkennbar an einer mit »https://« beginnenden Adresse, können mit IntelliTamper nicht ausgelesen werden.