Nun haben sich Hacker unter anderem HP Drucker angesehen und ein wenig gelauscht was passiert, wenn die Firmware aktualisiert wird. Updates werden im Fall von HP mittels HPGL als ein Binary-Blob unverschlüsselt und unsigniert geschrieben. Tür und Tor scheinen für Malware offenzustehen:

… this malware is equipped with: port scanner, covert reverse-IP proxy, print-job snooper that can monitor, intercept, manipulate and exfiltrate incoming print-jobs, a live code update mechanism, and more (…). Lastly, we will demonstrate a self-propagation mechanism, turning this malware into a full-blown printer worm.

Mehr zu diesem Thema findet sich beim 28c3 oder auf Youtube — Print Me If You Dare!

Eckhard fand auf mehreren Android Telefonen die Software Carrier IQ. Das in der Firmware verankerte und immer aktive Stück Software soll den Netzanbietern behilflich sein, um Schwachstellen und Engpässe in ihrem Netz lokalisieren zu können. Dabei protokoliert Carrier IQ diverse Informationen wie SMS oder auch die Eingaben von Passwörtern auf Webseiten. Kurz den Kontostand auf dem Android Smartphone gecheckt und schon hat die Software die sensiblen Daten gespeichert. Davon in Kenntnis gesetzt wird der Benutzer nicht. Was mit den Daten wirklich passiert, bleibt leider auch im Dunkeln. Vielleicht ist auch eine Handyortung möglich.

Aber nicht nur Android-User sind betroffen. Die Software findet sich auch auf Blackberrys, Nokia Telefonen und dem iPhone. Wobei das iPhone die Software nur im Diagnosemodus lädt.

Nach bisherigen Informationen  wird die Software in Deutschland nicht eingesetzt bzw. ist auf Geräten, die in Deutschland ausgeliefert werden, nicht vorinstalliert.

Weiter Links
Spionagesoftware auf Millionen Mobiltelefonen [Golem.de]

Bei der Überwachung von möglichen Straftätern bedienen sich die Ermittlungsbehörden zweier Methoden. Das eine ist die Funkzellenüberwachung. Dabei werden alle Verkehrsdaten der in der Funkzelle eingebuchten Handys protokolliert. Egal ob Telefonate, SMS-Nachrichten oder Datenverbindung – alles kann ausgewertet werden. Eine solche Überwachung ist klar ein Eingriff in die Privatsphäre. Dank verschiedenster Algorithmen lässt sich mittels dieser Überwachung auch eine Ortung durchführen. Gerade in Innenstädten sind die Funkzellen recht klein. Da kann dann auch schon mal mehr als eine Funkzelle angezapft werden. Wer dabei alles unwissentlich ins Raster gedrängt wird, lässt sich nur schwer sagen.

Die andere Methode nennt sich „Stille SMS“. Ein Begriff, den man in einschlägigen Foren häufig findet. Wirklich etwas drunter vorstellen können sich nur die Wenigsten.

Dabei handelt es sich technisch um eine SMS, die der Empfänger nicht zu Gesicht bekommt. Das Handy gibt nach dem Empfang eine Rückmeldung in Form des Standortes bzw. der aktuellen Funkzelle. Mit dieser Methode lassen sich mit recht einfachen Mitteln sogenannte Bewegungsprofile erstellen. Man kann einen Handybesitzer beschatten, ohne aus dem Haus gehen zu müssen. Von diesen verräterischen Kurznachrichten hat man in NRW im letzten Jahr allein 250.000 Stück verschickt.

Hat man den Ort des vermeintlichen Verbrechers herausgefunden, kommt meist ein in Fachkreisen „IMSI-Catcher“ genanntes Gerät zum Einsatz. Ein Gerät, welches eine Mobilfunkzelle simuliert. Ähnlich wie bei der Funkzellenüberwachung, hat man damit kompletten Zugriff auf alle Aktivitäten, die das Verbrecherhandy im Netz macht. Ob E-Mails, SMS, Anrufe oder anderer Datenverkehr – alles wird protokolliert. Außenstehende und zufällig in die Funkzelle Tappende werden genauso abgeschnorchelt wie der Verbrecher.

Weitere Quellen

Jährlich eine Viertelmillion “Stille SMS” [Telepolis]

In Hotel meist via WLAN für viel Geld (von  8 bis 24 Euro am Tag) zu erstehen. Dass hier guter Rat gar nicht teuer sein muss, beweist das aktuelle Angebot von FONIC. Für kaum zu glaubende 9,95 Euro gibt es den Huawei E161 USB-Surfstic inkl. der FONIC SIM-Karte und einen Tag gratis surfen, wenn man im Internet bestellt.

Ansonsten sind die Rahmendaten schnell erklärt: Prepaid SIM-Karte, 2,50 Euro die Internet Tagesflat und legen Sie diese in ein Handy, können Sie auch noch für 9 Cent die Minute telefonieren.

Dass man dabei  aber immer ins Kleingedruckte gucken und auch mal nachrechnen sollte, zeigt uns als aktuelles Beispiel der Berliner Gasversorger GASAG.

Für den offensichtlichen Sparfuchs bietet die GASAG unter dem Namen GASAG-Fix einen zweijährigen Versorgervertrag zu einem monatlichen Grundpreis von 17,90 Euro sowie einem Arbeitspreis von 0,0624 Euro je kWh. Ein Bonus in Höhe von 50 Euro soll den Wechsel in den neuen Tarif schmackhaft machen.

Ganz einfach kann man seine ungefähre Jahresgebühr mittels eines Tarifrechners ermitteln und damit schneller einen Preisvergleich anstellen. Schnell den Jahresverbrauch aus dem letzten Jahr angeben und fix rechnet der Tarifrechner die zu erwartenden Jahreskosten aus. Doch dann die Überraschung: Die GASAG-Webseite weist einen weitaus günstigeren Preis aus als meine Berechnung mittels Excel ergab. Sollte ich mich verrechnet haben oder stimmt meine Formel nicht?

Rechnen wir ein Beispiel durch

Screenshot des GASGA-fix Tarifrechners (19.09.2011 - 7:45 Uhr)

Die Webseite der GASAG zeigt hingegen einen Betrag an, der 231,02 Euro unter dem von mir errechneten Betrag liegt. Ein Nachfragen bei der GASAG-Hotline ergab, dass man dort sehr wohl die Grundrechenarten beherrscht und auf dasselbe Ergebnis kommt. Man versprach das weiter zu geben.

Da stellt sich dem Verbraucher die Frage: Was gilt hier eigentlich? Der ausgewiesene Falschbetrag oder muss ich als Kunde immer nachrechnen?

Update: 21.09.2011:

Auch nach 48 Stunden zeigt der Tarifrechner der GASAG noch immer falsche Berechnungen an. Für uns ein Grund, der Sache auf den Grund zu gehen.

Schauen wir uns die Webseite also noch einmal genau an. Beim Durchstöbern des Quellcodes  findet man neben JQuery-Aufrufen in Zeile 28 den Aufruf für eine Datei mit den Namen script.js.

Ganz offensichtlich finden hier die Berechnungen für den Tarifrechner  statt.

1. if(e<=15000)
2. {
3.    $(".changy").text("11,95");
4.    //$(".changm").text("6,295");
5.    $(".changm").text("6,71");
6.    var s = (f*0.0529+10.04*12)*1.19-50;
7.    $(".sum").text(fmoney(s,2))
8. }
9. else
10. {
11.    $(".changy").text("17,90");
12.    //$(".changm").text("5,819");
13.    $(".changm").text("6,24");
14.    var s = (f*0.0489+15.04*12)*1.19-50;
15.    $(".sum").text(fmoney(s,2))
16. }

Der erste Zweig kümmert sich dabei um die Berechnung, wenn man weniger als 15.000 Kwh als Verbrauch angegeben hat. Der zweite Zweig kümmert sich um die Berechnung bei mehr als 15.000 kwh. Man rechnet jeweils mit dem Netto-Arbeitspreis. Bei einem Verbrauch höher als 15.000 Kwh sind das dann 0,0489€ je Kwh. Da hat sich der Fehlerteufel eingenistet: Rechnet man auf den Nettopreis jetzt noch die 19% Mehrwertsteuer drauf, so kommt man auf einen Brutto-Arbeitspreis von 0,058191€. Das ist natürlich Quatsch – richtig wäre ein Nettopreis von 0,0524€ gewesen.

Das Skript weist zwei Stellen auf, in denen jeweils eine Zeile auskommentiert wurde mit zwei Schrägstrichen/Slash in Zeile 70 und 78. Dort hat man ältere Werte für den Arbeitspreis zum Anzeigen im Tarifrechner auskommentiert und in der Zeile darunter jeweils den neuen Arbeitspreis inkl. Mehrwertsteuer ausgewiesen. Beim Updaten des Skriptes hat man wohl schlichtweg vergessen die Zeile darunter auch zu updaten.

Update: 21.09.2011 – 21:31 Uhr:
Die GASAG hat nach einem zweiten, diesmal schriftlichen Hinweis, es nun doch geschafft seinen Tarifrechner zu korrigieren. Für freuen uns das wir helfen konnten und sind gespannt auf die Antwort der GASAG.

Update 19.10.2011: Auch nach 28 Tage bzw. 4 Wochen, nachdem die GASAG informiert wurde über den Fehler, gibt es keine Rückmeldung. Jeder Kontaktversuch per E-Mail wird nur quittiert mit einer Eingabgsbestätigung und Benachrichtigung

Ihre Anfrage per E-Mail haben wir erhalten. Leider können wir Ihr Anliegen nicht
sofort beantworten. Wir werden uns unaufgefordert mit Ihnen in Verbindung
setzen.

Für Ihre Geduld und Ihr Verständnis bedanken wir uns.

Kunden oder Interessierte der GASAG müssen sich anscheint in Geduld üben wenn Sie Kontakt suchen zum Berliner Energieunternehmen. Wir werden es einmal mit einem Brief 1.0 per Einschreiben versuchen und ärgern uns jetzt, dass wir nicht gemeinsame Sache mit einem Konkurrenzunternehmen gemacht haben. Den einen so fehlerhafter Tarifrechner kann man als Wettbewerbsverzug werten was eine empfindliche Abmahnung bedeuteten kann.

* Mit besten Dank an Panda

Der Technik-Nerd weiß sich zu helfen. QuietComfort® 15 Acoustic Noise Cancelling® Kopfhörer^* oder Bose QuietComfort Headphones bei Amazon.com^* sind bei uns zur Zeit der Renner in den Zimmern. Auch unsere Langohren halten den Tag ohne Schmerzen aus. Exzellenter Tragekomfort! Auch wenn man allein mit der Geräuschunterdrückung schon glücklich werden kann, setzt der Klang der Kopfhörer die Welt um einen herum endgültig in den Hintergrund. Auch nach Stunden dröhnt es nicht auf den Ohren. Die Klänge sind sehr sauber und harmonisch.

Leider nur bis zum Ende der AAA-Batterie. Danach kann man nicht mehr passiv weiter hören. Bisher der einzige wirkliche Nachteil, den wir ausmachen konnten. Aber das ist immer eine Weile hin, bis es wieder so weit ist.

Auch wenn wir einen Platz auf dem “Treppchen” verpasst haben, freuen wir uns, dass unser Portal  www.handyortung.info offenbar nicht nur bei Nutzern anklang findet, sondern auch die Jury begeisterte. Unsere Webseite informiert Sie ausführlich rund um die Themen Handyortung, Schutz vor Handydiebstahl und Laptop-Sicherung.

Informationen zu den Gewinnern erhalten Sie auf der Seite eComm Brandenburg.