Der „Hackerangriff", der rechnen kann
Ein öffentlich-rechtlicher Beitrag zeigte grün leuchtenden Quellcode mit dem Stempel ACCESS DENIED. Wir haben den Schadcode analysiert. Ergebnis: Er kann 7 plus 8.
Der Tathergang
Es war der dramatischste Moment des Beitrags: ein dunkler Raum, grün flimmernder Code, dazu eine rote Warnung — ACCESS DENIED. Der geneigte Zuschauer ahnte Schlimmes. Stromnetz? Klinik? Bundestag? Tatsächlich handelt es sich bei dem gezeigten „Cyberangriff" um ein HTML-Formular, das einen Taschenrechner darstellt. Baujahr ungefähr 2003, Stilrichtung SelfHTML.
Der Code öffnet kein Backdoor, verschlüsselt keine Festplatte und kontaktiert keinen Server. Er addiert. Auf Wunsch subtrahiert er auch. Wer es darauf anlegt, kann sogar eine Quadratwurzel ziehen — und genau diese Funktion ist im Beitrag, mutmaßlich unwissentlich, als Höhepunkt der digitalen Bedrohungslage inszeniert worden.
Das rote „ACCESS DENIED" stammt nicht aus dem Programm. Es wurde nachträglich darübergelegt — von derselben Hand, die offenbar fand, dass ein Taschenrechner zu wenig nach Darknet aussah.
Beweismittel
Das Original
Festgehalten aus dem Beitrag: links die Inszenierung mit rotem Stempel, rechts der eigentliche „Schadcode" in der Nahaufnahme. Beim genauen Hinsehen verschwindet die Bedrohung von selbst.
Die offizielle Gefährdungseinschätzung
Lagebericht zur Bedrohung „Taschenrechner.html"
CVSS-Basiswert 0.0 / 10
Niedriger geht nur mit ausgeschaltetem Rechner.
- Angriffsvektor
- Tastatur. Genauer: die Ziffern 0–9.
- Benötigte Rechte
- Keine. Höchstens ein Grundschulabschluss.
- Erkannte Schadfunktionen
- Addition, Subtraktion, Multiplikation, Division, Wurzelziehen.
- Auswirkung
- Das Ergebnis erscheint im Feld „screen". Das ist kein Bildschirm. Das ist ein Eingabefeld.
- Daten betroffen
- Eine Zahl. Nämlich die, die Sie selbst eingegeben haben.
- Empfohlene Gegenmaßnahme
- Tief durchatmen. Optional: Klassenstufe 5 wiederholen.
Beweisaufnahme
Der Tatcode, Zeile für Zeile
Sichergestellt wurde der vollständige Quelltext. Was im Beitrag wie ein Eindringen in fremde Systeme wirkt, ist beim Auslesen ernüchternd: ein Formular mit Knöpfen.
<form method="post" name="form1">
<table bgColor="#7AA672">
<td colSpan="P4"><b><font color="#FFFF00">SYSTEM</font></b></td>
<input name="C" onclick="button(11,'C')" value=" C ">
<input name="7" onclick="button(7 ,'')" value=" 7 ">
<input name="sqrt" onclick="button(11,'sqrt')" value="sqrt">
<input name="exp" onclick="button(11,'exp')" value="exp">
<input name="screen" value="0">
</form>
name="form1"
name="sqrt"
name="exp"
name="screen"
colSpan="P4"
Service
Übersetzungshilfe für die Bildredaktion
Damit beim nächsten Mal der Stockfootage-Stempel im Schrank bleibt — die wichtigsten Begriffe, entdramatisiert:
| Sieht gefährlich aus | Bedeutet in Wahrheit |
|---|---|
| button | Knopf. |
| form | Formular. Wie beim Amt, nur ohne Wartenummer. |
| sqrt | Wurzel. √ |
| exp | Hochzahl, nicht Exploit. |
| screen | Eingabefeld — nicht Ihr Monitor. |
| „ACCESS DENIED" | Stand nie im Code. Nachträglich druntergelegt. |
Das Tatwerkzeug — live
Bedienen Sie den „Cyberangriff" selbst
Zur freien Erprobung, unzensiert und in Ihrem Browser. Es ist exakt der Code aus dem Beitrag. Vorsicht: Bei 5 × 5 erscheint 25.
Bisher gemeldete Sicherheitsvorfälle durch Benutzung: keine.
Nur den Rechner öffnen →
Kommentar
Das Problem ist nicht der Code
Niemand wurde gehackt. Grüner Text plus roter Stempel plus dunkler Raum — und schon sieht selbst eine Steuererklärung nach organisierter Cyberkriminalität aus. Das ist kein Beleg für eine Bedrohung, das ist ein Beleg für ein Stockfoto-Archiv.
Das eigentliche Risiko liegt woanders: Wenn „sieht kompliziert aus" in Bildredaktionen zuverlässig als „ist gefährlich" durchgeht, dann ist nicht der Rechner das Sicherheitsleck. Dann ist es die Bildunterschrift.
Quellen & Code