Im April gelang es dem Hacker StrikerDE aufgrund einer Schwachstelle die Daten der Studenten der Universität Saarland zu kopieren.
In der letzten Aprilwoche gelang es einem deutschsprachigen Hacker, die Webseite der Universität Saarland in Saarbrücken zu hacken. Dafür benutzte er einen Bug im Backend, der eine ID enumeration via IDOR (Insecure Direct Object Reference) ermöglichte. Soll heißen, der Hacker hatte als Gast viel zu viele Rechte und konnte folglich auf Inhalte zugreifen, auf die er hätte nicht zugreifen dürfen.
StrikerDE versuchte daraufhin mit Erfolg, vorhandene IDs systematisch zu erraten oder einfach durchzuprobieren. Nach Auskunft des Hackers waren aber „viele Fehler optional„. Trotzdem habe es ihn überrascht, wie einfach der virtuelle Einbruch war. Beitragsbild aufgenommen von Kondephy – (CC BY-SA 3.0).
Über 40.000 Accounts der Universität Saarbrücken geleaked
Betroffen sind 40.362 aktive Accounts. Dazu kommen 1.893 gelöschte und 251 gesperrte Einträge in der Datenbank. Dem Hacker liegen die Namen, Vornamen, E-Mail-Adressen und weitere Angaben vor. Die Echtheit der Angaben können wir bestätigen.
Der Hacker StrikerDE nahm Kontakt zur Leitung der Universität Saarland auf. Nach den „gescheiterten Verhandlungen“ veröffentlichte der Hacker im Mai diesen Jahres die Daten in einem Forum im Tor-Netzwerk. Für Phisher dürften die Angaben allerdings wenig hilfreich sein, weil die meisten Studenten glücklicherweise nicht ihre E-Mail-Adresse angegeben haben. Ein Login ist damit auch nicht möglich, weil im Datensatz keine Passwörter enthalten sind.
Ein versuchter Hackback misslang
Ein Mitarbeiter der IT-Abteilung der Universität Saarbrücken versuchte den Hacker laut seiner Angaben in die Falle zu locken. Er schickte ihm eine RATted DOCX. Das ist eine Word-Datei, die dazu dient, einen Remote Access Trojan (RAT) auf dem Computer des Opfers zu installieren. Der Versuch misslang allerdings. Seit der Bestätigung der Daten nach seinem Proof of Work, erhielt der Hacker vom Rektorat und der IT-Abteilung der Uni keine Nachrichten mehr.
Die nächste Uni im Fokus
Offenkundig hat die Person Spaß an der Materie entwickelt. Wie uns der Unbekannte mitteilte, sei bereits die „nächste Uni in Bearbeitung„. Wir haben kürzlich eine Anfrage an die Universität Saarland geschickt. Bisher kam darauf noch keine Antwort. Sollte dies noch geschehen, ergänzen wir den Artikel gerne um das Statement.
