JP Performance: YouTube-Kanal gekapert
von caschy | 31 Kommentare
Der 2012 gestartete YouTube-Kanal von JP Performance ist sicherlich jedem Auto-Freak ein Begriff, über 2,2 Millionen Abonnenten konnte der deutsche Kanal im Laufe der Jahre für sich gewinnen. Dem Team dahinter muss man wohl jetzt die Daumen drücken, dass keine Abonnenten und / oder Inhalte verloren gegangen sind, denn offenbar wurde der Kanal JP Performance von Angreifern übernommen und mit Scam geflutet. Da soll nun angeblich Elon Musk darüber plaudern, dass er als CEO von Twitter zurücktritt und ebenso sollen Infos zu Bitcoin und Crypto generell mitgeteilt werden. Wahrhaft kein guter Start ins neue Jahr für JP Performance, vermutlich wurde ein Konto mit Zugang auf den Kanal gekapert, um alte Videos zu löschen, den Namen in @theteslaworld zu ändern und Liveankündigungs-Scam einzustellen.
![LG 43UR78006LK 109 cm (43 Zoll) UHD Fernseher (Active HDR, 60 Hz, Smart TV) [Modelljahr 2023]](https://m.media-amazon.com/images/I/51UFBwhvUfL._SL160_.jpg)
![LG 32LM6370PLA TV 80 cm (32 Zoll) LCD Fernseher (1080p FHD, 50 Hz, Smart TV) [Modelljahr 2021]](https://m.media-amazon.com/images/I/417DjxhbjmL._SL160_.jpg)
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Haben diese Accounts eigentlich eine 2FA aktiv? Ist hierüber etwas bekannt, wie das in den damaligen Fällen so ablief?
Mit ordentlicher 2FA sehe ich hier kaum eine Möglichkeit für einen solchen Fall.
Ja. Aber das bringt nichts. Da die den SessionKey Kapern.
Hier beschreibt einer ganz gut, wie das ganze abläuft.
https://m.youtube.com/watch?v=HxvMbzODGVg
Du wärst überrascht wie viele Accounts auch richtig richtig großer Unternehmen kein 2FA haben. Da müssen so viele Leute mit noch mehr Devices sowie Agenturen und Dienstleister zugreifen – dann bleibt es meist einfach aus.
Doch, es gibt irgendeine andere Möglichkeit, da trotzdem dranzukommen. Zum Beispiel über kompromittierte App Zugänge. Damals wurde auch der Account von JulienBam übernommen, er hatte damals auf Twitter geschrieben, dass er alles aktiviert hat.
Diesen Tesla Scam sehe ich irgendwie fast jeden Tag in meiner YouTube App, also werden da täglich irgendwelche Accounts übernommen. ¯\_(ツ)_/¯
Bei Julian Bam, war wohl ein Account im Office infiziert und mit dem dortigen gültigen Token wurde dann der Schaden verursacht.
Bei Julien Bam war 2FA und sogar Hardware-Token aktiv. Da kamen die via Trojaner auf einem Rechner an den Account
Da gibt es viele Wege: gekapertes Smartphone, Malware auf Firmen-/Privatrechner oder Netzwerk, Passwortdatenbank welche den 2FA Code gleich mitliefert, am besten noch eine die das ganze Team benutzt und auf einer Cloud liegt (Lastpass lässt grüßen) oder auch einfach vielleicht eine Phishing Mail, der auch den 2FA forderte und sich gleich im Hintergrund mit einloggte (Bot). Bei dem was der Scam generiert, ist das kein Problem für die Hacker. Da laufen teilweise 3-4 Live Streams nebenbei. Ich bekam Mitte Dezember auch zwei Mails von Dropbox und Evernote, das sich jemand eingeloggt hätte. Waren allerdings beide leer und jahrelang nicht benutzt.
Damals waren die PC’s gehackt, von denen sich bereits eingeloggt wurde. Da hilft die beste 2FA nichts.
Es reicht auch schon nicht für alles die selben Zugangsdaten zu verwenden (wenn z.B. irgendwo Daten abhanden kommen sollten) und nicht auf Phishing reinzufallen und kein 123456 oder passwort oder andere leicht erratbare Passwörter zu verwenden. Man muss auch sehen, dass man doch dann kompletten Zugriff auf das Google-Konto hätte.
Schau mal das Video von StandardSkill hat da hatte jemand über Dritte (Cutter) Zugriff bekommen.
Kommt drauf an, was du unter „ordentlich“ verstehst. MFA schützt nur vor Phishing, wenn man WebAuthn nutzt, da hier der Client automatisiert die „Identität“ der Gegenseite prüft. Damit wird Phishing via fake-website wirklich unterbunden.
Ich bin mir allerdings fast sicher, dass das kaum jemand einsetzt. TOTP ist halt oft „bequemer“ und wesentlich einfacher zugänglich. Das TOTP schützt aber eben überhaupt nicht vor Phishing.
So werden die Kanäle wahrscheinlich über einen der folgenden Wege gekapert
– Einen Accountverwalter des Kanals auf eine Phishing Seite locken, wo er dem Angreifer Nutzername, Passwort und TOTP zur Verfügung stellt.
– Malware auf dem Endgerät eines Accountverwalters installieren, die dann Cookies einer bereits authentisierten Session abgreift / das komplette Endgerät aus der Ferne steuern kann (hier hilft dann auch kein MFA mehr)
Ganz einfach: Trojaner auf dem Rechner des Youtubers.
So ein Kanal wird wahrscheinlich von einem ganzen Team betreut. Da ist 2FA dann zwar nicht unmöglich, aber erfordert doch einigen Aufwand. Und einer aus dem Team hat wohl den falschen Link in einer EMail geklickt oder ähnliches… Fahrlässigkeit wird bestraft.
Von einem anderen Youtuber habe ich mal mitbekommen, dass der Account selber ordentlich abgesichert war. Die haben dann aber einfach einen Rechner im Büro gekapert, auf dem man bei Youtube noch angemeldet war und konnten darüber dann den Account verändern.
Man könnte natürlich darüber streiten, ob ein Account „ordentlich abgesichert“ ist, wenn da über irgendwelchen unsicheren Rechner drauf zugegriffen wird… 😉
Das ist mal Julien Bam passiert. Selbst YouTube Deutschland, die ihm dann geholfen haben, hatten große Mühe, den Schaden (gelöschte Videos, gelöschte Views und Statistiken, gelöschte Kommentare, etc.) wieder rückgängig zu machen. Hat Wochen gedauert, wenn ich mich recht erinnere.
Genau das Gleiche ist vor ein paar Tagen dem YouTube-Kanal ‚CarRanger‘ passiert. Nach der Wiederherstellung der Daten wurde dort auch ein Video veröffentlich, in dem ausführlich erklärt wurde, was passiert ist.
Bei YoTube wird frühestens nach 3 Jahren etwas dauerhaft gelöscht. Vorher lässt sich, wenn gewollt, alles wieder herstellen.
Bei den meisten Youtubern deren Konten gekapert wurden läuft das anders. Die Angriffe gehen vom Rechner des Kontoinhabers aus, der ja logischerweise in seinem eigenen Konto eingeloggt ist. Eine 2kfa bringt also nix. Julian bam hat das mal erlebt und erklärt. https://youtu.be/d6JiHUwUrcU
…and nothing of value was lost. Habe JP echt viele Jahre gerne geguckt, aber nach seinem Abstecher in das Klimaleugner-Milieu geht der Typ echt gar nicht mehr. Da kann man m. E. „Privat“person und Marke nicht trennen. Dafür hat er zu viel Reichweite. Obendrauf noch die Sache mit 142 Km/h innerorts. Ironischerweise mit E-Auto.
Tropfen auf den heißen Stein mit dem Klima. Die größte Emission verbraucht immer noch das US-Militär auf dem Planet. Funfact, die brauchen den Emissionsausstoß nicht bei der UN angeben, es könnte ja die nationale Sicherheit gefährden.
Aber lasst euch nur weiter durch irgendwelche NGOs von den wichtigen Dingen des lebens ablenken und fahrt Fahrrad und Bahn.
Funfact: Du bist Fake-News auf den Leim gegangen.
Nur das zu glauben, was einem in den kram passt und alles andere als das böse Werk von bösen NGOs bezeichnen kann man zwar machen, aber man blamiert sich immer wenn man es mit halbwegs intelligenten Menschen zu tun hat.
😉
Nope einfach Kyoto-Protokoll von 97 lesen, klar betrifft nicht nur US-Militär allerdings mit größtenteils Verantwortlich, es reicht ja schon allein ein Blick bei Flight-Tracker um es zu erkennen und das ist dort immer noch ein Bruchteil.
Und ja schau dir doch die Opfer der NGOs an, kleben sich auf die Straße und wollen die Welt retten, sind so derart radikalisiert das sie nicht einmal mehr andere Meinungen akzeptieren und halten sich selbst für intelligente Menschen.
Das sind halt Fake News. Laut der einen Studie, auf die du dich zu stützen scheinst, verbrauen weltweit Militärs zusammen etwa 5-6%. Alles auch nur geschätzt und nicht gut belegt. Das entspricht von der Größenordnung eines der top 5 Ländern. Somit verursacht nicht das US-Militär die größten Emissionen, nichtmal für alle Militärs zusammen stimmt deine Aussage.
Sowieso ist plumper Whataboutism immer billige Propaganda.
Da die meisten kleinen und großen Militärs in aller Welt keinerlei Infos über Emissionen veröffentlichen sind generell alle Aussagen in diesen Bereich Nonsense!
Und das US-Militär hustet generell auf alles was das Lima betrifft – warum auch, selbst deren eigenen Senatoren erfahren nur Details wenn sie den entsprechenden Kontrollgruppierungen angehören und deren Sitzungen und die dort besprochenen Vorkommnisse sind geheim.
Geht mir ganz genau so…
Allein für letzteres gehört der für mich lebenslänglich hinter Gitter. Reine Glückssache, dass dabei niemand getötet wurde. Und es war mit voller Absicht. unglaublich dass der so davon kommt. scheint aber niemanden großartig zu stören.
Karma, wenn man Klimawandel Leugnet und mit über 140 Sachen durch Ortschafften brettert…
Allerdings. Ehrlich gesagt feier ich das grade richtig, da hat es jemanden erwischt, um den es nicht Schade ist. Und das Publikum das der noch hat(te), verdient eigentlich auch nichts anderes als Scam-Videos in die Feeds geballert zu bekommen… 🙂
JP kann sich ja einen Aluhut falten, der hilft bestimmt auch gegen Hacker.
Wahnsinn was man hier für Quatsch in den Kommentaren liest.
Eigentlich nur von Artikeln über Banken zu toppen, wenn die „Finanzexperten“ sich outen.
Langsam frage ich mich, ob das nicht für YouTube zum Problem werden könnte. Offensichtlich hat eine Hackergruppe einen guten Weg gefunden, auch ordentlich abgesicherte Accounts zu kapern.
Klar kann YouTube nichts dafür, wenn bereits authentifizierte Sessions von einem Rechner geklaut werden, aber der Schaden ist schon ordentlich und die Ansprechpartner (zumindest bei uns in Deutschland) schwer zu erreichen, machtlos, handlungsunfähig.
Wenn einer ein Lied im Video hat, das nicht lizensiert ist, wird innerhalb kürzester Zeit das Video gesperrt und der YouTuber verwarnt und findet die Abmahnung von den Sony music Anwälten schneller im Briefkasten, als er gucken kann… den Elon Musk Scam können die Crowler aber nicht erkennen oder wie? Diese Masche ist ja nun nichts neues. Finde die Maßnahmen aktuell höchst unglücklich.
Professionelle YouTube Kanäle sollten auch einen handlungsfähigen Ansprechpartner haben, denn am Ende verdient ja Google sein Geld mit der Werbung auf diesen Kanälen. Wenn jetzt jedes Kindergartenkind die Kanäle kapern und den content nuken kann, gehen die Leute irgendwann woanders hin.
Zitat von Unge „Deswegen bin ich bei Twitch, wenn da was passiert, habe ich einen Ansprechpartner, der sofort helfen kann“