Hacker: Webriese reagiert im Gegensatz zu Visa oder Ebay extrem langsam auf Hinweise zu Sicherheitsproblemen
Defcon: Trojaner können sich in Google Gadgets verstecken
Welch umfangreiche Schäden bösartige Google Gadgets auf dem Rechner des Opfers anrichten können, haben zwei Sicherheitsexperten auf der US-Hackerkonferenz Defcon demonstriert. Ärgerlich dabei: Anwender haben keine Chance zu entscheiden, ob ein Gadget neben dem eigentlichen Zweck noch Schadcode an Bord hat. Besonders bedroht sind Anwender von Gmail, die zudem Gadgets installiert haben.
Robert Hansen, selbständiger IT-Sicherheitsberater und in Hackerkreisen als Rsnake bekannt,
sowie Tom Strecener, Security Analyst beim Websicherheitsspezialisten Cenzic haben auf der
Sicherheitskonferenz
Defcon gezeigt, wie leicht ein bösartiges Google Gadget
Schaden anrichten kann. Auf den ersten Blick hat ein solches Gadget einen normalen Einsatzzweck wie
zum Beispiel eine Taschenrechner- oder Wetterberichtsfunktion. Angesichts der inzwischen auch für
den geschäftlichen Einsatz tauglichen Google Apps liegt die Vermutung nahe, dass es demnächst auch
professionelle Google Gadgets geben wird.
Damit ständen dann aber sowohl private Endkunden als auch Firmenmitarbeiter im Visier der
Angreifer. Denn im Verborgenen können Schadroutinen in einem unschuldig scheinenden Gadget werkeln,
ohne dass der Anwender – oder sein Virenscanner beziehungsweise die Firewall – davon etwas
mitbekommt: Die Gmalware ist geboren.
–
http://llschnuerer.cmpdm.de//articles/vorsicht_bei_widgets_und_gadgets_geboten:/2007010/31235932_ha_LL.html?thes=">Vorsicht
bei Widgets und Gadgets geboten
–
http://llschnuerer.cmpdm.de//sites/cz/articles/browser-plug-ins_oder_widgets_sind_ein_gefundenes_fressen_fuer_die_web-trojaner:/2007039/31230610_ha_CZ.html?thes=">Browser-Plug-ins
oder Widgets sind ein gefundenes Fressen für die Web-Trojaner
Hansen und Strecener haben Google bereits vor längerem auf die diversen Angriffsmöglichkeiten
hingewiesen und auch den Grund dafür dargelegt: Die Sicherheitsarchitektur der den Gadgets zugrunde
liegenden Internetdomain gmodules.com sorgt nicht für ausreichenden Schutz. Außerdem stehen dem
Malware-Programmierer laut Hansen sehr viele Möglichkeiten offen, um den bösartigen Code
auszuführen: Von Flash über HTML bis hin zu Javascript lässt sich alles in einem Gadget verstecken,
ohne dass Google einschreitet.
Google hat auf die Warnung der Security-Experten aber abgewiegelt. Der Webriese beschied den
Hackern lediglich, dass das von ihnen entdeckte Verhalten "gewünscht" sei, da die Gadgets sonst
nicht richtig funktionieren würden. Welche negativen Auswirkungen dieses "gewünschte Verhalten"
aber haben kann, zeigten Hansen und Strecener eindrücklich: So ist es einem Angreifer möglich, sein
Opfer ohne dessen Zutun und unbemerkt beim Google-Account des Angreifers anzumelden. Somit kann
Letzterer sämtliche Suchanfragen seines Opfers in Echtzeit verfolgen.
Außerdem kann ein solches Gadget den Anwender zu bösartigen Webseiten umlenken, die ihm dann
weiteren Schadcode wie einen Trojaner unterjubeln. Wahlweise können auch weitere, unsichtbare
Gadgets zur Igoogle-Seite des Opfers hinzugefügt werden, um die Malware breiter zu streuen.
Laut Hansen sind bisher allerdings keine bösartigen Gadgets aufgetaucht, so dass augenblicklich
das Gefahrenpotenzial eher gering ist. Sollte sich der Schadcode aber tatsächlich so leicht
verbreiten lassen, wie Hansen und Strecener es darlegten, dann ist die Verbreitung solcher
Schädlinge nur eine Frage der Zeit. Mangels von Google stammender Details können die Experten im
Augenblick nicht abschätzen, ob es nicht vielleicht doch einen Schutz vor dem massenhaften
Auftauchen solcher Schädlinge gibt.
Hansen ist jedenfalls sehr skeptisch, da Google eine von ihm vor über vier Jahren gemeldete
Sicherheitslücke bis heute nicht geschlossen hat – im Gegensatz zu Visa, Ebay und Double Click, die
dieselbe Lücke teilweise nach wenigen Tagen oder gar nur Stunden schlossen. Angesichts dessen
verwundert es nicht, dass Hansen nicht auf das Sicherheitsbewusstsein des Suchmaschinengiganten
vertraut.
Generell sind diese Warnung vor Gadget-Risiken nicht neu. Auch der Surfschutz-Spezialist Finjan
hatte schon vor einigen Monaten vor aufziehenden Gefahren durch die steigende Verwendung solcher
Gadgets und Widgets
gewarnt.
Diese Add-ons aus dem Web brächten zwar nette Zusatzfunktionen auf den Desktop, seien aber meist
unsicher und könnten so zum Einschleusen von bösartigem Code genutzt werden.
Uli Ries/wg
Lesen Sie mehr zum Thema
