Leck im Internet Explorer ermöglicht Maus-Tracking

Das Leck hat Spider.io nach eigenen Angaben schon vor Monaten gefunden. Microsoft wurde am 1. Oktober informiert. Der Fehler kompromittiere vor allem die Sicherheit virtueller Tastaturen, die beispielsweise benutzt werden, um PINs und TANs in Banking-Software einzugeben, wie es heißt. Betroffen sind alle Versionen des Microsoft-Browsers seit IE6.

“Ein Angreifer kann Zugriff auf die Bewegungen des Mauszeigers erhalten, indem er einfach eine Display-Anzeige auf einer beliebigen Website kauft”, warnte das Sicherheitsunternehmen. Das gelte auch für populäre Seiten wie Youtube oder die New York Times. Zwei Werbefirmen nutzen laut Spider.io die Anfälligkeit schon aus, um die Online-Aktivitäten von Nutzern zu verfolgen. Die Funktionsweise des Exploits demonstrieren die Sicherheitsforscher in einem Video.

Die Öffentlichkeit hat Spider.io nun informiert, da Microsoft noch keinen Patch bereitgestellt habe. “Obwohl das Microsoft Security Research Center die Schwachstelle im Internet Explorer eingeräumt hat, haben sie erklärt, es sei nicht geplant, die Lücke in den aktuellen Versionen des Browsers zu schließen”, heißt es in einer Stellungnahme der Sicherheitsfirma. “Es ist wichtig, dass Nutzer des Internet Explorer auf die Anfälligkeit und deren Folgen aufmerksam gemacht werden.”

Microsoft scheint hingegen die mögliche Gefahr herunterzuspielen. “Von dem, was wir bisher wissen, hat das Problem mehr mit der Konkurrenz zwischen Analytics-Firmen zu tun, als mit der Sicherheit von Verbrauchern”, schreibt Dean Hachamovitch, der für den Browser zuständige Vizepräsident bei Microsoft, in einem Blogeintrag. “Wir arbeiten aktiv daran, dieses Verhalten in IE anzupassen.” Andere Browser enthielten ähnliche Funktionen. Über die weitere Entwicklung der Untersuchungen bei Microsoft will er im IE-Blog informieren.

[mit Material von Steven Musil, News.com]