Sicherheitsforscher haben Googles Anti-Phishing-Erweiterung “Passwort-Warnung” für Chrome bereits nach einem Tag ausgehebelt. Paul Moore demonstrierte am Donnerstag in einem YouTube-Video, wie sich das Warnsystem mit Leichtigkeit umgehen lässt. Dafür hat er lediglich sieben Codezeilen in eine Website eingefügt.
Vergangenen Mittwoch hatte Google das Plug-in Passwort-Warnung kostenlos veröffentlicht. Es soll Nutzer vor schädlichen Websites warnen, die vorgeben von Google zu stammen, um auf diese Weise an private Informationen zu gelangen – eine Praxis, die allgemein als Phishing bekannt ist.
“Vereinfacht ausgedrückt, muss jemand, der einen Phishing-Angriff auf ein Google-Konto starten will, lediglich diese sieben Codezeilen hinzufügen, um den Passwort-Warnung-Schutz nutzlos zu machen”, sagte Moore am Freitag in einem Interview mit Forbes. “Es ist wirklich beschämend.”
Moore hat für die Umgehung der Funktion zunächst eine gefälschte Google-Anmeldeseite erstellt. Auf den ersten Blick lässt sie sich nicht vom Original unterscheiden. Allerdings hat der Sicherheitsforscher einen JavaScript-Code eingebaut, der die Funktionsweise von Passwort-Warnung dahingehend beeinflusste, dass die Warnmeldung lediglich 5 Millisekunden lang angezeigt wurde. Nutzer können sie auf diese Weise praktisch nicht mehr wahrnehmen.
Nach der Veröffentlichung des Exploits, erklärte Google-Entwickler Andrew Hintz via Twitter, dass mit Version 1.4 der Fehler beseitigt wurde. Nutzer sollten schnellstmöglich die Erweiterung aktualisieren. Dafür müssen sie chrome://extensions/ im Browser aufrufen, den Entwicklermodus aktivieren und auf “Erweiterungen jetzt aktualisieren” klicken.
Moore konnte allerdings auch die gepatchte Version 1.4 überlisten, wie er auf Twitter schrieb. Am 1. Mai veröffentlichte Google Version 1.6 von Passwort-Warnung. Moore zufolge steht dafür aber bereits ein Exploit bereit. Daher fragt er in Richtung Jared Cohen, Direktor von Google Ideas: “Angesichts der Tatsache, dass mehr Exploits erschienen als Tage seit der Einführung vergangen sind, wird Google diese Idee aufgeben?”.
Passwort-Warnung sollte eigentlich darauf achten, dass Passwörter nicht auf Phishing-Seiten eingegeben werden. Sollte dies doch passieren, gibt es einen Warnhinweis aus mit der Empfehlung, das Passwort zu wechseln.
Google weist selbst darauf hin, dass das Add-on mit der “Safe Browsing“-Technik verwandt ist, die durch ein rotes Stoppschild vor gefährlichen Seiten warnt. Dem Unternehmen zufolge identifiziert sie “zum Beispiel Malware, Phishing sowie manipulierte und unerwünschte Software zuverlässig”. Auch die Sicherheitsprüfung für Konten gehe in diese Richtung.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…
Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…
DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).
Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.
IT-Infrastruktur-Trends 2025: Open-Source-Projekte sowie aufwändige regulatorische und Pflichtaufgaben werden das Jahr prägen.
IT-Systeme werden vor Ort in einem hochsicheren IT-Safe betrieben, ohne auf bauliche Maßnahmen wie die…
View Comments
Das zeigt nur ein weiteres mal: Absolute Sicherheit kann es nicht mehr geben. Ein adaptiver Ansatz scheint mir derzeit die besten Antworten auf multiple Bedrohungen zu liefern. Ist der Urheber beispielsweise ein bereits bekannter Angreifer, können die Daten früherer Angriffe Aufschluss über die wahrscheinlichsten Tools, Taktiken und Prozesse (TTPs) des Angreifers geben. Dadurch wiederum können Sicherheitsteams leichter bestimmen, nach welcher Art von Malware sie suchen müssen, welche Assets am stärksten gefährdet sind und worauf sie sich besonders konzentrieren müssen, vgl. http://w.idg.de/1HYcA7n.
Dietmar Müller,
im Namen von IDG und FireEye