Sicherheitsforscher haben Googles Anti-Phishing-Erweiterung “Passwort-Warnung” für Chrome bereits nach einem Tag ausgehebelt. Paul Moore demonstrierte am Donnerstag in einem YouTube-Video, wie sich das Warnsystem mit Leichtigkeit umgehen lässt. Dafür hat er lediglich sieben Codezeilen in eine Website eingefügt.
Vergangenen Mittwoch hatte Google das Plug-in Passwort-Warnung kostenlos veröffentlicht. Es soll Nutzer vor schädlichen Websites warnen, die vorgeben von Google zu stammen, um auf diese Weise an private Informationen zu gelangen – eine Praxis, die allgemein als Phishing bekannt ist.
“Vereinfacht ausgedrückt, muss jemand, der einen Phishing-Angriff auf ein Google-Konto starten will, lediglich diese sieben Codezeilen hinzufügen, um den Passwort-Warnung-Schutz nutzlos zu machen”, sagte Moore am Freitag in einem Interview mit Forbes. “Es ist wirklich beschämend.”
Moore hat für die Umgehung der Funktion zunächst eine gefälschte Google-Anmeldeseite erstellt. Auf den ersten Blick lässt sie sich nicht vom Original unterscheiden. Allerdings hat der Sicherheitsforscher einen JavaScript-Code eingebaut, der die Funktionsweise von Passwort-Warnung dahingehend beeinflusste, dass die Warnmeldung lediglich 5 Millisekunden lang angezeigt wurde. Nutzer können sie auf diese Weise praktisch nicht mehr wahrnehmen.
Nach der Veröffentlichung des Exploits, erklärte Google-Entwickler Andrew Hintz via Twitter, dass mit Version 1.4 der Fehler beseitigt wurde. Nutzer sollten schnellstmöglich die Erweiterung aktualisieren. Dafür müssen sie chrome://extensions/ im Browser aufrufen, den Entwicklermodus aktivieren und auf “Erweiterungen jetzt aktualisieren” klicken.
Moore konnte allerdings auch die gepatchte Version 1.4 überlisten, wie er auf Twitter schrieb. Am 1. Mai veröffentlichte Google Version 1.6 von Passwort-Warnung. Moore zufolge steht dafür aber bereits ein Exploit bereit. Daher fragt er in Richtung Jared Cohen, Direktor von Google Ideas: “Angesichts der Tatsache, dass mehr Exploits erschienen als Tage seit der Einführung vergangen sind, wird Google diese Idee aufgeben?”.
Passwort-Warnung sollte eigentlich darauf achten, dass Passwörter nicht auf Phishing-Seiten eingegeben werden. Sollte dies doch passieren, gibt es einen Warnhinweis aus mit der Empfehlung, das Passwort zu wechseln.
Google weist selbst darauf hin, dass das Add-on mit der “Safe Browsing“-Technik verwandt ist, die durch ein rotes Stoppschild vor gefährlichen Seiten warnt. Dem Unternehmen zufolge identifiziert sie “zum Beispiel Malware, Phishing sowie manipulierte und unerwünschte Software zuverlässig”. Auch die Sicherheitsprüfung für Konten gehe in diese Richtung.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Wo es früher auf Buchhalter, Schreiber und Boten ankam, geht es heute vor allem um…
Mit KI-Technologien lässt sich das Einkaufserlebnis personalisieren und der Service optimieren, sagt Gastautor Gabriel Frasconi…
Ein Großteil der weltweiten KI-Gelder fließt in den Finanzsektor. 2023 wurden in der Branche 87…
Die Übernahme des US-amerikanischen Anbieters Altair Engineering soll die Position im Markt für Computational Science…
Ein deutsch-französisches Projekt hat hybride Operationssäle entwickelt, die durch 5G-Netz und KI neue Anwendungen ermöglichen.
Unternehmen wissen oft nicht, welche Geräte in der Produktion eine IP-Adresse haben, warnt Peter Machat…
View Comments
Das zeigt nur ein weiteres mal: Absolute Sicherheit kann es nicht mehr geben. Ein adaptiver Ansatz scheint mir derzeit die besten Antworten auf multiple Bedrohungen zu liefern. Ist der Urheber beispielsweise ein bereits bekannter Angreifer, können die Daten früherer Angriffe Aufschluss über die wahrscheinlichsten Tools, Taktiken und Prozesse (TTPs) des Angreifers geben. Dadurch wiederum können Sicherheitsteams leichter bestimmen, nach welcher Art von Malware sie suchen müssen, welche Assets am stärksten gefährdet sind und worauf sie sich besonders konzentrieren müssen, vgl. http://w.idg.de/1HYcA7n.
Dietmar Müller,
im Namen von IDG und FireEye