Schwere Sicherheitslücke bei Steam

Speziell präparierte Profile können Besucher veranlassen, Guthaben auszugeben oder sie auf mit Malware verseuchte Webseiten umleiten, warnt ein Sicherheitsexperte.

Steam ist auf dem PC mit 125 Millionen aktiven Nutzern die größte digitale Vertriebsplattform. Und für viele Spiele ist Steam ja auch zwingend notwendig. Die regelmäßigen Sonderangebote, Sales und auch die vielen Komfortfunktionen machen Steam zusätzlich attraktiv.

Das bedeutet allerdings auch, dass Sicherheitslücken ein echtes Problem darstellen. Denn man wähnt sich ja auf der sicheren Seite, wenn man nur in Steam unterwegs ist. Und das Aufsuchen fremder Profilseiten gehört zu einer der alltäglichsten Aktivitäten auf Steam.

Doch genau da lauert derzeit ein echtes Problem. Böswillige Zeitgenossen können ihre Profile so präparieren, dass der Besucher auf Webseiten umgeleitet wird, die Malware verbreiten oder er unbeabsichtigt Guthaben für Spiele ausgibt.

Das alles durch eine relative einfache Manipulation. Durch den Eintrag spezieller Codes in selbst auszufüllende Felder im Profil kann Steam gezwungen werden Javascript-Skripte oder PHP auszuführen.

Möglicher automatischer Wurm

Es soll sogar möglich sein durch Abfangen der Authentifikations-Cookies Zugriff auf die Profilseite von Nutzern zu erlangen. Das würde die Möglichkeit eröffnen, die Profilseite zu verändern. Im schlimmsten Fall würde das bedeuten, dass ein Aufsuchen eines verseuchten Profil, dass eigene Profil ebenfalls zu einer verseuchten Seite macht.

Das befürchtet zumindest Jeremiah Grossman, der Chef der Sicherheitsstrategie der Sicherheitsfirma SentinelOne. Bisher gibt es keine Anzeichen dafür, dass dies aktiv genutzt wird.

Valve arbeitet zur Zeit an einer Lösung, die zukünftig eine solche Cross-Site-Scripting-Attacke verhindert. Berichten von Nutzer nach gibt es bisher hauptsächlich Umleitungen zu irgendwelchen Downloads, vermutlich Malware oder ähnliches.

Es ist aber dennoch empfehlenswert Vorsicht walten zu lassen. Also z.B. nicht alle Seiten eines Profils ansehen. Denn nach neusten Meldungen soll die Attacke auf der Hauptseite schon nicht mehr funktionieren. Und natürlich nicht auf Aufforderungen zum Download etc. reagieren.

Nutzer, die vermuten, ein so manipuliertes Profil aufgesucht zu haben, sollten ihr Passwort ändern, die Zwei-Faktoren-Authentifizierung anschalten und die entsprechenden Meldungen bei Steam verfolgen.

Weitere Informationen findet man bei Ars Technica (engl.).