Defcon 2007: Myspace & Co. verraten ihre User

Sozial-Netzwerkseiten wie Myspace verbinden Millionen von Internet-Usern – und liefern sie auch gleichzeitig Angriffen aus dem Netz aus.

Am letzten Tag der Hackerkonferenz Defcon gab es gleich mehrere Vorträge, die alle um das gleiche Thema kreisten: Die Verwundbarkeit von massenhaft frequentierten Web-2.0-Seiten wie myspace.com oder youtube.com. Insbesondere Myspace ist ein attraktives Ziel für Attacken, da die Seite reichlich Gebrauch von Web-2.0-Elementen macht und sich somit zahlreiche Angriffsmöglichkeiten bieten. Außerdem ersetzt das interne Nachrichtensystem für viele Myspace-User den herkömmlichen E-Mail-Austausch, so dass externe Virenscanner chancenlos sind.

Dan Hubbard zeigte in seinem Vortrag, wie fatal ein Angriff innerhalb von Myspace ausfallen kann: Die meisten User nehmen beliebig viele Kontakte auf, so dass sie binnen kurzer Zeit tausende von Freunden innerhalb von Myspace haben. Wird nun ein Myspace-Profil von Crackern übernommen, können diese E-Mails mit Links zu bösartigen Websites verschicken – die Empfänger werden dem Link gerne folgen, kommt er doch vermeintlich von einem Freund.

Untersucht Web-2.0-Lücken: Dan Hubbard ist Angriffen auf Myspace auf der Spur.
Untersucht Web-2.0-Lücken: Dan Hubbard ist Angriffen auf Myspace auf der Spur.

Wie anfällig Myspace gegenüber Attacken ist, zeigte Rick Deacon in einem anderen Vortrag. Er demonstrierte eine noch nicht geschlossene Sicherheitslücke von Myspace, durch die ein Angreifer die Online-Session eines Myspace-Users übernehmen kann. Der Angreifer muss hierzu nur per XSS-Attacke (Cross Site Scripting) an das auf dem Rechner des Opfers abgelegte Myspace-Cookie kommen und hieraus den „Myuserinfo“-Teil in sein eigenes Cookie kopieren. Nach einem Refresh des Browsers gehört dem Angreifer das Profil seines Opfers und er kann E-Mails mit weiteren Links zu seiner Angriffsseite schicken.

Erfolgreicher Angreifer: Rick Deacon demonstriert eine nach wie vor existierende Sicherheitslücke in Myspace.
Erfolgreicher Angreifer: Rick Deacon demonstriert eine nach wie vor existierende Sicherheitslücke in Myspace.

Deacon hat Myspace bereits vor Monatent auf diese Sicherheitslücke aufmerksam gemacht, jedoch keine Reaktion erhalten. Laut Deacon ist die Lücke noch nicht geschlossen, wobei nur Firefox-Anwender davon betroffen sind. Der Internet Explorer zeigt sich resistent gegenüber dieser Attacke. (Uli Ries/mja)