Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.508.171 Produkten

Fabian A. Scherschel 116

Chrome-Lücke erlaubt das Auslesen von Windows-Login-Hashes

Google Chrome

Chrome lädt, im Gegensatz zu den meisten anderen Web-Browsern, .scf-Dateien automatisch herunter. Das kann bei Windows-Anwendern dazu missbraucht werden, NTLMv2-Anmeldehashes aus dem lokalen Netz auszuleiten. Das wiederum ermöglicht weitere Angriffe.

In Googles Web-Browser Chrome klafft eine Sicherheitslücke, die es Angreifern außer- und innerhalb eines LANs ermöglicht, NTLMv2-Anmeldeinformationen auszulesen. Die Lücke basiert darauf, dass Chrome .scf-Dateien herunterlädt, ohne den Nutzer vorher zu fragen. Diese Kommando-Dateien werden vom Windows-Explorer automatisch ausgeführt, wenn der Nutzer das entsprechende Verzeichnis öffnet. Wenn der Angreifer einen SMB-Server aufgesetzt hat, wird dieser vom Explorer kontaktiert, da die Datei ihm sagt, dass dort ein Icon abgelegt ist. Der Client übermittelt dabei den Nutzernamen und das gehashte Passwort des Anwenders.

Die NTLM-Credentials kann ein Angreifer im LAN des Opfers wiederum dazu missbrauchen, um sich als das Opfer auszugeben und sich an dessen Stelle bei Diensten im selben Netz anzumelden, die ebenfalls diese Art Credentials akzeptieren. Gelingt es Angreifern auf diesem Wege, die Passwort-Hashes von Admins auszulesen, eröffnen sich vielfältige Angriffsmöglichkeiten. Der Sicherheitsforscher, der die Lücke gefunden hat, kritisiert, dass andere Browser wie Firefox, Safari, Internet Explorer und Edge den Nutzer fragen, ob er SCF-Dateien herunterladen will. Bei diesen Browsern ist es für Angreifer also schwieriger, Nutzer mittels eines bösartigen Links hereinzulegen.

Da Google seinen Browser momentan noch nicht gegen diese Art Angriff abgesichert hat, bleibt Nutzern, die sich schützen wollen, nichts anderes übrig, als das Risiko einer solchen Attacke anderweitig zu verringern. Netz-Admins können etwa NTLM-Anmeldungen in der Domäne per Gruppenrichtlinie verbieten oder einzelne Nutzer können Chrome dazu bringen, bei jedem Download zu fragen, in welchem Verzeichnis die Datei abgelegt werden soll. Auf diese Weise sieht der Nutzer auch, welche Art Datei heruntergeladen werden soll. Dies lässt sich unter "Erweiterte Einstellungen" in den Chrome-Einstellungen aktivieren. (fab)

116 Kommentare

Themen:

Anzeige
  1. Webseite aufgerufen, Linux gehackt

    Lücke Chrome Fedora Gstreamer (Arbeitstitel)

    Linux-Nutzer können sich durch das bloße Aufrufen einer Webseite Schadcode einfangen. Die Ursache ist eine Kombination eigentlich harmloser Ereignisse – und eine Zero-Day-Lücke. Betroffen ist vor allem Fedora Workstation.

  2. Passwortklau-Lücke in Lastpass geschlossen (oder auch nicht)

    Ormandy vs Lastpass

    Eine Sicherheitslücke im Passwort-Manager Lastpass erlaubt das Auslesen von Passwörtern. Unter Umständen kann der Angreifer auch Code ausführen. Es gibt Berichte, dass der Fix von Lasspass die Lücke bisher nicht erfolgreich geschlossen hat.

  3. Alle Jahre wieder: Netgear-Router N300 / WNR2000 angreifbar

    Netgear N300 / WNR2000 angreifbar (mal wieder)

    Eine Zero-Day-Lücke plagt mal wieder Router von Netgear. Das verwundbare Modell ist in der Vergangenheit auch schon Opfer gravierender Lücken geworden.

  4. Unsicheres Log-in-Feld: Webseiten-Betreiber beschwert sich bei Firefox über Warnung

    Unsicheres Log-in-Feld: Webseiten-Betreiber beschwert sich bei Firefox über Warnung

    Der Firefox-Browser warnt seit einiger Zeit vor Passwortfeldern, deren Inhalte unverschlüsselt an den Server übermittelt werden. Ein Admin will das allerdings nicht hinnehmen – seine Systeme seien sicher, seit über 15 Jahren.

  1. Einstellungen des Browsers unter Google Chrome exportieren - so klappt´s

    Wie du bei Google Chrome deine Browser-Einstellungen exportieren kannst, zeigen wir dir in diesem tipps+tricks-Artikel.

  2. Dateien in der Cloud verschlüsseln mit Boxcryptor

    Daten, die man zwischen zwischen mehreren Geräten abgleichen möchte, legt man bei Dropbox, Google Drive, iCloud Drive & Co. ab. Ob Geheimdienste und Cracker darauf zugreifen können, lässt sich allerdings kaum beurteilen. Boxcryptor verspricht, sie gleichermaßen einfach wie effizient zu verschlüsseln. Käufer des c't special Mac erhalten das Jahresabo im Wert von 36 Euro gratis.

  3. Eine Identität für alles mit Keycloak

    Eine Identität für alles mit Keycloak

    Keycloak ist eine Open-Source-Software, die Red Hat als Implementierung von OpenID Connect veröffentlicht hat. Entwickler können sie einfach und flexibel zur Authentisierung für eigene Applikationen verwenden.

  1. Missing Link: Facebook weiß es nicht besser

    Open Compute Project: OCP-Server bei Facebook in Lulea

    Während die deutschen Wähler hoffentlich zahlreich zu den Wahllokalen gehen, muss sich Facebook inzwischen in der Heimat USA harten Fragen stellen. Wie weit hat der Konzern zum Wahlsieg Donald Trumps beigetragen?

  2. Vertuschung 2.0: Im Fall Amri erlebt man dieselben Methoden wie beim NSU-Skandal

    Der Untersuchungsausschuss in Berlin ist mit massiven Widerständen seitens der Polizei konfrontiert

  3. c't uplink 18.9: Das Auto von morgen, Hybridradios, Vorsicht Kunde!

    c't uplink 18.8: Galaxy Note 8, Windows härten, Tuxedo Linux-Notebook

    Heute in c't uplink diskutieren wir über die Zukunft des Autos. Wir haben Hybridradios mit FM, DAB+ und Internet getestet, und Georg Schnurer zeigt uns einen besonders ekligen Fall von "Vorsicht, Kunde!".

  4. Proteste in London gegen Rausschmiss von Uber

    Bestätigungsdialog "Delete Uber?"

    In London regt sich massiver Protest gegen die Schließung des Fahrdienstes. Mehrere Hunderttausend haben bereits eine Pro-Uber-Petition unterzeichnet.

Anzeige