Subdomain Takeover: Angreifer hätten EA-Spielerkonten übernehmen können

Sicherheitsforscher fanden heraus, wie man Generalschlüssel von bei EA-Services registrierten Spielern abgreifen kann. Mittlerweile geht das aber nicht mehr.

In Pocket speichern vorlesen Druckansicht 1 Kommentar lesen
Subdomain Takeover: Angreifer hätten EA-Spielerkonten übernehmen können

(Bild: MasterTux)

Lesezeit: 2 Min.

Aufgrund eines Versäumnisses vom Publisher und Spielehersteller Electronic Arts (EA), hätten Angreifer Zugriff auf Tokens von Spielern bekommen können. Damit wäre beispielsweise eine Anmeldung bei EAs Videospiel-Vertriebssplattform Origin möglich gewesen. Dort lagern etwa Kreditkarteninformationen; Einkäufe auf Kosten von Opfern wären vorstellbar gewesen.

Sicherheitsforscher von Check Point haben sich in diese Postion begeben und EA das Sicherheitsproblem mitgeteilt. Mittlerweile hat der Publisher das Problem gelöst. EA zufolge blicken sie auf 300 Millionen registrierte Nutzer und 2018 generierte das Unternehmen einen Umsatz von 8 Milliarden US-Dollar.

Einstiegspunkt für die Forscher war die verwaiste Subdomain eaplayinvite.com. EA betreibt verschiedene Domains, welche bei Cloud-Services laufen – hier: Azure. Dahin führt ein CNAME-Eintrag im DNS (ea-invite-reg.azurewebsites.net).

In diesem Fall hat EA zwar die Subdomain gelöscht, den CNAME-Eintrag aber nicht. So konnten die Sicherheitsforscher sich ein passendes Azure-Konto einrichten, so die Subdomain übernehmen und Daten von EA-Nutzern abschnorcheln.

EA betreibt mehrere Online-Dienste parallel. Damit Nutzer sich überall komfortabel einloggen können, setzen Sie auf das oAuth-Protokoll und einen Single Sign-on-Mechanismus (SSO). Der Token dafür ist quasi der Generalschlüssel für alle EA-Konten wie Origin-, Fortnite & Co.

Begibt sich nun ein angemeldeter Spieler auf die gekaperte Subdomain, bringt er auch seinen Generalschlüssel mit, den sich Angreifer hätten unter den Nagel reißen können. Weitere Details zu ihrer Vorgehensweise führen die Sicherheitsforscher in einem Beitrag aus. (des)