Chrome-Lücke erlaubt das Auslesen von Windows-Login-Hashes

In Googles Web-Browser Chrome klafft eine Sicherheitslücke, die es Angreifern außer- und innerhalb eines LANs ermöglicht, NTLMv2-Anmeldeinformationen auszulesen. Die Lücke basiert darauf, dass Chrome .scf-Dateien herunterlädt, ohne den Nutzer vorher zu fragen. Diese Kommando-Dateien werden vom Windows-Explorer automatisch ausgeführt, wenn der Nutzer das entsprechende Verzeichnis öffnet. Wenn der Angreifer einen SMB-Server aufgesetzt hat, wird dieser vom Explorer kontaktiert, da die Datei ihm sagt, dass dort ein Icon abgelegt ist. Der Client übermittelt dabei den Nutzernamen und das gehashte Passwort des Anwenders.

Die NTLM-Credentials kann ein Angreifer im LAN des Opfers wiederum dazu missbrauchen, um sich als das Opfer auszugeben und sich an dessen Stelle bei Diensten im selben Netz anzumelden, die ebenfalls diese Art Credentials akzeptieren. Gelingt es Angreifern auf diesem Wege, die Passwort-Hashes von Admins auszulesen, eröffnen sich vielfältige Angriffsmöglichkeiten. Der Sicherheitsforscher, der die Lücke gefunden hat, kritisiert, dass andere Browser wie Firefox, Safari, Internet Explorer und Edge den Nutzer fragen, ob er SCF-Dateien herunterladen will. Bei diesen Browsern ist es für Angreifer also schwieriger, Nutzer mittels eines bösartigen Links hereinzulegen.

Da Google seinen Browser momentan noch nicht gegen diese Art Angriff abgesichert hat, bleibt Nutzern, die sich schützen wollen, nichts anderes übrig, als das Risiko einer solchen Attacke anderweitig zu verringern. Netz-Admins können etwa NTLM-Anmeldungen in der Domäne per Gruppenrichtlinie verbieten oder einzelne Nutzer können Chrome dazu bringen, bei jedem Download zu fragen, in welchem Verzeichnis die Datei abgelegt werden soll. Auf diese Weise sieht der Nutzer auch, welche Art Datei heruntergeladen werden soll. Dies lässt sich unter "Erweiterte Einstellungen" in den Chrome-Einstellungen aktivieren. (fab)