Ich wurde gestern von einem Bekannten auf eine E-Mail von K&M hingewiesen, in der für eine Gutschrift geworben wird. Die Mail kam von K&M und sah auch vertrauenswürdig aus, zumal sie auf die offizielle K&M-Webseite linkte. Es was aber trotzdem eine Phishingmail. Was war passiert?
Zuerst – anders als in vielen Foren vermutet – K&M wurde nicht gehackt und es wurden auch keine Daten gestohlen. Was die Phisher hier ausgenutzt haben, war eine „Sicherheitslücke“ im K&M-Shopsystem. Das bedeutet: Ihr braucht Euer PW nicht zu ändern.
Zu den Details:
Da hat der Programmierer des Shops eindeutig gepennt. Beim Aufruf der Shop-Kategorien wird in der URL ein Parameter mitgebeben z.B. „cat=5“. Der GuteProgrammierer™ überprüft jetzt, ob hier wirklich eine Zahl übergeben wurde. Im Falle K&M wurde das nicht überprüft und – das ist der Oberknaller – der Wert direkt an die Datenbank durchgereicht. So konnte man ein geschickt platziertes SQL an diesem Parameter dazu nutzen, auf der Ergebnis-Seite seinen eigenen HTML-Code anzeigen zu lassen. (Stichwort: SQL-Injection).
Was passiert nun hier in diesem Fall, wenn man auf den Link geklickt hat?
– die offizelle K&M-Webseite wurde aufgerufen
– Es wurde die K&M-Webseite auch korrekt angezeigt
– Zusätzlich wurde ein Java-Applet geladen
– Dieses Java-Applet hat durch eine Sicherheitslück eine EXE heruntergeladen und ausgeführt
– diese EXE hat sich auf dem Rechner installiert und in den Autostart der Registry eingetragen
Ich habe die EXE durch Virus-Total gejagt. Kein Scanner hat die EXE als Malware/Virus erkannt (So viel zu diesen Snakeoil-Produkten).