Antiviren-Software: Kaspersky-Javascript ermöglichte Nutzertracking

Die Kaspersky-Antivirensoftware bindet in jede Webseite eigenen Javascript-Code ein. Bis vor kurzem war dieser noch mit einer eindeutigen ID versehen, den man zum Tracking nutzen konnte.

Artikel veröffentlicht am ,
Kasperskys Antiviren-Software verwendet fragwürdige Methoden, um die Aufrufe von Webseiten zu manipulieren.
Kasperskys Antiviren-Software verwendet fragwürdige Methoden, um die Aufrufe von Webseiten zu manipulieren. (Bild: Alexander Plushev, Wikimedia Commons/CC-BY 2.0)

Die Antiviren-Software von Kaspersky manipuliert geladene Webseiten und fügt dort Javascript-Code ein. Das hat die Zeitschrift c't aufgedeckt. Webseiten hätten diesen Code zum Tracking nutzen können. Das Tracking hat Kaspersky jetzt unterbunden, doch problematisch bleibt das Ganze weiterhin.

Stellenmarkt
  1. Senior Software Architect .NET (m/w)
    MED-EL Medical Electronics, Innsbruck (Österreich)
  2. Trainer (m/w/d) - Android App Entwickler / Developer
    WBS GRUPPE, deutschlandweit (Home-Office)
Detailsuche

Ronald Eikenberg, einem Journalisten der Zeitschrift c't, war aufgefallen, dass auf einem System mit der Antiviren-Software von Kaspersky bei allen Webseitenaufrufen eine zusätzliche Javascript-Datei geladen wurde. Kaspersky manipuliert dabei auch verschlüsselte HTTPS-Verbindungen, indem die Software ein Root-Zertifikat im System installiert und dann einen Man-in-the-Middle-Angriff durchführt - eine Methode, die schon in der Vergangenheit zu Sicherheitsproblemen geführt hat.

Eindeutige Kennung wird in jede geladene Webseite eingefügt

Im Pfad der geladenen Javascript-Datei befand sich ein längerer hexadezimaler Code in Form einer UUID. Das Pikante daran: Anhand dieses Codes konnte man einen Nutzer eindeutig erkennen, denn dieser war bei jeder Installation ein anderer. Denn da der Code in fremde Webseiten eingefügt wird, können diese darauf zugreifen und ihn auslesen.

Eikenberg meldete dies und Kaspersky veröffentlichte im Juli ein Securityadvisory und ein entsprechendes Update. In einem Test konnten wir das Verhalten nachvollziehen. Wenn man von der Kaspersky-Webseite aktuell eine kostenlose Testversion herunterlädt, zeigt die noch das alte Verhalten: Jedes System, auf dem die Software installiert ist, meldet sich mit einer eigenen ID. Erst als wir manuell ein Update durchgeführt haben, wurde die ID vereinheitlicht.

Golem Akademie
  1. IT-Sicherheit für Webentwickler
    5.-6. Juli 2021, online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
Weitere IT-Trainings

Wirklich befriedigend ist das nicht. Denn das Verhalten führt auch dazu, dass Kaspersky anhand der HTTP-Referrer sehen kann, welche Webseiten Nutzer aufrufen. Zudem ist es denkbar, dass in dem von Kaspersky eingefügten Javascript-Code selbst Sicherheitsprobleme schlummern. Damit der Code auf Webseiten, die Content Security Policy einsetzen, überhaupt geladen werden kann, manipuliert Kaspersky auch diesen Header und setzt damit möglicherweise Schutzmechanismen außer Kraft.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Der Nachfolger von Windows 10
Windows 11 ist da

Nun ist es offiziell: Microsoft kündigt das neue Windows 11 an. Vieles war bereits vorher bekannt, einiges Neues gibt es aber trotzdem.

Der Nachfolger von Windows 10: Windows 11 ist da
Artikel
  1. EE: Britische Netzbetreiber führen wieder Roaming ein
    EE
    Britische Netzbetreiber führen wieder Roaming ein

    Für britische Mobilfunk-Nutzer ist die Zeit des freien Telefonierens in der EU bald vorbei. EE und zuvor O2 und Three haben Einschränkungen angekündigt.

  2. Krypto-Betrug in Milliardenhöhe: Gründer von Africrypt stehlen 69.000 Bitcoin
    Krypto-Betrug in Milliardenhöhe
    Gründer von Africrypt stehlen 69.000 Bitcoin

    Die Gründer der Kryptoplattform Africrypt haben sich offenbar mit 69.000 gestohlenen Bitcoin abgesetzt. Der Betrug deutete sich schon vor Monaten an.

  3. Interview: Avatar und die global beleuchteten Mikrodetails von Pandora
    Interview
    Avatar und die global beleuchteten Mikrodetails von Pandora

    Waldplanet statt The Division: Golem.de hat mit dem Technik-Team von Avatar - Frontiers of Pandora über die Snowdrop-Engine gesprochen.
    Ein Interview von Peter Steinlechner

apedev 16. Aug 2019

Korrekt. Solange du nichts gegen Uncle Sam sagst, hast du nichts zu befürchten. Deine...

apedev 16. Aug 2019

Ich frage mich da auch wie man das feststellt, dass man nicht infiziert ist. Immerhin...

antiphp 15. Aug 2019

Bin vor 2 Jahren zu ESET gewechselt weil mich die AJAX Calls von Kaspersky genervt haben...

MarcusK 15. Aug 2019

@Golem Warum bauen sie JS in jede Seite ein? Was ist das Ziel davon? Das sie jede Seite...

twothe 15. Aug 2019

Als ich vor Jahren Kaspersky mal ausprobiert hatte, musste ich danach meine Festplatte...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Mega-Wiedereröffnung bei MediaMarkt - bis zu 30 Prozent Rabatt • Samsung SSD 980 Pro PCIe 4.0 1TB 166,59€ • Gigabyte M27Q 27" WQHD 170Hz 338,39€ • AMD Ryzen 5 5600X 251,59€ • Dualsense Midnight Black + R&C Rift Apart 99,99€ • Logitech Lenkrad-Sets zu Bestpreisen [Werbung]
    •  /