Abo
  • IT-Karriere:

Best of the Web: Trust-Siegel verteilt Keylogger

Eigentlich soll das Best-of-the-Web-Siegel die Sicherheit von Webseiten zertifizieren, stattdessen wurden über ein gehacktes Script Keylogger eingebunden.

Artikel veröffentlicht am ,
Best-of-the-Web-Siegel: Keylogger statt Sicherheit.
Best-of-the-Web-Siegel: Keylogger statt Sicherheit. (Bild: GuHyeok Jeong)

Sicherheit, Privatsphäre und Business-Verification soll das Best-of-the-Web-Siegel laut seiner Werbeaussage für rund 30 US-Dollar im Monat bieten. Doch mit dem Script, mit welchem das Siegel auf der Webseite eingebunden werden kann, fingen sich die als sicher zertifizierten Webseiten zwei Keylogger ein. Entdeckt hatte die Keylogger der Sicherheitsforscher Willem de Groot. Zuerst hatte das Onlinemagazin Bleepingcomputer berichtet.

Stellenmarkt
  1. Vodafone GmbH, Düsseldorf
  2. ENGEL Automatisierungstechnik Deutschland GmbH, Hagen

"Wir wurden darüber informiert, dass das Script, das wir zur Einbindung von Vertrauens-Siegeln verwenden und auf Amazons Content Delivery Network (CDN) hosten, kompromittiert wurde", schrieb Best of the Web am 13. Mai auf Twitter, nachdem de Groot seinen Fund weitergegeben hatte. Angreifer hatten bereits am 24. April einen der beiden Keylogger integriert, der zweite folgte laut dem Sicherheitsforscher vorige Woche. Best of the Web möchte nun einen Security Audit durchführen und die betroffenen Webseiten informieren. Bei einigen betroffenen Webseiten sind die Keylogger nach wie vor aktiv.

Siegel und Infrastruktur

Auch ein Siegel des TÜV soll sichere Onlineshops garantieren, allerdings konnte Golem.de mit geringem Aufwand auf mehreren Seiten mit Safer-Shopping-Siegel - und auf der TÜV-Webseite selbst - sehr banale Sicherheitslücken entdecken. Immerhin verteilt das TÜV-Siegel nicht selbst Schadsoftware.

Infrastruktur, die von vielen Nutzern verwendet oder eingebunden wird, ist ein lukratives Ziel, über sie kann Schadsoftware weiter verteilt werden. Erst kürzlich wurde eine mit Schadsoftware verseuchte Version des Live-Update-Tools über gehackte Asus-Server verteilt. Mit einer echten Signatur war sie kaum zu erkennen. Ähnliches passierte bei sechs weiteren Firmen.



Anzeige
Top-Angebote
  1. (u. a. Samsung U32J590UQU UHD-Monitor + Xbox One S 1 TB Bundle mit The Division 2 oder Minecraft...
  2. (u. a. WD Elements Desktop 4 TB für 82,99€)
  3. mit Rabatt auf Monitore, SSDs, Gehäuse und mehr
  4. (u. a. The Legend of Zelda, Super Smash Bros. Ultimate)

Schleicher 16. Mai 2019 / Themenstart

Dann sollte doch der XSS-Schutz von NoScript greifen oder? So wie hier: https://www.golem...

Olliar 16. Mai 2019 / Themenstart

Es geht bei solchen "Siegeln" doch nur um das Verschieben der Verantwortung. Jetzt its...

Kommentieren


Folgen Sie uns
       


Huawei P30 Pro - Test

5fach-Teleobjektiv und lichtstarker Sensor - das Huawei P30 Pro hat im Moment die beste Smartphone-Kamera.

Huawei P30 Pro - Test Video aufrufen
Kontist, N26, Holvi: Neue Banking-Apps machen gute Angebote für Freelancer
Kontist, N26, Holvi
Neue Banking-Apps machen gute Angebote für Freelancer

Ein mobiles und dazu noch kostenloses Geschäftskonto für Freiberufler versprechen Startups wie Kontist, N26 oder Holvi. Doch sind die Newcomer eine Alternative zu den Freelancer-Konten der großen Filialbanken? Ja, sind sie - mit einer kleinen Einschränkung.
Von Björn König


    Raumfahrt: Jeff Bezos' Mondfahrt
    Raumfahrt
    Jeff Bezos' Mondfahrt

    Blue Moon heißt die neue Mondlandefähre des reichsten Mannes der Welt, Jeff Bezos. Sie ist vor exklusivem Publikum und ohne Möglichkeit von Rückfragen vorgestellt worden. Wann sie fliegen soll, ist unklar.
    Von Frank Wunderlich-Pfeiffer

    1. Artemis Trump will Nasa-Budget für die Mondlandung aufstocken
    2. SpaceIL Israelische Mondlandung fehlgeschlagen
    3. Raumfahrt Trump will bis 2024 Astronauten auf den Mond bringen

    Zulassung autonomer Autos: Der Mensch fährt besser als gedacht
    Zulassung autonomer Autos
    Der Mensch fährt besser als gedacht

    Mehrere Jahre haben Wissenschaftler und Autokonzerne an Testverfahren für einen Autobahnpiloten geforscht. Die Ergebnisse sprechen für den umfangreichen Einsatz von Simulation. Und gegen den schnellen Einsatz der Technik.
    Von Friedhelm Greis

    1. Ingolstadt Audi vernetzt Autos mit Ampeln
    2. Wasserkühlung erforderlich Leistungshunger von Auto-Rechnern soll stark steigen
    3. Waymo One Lyft vermittelt Waymos autonome Taxis

      •  /