Passwortmanager: Lastpass teilt weitere Details zum Dezember-Hack mit

Über einen Keylogger auf einem Privatrechner konnten Angreifer Adminzugriff auf diverse Lastpass-Kundendaten und dessen Quellcode erhalten.

Artikel veröffentlicht am 28. Februar 2023, 11:50 Uhr, Oliver Nickel

Mittels Keylogger wurde Lastpass infiltriert. (Bild: Pixabay.com/Montage: Golem.de)

Das Unternehmen Lastpass hat mehr Informationen dazu preisgegeben, wie eine fremde Partei an Kundendaten und andere wichtige Interna des Passwortmanagers gelangen konnte. Für den Hack, der bereits im Dezember 2022 bekannt wurde, nutzten die Angreifer gestohlene Daten eines vorangegangenen Hacks und eines weiteren Vorfalls. Damit konnten sie sich Zugang zum Account eines der vier Devops-Entwickler im Team verschaffen.

Dabei wurde der private Heimcomputer des Opfers mittels Remote Code Execution infiltriert. Die Lücke existierte innerhalb eines nicht näher genannten Medienpakets eines Drittanbieters. Die Angreifer konnten unbemerkt einen Keylogger auf dem Computer installieren. Der sendete Tastatureingaben wieder zurück - unter anderem Passwörter und Anmeldedaten.

"Die Angreifer konnten das Masterpasswort des Mitarbeiters abgreifen, nachdem dieser sich mit einer Mehrfaktorauthentifizierung anmeldete", schreibt Lastpass. Mit den gestohlenen Informationen konnte die angreifende Partei Zugriff auf die verschlüsselten Amazon-S3-Buckets der Firma erhalten. Dort wurden diverse Informationen exportiert. Das gelang unbemerkt über mehrere Monate: von August bis Oktober 2022.

Quellcode und Kundendaten gestohlen

Unter den gestohlenen Daten befinden sich etwa 14 von 200 Software-Repositorys des Lastpass-Quellcodes und interne Scripts aus diesen Repositorys - unter anderem Zertifikate der Firma. Außerdem konnte die interne technische Dokumentation kopiert werden. Unter den Daten befinden sich zusätzlich Back-ups von Kundenablagen, die unter anderem sensible Vault-Daten wie Installationspfade und einige E-Mail-Adressen enthalten.

Allerdings sind die Back-up-Daten auf den Laufwerken laut Hersteller verschlüsselt gespeichert. Nur Kunden selbst können sie mit ihren eigenen Passwörtern lesen. Der Sicherheitsforscher Jeremi Gosney gab aber bereits im Dezember 2022 an, dass in der Kontextdatei nicht alle Daten verschlüsselt sind. Entsprechend werden sicherlich zumindest ein paar Daten durch den Hack kompromittiert sein. Darüber ließen sich etwa individuelle Phishing-E-Mails erstellen, die möglicherweise dann an weitere Informationen der Kunden gelangen.