Abo
  • Services:

Spähsoftware: Maxthon-Browser sendet kritische Daten nach China

Forscher haben entdeckt, dass der alternative Browser Maxthon sicherheitsrelevante Nutzerdaten an einen Server in Peking sendet. Die Daten ließen sich hervorragend für gezielte Angriffe nutzen. Und sie sind nur schlecht gegen Dritte abgesichert.

Artikel veröffentlicht am ,
Der Maxthon-Browser stammt aus dem Pekinger Dongcheng District. Die Firma Maxthon Ltd. hat aber auch ein Büro in San Francisco.
Der Maxthon-Browser stammt aus dem Pekinger Dongcheng District. Die Firma Maxthon Ltd. hat aber auch ein Büro in San Francisco. (Bild: Wikimedia/CC-BY-SA 3.0)

Der aus China stammende Browser Maxthon sendet gegen den expliziten Willen des Nutzers kritische Nutzerdaten an Server in China. Das haben Forscher der polnischen Sicherheitsfirma Exatel herausgefunden, wie sie in einem gestern veröffentlichten Paper berichten.

Stellenmarkt
  1. ESG Elektroniksystem- und Logistik-GmbH, Fürstenfeldbruck
  2. Bosch Gruppe, Stuttgart

In den betroffenen Nutzerdaten soll sich neben Informationen über verwendete CPU, Betriebssystem und installierte Plugins auch die gesamte Browserhistorie des Nutzers befinden. Damit werden automatisch nicht nur eine Liste besuchter Webseiten, sondern auch möglicherweise in URLs eingebettete Benutzernamen und Passwörter abgefischt. Darüber hinaus fanden die Forscher in den nach China übertragenen Daten eine vollständige Liste aller auf ihrem Rechner installierten Programme einschließlich genauer Versionsnummern.

Gesammelte Daten perfekt für Cyberangriff

Die so gesammelten Informationen bieten eine ideale Grundlage für gezielte Angriffe auf die Nutzer von Maxthon. Mit dem Wissen um installierte Software und deren Versionen können etwaige Sicherheitslücken identifiziert werden. Mit Hilfe der Browserhistorie ist es zudem möglich, Phishing-Seiten zu präparieren und gezielt Malware zu verteilen. "Die übermittelten Daten enthalten im Grunde alles, was man in einer Cyberoperation sammeln würde, um genau zu wissen, wo man angreifen muss", bestätigte Justin Harvey, CSO bei Fidelis Cybersecurity gegenüber Security Week.

Dem Exatel-Paper zufolge werden die Daten in einer verschlüsselten ZIP-Datei per HTTP an einen Server in Peking übermittelt. Die Verschlüsselung konnten die Forscher jedoch leicht per Reverse Engineering aushebeln, denn die Daten werden mit einem konstanten, 16 Byte langen AES-Schlüssel (nämlich "eu3o4[r04cml4eir") verschlüsselt, der fest in den Quellcode des Browsers eingebaut ist. Die nach China versandten sicherheitsrelevanten Daten können also nicht nur von den Maxthon-Machern gelesen werden, sondern auch von einem beliebigen Man in the Middle.

Maxthon bisher uneinsichtig

Kontaktiert von besorgten Nutzern zeigte sich Maxthon uneinsichtig: Die übermittelten Daten seien Teil von Maxthons "User Experience Improvement Program" zur Verbesserung des Produktes. Die Teilnahme daran sei freiwillig und vollkommen anonym, und könne im Browser per Opt-out deaktiviert werden. Die Exatel-Forscher fanden jedoch, dass der Maxthon-Browser die Daten auch nach dem Opt-out noch in identischem Umfang sammelt und nach China sendet.

Die Entdeckung durch Exatel ist besonders brisant, weil der Maxthon-Browser in der Vergangenheit damit warb, besonders sicher zu sein und die Privatsphäre seiner User gegen die Übergriffe der NSA zu verteidigen. In einem Browser-Test des PC Magazins vom Januar 2016 landet Maxthon in der Kategorie "Sicherheit" gar auf Platz 2, noch vor Mozillas Firefox.

In einem älteren Blogpost von Maxthon heißt es: "Die Sicherheit und Privatsphäre bei Maxthon verdienen besonderes Lob. Warum? Weil wir Do Not Track unterstützen, mit dem Sie ohne jede Aufzeichnung der von Ihnen besuchten Webseiten surfen können." Diesen Blogpost sollte Maxthon wohl schleunigst korrigieren.



Anzeige
Spiele-Angebote
  1. (-80%) 1,99€
  2. 2,99€
  3. 59,99€ mit Vorbesteller-Preisgarantie
  4. (-15%) 33,99€

My2Cents 20. Jul 2016

Man kann während der Installation nicht alles deaktivieren. Da sind noch etliche...

dantist 16. Jul 2016

Wenn z.B. Origin eine Liste aller installierten Programme auf USA-Server überträgt...

glasen77 15. Jul 2016

Und was willst du uns damit sagen? Maxthon stammt schon immer aus China, der Firmensitz...

nicoledos 15. Jul 2016

Dann melde aber auch Chrome, Opera, Dolphin und wie sie alle heißen. Alles Browser, die...

jaw 15. Jul 2016

Das ist korrekt, deswegen steht in der Meldung ja auch 16 "Byte", und nicht Bit.


Folgen Sie uns
       


Samsung Galaxy Note 9 - Hands On

Samsung hat das neue Galaxy Note 9 vorgestellt. Wir konnten uns das Smartphone vor der Vorstellung bereits anschauen.

Samsung Galaxy Note 9 - Hands On Video aufrufen
Razer Huntsman im Test: Rattern mit Infrarot
Razer Huntsman im Test
Rattern mit Infrarot

Razers neue Gaming-Tastatur heißt Huntsman, eine klare Andeutung, für welchen Einsatzzweck sie sich eignen soll. Die neuen optomechanischen Switches reagieren schnell und leichtgängig - der Geräuschpegel dürfte für viele Nutzer aber gewöhnungsbedürftig sein.
Ein Test von Tobias Költzsch

  1. Huntsman Razer präsentiert Tastatur mit opto-mechanischen Switches
  2. Razer Abyssus Essential Symmetrische Gaming-Maus für Einsteiger
  3. Razer Nommo Chroma im Test Blinkt viel, klingt weniger

Always Connected PCs im Test: Das kann Windows 10 on Snapdragon
Always Connected PCs im Test
Das kann Windows 10 on Snapdragon

Noch keine Konkurrenz für x86-Notebooks: Die Convertibles mit Snapdragon-Chip und Windows 10 on ARM sind flott, haben LTE integriert und eine extrem lange Akkulaufzeit. Der App- und der Treiber-Support ist im Alltag teils ein Manko, aber nur eins der bisherigen Geräte überzeugt uns.
Ein Test von Marc Sauter und Oliver Nickel

  1. Qualcomm "Wir entwickeln dediziertes Silizium für Laptops"
  2. Windows 10 on ARM Microsoft plant 64-Bit-Support ab Mai 2018
  3. Always Connected PCs Vielversprechender Windows-RT-Nachfolger mit Fragezeichen

Indiegames-Rundschau: Schiffbruch, Anime und viel Brummbrumm
Indiegames-Rundschau
Schiffbruch, Anime und viel Brummbrumm

Gas geben, den weißen Hai besiegen und endlich die eine verlorene Socke wiederfinden: Die sommerlichen Indiegames bieten für jeden etwas - besonders fürs Spielen zu zweit.
Von Rainer Sigl

  1. Indiegames-Rundschau Spezial Unabhängige Riesen und Ritter für Nintendo Switch
  2. Indiegames-Rundschau Schwerelose Action statt höllischer Qualen
  3. Indiegames-Rundschau Kampfkrieger und Abenteuer in 1001 Nacht

    •  /