Subdomain Takeover: Sicherheitsfirmen übernehmen Subdomain von EA

Die Subdomain eaplayinvite.ea.com des Spieleherstellers Electronic Arts ist von Sicherheitsfirmen übernommen worden. Über einen weiteren Angriff konnten die Firmen auch an Nutzerdaten gelangen.

Artikel veröffentlicht am ,
Hat nicht gut auf seine Subdomain aufgepasst: Electronic Arts
Hat nicht gut auf seine Subdomain aufgepasst: Electronic Arts (Bild: Paul Downey/CC-BY 2.0)

Eine verwaiste Subdomain des Spieleherstellers Electronic Arts (EA) konnte von den Sicherheitsfirmen Checkpoint und Cyberint übernommen werden - ein sogenannter Subdomain-Takeover. Mit der übernommenen Subdomain konnten die Sicherheitsfirmen mittels einer Phishingseite an die Zugangstokens der Spieler gelangen und so auf deren persönliche Daten zugreifen. Die Sicherheitslücken wurden laut Checkpoint mittlerweile behoben.

Webseiten und -dienste unter der eigenen Domain müssen nicht zwangsweise selbst betrieben werden, sondern lassen sich auch an Cloud-Dienste oder -Hoster auslagern. Genau das hatte Electronic Arts mit seiner Marketingwebseite eaplayinvite.ea.com gemacht, deren Inhalte auf Microsofts Cloud-Platform Azure gehostet wurden. Über einen CNAME-Eintrag im DNS leitete die EA-Subdomain im Hintergrund auf ea-invite-reg.azurewebsites.net um.

Der Spielehersteller löschte die Subdomain bei Azure, vergaß aber, auch den zugehörigen CNAME-Eintrag zu löschen. Die EA-Subdomain zeigte daher auf ein nicht mehr existierendes Azure-Konto. Genau dieses registrierten sich Checkpoint und Cyberint und konnten über die CNAME-Weiterleitung beliebige Inhalte unter der echten EA-Subdomain eaplayinvite.ea.com ausspielen.

Von der Subdomain zum Zugangstoken

Nachdem sie die Sudbomain übernommen hatten, untersuchten die Sicherheitsfirmen das Anmeldesystem von EA. Die Spieler müssen sich nur einmalig via Single Sign-on (SSO) bei EA mit ihren Zugangsdaten anmelden, um einen Zugriff auf alle EA-Seiten zu erhalten, ohne die Zugangsdaten erneut eingeben zu müssen. Hierzu wird ein SSO-Token generiert, mit dem sich die Spieler auf der jeweiligen Webseite authentifizieren. Über die Subdomain eaplayinvite.ea.com hatten die Sicherheitsfirmen theoretisch eine solche Webseite unter Kontrolle.

Unter der Subdomain betrieben die Sicherheitsfirmen eine Phishingwebseite, in der signin.ea.com in einem Iframe eingebunden ist. Meldet sich ein Benutzer über diese Webseite an, konnten die Sicherheitsfirmen über mehrere Redirects das Zugangstoken an die Subdomain unter ihrer Kontrolle übergeben lassen und hatten somit Zugriff auf das SSO-Token eines Spielers.

Angreifer hätten den so gewonnenen Zugangstoken nutzen können, um sich mit diesem bei EA anzumelden und die dort über den Spieler hinterlegten Daten einzusehen. Zudem hätten sie Spiele oder Accessoires auf Kosten des Konteneigentümers bestellen können.

Erst kürzlich konnte Golem.de durch einen Subdomain-Takeover bei Microsoft beliebige Informationen auf den Windows-Kacheln anzeigen. Im April ermöglichte eine Sicherheitslücke in der Windows-Version der Spieleplattform EA Origin das Ausführen von Programmen unter Windows - und konnte hierdurch auch Schadcode nachladen und ausführen. Hierzu musste ein Origin-Nutzer nur auf einen speziellen Link klicken.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Western Australia
Eine radioaktive Kapsel - irgendwo im australischen Outback

Wie eine radioaktive Kapsel in Australien verlorengehen konnte, ob sie gefährlich ist, warum sie so schwierig zu finden war und wofür solche Kapseln gut sind.
Ein Bericht von Werner Pluta

Western Australia: Eine radioaktive Kapsel - irgendwo im australischen Outback
Artikel
  1. Streaming: Netflix zieht Maßnahmen gegen Konten-Sharing zurück
    Streaming
    Netflix zieht Maßnahmen gegen Konten-Sharing zurück

    Netflix wird vorerst wohl doch nichts unternehmen, wenn ein Netflix-Konto unerlaubterweise mit anderen geteilt wird.

  2. Objekte in Javascript: Von Literalen, Konstruktoren und Klassen
    Objekte in Javascript
    Von Literalen, Konstruktoren und Klassen

    Objekte kennen alle Entwickler, in Javascript kann man dennoch leicht auf den Holzweg geraten. Wir zeigen, wo die Gefahren lauern und wie man auf dem richtigen Pfad bleibt.
    Eine Anleitung von Dirk Koller

  3. Backblaze & HDDs: Große Festplatten sind zuverlässig
    Backblaze & HDDs
    Große Festplatten sind zuverlässig

    In der aktuellen Zuverlässigkeitsstatistik von Backblaze glänzen mechanische Festplatten mit hoher Kapazität, auch kleinere Modelle sind teilweise recht robust.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • 15% Extra-Rabatt auf Fernseher bei Otto • Roccat Kone Pro -56% • Xbox Series S + Dead Space 299,99€ • PCGH Cyber Week • MindStar: ASRock RX 7900 XT 949€ • AMD CPU kaufen, SW Jedi Survivor gratis dazu • Philips LED TV 65" 120 Hz Ambilight 999€ • KF DDR4-3600 32GB 91,89€ [Werbung]
    •  /