Subdomain Takeover: Sicherheitsfirmen übernehmen Subdomain von EA

Die Subdomain eaplayinvite.ea.com des Spieleherstellers Electronic Arts ist von Sicherheitsfirmen übernommen worden. Über einen weiteren Angriff konnten die Firmen auch an Nutzerdaten gelangen.

Artikel veröffentlicht am ,
Hat nicht gut auf seine Subdomain aufgepasst: Electronic Arts
Hat nicht gut auf seine Subdomain aufgepasst: Electronic Arts (Bild: Paul Downey/CC-BY 2.0)

Eine verwaiste Subdomain des Spieleherstellers Electronic Arts (EA) konnte von den Sicherheitsfirmen Checkpoint und Cyberint übernommen werden - ein sogenannter Subdomain-Takeover. Mit der übernommenen Subdomain konnten die Sicherheitsfirmen mittels einer Phishingseite an die Zugangstokens der Spieler gelangen und so auf deren persönliche Daten zugreifen. Die Sicherheitslücken wurden laut Checkpoint mittlerweile behoben.

Stellenmarkt
  1. Fachexperten / -innen für Gebäude und Wohnungen im Registerzensus (w/m/d)
    Statistisches Bundesamt, Wiesbaden
  2. Backend-Entwickler (m/w/d) Schwerpunkt Integration
    Deutsche Leasing AG, Bad Homburg v. d. Höhe bei Frankfurt
Detailsuche

Webseiten und -dienste unter der eigenen Domain müssen nicht zwangsweise selbst betrieben werden, sondern lassen sich auch an Cloud-Dienste oder -Hoster auslagern. Genau das hatte Electronic Arts mit seiner Marketingwebseite eaplayinvite.ea.com gemacht, deren Inhalte auf Microsofts Cloud-Platform Azure gehostet wurden. Über einen CNAME-Eintrag im DNS leitete die EA-Subdomain im Hintergrund auf ea-invite-reg.azurewebsites.net um.

Der Spielehersteller löschte die Subdomain bei Azure, vergaß aber, auch den zugehörigen CNAME-Eintrag zu löschen. Die EA-Subdomain zeigte daher auf ein nicht mehr existierendes Azure-Konto. Genau dieses registrierten sich Checkpoint und Cyberint und konnten über die CNAME-Weiterleitung beliebige Inhalte unter der echten EA-Subdomain eaplayinvite.ea.com ausspielen.

Von der Subdomain zum Zugangstoken

Nachdem sie die Sudbomain übernommen hatten, untersuchten die Sicherheitsfirmen das Anmeldesystem von EA. Die Spieler müssen sich nur einmalig via Single Sign-on (SSO) bei EA mit ihren Zugangsdaten anmelden, um einen Zugriff auf alle EA-Seiten zu erhalten, ohne die Zugangsdaten erneut eingeben zu müssen. Hierzu wird ein SSO-Token generiert, mit dem sich die Spieler auf der jeweiligen Webseite authentifizieren. Über die Subdomain eaplayinvite.ea.com hatten die Sicherheitsfirmen theoretisch eine solche Webseite unter Kontrolle.

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  3. IT-Fachseminare der Golem Akademie
    Live-Workshops zu Schlüsselqualifikationen
Weitere IT-Trainings

Unter der Subdomain betrieben die Sicherheitsfirmen eine Phishingwebseite, in der signin.ea.com in einem Iframe eingebunden ist. Meldet sich ein Benutzer über diese Webseite an, konnten die Sicherheitsfirmen über mehrere Redirects das Zugangstoken an die Subdomain unter ihrer Kontrolle übergeben lassen und hatten somit Zugriff auf das SSO-Token eines Spielers.

Angreifer hätten den so gewonnenen Zugangstoken nutzen können, um sich mit diesem bei EA anzumelden und die dort über den Spieler hinterlegten Daten einzusehen. Zudem hätten sie Spiele oder Accessoires auf Kosten des Konteneigentümers bestellen können.

Erst kürzlich konnte Golem.de durch einen Subdomain-Takeover bei Microsoft beliebige Informationen auf den Windows-Kacheln anzeigen. Im April ermöglichte eine Sicherheitslücke in der Windows-Version der Spieleplattform EA Origin das Ausführen von Programmen unter Windows - und konnte hierdurch auch Schadcode nachladen und ausführen. Hierzu musste ein Origin-Nutzer nur auf einen speziellen Link klicken.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Opel Mokka-e im Praxistest
Reichweitenangst kickt mehr als Koffein

Ist ein Kompakt-SUV wie Opel Mokka-e für den Urlaub geeignet? Im Praxistest war nicht der kleine Akku das eigentliche Problem.
Ein Test von Friedhelm Greis

Opel Mokka-e im Praxistest: Reichweitenangst kickt mehr als Koffein
Artikel
  1. Statt TCP: Quic ist schwer zu optimieren
    Statt TCP
    Quic ist schwer zu optimieren

    Eine Untersuchung von Quic im Produktiveinsatz zeigt: Die Vorteile des Protokolls sind wohl weniger wichtig als die Frage, wer es einsetzt.

  2. Lockbit 2.0: Ransomware will Firmen-Insider rekrutieren
    Lockbit 2.0
    Ransomware will Firmen-Insider rekrutieren

    Die Ransomware-Gruppe Lockbit sucht auf ungewöhnliche Weise nach Insidern, die ihr Zugangsdaten übermitteln sollen.

  3. Galactic Starcruiser: Disney eröffnet immersives (und teures) Star-Wars-Hotel
    Galactic Starcruiser
    Disney eröffnet immersives (und teures) Star-Wars-Hotel

    Wer schon immer zwei Tage lang wie in einem Star-Wars-Abenteuer leben wollte, bekommt ab dem Frühjahr 2022 die Chance dazu - das nötige Kleingeld vorausgesetzt.

User_x 26. Jun 2019

Frage soweit, wenn Kundendaten bzw. hier auch zusätzlich eine Phishing Seite aufgezogen...



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Fire TV Stick 4K Ultra HD 29,99€, Echo Dot 3. Gen. 24,99€ • Robas Lund DX Racer Gaming-Stuhl 143,47€ • HyperX Cloud II Gaming-Headset 59€ • Media Markt Breaking Deals [Werbung]
    •  /