Windows 10: Hintergrundbilder ermöglichen Stehlen von Accountdaten
Der Sicherheitsforscher Jimmy Bayne hat eine Methode zum Stehlen von Account-Daten in Windows 10 entdeckt. Mit Hilfe von eigens erstellten Windows-Designs und speziell Desktophintergründen ist es möglich, Opfer zur Eingabe ihrer Kontodaten zu bewegen. Der daraus gewonnene Hash-Wert, der vom NTLM-Authentifizierungsverfahren(öffnet im neuen Fenster) versendet wird, soll anschließend leicht knackbar sein.
Der Pass-the-Hash-Angriff funktioniert durch Designs, die Desktophintergründe auf einem Remote-Server nutzen wollen, erklärt Bayne auf Twitter(öffnet im neuen Fenster) . Windows 10 möchte sich nämlich per NTLM auf diesem Server anmelden und gibt anschließend ein Eingabefenster aus. Sollten sich Opfer dann anmelden, kann der an den Server übermittelte Hash-Wert von der angreifenden Partei in Klartext umgerechnet werden. Das könnte im Falle eines Microsoft-Accounts, welcher meist auf mehr als nur Windows 10 zugreifen kann, gefährlich werden.
Zugriff auf Netzwerkressource
Angepasste Designs können vom Betriebssystem in Themenpakete verpackt und dann auf Webseiten mit der Community geteilt werden. Designs sind dabei durch eine Textdatei mit der Endung .theme definiert, welche die Parameter für das jeweilige Design vorgibt. Zu finden sind diese im Ordner "%AppData%\Microsoft\Windows\Themes" . Eine manipulierte Datei wird mit dem Parameter Wallpaper etwa auf eine URL verweisen, unter der das Desktop-Hintergrundbild für das jeweilige Design zu finden ist.
Es gibt mehrere Methoden, um diese doch recht simple Sicherheitslücke zu umgehen. So rät Bayne etwa dazu, Dateiendungen mit Begriffen wie Theme, Themepack und Desktopthemepackfile zu blocken. Allerdings ist es dann nicht mehr möglich, eigene Designs in Windows 10 zu ändern. Per Gruppenrichtlinie könnte auch NTLM-Traffic zu Remote-Standorten blockiert werden. Hier ist mit Einschränkungen zu rechnen, wenn Accounts auf dem so konfigurierten Gerät Zugriff zu Remote-Shared-Ordnern im eigenen Unternehmen haben. Microsoft Sharepoint ist ein Beispieldienst, der NTLM verwendet.
Das Aktivieren der Mehrfaktor-Authentifizierung für Microsoft-Konten ist ebenfalls hilfreich - genauso wie das grundlegende Verständnis, sich nicht auf unbekannten Quellen mit dem eigenen Account anzumelden.