Youtube: Linus Tech Tips per Session-Token-Diebstahl übernommen

Linus Tech Tips ist nach einem Hack wieder online, im ersten neuen Video erklärt Linus Sebastian die Hintergründe. Die Masche macht gerade bei Youtube die Runde.

Artikel veröffentlicht am 24. März 2023, 17:15 Uhr, Tobias Költzsch

Das Team der Linus Media Group kann sich freuen: Die Youtube-Kanäle sind wieder online. (Bild: Linus Media Group)

Der Gründer des Medienunternehmens Linus Media Group, Linus Sebastian, hat in einem neuen Video auf seinem Haupt-Youtube-Kanal Linus Tech Tips Hintergründe zum jüngsten Hack bekannt gegeben. Der Kanal wurde am 23. März 2023 zusammen mit weiteren Channels des Medienunternehmens gehackt und für die Verbreitung von Krypto-Videos und Scams verwendet.

Sebastian zufolge erlangten die Hacker die Kontrolle, indem ein Session Token übernommen wurde. Ein Session Token wird vom Browser erstellt und lokal gespeichert; er verhindert, dass Nutzer sich nach dem Einloggen auf einer Webseite sofort wieder neu anmelden müssen.

Die Angreifer gelangten Sebastian zufolge über eine per E-Mail eingeschleuste Malware an die kompletten Browserdaten eines Mitarbeiters der Linus Media Group. Ein vermeintliches PDF wurde geöffnet, das allerdings ein Schadprogramm mit falscher Dateiendung war. Daraufhin hatten sie Zugang zum Youtube-Konto und konnten die Scam-Streams starten sowie Videos löschen.

Session Token liefen nicht aus

Es gibt Webseiten, bei denen der Session Token nach kurzer Zeit wieder gelöscht wird – dann müssen sich Nutzer wieder neu anmelden. Vor allem bei Social-Media-Seiten, zu denen auch Youtube zählt, laufen diese Tokens aber ohne Zeitlimit. Auf dieser Prämisse beruht der Hack, der bereits bei vielen anderen Youtube-Kanälen durchgeführt wurde – Linus Sebastians Kanäle sind nicht die ersten Opfer.

In seinem Video betrachtet Sebastian in erster Linie sein Unternehmen und die Strukturen kritisch, die dafür gesorgt hätten, dass der Hack funktioniert habe. Dabei betont er, dass er die Schuld klar bei sich und der Unternehmensführung und nicht beim Mitarbeiter sehe, dessen Computer gehackt worden sei. Der nicht genannte Mitarbeiter stamme aus der Buchhaltung und werde nicht zur Rechenschaft gezogen.

Stattdessen will die Linus Media Group die internen Prozesse neu organisieren und unter anderem bei der Einarbeitung von Mitarbeitern für eine bessere Schulung sorgen. Sebastian kritisiert allerdings am Ende des Videos auch Google. Unter anderem bemängelt der Kanadier, dass es möglich sei, den Namen eines Kanals zu ändern, ohne noch einmal das Passwort eingeben zu müssen.