Die Möglichkeit zum Teilen von Themes eröffnet Angreifern die Option,
Windows 10-Nutzern die Zugangsdaten zu entwenden. Die Funktionsweise lässt sich mit den allseits bekannten Phishing-Angriffen in E-Mails vergleichen.
Windows 10 bietet seinen Nutzern die Möglichkeit, das eigene Theme mit allen Einzeleinstellungen mit anderen Anwendern zu teilen. Wenn man in den Themes-Einstellungen einen Rechtsklick auf das aktuell aktive Erscheinungsbild vornimmt, bekommt man die Möglichkeit angeboten dieses abzuspeichern, um es dann an andere Anwender weiterzugeben. Die Konfigurations-Datei, in der die verschiedenen Optionen festgehalten sind, lässt sich aber verhängnisvoll manipulieren.
Wie das US-Magazin
Bleeping Computer unter Berufung auf den Sicherheitsforscher Jimmy Bayne berichtet, lässt sich hier ein Hintergrundbild einstellen, das erst von einer externen SMB-Adresse heruntergeladen werden soll. In diesem Fall wird der Nutzer, der das Theme installieren will, aufgefordert sich anzumelden. Die entsprechende Anfrage erweckt dabei den Eindruck, dass die eigenen Zugangsdaten für den Windows-Account benötigt würden.
Besser nichts eingeben!
Ganzer Microsoft-Account betroffen
Wenn der Anwender diese eingibt, wird die Kennung an den Server des Theme-Anbieters übertragen - das Passwort dabei zwar in Form eines Hashes, der allerdings nicht gerade mit einem hochgradig komplexen Algorithmus erzeugt wird. Insbesondere einfachere Passwörter, wie sie von vielen Nutzern dann doch verwendet werden, können so in ziemlich überschaubarem Zeitaufwand rekonstruiert werden.
Und das kann schwerwiegende Folgen haben - denn die Login-Kennung gilt für den kompletten Microsoft-Account des Users. Angreifer können sich mit Kenntnis des Passwortes dann in E-Mail-Accounts, Azure-Konten und auch Firmennetze einloggen. Es ist nicht zu erwarten, dass Microsoft an der Sache etwas ändern wird, da es sich im Kern um ein ordentlich funktionierendes Feature handelt, das nur eben auch missbraucht werden kann. Anwender sollten hier also entsprechend vorsichtig sein. Und Administratoren in Firmenumgebungen täten gut daran, die so genannten NTLM-Richtlinien anzupassen und jede Datenweitergabe an externe Server zu unterbinden.
Siehe auch: