Account hacking

[Zap]

Ich möchte heute mal über ein unfreundliches Thema schreiben das mir in letzter Zeit immer mal wieder über den Weg gelaufen ist, nämlich das Hacken von Accounts.

Ich frage mich immer, wie das denn passieren kann und ob es mich auch treffen könnte.

Erstmal eine Liste was man alles falsch machen kann:

• Man benutzt einfach zu erratende Passwörter (wahrscheinlich ist das Raten des Passworts aber die schwierigste Methode)
• Der Benutzername ist der gleiche wie ein Charaktername
• Der Benutzername ist der gleiche wie der in (irgend)einem Forum oder DKP-System
• Das Passwort ist das gleiche wie in (irgend)einem Forum oder DKP-System
• Man hat den Usernamen/Passwort jemandem weitergegeben

Besonders zu beachten ist, dass Blizzard in Antwortmails (z.B. vom Support) den Benutzernamen zeigt unter dem die Anfrage gestellt wurde. Hat man so eine Mail auf dem Mailserver (z.B. bei web.de oder GMX), kann jeder mit Zugriff auf die Mail diesen Namen auslesen. Das wiederum bedeutet, dass es ausreicht den Mailaccount zu hacken und man bekommt quasi den WoW-Zugang gratis geliefert.
Diese Mails sollte man also nicht auf dem Mailserver liegen lassen sondern entweder löschen oder lokal auf dem Rechner speichern!

Durch das Beachten der folgenden Punkte sollte man vor beinahe allen Angriffen sicher sein:

• Man benutzt niemals die WoW-Kennung oder das Passwort für andere Dienste im Internet (Forum, DKP-System, Mail etc.)
• Man gibt den Account niemals weiter was natürlich auch Level-Services ausschließt.
• Man achtet bei Webseiten auf denen man die WoW-Kennung eingeben soll darauf, dass es echte Blizzard-Seiten sind. Eigentlich sollten das alles sichere https-Seiten sein und man kann an dem gelben Schloss in der Browserstatuszeile sehen für wen das Zertifikat ausgestellt wurde.
• Das Passwort sollte mindestens 8 Zeichen lang sein und aus Groß-/Kleinbuchstaben, Ziffern und Sonderzeichen bestehen. Man kann sich auch solche Passwörter merken, wenn man sie jeden Tag eintippt.
  
• Alle paar Monate sollte man das Passwort ändern
• Den Benutzernamen kann man leider nicht ändern, d.h. in der Regel kann man hier nur bei der Accounterstellung aufpassen.
• Natürlich sollten Virenscanner (z.B. FreeAV) und Firewall (z.B. Zone Alarm) auf keinem Rechner fehlen.

Die einzige Methode gegen die das alles nicht hilft ist ein Keylogger, der die Eingabe mitschreibt und an den Angreifer schickt. Allerdings dürfte auch dieser nicht sehr erfolgreich sein, wenn der WoW-Client den Benutzernamen gespeichert hat und man immer nur das Passwort eingibt.

Ich hoffe ich konnte das Thema verständlich beschreiben und evtl. bewahrt es ja jemandem seinen Account.

PS: Der Keylogger wird natürlich deutlich gefährlicher, wenn er speziell für bzw. gegen den WoW-Client geschrieben ist. Dann kann er natürlich auch die Benutzkennung im entsprechenden File auslesen und mitliefern.

http://hits.ultramega.info/zap.gif

 

[Arido]

Ergänzung:
Keylogger haben auch keine Chance, wenn man das Passwort cut and paste einfügt!

Super, soetwas sollte länger als ein Blog stehen bleiben.

 

[Narayan]

Ich finde, dass Punkt 5 zu Punkt 1 umgeschrieben werden sollte.

@Arido:
Stimmt wohl, aber wenn du es Cut&Paste irgendwo stehen hast, heisst das, dass es auch irgendwo auf deiner Platte gespeichert sein muss. Und dann steht die Tür wieder sperrangelweit offen für irgendwelche Trojaner die externen Zufriff auf die Festplatte erlauben.
In so einem Fall möchte ich auf die sog. Passwort-Tools hinweisen. Ich selbst verwende beispielsweise das Freeware-Tool Password Corral zum Speichern aller meiner Accounts. Die Daten werden hier per Blowfish-Encryption auf der Platte hinterlegt und sind nur mit meinem Master-Passwort abrufbar.
Das sollte man sich also noch gönnen wenn man auf Nummer Sicher gehen will

 

[Zap]

Arido hat aber nicht unrecht - der Keylogger muss dann ja erstmal die richtige Datei finden, was auch nicht ganz trivial ist. Allerdings dürfte es auch nicht unmöglich sein die aktuelle Zwischenablage mit in das verschickte Datenpaket zu packen...

 

[Zap]

@Narayan: Ich hab die Reihenfolge der Punkte nochmal ein wenig nach Prio umsortiert.

 

[Narayan]

Ich rede ja da auch nicht von Keyloggern sondern von anderen Schädlingen die es auf private Daten abgesehen haben.
Und ja, es gibt sicher auch Tools die die Zwischenablage auslesen können.
Sicher ist man ja quasi vor gar nichts mehr.

 

[TomStar]

...oder man nutzt ein schädliches Addon...

 

[Zap]

Schädliches Addon? Wenn Du keine selbstextrahierenden EXE-Files nutzt kann da relativ wenig passieren. Die LUA-Schnittstelle kann meines Wissens nach nicht auf Deine Accountdaten zugreifen.