Flash-Lücke: Angreifer konnten Webcam unbemerkt aktivieren

Hamburg - Eine gemeine Flash-Sicherheitslücke hat der Informatik-Student Feross Aboukhadijeh entdeckt. Angreifern sei es mit Tricks möglich gewesen, die Webcams anderer Nutzer via Web einzuschalten. Im Prinzip ist die Methode schon seit 2008 bekannt, Adobe ergriff damals Gegenmaßnahmen. Aboukhadijeh konnte diese aber drei Jahre später umgehen.

So funktioniert der Hack: Die Angreifer locken das Opfer auf eine Website, auf der sie die Flashplayer-Einstellungen von Adobes Website unsichtbar einbinden. Über die für den Nutzer nicht sichtbare Schaltfläche der Flashplayer-Voreinstellungen legen sie andere Elemente, etwa ein Spiel - Clickjacking nennt sich diese fiese Methode. Die scheinbar harmlosen Klicks in dem vordergründig eingeblendeten Spiel werden darunter an das unsichtbare Fenster durchgereicht, so dass der Anwender, ohne es zu merken, selbst die Einstellungen derart ändert, dass Webcam und Mikrofon künftig vom Angreifer manipuliert werden können.

Mit den Webbrowsern Safari und Firefox auf dem Mac hat Stanford-Student Aboukhadijeh diese Lücke ausprobiert und entsprechende Code-Schnippsel zur Verfügung gestellt, mit denen man seinen Erfolg nachvollziehen kann. Er habe auch schon eine Idee, wie man Nutzer von Windows-Rechnern hereinlegen könne, schrieb er am Dienstag auf seiner Website. Adobe hat die Lücke allerdings nach eigenen Angaben in der Nacht von Donnerstag auf Freitag geschlossen, ein Software-Update müssen die Nutzer nicht installieren.

Ob sich in der Zwischenzeit oder schon davor Angreifer dieser Lücke bedient haben, ist bisher unklar. Die Webcams in Apple-Rechnern zeigen zumindest mit einer kleinen Leuchtdiode an, wenn sie in Betrieb sind. Wer trotzdem auf Nummer sicher gehen will, kann in den Einstellungen seines Flashplayers nachsehe.