Neue Phishing-Methode zielt auf Steam-Accounts ab

[PCGH-Redaktion]

Jetzt ist Ihre Meinung gefragt zu Neue Phishing-Methode zielt auf Steam-Accounts ab

Mit einer neuen Phishing-Methode namens "Browser in the Browser" zielen Angreifer derzeit auf die Zugangsdaten von Steam-Accounts ab. Dazu wird auf einer Website ein gefälschtes Steam-Anmeldefenster gerendert, das auf den ersten Blick kaum vom Original zu unterscheiden ist.

Bitte beachten Sie: Der Kommentarbereich wird gemäß der Forenregeln moderiert. Allgemeine Fragen und Kritik zu Online-Artikeln von PC Games Hardware sind im Feedback-Thread zu veröffentlichen und nicht im Kommentarthread zu einer News. Dort werden sie ohne Nachfragen entfernt.

Zurück zum Artikel: Neue Phishing-Methode zielt auf Steam-Accounts ab

 

[BxBender]

Solche Fälle sind doch schon Jahre bekannt ?
Viele Leute hat es bei mir sogar Freundeskreisübergreifend am Stück ereilt.

 

[Prypjat_no1]

Kann sein das es Dir schon bekannt ist. Ich höre davon das erste Mal.
Es kann ja nicht verkehrt sein vor so etwas zu warnen. Gerade wenn man etwas unbedarfte Nutzer in der Verwandschaft und Bekanntschaft hat.

 

[Misanthrop68]

Diese Methode war mir auch nicht bekannt. Gut das ihr auf so was aufmerksam macht, DANKE!

 

[Flaim]

wurde von genau der methode vor rund einem jahr bei steam erwischt. dabei hat der hacker einen bereits gehackten account aus meinen kontakten genutzt, weshalb die masche überhaupt erst gezogen hat.
was mich stutzig gemacht hat ist, dass scheinbar nach dem hack absolut garnichts mit dem account gemacht wurde, außer die kontaktliste genauso weiter abzugrasen. weil mich ein paar freunde dann darauf aufmerksam gemacht haben konnte ich den zugriff auch recht schnell abschneiden und kollateralschadensbegrenzung betreiben.

 

[Kondar]

Auch die Zwei-Faktor-Authentisierung wird durch die "Browser in the Browser"-Attacke ausgehebelt:

Wow bin gerade echt geschockt und beeindruckt.

 

[Jeretxxo]

Das ist ja ne miese Masche, muss man jetzt besonders aufpassen bei solchen Seiten die einen zum Login bei Steam auffordern, bspw. diese "Vote my Server" Seiten für Custom Server und "Jetzt einlösen" wie das beispielsweise bei Humble Bundle und der Verlinkung bei Twitch der Fall ist, solche Seiten gibt es ja häufiger mit Steam Integration. Gut das dass hier steht, jetzt lieber 2 mal nachdenken wo man sich mit Steam anmeldet.

Edit: Hab mir das mal so grob durchgelesen, also wenn ich das so richtig sehe, brauch man in dem Fake einfach nur das Verschlüsselungssymbol anklicken und wenn nix passiert ist das ein Fake, da das in dem Browser nur gerendert und nicht funktional ist. Damit sollte es dann doch recht einfach zu identifizieren sein, ich jedenfalls Check immer erstmal die Zertifikate einer Seite bevor ich irgendwelche Logins eingebe.

 

[LastManStanding]

ich log mich jetzt nichts so häufig bei steam ein nachdem ich Tombraider durch hatte. vielleicht noch alle 2-4 Monate. Aber wenn mache ich das nur über das fenster was sich öffnet wenn man ein Steam spiel startet also dieses kleine Käschen auf dem Desktop. erlich gesagt wusste ich nichtmal das man sich bei Steam auch über den Browser einloggen kann.

Ist dieses kleine Login-Fenster auf dem Desktop auch über umwege betroffen?

"Freunde" habe ich bei keinem einzigen meiner Publisher je gehabt seit 2006.(Steam,Uplay,Galaxy,Microsoft)
Nur einen "Follower" bei Microsoft wo ich null Ahnung habe wer und warum das so sein soll, aber entfernen kann ich den auch nicht..

 

[RyzA]

Danke für die Infos. Ich habe mich noch nie im Browser bei Steam angemeldet.
Aber Sachen gibt es... wird ja immer dreister.

 

[chill_eule]

Ist dieses kleine Login-Fenster auf dem Desktop auch über umwege betroffen?

Da es sich dabei um die steam software selbst handelt, würde ich sagen: Nein.

Laut Artikel geht es nur um das einloggen im browser auf steampowered.com
Der lokale launcher auf dem heimischen PC sollte nicht davon betroffen sein.

 

[Incredible Alk]

Ich habe mich noch nie im Browser bei Steam angemeldet.

Ich auch nicht - hatte auch nie einen Grund dazu.

Aber das ist tatsächlich seit langem mal ne Phishingattacke bei der man nicht einfach sagen kann "jemandem mit ein bisschen Hirn kann da nix passieren" - was aber weniger daran liegt dass die Methode so triskreich ist sondern daran, dass die Grundlagen dafür von Valve einfach günstig gelegt sind (anmelden auf der Website für irgendwas - man könnte ja auch alles über das STEAM-Programm an sich regeln).

 

[LastManStanding]

Da es sich dabei um die steam software selbst handelt, würde ich sagen: Nein.

Laut Artikel geht es nur um das einloggen im browser auf steampowered.com
Der lokale launcher auf dem heimischen PC sollte nicht davon betroffen sein.

Ja das ist auch meine Vermutung, Allerdings geht es ja hier um den PC da geht fast alles^^- und wie heißt es so schön,.. "Ein Fischer wird einen anderen Fischer auch immer schon von weitem erkennen"

Zumindest denke ich das dies ein nicht unerhebliches Ziel der Initiatoren ist

 

[chill_eule]

Ein Fischer wird einen anderen Fischer auch immer schon von weitem erkennen

Und woran wohl vornehmlich?
Am Geruch

Am allerwichtigstens ist natürlich weiterhin die brain.exe und sobald einem irgendwas fishy (pun intended! ) vorkommt, lieber abbrechen!

Das mit dem gefälschten browser Fenster ist schon ne fiese Nummer, vor allem, wenn tatsächlich auch die 2-Faktor-Authentifizierung, also der "Steam Safeguard" mit ausgehebelt wird.

Der steam client an sich sollte aber safe sein, sofern man nicht eh schon malware in der Kiste hat ^^

Das einloggen bei steam über den browser habe ich schon ab und an gemacht.
Dank mancher news hier auf PCGH.de zu einem neuen potentiellen Steam-Hit
Falls vorhanden, führt ein link ja zu steampowered.com und öffnet nicht den client um ein Spiel der Wunschliste hinzu zu fügen.

Da es hier aber wohl auch wieder einmal nur um links geht, die einem zufliegen (per mail oder sonstwas) sollte man diese natürlich nicht anklicken und selbst initiierte Aktionen sollten eh safe sein.

 

[XT1024]

Aber das ist tatsächlich seit langem mal ne Phishingattacke bei der man nicht einfach sagen kann "jemandem mit ein bisschen Hirn kann da nix passieren"

Das Fenster ist mir zu eckig.
Die Titelleiste ist mir zu weiß.
Und was passiert wohl, wenn man neben das "Fenster" klickt?


Hach, wie schön war es damals, als zusätzliche Fenster auf der Taskleiste auftauchten.

 

[Jairun_T]

Hach, wie schön war es damals, als zusätzliche Fenster auf der Taskleiste auftauchten.

Du meinst das? Wenn ja, geht das immer noch. Einfach das Gruppieren auf "Nie" setzen.

 

[xxxxx1]

Wie gesagt: "Ich habe mich noch nie im Browser bei Steam angemeldet." Das geht?
E-Mails hab ich zu viele - ein Elend.

 

[Mirkmaenn]

Dazu wird auf einer Website ein gefälschtes Steam-Anmeldefenster "gerendert", das auf den ersten Blick kaum vom Original zu unterscheiden ist.

Also anhand der Renderzeiten sollte das doch jedem schon auffallen, das da was nicht stimmt. Die GUP geht in den Turbo, die Reflektionen sehen einfach mal hyper realistisch (und nicht nur so 2D dahingeklatscht aus) und dann dauert das. Und vor allem was sehen die Leute die keine GPU mit RT-Cores haben?

Vielleicht bin ich auch einfach schon zu lange mit der Technik und diesen billigen Tricks unterwegs aber hey "gerendert"!!!!!!

 

[Sidewinder]

Ich verstehe das mit dem 2. Faktor noch nicht - wie wird das in diesem Fall ausgehebelt?

Der Angreifer könnte entweder eine Fake-2FA integrieren (damit es echt aussieht), in dem der Nutzer den 2F eingibt, der aber nicht weiter verarbeitet wird.
Dann hat der Angreifer nur die Logindaten und kann sich aber ohne 2F nicht in den Account Einloggen.

Oder es handelt sich um einen man-in-the-middle Angriff, bei dem der Angreifer im Hintergrund einen echten Steam Login öffnet und die Daten der Fake Seite an diese weiterleitet und sich tatsächlich in den Account einloggt.
Das kann er dann aber nur genau einmal machen und müsste sofort die Zugangsdaten ändern, damit er den Account karpert.
Laut den Berichten der Betroffenen ist das aber nicht der Fall.

 

[Prypjat_no1]

Wenn eine 2FA abgefragt wird, werden die Angreifer wohl in Echtzeit auf Deinen Account zugreifen, sobald alle Anmeldedaten vollständig sind.
Das heißt: Nach dem erhalt des Nutzernamens und des Passworts, ploppt bei denen die 2FA auf und diese wird dann beim Opfer abgefragt. Die 2FA Codes halten ja nicht sehr lange, also werden die Angreifer das in Echtzeit mit Bots abarbeiten müssen, um an alle Daten zu kommen und sich auf den Account des Opfers anzumelden.
Jetzt wäre noch die Frage was sie mit den Account anfangen wollen.
Das Passwort des Accounts ändern? Geht nur nach erneuter 2FA Abfrage wenn ich mich recht erinnere.
Und ohne 2FA müsste man eine Passwortänderung per Email bestätigen.
Wenn man nun nicht gerade das gleiche Passwort für seinen Email Account nutzt, sollten die Angreifer das nicht ändern können.
Schlecht wäre es für das Opfer, wenn auf dem Steam Account alle Bezahldaten hinterlegt sind und die Angreifer erst mal schön auf Kreditkarte shoppen können.
Eine Möglichkeit wäre es auch alle Kontakte des Opfers anzuschreiben und im Text einen Link zu hinterlegen, der dann eine weitere Phishing Attacke aufruft oder Maleware nachlädt.

Möglichkeiten gibt es da bestimmt viele.
Wie immer gilt! Keine Links in Mails öffnen, es sei denn man erwartet diese Mail und den Login für Steam nur auf der Offiziellen Steam Seite nutzen, wenn es schon im Browser sein muss.
Und sollte man sich anderweitig mit seinem Steam Account authentifizieren müssen, dann nach der Seite mal googeln und schauen ob die vertrauenswürdig ist.
Ich habe mich ja auch für den Multiplayer vom Euro Truck Simulator mit meinen Steam Account authentifiziert und meinen Steam Account verknüpft.

 

[DKK007]

Du meinst das? Wenn ja, geht das immer noch. Einfach das Gruppieren auf "Nie" setzen.

Anhang anzeigen 1402304

Ja ich hab das seit Win7 auch immer auf allen PCs genutzt. Mit den kleinen Symbolen konnte und kann ich mich nicht anfreunden.

Ich habe mich ja auch für den Multiplayer vom Euro Truck Simulator mit meinen Steam Account authentifiziert und meinen Steam Account verknüpft.

Ja die Rewards von den Online-Aufträgen bei ETS2 setzten leider eine Verknüpfung des Accounts voraus.