Bug in Origin von Electronic Arts gefährdete Windows-Nutzer

Electronic Arts hat eine Schwachstelle in seiner Online-Gaming-Plattform Origin behoben. Diese ermöglichte Remote Code Execution unter Windows, wie Sicherheitsforscher herausgefunden haben.

Die Electronic Arts Origin-App

Zehn Millionen Spieler nutzen die Origin App von Electronic Arts, um Spiele zu kaufen, diese herunterzuladen und anschließend online zu spielen. Um den Zugriff auf den Shop eines einzelnen Spiels über das Internet zu erleichtern, hat der Client ein eigenes URL-Schema. Dieses ermöglicht es Spielern, die App zu öffnen und ein Spiel von einer Webseite zu laden. Dazu brauchen sie nur auf einen Link mit origin:// in der Adresse klicken.

Eine Remote Execution-Schwachstelle in Origin

Windows-Benutzer, die die Origin-App installiert hatten, wurden jedoch durch einen kapitalen Bug in ihrer Sicherheit beeinträchtigt. Zwei Sicherheitsforscher, Daley Bee und Dominik Penner von Underdog Security fanden heraus, dass die Origin-App dazu gebracht werden kann, jede beliebige App auf dem Computer des Opfers auszuführen.

Gegenüber Techcrunch sagte Dale Bee: "Ein Angreifer hätte alles laufen lassen können, was er wollte." Die Sicherheitsforscher stellten TechCrunch den Proof-of-Concept-Code bereit, um den Fehler selbst zu testen. Der Code erlaubte es jeder App, auf der gleichen Berechtigungsebene wie dem angemeldeten Benutzer zu laufen. Zur Demonstration öffneten die Forscher den Windows-Rechner – um die Remote Code Execution auf dem betroffenen Computer zu zeigen.

Ein bösartiger Link reicht

Techcrunch zeigt in diesem Artikel ein animiertes Gif mit dem Angriff. Aber es kommt noch schlimmer. Laut den Aussagen der Sicherheitsforscher könnte ein Hacker bösartige PowerShell-Befehle senden, um zusätzliche bösartige Komponenten herunterzuladen und Ransomware zu installieren.

Laut Bee reicht ein bösartiger Link, als E-Mail gesendet oder auf einer Webseite angeboten, um den Angriff auszuführen. Wird das Ganze mit einem Cross-Site-Scripting-Exploit kombiniert, könnte der Link auch automatisch im Browser ausgeführt werden und so bösartigen Code ausführen. So war es auch möglich, das Zugangs-Token eines Benutzers mit einer einzigen Zeile Code zu stehlen. Auf diese Weise hätte ein Hacker Zugriff auf das Konto eines Benutzers erhalten können, ohne dass er das Passwort dieses Benutzers benötigte.

Der macOS-Client von Origin war von dem Fehler nicht betroffen. EA-Sprecher John Reseburg bestätigte, dass am Montag ein Fix für die Windows-Version der Origin-App eingeführt wurde. Laut TechCrunch funktionierte der Exploit nach dem Update nicht mehr.