Hotfix für Steam-Profil-Exploit verfügbar

Eine Sicherheitslücke ermöglichte das Ausführen bösartiger Scripte auf Profilseiten. Steam hat inzwischen einen Hotfix für den Exploit veröffentlicht, alle User sollten dringend den Steamclient updaten.

Update von 19:04 Uhr: Steam hat einen offiziellen Patch für den Client veröffentlicht, der das Sicherheitsproblem mit schädlichen Steamprofilen ausbessert.

Betroffene User, die denken, dass sie sich auf einem schädlichen Profil vor dem Aufspielen des Fix befanden, werden dazu angehalten, ihr Passwort zu ändern und den Mobile Authenticator zu aktiveren. Details zur Machart des Exploits finden sich auf der Steam-Reddit-Seite.

Ursprüngliche Nachricht: Nutzer der digitalen Gaming- und Vertriebsplattform Steam sollten vorerst davon absehen, Profile anderer Nutzer anzuschauen oder auch nur aufzurufen. Diese Warnung gilt sowohl für die Desktop- als auch für die Mobile-Version des Portals - und für sämtliche Browser.

Grund für die relativ drastische Empfehlung, die aktuell im Netz kursiert, ist eine Sicherheitslücke. Auf die weist der Steam-Reddit-Moderator R3TR1X hin - die Rede ist von Phishing und der Ausführung bösartige Scripts. Angreifer mit den richtigen Kenntnissen könnten versuchen, sensible Nutzerdaten abzugreifen.

Mehrere Nutzer bestätigen Sicherheitslücke

Die Sicherheitslücke wurde mittlerweile durch mehrere andere Nutzer bestätigt. Unter anderem meldete sich ein angeblicher Web-Entwickler zu Wort und gab zu verstehen, ein »Proof of Concept« durchgeführt zu haben. Ihm sei es gelungen...

• ...Nutzer von seinem Steam-Profil aus automatisch auf beliebige externe Webseiten weiterzuleiten. Dort ließe sich dann zum Beispiel eine getarnte Steam-Login-Seite betreiben, um an Login-Daten zu gelangen.

• ...Steam-Markt-Guthaben des Besuchers für beliebige Dinge auszugeben.

• ...Elemente auf der Profilseite zu manipulieren.

Es wird dazu geraten, keinerlei Login- oder sonstige Informationen auf irgendwelchen Seiten einzugeben, die nach dem Aufrufen eines Steam-Profils erscheinen. Außerdem sollten Nutzer Java Script deaktivieren und vorerst generell keine Steam-Profile mehr aufrufen.

Daten an Valve weitergeleitet

Man habe Valve mittlerweile von dem Problem in Kenntnis gesetzt und alle relevanten Daten weitergegeben, heißt es.

Wer bereits betroffen ist, wird dazu aufgefordert, sein Steam-Passwort zu ändern, den mobilen Authentifikator zu aktivieren und die eigene IP-Adresse zu wechseln - zum Beispiel durch einen Router-Neustart. Auch der Einsatz eines Malware-Scanners oder Anti-Viren-Programms wird Betroffenen empfohlen. Quelle