Origin: Schwere Sicherheitslücke wurde entdeckt

Die Online-Distributionsplattform Origin von Spielepublisher Electronic Arts (EA) ist von einer schwerwiegenden Sicherheitslücke betroffen. Demnach können URI-Links des Desktop-Clients manipuliert werden, um Malware zu installieren.

Wie 'SlashGear' unter Berufung auf das Sicherheitsunternehmen 'ReVuln' (PDF) berichtet, kann man mit Hilfe dieser Origin-Schwachstelle per Remote-Zugriff gefährlichen Code auf den Rechner des Nutzers einschleusen. Entdeckt wurde die Lücke von den zwei ReVuln-Sicherheitsforschern Luigi Auriemma und Donato Ferrante, sie haben das Ergebnis ihrer Analyse Ende vergangener Woche auf der Black-Hat-Sicherheitskonferenz vorgestellt.


Die von ReVuln veröffentlichte grundsätzliche Funktionsweise eines möglichen Exploits
Der Exploit setzt beim Desktop-Client von Origin an: Dabei werden URI-Links (Uniform Resource Identifier) eingesetzt. Origin verwendet eine Web-basierte Syntax um die gespeicherten bzw. installierten Daten lokal auf dem Rechner des Nutzers zu finden. Das ist an sich eine verbreitete Methode und wird auch von anderen Anbietern genutzt.

ReVuln - Sicherheitslücke in Origin
Im Falle von Origin ist es laut den ReVuln-Experten möglich, die URI-Links zu manipulieren, damit diese zu kompromittierten .dll-Dateien führen, die wiederum für diverse Zwecke missbraucht werden können (Malware-Download, Tracking-Software etc.). Die ReVuln-Forscher demonstrieren die Sicherheitslücke auch in einem Video anhand des Spiels Crysis 3, dabei wurde "origin://LaunchGame/" verändert, auf diese Weise konnte Malware geöffnet werden, ohne dass die Forscher gewusst haben, welche Spiele überhaupt auf dem PC installiert waren.

Gegenüber 'Ars Technica' sagte ein EA-Sprecher, dass das Origin-Team "ständig derartige hypothetische Möglichkeiten" untersuche, um die Sicherheitsinfrastruktur zu verbessern. Aus der Aussage geht allerdings nicht hervor, ob bei EA diese spezielle Lücke bereits bekannt war.

ReVuln empfiehl vorerst den "origin://"-URI zu deaktivieren, was mit einem Tool wie 'URLProtocolView' funktioniert. Dann können Games nur noch direkt von Origin gestartet werden, aber nicht über angepasste URIs.

Anmerkung: Vielen Dank an WinFuture-Leser Sören für den Hinweis.