Steam-Client: Über Jahre angreifbar - dann durch Zufall abgedichtet

Millionen von Nutzern der Gaming-Plattform Steam lebten über viele Jahre mit dem Risiko, über eine Sicherheitslücke sehr einfach mit Malware bombardiert zu werden. Die Schwachstelle wurde erst jetzt entdeckt, wo sie durch andere Maßnahmen in der Vergangenheit bereits indirekt fast geschlossen worden ist. Beschrieben wurde das Problem jetzt von Tom Court, der die Security-Forschung bei Context leitet. Demnach wäre es im Grunde möglich gewesen, Schad-Software direkt an alle zu einem bestimmten Zeitpunkt aktiven Steam-Clients zu schleusen und in den Rechnern zu verankern. Da teilweise bis zu 15 Millionen Nutzer parallel über die Anwendung auf der Plattform eingeloggt sind, hätte hier also in kürzester Zeit ein riesiges Botnetz entstehen können.

Offenbar hatte der Betreiber Valve hier Glück im Unglück und die Schwachstelle wurde wohl nie von Kriminellen ausfindig gemacht. Denn es gibt im Grunde keine Anzeichen für eine größere Attacke. Trotzdem ist natürlich nicht auszuschließen, dass die Lücke vielleicht genutzt wurde, um einzelne Anwender zu attackieren und diesen beispielsweise gezielt Spionage-Software unterzujubeln.

Jüngstes Update macht alles klar

Eine Besonderheit in diesem Fall: Die Schwachstelle wurde erst jetzt entdeckt und beschrieben, kann aber schon seit geraumer Zeit im besten Fall noch genutzt werden, um den Steam-Client zum Absturz zu bringen. Die Entwickler bei Valve haben nämlich schon vor einiger Zeit die Sicherheit der Software generell verbessert und damit eine volle Ausnutzung recht weitgehend unterbunden.

Konkret verdanken die heutigen Steam-Nutzer einem Update aus dem Sommer 2017 ihren Schutz. Damals stellten die Valve-Entwickler auf die Address Space Layout Randomization (ASLR) um. Die Technik sorgt dafür, dass Funktionen von Programmen nicht mehr an vorhersehbaren Stellen im Arbeitsspeicher abgelegt werden und durch fremde Codes genutzt werden können um unerwünschte Aktionen durchzuführen. Mit dem jüngsten Steam-Update ist auch die Crash-Gefahr gebannt.

Download Steam - Offizieller Android-Client der Spieleplattform