Windows 10: Theme-Teilen-Funktion ermöglicht Passwort-Diebstahl

Die Möglichkeit zum Teilen von Themes eröffnet Angreifern die Option, Windows 10-Nutzern die Zugangsdaten zu entwenden. Die Funktions­weise lässt sich mit den allseits bekannten Phishing-Angriffen in E-Mails vergleichen. Windows 10 bietet seinen Nutzern die Möglichkeit, das eigene Theme mit allen Einzel­ein­stel­lun­gen mit anderen Anwendern zu teilen. Wenn man in den Themes-Ein­stel­lun­gen einen Rechtsklick auf das aktuell aktive Erscheinungsbild vornimmt, bekommt man die Möglichkeit angeboten dieses abzuspeichern, um es dann an andere Anwender weiterzugeben. Die Konfigurations-Datei, in der die verschiedenen Optionen festgehalten sind, lässt sich aber verhängnisvoll manipulieren.

Wie das US-Magazin Bleeping Computer unter Berufung auf den Sicherheitsforscher Jimmy Bayne berichtet, lässt sich hier ein Hintergrundbild einstellen, das erst von einer externen SMB-Adresse heruntergeladen werden soll. In diesem Fall wird der Nutzer, der das Theme installieren will, aufgefordert sich anzumelden. Die entsprechende Anfrage erweckt dabei den Eindruck, dass die eigenen Zugangsdaten für den Windows-Account benötigt würden. Besser nichts eingeben!

Ganzer Microsoft-Account betroffen

Wenn der Anwender diese eingibt, wird die Ken­nung an den Server des Theme-Anbie­ters über­tragen - das Pass­wort dabei zwar in Form eines Hashes, der aller­dings nicht gerade mit einem hoch­gradig komple­xen Algo­rithmus erzeugt wird. Insbe­sondere ein­fachere Pass­wörter, wie sie von vielen Nutzern dann doch ver­wendet werden, können so in ziemlich über­schau­barem Zeit­auf­wand rekon­struiert werden.

Und das kann schwerwiegende Folgen haben - denn die Login-Kennung gilt für den kompletten Microsoft-Account des Users. Angreifer können sich mit Kenntnis des Passwortes dann in E-Mail-Accounts, Azure-Konten und auch Firmennetze einloggen. Es ist nicht zu erwarten, dass Microsoft an der Sache etwas ändern wird, da es sich im Kern um ein ordentlich funktionierendes Feature handelt, das nur eben auch missbraucht werden kann. Anwender sollten hier also entsprechend vorsichtig sein. Und Administratoren in Firmenumgebungen täten gut daran, die so genannten NTLM-Richtlinien anzupassen und jede Datenweitergabe an externe Server zu unterbinden.

Siehe auch: