16. Mai 2006:

Böse Grüße & Firefox-Probleme

Die niederländische Sicherheitswebseite Securityview berichtet von einem ernsten Sicherheitsproblem, mit dem sich die Entwickler des Firefox derzeit herumschlagen müssen. Es geht um die an sich nicht zulässige Verbindung von Image-Source-Tags mit Mailto-URLs. Webseiten können so manipuliert sein, dass auf Grund dieser Kombination bereits beim Ansurfen automatisch das installierte Mailprogramm geöffnet wird – nicht nur einmal, sondern so oft, wie es der Programmierer der manipulierten Webseite vorgesehen hat. Für den betroffenen Rechner besteht akute Absturzgefahr. Exploits, die diesen Fehler ausnutzen, kursieren bereits. Wieder in Umlauf sind auch jene „freundlichen“ Betrugsmails, die vorgaukeln, von einem eCard-Service zu kommen. Klickt der Empfänger auf den Link zu seiner angeblichen eCard, lädt er sich als „netten“ Gruß ein Schadprogramm herunter.

Fehler im Firefox
Die Kombination von Image-Source-Tags und mailto-URLs ist normalerweise nicht erlaubt – wozu auch? Sinnvoll ist diese Kombination nicht, erwartet der Browser doch bei Image-Source-Tags regelmäßig die Webadresse eines Bildes. Wer im Quelltext Image-Source-Tags dennoch mit Mailto-URLs kombiniert, bereitet dem Open-Source-Browser Firefox bzw. seinem Nutzer derzeit arge Probleme, wie die niederländische Sicherheitswebseite Securityview meldet und auch demonstriert. Ihre Betreiber haben zu Demonstrationszwecken eine manipulierte Webseite (Vorsicht!) ins Netz gestellt. Wer diese Seite mit dem Firefox ansteuert, kann arge Probleme bekommen. Der Internet Explorer erweist sich hier übrigens als sicher.

Hundert Mails
Mit Hilfe eines JavaScript-Befehls wird die Kombination aus Image-Source-Tag und Mailto-URL gleich einhundert Mal aufgerufen. Firefox veranlasst dabei jedes Mal, dass das installierte Standardmailprogramm aufgerufen wird. Es öffnen sich nacheinander einhundert neue Email-Fenster mit Adresse, ausgefüllter Betreffzeile und vorgegebenem Nachrichtentext. Dass es dadurch zu einem vollständigen Systemabsturz, zumindest aber dazu kommen kann, dass sich das hundert Mal aufgerufene Emailprogramm beizeiten verabschiedet, dürfte nicht verwundern.

Abhilfe
Vorläufige Abhilfe kann sich der Firefox-Nutzer verschaffen, indem er das automatische Öffnen des Mailprogramms einfach abschaltet. Zu diesem Zweck muss in der Adressleiste about:config eingegeben und die Option network.protocol-handler.warn-external.mailto auf true eingestellt werden. In diesem Fall wird das Mailprogramm nicht mehr automatisch, sondern erst nach einem Bestätigungsdialog aufgerufen. Im Falle der manipulierten Webseite taucht diese Dialogbox dann allerdings satte einhundert Mal auf. Als Alternative bietet sich deshalb an, den Aufruf des Mailprogramms völlig abzuschalten. Dies geschieht, indem man network.protocol-handler.external.mailto auf false setzt.

Gefälschte eCard-Benachrichtigungsmail
Nicht nur manipulierte Webseiten können dem Internetnutzer das Leben schwer machen. Auch der alte Trick mit der gefälschten Grußkartenbenachrichtigungsmail wird derzeit wieder praktiziert. Das Prinzip ist denkbar simpel, aber offenbar genauso wirksam: Der Empfänger erhält eine freundliche eCard-Benachrichtigungsmail: „Hello friend!“, heißt es im Nachrichtentext. „You have just received a postcard from someone who cares about you!” Wer den netten eCard-Gruß, eine animierte Postkarte, lesen möchte, muss einen Link anklicken und könnte, wenn er auf diesen Trick hereinfällt, sein blaues Wunder erleben.

Böse Grüße aus dem Südpazifik
Der angegebene Link führt keineswegs zu einem eCard-Service, sondern auf eine Webseite, von der aus das Programm „postcard.gif.exe“ heruntergeladen wird. Dabei handelt es sich nicht um eine animierte Karte, sondern um das gefährliche Backdoorprogramm BDS/IRC.Flood. Wer dieses Schadprogramm startet, öffnet dem Versender der gefälschten Mail eine Systemhintertür, über die er weitere Schadprogramme in den PC nachladen kann. Die Domain, auf die der Link in der gefälschten eCard-Benachrichtigungsmail verweist, besitzt übrigens die Endung .tk und ist auf den Tokelau-Inseln im Südpazifik registriert.

Zurück zur News-Übersicht