Risiko durch Spiele-Plattform Steam

Die Spiele-Plattform Steam bietet Tausende kostenlose und kostenpflichtige PC-Spiele zum Download an. Darunter sind bekannte Titel wie Counterstrike, Half-Life oder Fallout New Vegas. Bei der Installation registriert der Steam-Client den Protokoll-Handler "steam://". Über den Browser lässt sich dann im Steam-Store ein Spiel direkt im Steam-Client laden. Bei Firefox, Chrome oder dem Internet Explorer muss der Benutzer standardmäßig bestätigen, dass die URL mit Steam geöffnet werden soll. Safari gibt dagegen keine Warnmeldung aus. Das Steam-Protokoll lässt sich auch für das Backup und die Wiederherstellung installierter Spiele nutzen.

Die Sicherheitsfirma ReVuln hat das Steam-Browser-Protokoll genauer untersucht und dabei einige gravierende Sicherheitsmängel entdeckt. So lässt sich beispielsweise die Wiederherstellungsfunktion dafür nutzen, manipulierte Dateien auf den Rechner zu laden und Schadcode auszuführen. Auch über die Update- und Installations-Funktion ist es Angreifern möglich, beliebige Dateien auf den PC des Opfers zu transportieren. Dabei kann eine Schwachstelle in der Verarbeitung des Splash-Screens genutzt werden. Mithilfe des Steam-Protokolls lassen sich auch LOG-Dateien schreiben. Darüber gelang es den Sicherheitsexperten, eine Batch-Datei im Window Autostart-Ordner anzulegen und eigene Programme zu starten.

Ob das Steam-Protokoll auf Ihrem Rechner aktiv ist, können Sie leicht ausprobieren. Drücken Sie [Windows R] und geben Sie

ein. Der Steam-Client lädt dann das kostenlose Spiel herunter oder startet es, wenn es bereits installiert ist.

ReVuln empfiehlt, das Stream-Protokoll zu deaktivieren oder wenigstens einen Browser zu verwenden, der nach dem Klick auf Steam-URLs einen Hinweis ausgibt. Das Protokoll lässt sich allerdings nicht ohne weiteres deaktivieren, weil der Steam-Client es beim nächsten Start sofort wieder aktiviert. Eine Notlösung wäre, die Datei Steam.exe im Installations-Verzeichnis umzubenennen. Dann lässt sich das Programm nicht mehr starten.

Ernsthaft gefährdet sind Safari-Nutzer unter Windows und Mac OS X, weil der Apple Browser die Steam-URLs kommentarlos ausführt. Der Umstieg auf einen anderen Browser könnte die Gefahr zwar für Steam-Links auf Webseiten reduzieren, das schützt aber nicht vor anderen Programmen, die eine Steam-URL aufrufen können. Das Problem kann daher nur Valve als Betreiber der Steam-Plattform durch ein Update endgültig lösen.