Google Chrome: Hacker knacken den Browser – 60.000 Dollar Belohnung

• Empfehlen:
• Tweet

• Empfehlen:
• Tweet

Beim jährlich stattfindenden Hacker-Wettwerb Pwn2Own war Chrome der erste Browser, der geknackt werden konnte. Im Jahr 2011 gelang dies noch keinem Experten. Als Belohnung erhielten die Hacker rund 60.000 Dollar.

Bei der CanSecWest 2012 Sicherheitskonferenz im Vancouver (Kanada) wurde der Browser geknackt. Innerhalb kurzer Zeit gelang es den Hackern des französischen Unternehmens Vupen volle Kontrolle über einen PC mit Windows 7 zu erhalten. Normalerweise sollte dem Browser die Sandbox-Technologie Schutz bieten. Der Browser arbeitet dann in einer abgeschirmten Umgebung. Doch auch dieser Schutz wurde umgangen.

So gelang es zunächst Sicherheitsforscher Sergey Glazunov mit einem Zero-Day-Exploit die Sandbox auf einem “Windows 7″-System zu umgehen. Sobald eine mit Schadcode infizierte Seite aufgerufen wurde, galt der Rechner als gehackt. Vom Nutzer oder Hacker waren keine weiteren Aufrufe mehr nötig.

Die erste Pwnium-Lücke wurde von Google bereits in einem Sicherheitsupdate mit der Version 17.0.963.78 geschlossen.

Belohnung in Höhe von mindestens 60.000 US-Dollar

60.000 US-Dollar und damit den Höchstbetrag erhielt Sergey Glazunov aus dem Belohnungsprogramm von Google. Vupen spürt Software-Lücken auf. Das erworbene Wissen wird dann verkauft. Für Chrome untersuchte das Unternehmen laut Mitbegründer Chaouki Bekrar sechs Wochen lang den Browser. Zur Verteidigung von Chrome ist zu sagen, dass auch die anderen Browser Sicherheitslücken enthielten. Da Chrome im vergangenen Jahr bei der PWn2Own 2011 der einzige Browser war, der als unknackbar galt, hatte man sich auf diese Lücke konzentriert.

Am gestrigen Mittwoch stand Vupen beim Wettbewerb ohne Konkurrenz da. Möglicherweise liegt dies auch alleine an der Teilnahem von Vupen, die bereits per Twitter ankündigten mit zahlreichen Zero-Day-Exploits für diverse Desktop-Browser anzutreten (via Heise).

Noch bis 9. März läuft der Pwnium-Wettbewerb bei dem Google insgesamt eine Million Dollar als Belohnung zur Verfügung stellt. Aufgrund von Regeländerungen ist eine vorzeitige Anmeldung nicht mehr notwendig. Es könnten sich also weitere Teilnehmer einfinden.