c’t Redakteur testete zahlreiche Antiviren-Programme
Der c‘t-Redakteur Ronald Eikenberg installierte u.a. auch den Schutz von Kaspersky. Zufällig ließ er sich dabei auch den Quellcode einer beliebigen Webseite anzeigen und entdeckte dabei, dass die Kaspersky-Software eigenen Code injiziert hatte, wie notebookcheck berichtete.
Weitere Untersuchungen brachten zutage, dass der betreffende JavaScript-Code in jedwede Webseite eingebunden wurde, welche er mittels beliebiger Browser besucht hatte. Der externe Code ist anscheinend dafür zuständig grüne Schutzschilde hinter, für Kaspersky, ungefährliche Google-Such-Treffer anzuzeigen.
Das Problem mit der ID
Die Installation der Virenschutz-Software auf weiteren Rechnern ergab dann, dass sich diese ID für jeden PC ändert, ansonsten aber persistent war. Dies bedeutet, dass Kaspersky zusammen mit dem Code auch eine dauerhafte ID in den Webseite-Code einschleuste, welche sich einem bestimmten Rechner zuordnen lässt.
Theoretisch hätte so jede besuchte Webseite den Code und damit die ID auslesen können. Mit der rechnerspezifischen ID hätte man die Webaktivitäten des betreffenden Users tracken können. Das gilt über Browsergrenzen hinaus und ignoriert sogar den Inkognito-Modus des Browsers.
Dem Redakteur gelang es mit einer eigens programmierten Webseite die IDs mehrerer Test-Rechner auszulesen, bis hin zum Namen des Besitzers. Ein unglaublicher Lapsus für ein angesehenes Sicherheitsunternehmen.
Fehlermeldung an Kaspersky
Die Fehlermeldung, die sofort an das Unternehmen ging, wurde zwei Wochen später bestätigt. Kaspersky verifizierte, dass sämtliche Consumer-Versionen von Leck betroffen seien:
- Kaspersky Internet Security
- Total Security ab den Versionen 2016 vom Herbst 2015.
- Version Small Office Security für kleinere Unternehmen
Problem wurde gepatcht
Trotz des Patches wird noch immer jeder Webseite ein Code injiziert, inklusive ID, welche nun aber für jeden Rechner gleich ist. Allerdings verrät der Code den Webseiten noch immer auf welchen Systemen Kaspersky installiert ist und in welcher Version. Auch diese Information kann für Angriffe missbraucht werden.
Immerhin lässt sich das Vorgehen unter den Optionen abstellen, hierfür klickt man zunächst auf das Zahnrad, anschließend auf Erweitert/Netzwerk. Nun muss unter „Verarbeitung des Datenverkehrs“ die Option „Skript für die Interaktion mit Webseiten in den Datenverkehr einbinden“ deaktiviert werden.
Weiterführende Links:
Daten sichern und verschlüsseln
notebookcheck.com: Kasperskys Antivirus-Programme ermöglichten jahrelang Web-Tracking durch Dritte
