Flash-Sicherheitsrisiko bei eBay ermöglicht Betrug und Phishing in einem! Warnung vor Konto: Stan V., Kto: 115309113, BLZ: 10010010

Abschließend zu den unberechtigten Abuse-Meldungen von eBay können wir nun über eine Wendung berichten.


Der eBay-Mitarbeiter, der für diese Falschmeldungen verantwortlich zeichnet, hat sich persönlich schriftlich bei uns für seinen Fehler entschuldigt.

Uns ist bewusst, dass die genannten Gründe, wie es zu dieser Falschmeldung kam, nur vorgeschoben sind, aber das ist uns nicht so wichtig. Wir sind nicht nachtragend. Der Wille zählt, und wir haben ehrlich gesagt damit nicht gerechnet, dass wir das noch erleben dürfen.
Selbstverständlich nehmen wir die Entschuldigung an.

Wichtiger ist für uns, dass er nun auch seine Falschmeldungen bei den Empfängern richtig stellt!

Nun, soweit ich das sehe, ist die Meldung bei Phishtank schon deaktiviert:

phishtank.com/phish_detail.php?phish_id=2297403

Das es da im Archiv jetzt auf den ersten Blick so aussieht, als hätte es einen Phish gegeben, geschenkt. Ich habe OpenDNS seit dem Vorfall als DNS-Server eingestellt, auktionshilfe.info wird nicht länger geblockt. Insofern ist davon auszugehen, daß die Meldung bereits zurückgezogen und das auch umgesetzt wurde.

Wann Kaspersky und sonstige Programme aus der Nutzlosbranche nachziehen, können natürlich nur deren Nutzer berichten. Ggf. muß man da aber auch selbst nachhaken, wenn die sich anstellen sollten.

Ooooch, fu....

Das ist doch nichts kritisches.

zynismus off.

Jedem, der hier über die neuen Fälle liest möchte ich daher folgendes Hintergrundwissen auf den Weg geben:

Technisch basiert diese Schadsoftware auf JavaScript und der Verwendung von Flash-Technologie und Cross-Site Scripting.
eBay möchte zu der aufgeworfenen Thematik wie folgt Stellung nehmen:
Viele eBay-Mitglieder nutzen Technologien wie JavaScript oder Flash, um ihre Angebote attraktiver zu gestalten. Es besteht jedoch auch die Möglichkeit, auf Basis dieser Technologien Schadsoftware herzustellen.
Grundsätzlich gilt: Der Einsatz solcher Schadsoftware hatte und hat keine praktische Relevanz auf dem eBay-Marktplatz.

Quelle (ebay-Pressemeldung) hab ich oben schon verlinkt.

Das ist also ein ebay-Grundsatz. Seit März 2008. Keine praktische Relevanz. Mit anderen Worten: das ist zwar möglich und wir, ebay, wissen schon seit über sechs Jahren*), dass und wie es möglich ist und wir halten das auch für kriminell. Aber laut ebay-Grundsatz sind alle Menschen gut und tun so was nicht.


*) Nein, ich habe mich nicht verrechnet. ebay kannte das Leck Wochen bevor es der Presse demonstriert wurde und hätte ebay das Problem gefixt wäre es auch nie offengelegt worden. Woher ich das weiss? Nuja, ich sag mal so: wenn man in einem für den Login relevanten Flash-Script bewusst und vorsätzlich die letzten noch verbliebenen und reichlich rudimentären Schutzmaßnahmen gegen XSS-Missbrauch im Quellcode restlos aushebelt (ebay, ihr wisst was ich meine und dass ich den relevanten Teil des Quellcodes gesehen habe dürfte für euch damit auch zweifelsfrei feststehen) dann passiert so was eben. Und ebenfalls habe ich damals schon festgestellt, dass angesichts dieser Möglichkeit auch die Verwendung des iframe für die AB keinen echten Schutz vor weitreichendem Missbrauch darstellt, auch wenn das von anderer Seite... öhhhmmm... "bezweifelt" wurde. Aber wenn man ebay auffordert, sie sollen angesichts eines Problems "umdenken", dann interpretieren die das immer als "um das Problem herum denken". Jetzt haben wir den Salat. Mit Gürkchen. Guten Appetit.

redaktion schrieb:

Der eBay-Mitarbeiter, der für diese Falschmeldungen verantwortlich zeichnet, hat sich persönlich schriftlich bei uns für seinen Fehler entschuldigt.

Das ist aber nett von dem Mitarbeiter.


Was schätzt Du, wie lange es dauert, bis den Scammern die natürlichen Zahlen ausgehen? Wenn ich im Informatikstudium richtig aufgepasst habe gibt es davon mindestens vier oder fünf, wenn nicht noch mehr.