ICQ mit Trojanern über Update-Funktion infizierbar - Offizielle Stellungnahme

Update vom 19.01.2011: ICQ hat eine offizielle Stellungnahme veröffentlicht, die wir direkt im Anschluss zitieren:

ICQ hat eine potentielle Sicherheitslücke entdeckt, die in einigen Fällen die unter Windows installierte ICQ-Anwendung beeinträchtigen kann. Es liegen jedoch keine Berichte über ICQ-Nutzer vor, die beeinträchtigt wurden. Alle anderen ICQ-Versionen, einschließlich Web-ICQ und die mobilen ICQ Apps für iPhone, Android, Java-basierte Handys, Windows Mobile und Blackberry sollten von diesem Problem nicht betroffen sein.

In seltenen Fällen, in denen entweder der Computer oder der Internet Service Provider im Vorfeld beeinträchtigt war, kann die von ICQ entdeckte potentielle Sicherheitslücke den User einem DNS Spoofing aussetzen, das es Dritten ermöglichen kann, einen bösartigen Code oder Programm auf dem Windows-PC einzuschleusen.

ICQ versichert den Usern, dass die Techniker daran arbeiten, die potentielle Sicherheitslücke für betroffene Windows-PC-Versionen von ICQ zu minimieren.

Original-Artikel vom 18.01.2011: Der Instant Messenger ICQ verifiziert die Daten nicht, die über die automatische Update-Funktion geholt werden. So öffnet sich eine Tür auf den heimischen Rechner, die von Trojanern genutzt werden kann. Angreifer müssen aber schon etwas Aufwand betreiben, denn der ausliefernde Server muss die IP-Adresse und die URL des Update-Servers von ICQ haben.

Die Lücke wurde von Daniel Seither entdeckt, der auch zwei Tools geschrieben hat, die das Problem offenlegen. Da die Verbindung, die ICQ bei jedem Start aufbaut, weder SSL-geschützt ist, noch die Daten verifiziert, lässt sich so Schadsoftware einschleusen. Die gebauten Tools erledigen diese Dienste recht simpel.

Daniel Seither habe den Entwickler informiert, doch von dort gab es bisher offenbar noch keine Rückmeldung. Als Sofortmaßnahme empfiehlt er einen alternativen Instant-Messenger-Klienten, da sich die automatischen Updates nicht abstellen lassen.