Hack über Java/Diablo 3 Launcher?
 

Hallo liebe Gemeinde. Es geht ja schon seit einigen Tagen durch die Foren, dass Diablo 3 Accounts geleert wurden. Einen klassischen Hack schließt Blizz ja weiter aus - dieser würde ja auch einen Zugriff auf die Blizzard-Server bedeuten, was recht ungewöhnlich wäre. Einen "echten" Hack gibt es also nicht, wohl aber was anderes. Heut morgen hatte ich folgende Mail im Briefkasten:



Da war ja eigentlich schon alles klar, also schnell wieder scharf machen, ins Spiel schauen und: meine Lvl 57 Flaviee war nackt und pleite. Alle Items weg.

Interessant ist bei der Sache, dass nur der eine Char geleert wurde, und die Truhe unberührt war. Komisch, weil dort liegen ja Gems, Materialien und gute Items rum. Das sagt mir eigentlich, dass hier etwas automatisiertes läuft. Eine Art Bot, der den Trade durchführt.

Wie sind diese Leute aber an mein Passwort gekommen, wenn es keine klassischen Hacks gibt? Klar, Keylogger oder ähnliches muss es geben. In den offiziellen Foren kursieren hierzu Gerüchte, dass eine Sicherheitslücke in Java dafür verantwortlich sein kann, das wiederum im Blizzard Launcher verwendet wird. Kommt also - woher auch immer - das "falsche" Java-Update auf den Rechner, sehen die Diebe über den Launcher das Passwort, bzw. loggen es mit. Alles nur Vermutungen, aber bei einem sonst sauberen System klingt das nicht ganz unwahrscheinlich.

Nunja, jetzt warte ich bis Blizzard meinen alten Spielstand wieder hergestellt hat, und zock dann weiter (24-48h Ticketbearbeitungszeit ^^).

Achja: Es gab wohl auch eine ähnliche Sicherheitslücke im Adobe Flashplayer, der auch Accountdaten mitgeschnitten hat. Man sollte sich also nie zu sicher sein, dass das eigene System unangreifbar ist - trotz Antivirus, Sauberkeit und "Know-How". Wirklich sicher wirds nur mit dem Authenticator - den ich mir nun auch bestellen werde ^^

Nochwas: ändert am besten mal euer Passwort. Es scheint so, als ob die Daten schon länger bei den Dieben vorgelegen haben könnten. Die warten eventuell, bis ein Char genug Spielzeit/Level hat, damit sich das wirklich lohnt.

Oh man, die haben den Launcher echt mit Java gemacht? Selbst ich als DAU bekomme wirklich REGELmäßig mit, wie Java-Sicherheitslücken noch und noch gefunden werden. Meist über meinen Lieblings-Politik-Blog :ugly:
Als nächstes kommt von Blizz noch ein Launcher, der über den IE läuft raus :ahem:

Wenn man dein Profil anschaut hat dein DH noch alles Oo

Blizz hat vorhin den Account zurückgesetzt. Bin noch beim Virenscan. Flaviee müsste jetzt wieder 55 sein.

So. Virenscan ist durch. Nichts gefunden. Hmm.... wie geht das also?

Hatte auch sowas zu dem Wochenende wo für alle WoW kostenlos spielbar war.
Hab mein PW geändert und Authenticator aufm Handy seitdem kein Problem mehr. Da wurde einfach mein PW geknackt mehr is da garnicht dran.
Virenscan war sauber, war auf keinen speziellen seiten oder sonstwas.

Einfach PW ändern und es sollte kein ding sein.

Was ich auch nicht verstehe, jedes Item hat eine eindeutige ID, das kann jeder feststellen wenn er mal das AH benutzt, also muss man doch nachvollziehen können wo die Items gelandet sind.

Das Passwort knacken bezweifel ich mal ganz stark, denn dazu müsstest du ettliche Versuche starten, die dann irgendwann von den Blizzard-Servern nicht mehr beantwortet werden, da zuviele... Ein Passwort knackt man nicht so easy... außer man hat 1234 oder ähnliches :ugly:

Jo, irgendwas müssen die da mal versuchen. Denn irgendwie ist es schon erschreckend - vor allem auch weil man über Jahre hinweg keine solchen Probleme hatte obwohl man sich in Online-Games bewegt hat. D3 ist hier das erste Mal dass ich solchen Ärger habe.

Edit @Ghard: Hab schon von Fällen gelesen, wo der Account zweimal leer geräumt wurde. Trotz neuem und mega langem Passwort.

Ich hab halt einfach das Gefühl, dass irgendwie die Passwortübertragung an die Blizzserver nicht direkt geht sondern über irgendein komischen Drittanbieter. So kann man sich dann bequem - trotz dass der Account im Spiel aktiv ist - "miteinloggen" und den anderen rauskicken. Das ganze ist VIEL zu unsicher.

@Bob

Wie ist das denn nun bei dir mit Echtgeld AH?
Sperrt dich Blizz nun erstmal dafür, wegen Unsicherheiten?

PS: habe meine Chars auch mal schnell gecheckt, ist alles noch da, der Grund dafür könnte aber auch sein das ich laufend ON bin, ergo könnte sich keiner einklinken...hoffe ich. :gruebel:

Nö, es wurden schin Fälle gemeldet, da wurde einer aus seiner Session gekickt, danach das PW geändert (das er dann wieder zurück gesetzt hat) und alles war weg :D

Na Super, allso kann man sich gar nicht schützen. :motz:

PS: da fällt mir wieder ein das Blizz sagte: Es gibt keine bekannten Fälle, das waren alles Trolls. :rolleyes:

Hi@all!

Mhmmm, werde wohl in Zukunft beim ausloggen vorher meine sachen vom Char nehmen und in die Truhe legen (Was ne arbeit... :cry:)...

Scheint mir im Moment das Beste zu sein um das Zeug zu sichern!
Bis das alles geklärt ist!

Gruß

Ich werde mich beim ausloggen schlicht auf meinen "Bottroller" eine Lv1 DämonenHuntress wechseln :D

Trolls sind die, die behauptet haben, dass das auch mit Authenticator passiert ist. Und das hat sich wirklich noch nicht bestätigt. Ich rate deshalb aus eigener Erfahrung zum Authenticator. Wenigstens erstmal den mobilen. Der "echte" ist bestellt....

gibts da nicht eine softwarelösung?

ich habe mich da versucht ein zulesen, wurde aber nicht wirklich fündig.
und extra für D3 nen smartphone kaufen oder sogar ein extra gerät?

nach meiner meinung ist hier blizzard in der pflicht die haben das programm verkauft udn haben vorhergewusst/geahnt dass aänlichens passieren wird. sie haben ja lange genug mit W*W zu tun.

und jap ich habs gestern erlebt:
während des laufenden spiels rausgeflogen weil sich einer mit meinem PM eingelogt hat, dann noch einnen 2 gamer mit in die konfig gezogen und beide nackicht gemacht.... obwohl.... bei mir waren es nur 20k gold aber der inhalt meiner truha war auf dem char verteilt, aber alles da, dem anderen hat man wohl alles geklaut... schade dass die nach deutschem recht nicht greifbar sind, und deshalb auch für andere "vergeltungsmaßnamen" nicht erreichbar sein werden....

Ich frag mich immernoch wie über den Launcher gehackt werden sollte da der ja 0 mit dem Einwahlprozess ins Bnet zu tun hat.

sch*****drauf habe jetzt doch nen auth-dingensbums bestellt... und wenn ich damit gehackt werde werde ihr alle von meinen anwälten hören :D :D

Glaub da gehts nicht um den Launcher selbst, sondern Java, was eine Sicherheitslücke sein kann/soll.... vor allem Java 6, was noch auf den meisten Rechnern drauf ist (deinstalliert sich nicht, trotz Update zu 7). Ich weiß es nicht, jedenfalls passierts ständig, dass Accounts leer sind....