News Hijacking? Unbekannte plündern Diablo-3-Accounts

[aranax]

Darfst du gerne mal machen, ich aus meiner WoW Zeit kann mich noch erinnern das Warden und Sniffer sich nicht so gut vertragen

Dann sniff halt nicht aufm gleichen System. D3 in ne VM oder an nem Switch mit passender managment Funktion oder anderer Rechner am gleichen Hub. Gibt 12 Mio Möglichkeiten. Ich kann den Netzwerkstream einfach an meiner FritzBox abgreifen. ICH hab dann aber kein Plan was ich sehe (mal von offensichtlichen http Adressen abgesehen). Für jemanden mit Sachverstand müsste das Spielkram sein. Aber es werden ja überall nur "News" publiziert...

Alternativ halt ne Starter Edition nehmen...

-aranax

 

[sparvar]

Ich hab das Spiel zwar nicht, aber ega haben die großen Firmen Probleme weil sie ihre Software nie richtig Programmieren, gibt es denn überhaupt noch jemand der sich bei Online Spiele mühe gibt, ich sehe es ja selbst bei Bf3 da ist es schon schlimm.

aha - dann beschäftige dich mal ein wenig mit programmierung & entwicklung. es gibt keine! fehlerfreie software bei großprojekten. die QA abteilungen wurden bzw. werden noch immer beschätigt sein. in jeder version gibt es testläuft,routinen,auto.tests, usertests...
(das ist kein große-firma-problem - sondern ein komplexer-code-problem)

 

[milamber!]

vllt sollte man das etwas angehen wie Bitcoins, dass jedes ITEM egal ob Gold Rüstung etc eine Art Fingerabdruck mit sich führt die auch auf den Vorbesitzer zurückzuführen ist.

So könnte man abhandene ITEMs auch nachträglich direkt erkennen und eventuell sogar den Täter dingfest machen, zumindest aber diese direkt auf ungültig setzen.

Und dann? Oft ist der Täter sicher auch nur wieder ein gehackter Account. Und sobald die Items über eBay in schnellen Auktionen verkauft, und das Geld aus dem System geführt wurde, bleiben nur noch die Opfer zurück.

Die geklauten PayPal Accounts die für diesen ganzen schei** missbraucht werden, sein mal gar nicht erwähnt.

Nach all den Problemen, und Unzulänglichkeiten die dieser ganze Echtgeld-Handels-Brei mit sich bringt, sieht man hier das nächste Problem, das abzusehen war: es zieht ohne Ende Nepper, Schlepper und Bauernfänger an, und solange alles Wertvolle Handelbar ist, wird sich daran wohl auch nicht viel ändern.

 

[RenoRaines]

Wo was zu holen ist kommt auch das Böse zum Vorschein. War so, ist so und wird immer so sein.

Gut das ich erst gestern bei Stufe 23 angekommen bin und bis auf ein paar Gelbe Sachen und 20k Gold so gut wie nichts besitze.

 

[Krautmaster]

Na ob Bitcoin da ein gutes Vorbild ist? http://www.dailytech.com/Inside+the+MegaHack+of+Bitcoin+the+Full+Story/article21942.htm

es ging mir um die Technik an sich. Es wurde ja Bitcoins gestohlen aber die Technik an sich ist bisher wasserdicht da keine großen Mengen mal eben generiert werden können (und eigentlich bei jeder Transaktion geändert werden)

Prinzipiell wäre ein Fingerabdruck der auf den eigentlichen aktuellen Besitzer verweist von Vorteil. Würde sich dann der "Dieb" mit seinem Account dessen Items bemächtigen und das Opfer zeitnahe einen Diebstahl melden wäre es richtig umgesetzt sicher recht einfach die Items aus dem Verkehr zu ziehen / löschen /zurückzuspielen

prinzipiell eine verschlüsselte Chiffrierung / verlauf an jedem Item.

 

[milamber!]

Also im Grunde liegt es meist am User selbst, das mit der Statischen-IP ist zwar doof, die kannst du aber sicher ändern lassen indem du bei deinem Internet-Anbieter anrufst.

Nein. Nicht bei Kabel. Hier ändert sich die IP nur sehr sehr selten, weil afaik für die MAC Adresse reserviert.

 

[hasek53]

Wo was zu holen ist kommt auch das Böse zum Vorschein. War so, ist so und wird immer so sein.

Gut das ich erst gestern bei Stufe 23 angekommen bin und bis auf ein paar Gelbe Sachen und 20k Gold so gut wie nichts besitze.

Die bist du bald auch los ;-)

Wie schon mehrfach im bnet-forum geschrieben, gehen auch meine vermutungen dahingehend, dass beim chat-system irgendwie die session-id ausgelesen wird!

Wie ein betroffener geschrieben hat:

-----------------------------------

Wieso hat es nicht meinen Barbaren getroffen der sogar 2 ora Items trägt?
Wieso hat es nicht meinen Mönch getroffen der den gleichen namen trägt wie mein Battletag?
wieso hat es nicht meinen Hexendoktor getroffen den ich zuletzt spielte?

Ausgerechnet meinen Dämonenhunter der nichts besonderes trug und der einzige Char war der via Chat interagitation auf sich aufmerksam machte?

-----------------------------------

 

[ZeropG]

Allein in unserer Community von 40 Spielern wurden bereits 6 leute gehackt ! Es ist immer das Selbe wenn man ein öffentlichen Spiel beitritt oder gar selber eins öffnet wirst du wenig später eine freundes einladung bekommen oder ähnliches...wenig später schmeißt es dich raus und die Person logt sich selber damit ein...dann mulen die leute ein wenig und zack ....Kein Gold mehr und keine Sachen mehr drauf..!

ps: man gut das es jetzt passiert bevor es zum richtigen geld übergeht, wurde ja gott sei dank nochmal um 1 woche nach hinten verschoben und zwar zum 30.5.12

 

[rockB4R^]

Mmmh...nach den verkackten Serverstarts stehts dann jwohl 2:0 für SWToR^^

Möge die Macht mit euch Mönchen und Co sein...

 

[ayngush]

Is ja nicht so das ich absolut doof auf diesem Gebiet wäre. Mit wird nur schlecht, wenn dran denke, das ich im Prinip nichts gegen dieses hijacking machen kann. Werde bei kabel Deutschland heute mal anrufen und fragen ob sie mein IP ändern können. Das einzige was ich machen kann. Bäääh

Eine IP Adresse alleine ist weder ein Sicherheitsmerkmal noch irgend ein Geheimnis. Über eine IP Adresse Alleine kann man auch keine Angriffe auf irgendwas vornehmen, es sei denn du betreibst, gewollt oder ungewollt, einen Server, der in einer Form reagiert. Ein Trojaner ist so etwas zum Beispiel.
Desktop Firewalls wie Comodo und Konsorten bringen gar nichts und sind sogar schädlich, weil sie eine Sicherheit vorgaukeln, die einfach nicht vorhanden ist. Eine Personal Desktop Firewall zu tunneln ist etwas für Erstsemester. Lustig finde ich auch immer, dass fast alle "hilfä ich wurde gehackt, trotz..." irgendwie mit Avira und irgend einer Software Firewall anfangen

Leute, Software ersetzt kein Gehirn. Sich scheiße für Diablo herunterladen / irgendwelche "Helfer" oder super "Guides" Herunterladen (die kann man auch alle Online auf normalen Webseiten lesen) oder auf irgendwelche Phishingmails eingehen. Oder seinen Account immer wieder weitergeben - Denkt daran, dass durch die RealID Verbindung im Battle.Net teile des Accounts, die meisten geben ja doch noch die Account-E-Mail-Adresse weiter schon mal ein Teil von Zwei Teilen, die man zum Einloggen braucht, wenn man keinen Authenticator hat, verraten sind. Ein Accountname darf zwar auch nie ein Geheimnis sein, da ein Accountname kein sicherheitsrelevantes Merkmal ist aber wenn die Kennwörter dann noch sehr einfach sind... da braucht niemand eine Session zu klauen...

Naja, Lange Rede kurzer Sinn:
Machen solltest du:

* Deinen Rechner Virenfrei bekommen.

* Deine Accountdaten NIEMALS irgendjemanden mitteilen. Auch nicht deinen aller besten Busenkumpel Barney Geröllheimer, oder weißt du, wie der so mit deinen Daten umgeht?

* Niemals die Accountdaten in einer Datei auf dem PC Speichern.

* Keine englischsprachigen angeblichen Battle.Net-Mails beachten oder gar irgendwelche Links anklicken oder Bilder davon nachladen, Blizzard schreibt dich IMMER in deiner spezifischen Landessprache an, also bei uns Deutsch, alles andere MUSS ein Fake sein. Und vorallem schreibt doch Blizzard nicht einfach so aus heiteren Himmel an, wenn die alle anschreiben ist das mindestens noch auf den Communityseiten als Information hinterlegt und im Spiel als Infobox ebenfalls.

* Authentificator nutzen.

* Das Spiel so spielen wie vorgesehen, ohne Trainer, ohne "Super mehr XP Tool", ohne whatever für einen Mist. Wer Cheatet oder nur mal ein Cheat ausprobieren will, was das gleiche ist im übrigen, MUSS davon ausgehen, dass sein Account weg ist und solchen Leuten gönne ich das auch von ganzen Herzen.

* Kein Zusatzscheiß für Diablo 3 herunterladen. Darker D3? Die Sourcen dafür sind wohl verfügbar, wenn mich nicht alles täuscht. Eine Version zu programmieren, die einen Payload mit einschleust ist ein Copy+Paste Kinderspiel für Gelangweilte, ähnlich Doktor Bibber, mit selben Anspruch. WENN man Darker D3 unbedingt nutzen will, dann NUR von der offiziellen Webseite, ich würde aber auf so etwas einfach ganz verzichten, weil mit dem Tool fängt es an, das nächste heißt dann XYZ D3, verspricht auch nur legales, bringt aber eine hochspezialisierten Diablo3 Account-Abzocker-Keylogger mit? Die Hemmschwelle sinkt da sehr schnell, wenn man sich erst mal daran gewöhnt hat das "Spiel zu modden", also am besten einfach lassen. Zumal die Begehrlichkeit durch das "RM Auktionshaus" auf Seiten der Angreifer definitiv geweckt ist. Das ist ja geradezu eine Einladung scheiße zu bauen.

Grüße

 

[TnTDynamite]

Vielleicht ist das als Balancing-Maßnahme geplant gewesen. Wenn man zu mächtig wird, bekommt man seine besten Gegenstände und sein ganzes Gold geklaut und schon sind die Boss-Gegner wieder eine Herausforderung.

*Spaß-Modus off* Ich glaube auch, dass es noch ein langer Kampf wird, bis die letzte große Sicherheitslücke geschlossen sein wird und wie immer, werden die meisten erst durch die ersten Opfer bekannt. Der eigentliche Ansturm chinesischer und russischer Hacker wird wohl erst mit dem Echt-Geld-Auktionshaus beginnen.

Auch was dieses Problem angeht, ist es ärgerlich nicht die Option zu haben offline zu spielen, um diesen Problemen aus dem Weg zu gehen, bis die grobsten Lücken geschlossen sind.
Ich verstehe diejenigen, die aus Gründen wie fehlender Sicherheit, Abhängigkeit von Server und Leitungen um Spielen zu können und was noch so alles mit dem Online-Zwang einhergeht, auf das Spiel verzichten.

Aber genauso verstehe ich Blizzard, die nun einmal ein Profit-Orientierter Betrieb sind (wie verständlicherweise 99,9% aller Unternehmen), und daher auf die 10% verärgerte Kunden verzichten, um schätzungsweise 20-40% Käufer zu gewinnen, die ansonsten zu Raubkopien gegriffen hätte. Über die Zahl lässt sich streiten, aber Blizzard sieht die Relation scheinbar zumindest annähernd so. Scheinbar vergessen manche Spieler gelegentlich, dass Blizzard kein gemeinnütziges Institut für Spielspaß ist.

Ansonsten schließe ich mich den Stimmen an, die anmerken, dass eine so komplexe Software ohne Fehler nur in den Weissagungen des Propheten vorkommen

edit: @ayngush: Das ist ja alles richtig was du schreibst, aber das alles steht unter der Überschrift deines Satzes "da braucht niemand eine Session zu klauen... " und genau um dieses Vorgehen, geht es ja in dieser News. Eine Maßnahme, die dir dagegen einfällt, wäre interessant. Irgendwo auf den ersten Seiten im Thread hatte schon mal einer den Vorschlag gebracht, die WAN-IP mit der Sitzungs-ID (vielleicht sogar noch mit dem Account) zu koppeln und doppelte Anmeldungen zu verhindern. Aber ob das wirkliche Sicherheit bringt, wage ich zu bezweifeln. Zumal es dann bestimmt erstmal zu Bugs kommt, wenn einer sich nicht richtig abgemeldet hat und dann an nem anderen Gerät oder sogar am gleichen PC bei Wiederanmeldung geblockt wird.

 

[Xetoxyc]

Was wollt ihr alle mit eurem Singleplayer Offline... bei WoW beschwert ihr euch doch auch nicht dass wenn ihr solo unterwegs seid online sein müsst

 

[xFumanchu]

Vielleicht sollte CB mal den Artikel korregieren ...

Es gibt keine Sicherheitslücke und Session ID Hack ...

Die Leute wurden ganz normal gehackt weil sie irgendwo ihr PW veröffentlicht haben oder so dumm waren und Spam geöffnet haben.

 

[winni71]

Naja, Lange Rede kurzer Sinn:
Machen solltest du:
...

Gute Tips, bringen aber im aktuellen Fall genau nix. Es reicht, wenn der "Böse" in einem öffentlichen Spiel dein Battletag erfährt.
Also am besten Battletag nirgends bekanntgeben (ggf. ändern), keine öffentlichen Spiele erstellen oder ihnen beitreten, Quickjoin ausschalten.

 

[exuser0815]

Coole Sache. Blizzard zwingt uns einen Onlinezwang auf um uns vor Raubkopierern, Cheater, Hacker zu schuetzen, und schafft damit erst das Einfallstor fuer Hacker. Super, Danke!

Nachdem zig Konten mit Authenticator betroffen sind, kann man sicher sein, dass diese Accounts nicht "normal" mit Trojanern oder Phishing gehackt wurden.

 

[m4teria]

Ich habe am Samstag Blizzard bereits darüber informiert, dass der Benutzer ironwill meinen Account gehackt hat und meine Items gestohlen hat. Gerade eben hab ich mich eingeloggt in das Spiel und sehe diesen Ironwill schon wieder online. Hab ihn als reale Bedrohung gemeldet und zudem in einem Telefonat mit Blizzard erwähnt. Was macht dieser Verein denn? Scheine zählen ?

 

[TnTDynamite]

@Xetoxyc: Du wirst es nicht glauben, aber es gibt Leute die nicht wahllos alles von Blizzard spielen und dem Diablo-Fieber verfallen sind, lange bevor an WOW zu denken war und auch nie bereit wären für ein Spiel eine monatliche Gebühr zu zahlen. Und nein, ich habe nicht vor mit Echtgeld im Auktionshaus zu hantieren.

@XFumanchu: Wie lässt sich das so schnell sicher ausschließen. Als Blizzard Support würde ich diese Vermutung auch erstmal unter Vorbehalt äußern, um Druck aus der Debatte zu nehmen. Dazu die Anmerkung "aber wie überprüfen ob es eine Solche Lücke doch geben könnte". Quelle?

 

[xFumanchu]

Ich habe am Samstag Blizzard bereits darüber informiert, dass der Benutzer ironwill meinen Account gehackt hat und meine Items gestohlen hat. Gerade eben hab ich mich eingeloggt in das Spiel und sehe diesen Ironwill schon wieder online. Hab ihn als reale Bedrohung gemeldet und zudem in einem Telefonat mit Blizzard erwähnt. Was macht dieser Verein denn? Scheine zählen ?

Denkst du wirklich das Blizzard sofort jeden bannt, der am Telefon erwähnt wird?

Na das kann ja lustig werden, wenn das so wäre! Nö der gefällt mir nicht, ich lasse den mal bannen.

Gerade aktuell hat Blizz alle Hände voll zu tun, du bist schließlich nicht deren einziger Kunde. Und die Überprüfung für einen Bann dauert länger als 5 Minuten.

 

[Xetoxyc]

@TnTDynamite
Multiplayergames bringen hald man Daueronlinezwang mitsich sollte doch ansich im Jahre 2012 kein Problem sein oder ?

Ergänzung (22. Mai 2012)

@m4teria
woher weist du denn das er online ist hast du ihn nicht von der FL gelöscht ?

 

[Aza*]

Man könnte Diablo aber auch SP spielen, auch nich so schwer zu verstehen oder?