Steam und evtl Teamviewer account gehacked

[Jesterfox]

Moment... der 2FA Code ist doch immer einmalig und zufällig generiert. Wenn eine Phishing Seite eine Steam Guard Überprüfung vortäuscht, passiert erstmal garnichts.

Außer die Seite benutzt den soeben eingegebenen 2FA Code sofort um sich bei Steam damit anzumelden. Denn in dem Moment ist er ja gültig.

 

[thunderclap]

Mal so ne Frage....
Wer hackt sich in ein Steam acc ein und geht bischen CS zocken?

Derjenige der da zockt ist selten der Hacker oder Beschaffer der Daten, diese werden im großen Stil in Listen weitergegeben und von zig Leuten ausprobiert.

Insbesondere die Geschichte mit gleichem Passwort bei mehreren Diensten wird auch gerne ausgenutzt.

Wird also irgendwas im Netz die Runde machen, daher ist es nötig alle Passwörter zu ändern und am besten auch die Mail-Adresse aus dem Spiel zu nehmen, da die auch leaked ist.

 

[Schredderr]

@gaym0r

Die Nutzung dieser Log-In Buttons

auf der falschen Seite kann dazu führen. Dann hat die Seite deine Daten und den aktuell gültigen Steam Guard Code.

 

[Minutourus]

Ja Moment, ich loge mich bei Steam ein und bekomme per SMS einen Code von Steam selber mit dem ich mich zusätzlich authentifiziere, wie soll da der Hacker dazwischen funken? Dazu müsste er ja so gesehen bereits meine Telefonnummer und das notwendige Eq. haben um das zu realisieren.

Kann es, ohne das sich jemand jetzt auf die Füße getreten fühlt eher sein das hier zu leichtsinnig (gerade eben wegen diesen Fake Log-In) und eben ohne zusätzlicher 2FA eben wie SMS Code Übermittelung das Problem liegt?

Muss doch auffallen wenn aus heiterem Himmel ein Code per SMS von Steam daherkommt?!
Und wenn das so wäre oder ist wie es hier teilweise beschrieben wird dann würde das ja auch heißen das Steam ein generelles Problem hat was diese Sicherheitseinrichtung betrifft und es fällt mir schwer das zu glauben...

 

[gaym0r]

Ah, danke für die Infos! War mir z.B. gänzlich neu, dass es sowas wie "Sign in through Steam" gibt.

@Minutourus Der Code kommt ja nicht aus heiterem Himmel, sondern weil man sich auf einer anderen Website mit dem Steam Account einloggen wollte (zumindest denkt man dass der Code daher kommt)

 

[Minutourus]

Gut dazu muss ich sagen das ich generell solche "Sign in with bla bla bla" von Haus aus nicht verwende sondern immer entweder direkt, per Anwendung wie Steam eben oder per 2FA wie Google Authenticator und oder SMS Code Übermittelung das handhabe...

Ergänzung (24. Oktober 2019)

Ah, danke für die Infos! War mir z.B. gänzlich neu, dass es sowas wie "Sign in through Steam" gibt.

@Minutourus Der Code kommt ja nicht aus heiterem Himmel, sondern weil man sich auf einer anderen Website mit dem Steam Account einloggen wollte (zumindest denkt man dass der Code daher kommt)

Vom logischen Weg her richtig aber da fehlt dann aber der Part mit eben zb. der SMS und dem Code der mir auf mein Handy geschickt wird, selbst wenn diese Hacker meinen Zugang haben, müssten diese bereits da daran scheitern weil ich dann eben eine SMS bekomme ohne das ich dieses angetriggert habe. Und sp. da sollten bereits die Alarmglocken läuten...

 

[gaym0r]

Eine getürkte Website fordert dich auf deine Login daten einzugeben.
Du fügst also deine Steam-Logindaten ein. Im Hintergrund werden diese Daten übermittelt und automatisiert wird damit versucht sich einzuloggen, der Hacker kommt aber nur zur Steamguard Abfrage.
Auf der Website ist es aber fließend weitergegangen und es kam eine getürkte Abfrage von Steamguard mit dem Hinweis dass man noch den 2FA-Code eingeben muss um den Login abzuschließen.
Zeitnah kommt dann auch der SMS-Code, da der Hacker sich ja schon versucht hat einzuloggen. Dann gibst du diesen Code auf der Website ein und schon hat der Hacker auch diesen und kann den Login in deinen Account abschließen.

 

[Schredderr]

Vom logischen Weg her richtig aber da fehlt dann aber der Part mit eben zb. der SMS und dem Code der mir auf mein Handy geschickt wird, selbst wenn diese Hacker meinen Zugang haben, müssten diese bereits da daran scheitern weil ich dann eben eine SMS bekomme ohne das ich dieses angetriggert habe. Und sp. da sollten bereits die Alarmglocken läuten...

Wenn du diese Login Buttons nutzt musst du deine Daten und den Steam Guard Code eingeben. Erst Nutzername und Passwort. Im Hintergrund wird eine Login-Anfrage an Steam gesendet und die Steam Guard Anfrage getriggert. Die Seite zeigt die also nach Nutzername und Passwort Eingabe das Fenster an um den Steam Guard Code einzugeben. Diesen gibst du ein und schon hat die Seite alles was sie braucht. Welcher Part fehlt dir?

Ich nutze diese Buttons auch eher selten, aber auf seriösen Seiten ( nicht irgendwelche gambling Seiten ) funktioniert das. Man sollte natürlich zumindestens immer überprüfen, dass die URL im Login-Fenster stimmt etc.
Passiert ist mir bis heute noch nichts.

 

[Minutourus]

A ok so herum... Dann scheitert es bereits daran das man diese "Log me in with bla bla bla" Buttons (leider) zu gutgläubig verwendet, aber verstehe was Ihr meint..

Ergänzung (24. Oktober 2019)

Ich nutze diese Buttons auch eher selten, aber auf seriösen Seiten ( nicht irgendwelche gambling Seiten ) funktioniert das. Man sollte natürlich zumindestens immer überprüfen, dass die URL im Login-Fenster stimmt etc.
Passiert ist mir bis heute noch nichts.

Exakt...

 

[hroessler]

Dann würde ich mir ernsthafte Gedanken machen. (Nicht über Steam)

Ich habe mein Smartphone nie aus der Hand gegeben! Die Fehlerquelle kann somit nur bei Valve liegen, oder was möchtest du mir damit sagen?

greetz
hroessler

 

[Jesterfox]

Gut dazu muss ich sagen das ich generell solche "Sign in with bla bla bla" von Haus aus nicht verwende sondern immer entweder direkt, per Anwendung wie Steam eben oder per 2FA wie Google Authenticator und oder SMS Code Übermittelung das handhabe...

Neben dem schon genannten gibt es bei Steam auch die Möglichkeit per App als 2FA, die generiert anhand eines privaten Seeds einen Code der für ein paar Sekunden gültig ist (so wie auch die RSA Tokens die an anderen Stellen oft verwendet werden). Wenn man den mit eingibt kann der Angreifer sich auch innerhalb der Zeit damit einloggen.

 

[UNDERESTIMATED]

Euch ist bewusst, dass es das alles gar nicht braucht? Man braucht nur den Zugang zum Mailkonto, darin selbst findet man dann jeden verknüpften Account. Damit ist es ein leichtes sein sich überall einzuloggen. Daher ist immer und wirklich immer die beste verfügbare Schutzart des Mailkontos selbst zu aktivieren und nicht im Glauben zu bleiben nichts passiere weil die Accounts ach so doppelt und dreifach gesichert sind.

 

[gaym0r]

Wenn du diese Login Buttons nutzt musst du deine Daten und den Steam Guard Code eingeben.

Wenn es aber die offiziellen Login Buttons sind, kriegt der Webseiten-Betreiber aber natürlich nichts von den Anmeldedaten mit Hat sich bei dir so herausgelesen.

 

[Schredderr]

Wenn es aber die offiziellen Login Buttons sind, kriegt der Webseiten-Betreiber aber natürlich nichts von den Anmeldedaten mit Hat sich bei dir so herausgelesen.

Das ist korrekt.

 

[andy887]

Danke für eure zahlreichen Antworten.

Es war leider keine 2FA eingerichtet weil ich auch nicht dachte, dass wer steam Accs klaut. Anscheinend wurde CS Go gezockt mit cheats, dort bin ich jetzt gesperrt.

Passwort war eine 10 stellige groß klein sonder kombi.

Häufig benutzte Seiten und shops ändere ich alle am Wochenende. Leider gibts keine möglichkeit alle login seiten der letzten 15 jahre anzuzeigen, sodass mir sicher einige durchrutschen werden.

 

[Nozomu]

Auch mit 2FA wurde ich schon gehackt.

Der letzte ist über unseren Router passiert. War bei Ubisoft.

 

[BlubbsDE]

Der letzte ist über unseren Router passiert. War bei Ubisoft.

Kannst Du das genauer ausführen? Wie über den Router Dein 2FA Ubisoft Konto gekapert wurde?

 

[andy887]

mal noch eine weitere Frage ohne aktuellen Grund:

Was passiert eigentlich wenn ich über amazon Pay oder paypal Express in einem Shop zahle?
Eigentlich sind mir seit langem diverse Shop Logins zu gefährlich, sodass ich nur in Ausnahmefälle neue anlege und meistens versuche AP oder PPE zu nutzen. Wie ist hierzu eure Meinung? Sind diese Daten ebenfalls in Gefahr?

 

[Nozomu]

Kannst Du das genauer ausführen?

Ja

Es fing an, wo ich über Google mal auf eine Webseite wollte, die sich aber nicht öffnen wollte, auf sek. genau war auch das Internet weg, nur auf mein PC... Erst am nächsten Tag hatte ich wieder Netzzugang. Bei mein Bruder lief alles wie gehabt. Auf Mein PC war aber nicht die Ursache zu finden, auch hat keine Windows Neuinstallion geholfen.

Der 2FA und Passwort sowie E-Mail wurde geändert... hat Ubisoft empfohlen... Leider hat das auch nicht geholfen, der hat immer noch Zugriff bekommen und hat in The Crew gespielt und nicht nur das, er hat auch Cheats angewendet bis zum geht nicht mehr.

Das Allerbeste immer erst dann, wenn ich PC nicht an hatte. Deshalb kam nur noch der Router als Möglichkeit in Frage.

Ubisoft hatte 2 mal die Sperre rausnehmen müssen, half nur nichts, da am nächsten Tag das selbe wieder passierte. Beim 3. Mal wollte man mir nichts mehr glauben, also blieb Account von The Crew 3 Monate gebannd.

Kamen mir noch dumm mit ihre Rechtlichen Klage die ich einreichen könnte über Polizei.

Jedenfalls haben wir uns einen Router daraufhin gekauft, der besser als der alte ist was Sicherheit angeht.

Der Hacker kam nach die abgelaufen 3 Monate nicht wieder. Zum Glück sonst wäre ich noch wahnsinnig geworden.

 

[scooter010]

Oder, der hat sich auf deinem PC eingenistet per rootkit, die Überleben auch eine Neuinstallation...