Bedrohungsmatrix: Crack-Verbreitung, Malware-Nutzlast und Kontokompromittierung
In der Welt unautorisierter Spiele-Downloads haben moderne Info-Stealer (wie Lumma, RedLine oder Vidar) klassische Ransomware verdrängt. Sie verschlüsseln keine Festplatten, sondern kopieren innerhalb von 15 Sekunden sämtliche Anmelde- und Sitzungstoken, wodurch selbst Zwei-Faktor-Authentifizierung (2FA) komplett wirkungslos wird.
| Verbreitungsweg | AV-Umgehungstechnik | Gestohlene Daten | Mechanismus zur 2FA-Umgehung | Gefahrenstufe |
|---|---|---|---|---|
| Passwortgeschützte ZIP-Archive | Verhindert Cloud- und Sandbox-Analysen moderner Virenscanner | Browser-SQLite-Datenbanken (Cookies, Passwörter) | Stiehlt aktive Session-Cookies; Angreifer übernehmen Konten ohne Passwort- oder 2FA-Abfrage | Kritisch |
| Gefälschte DLL-Fixes / Patches | Behaupten "Fehlalarm" und fordern Deaktivierung des Virenscanners | Steam-Identifikationstoken (ssfn*, config.vdf) | Kopiert Hardware-Tokens vertrauenswürdiger Rechner; umgeht Steam Guard vollständig | Kritisch |
| Fake-Repack-Websites | Gefälschte Domains bekannter Gruppen, gestohlene Zertifikate | Discord-Tokens, Krypto-Wallets | Injiziert Skripte in Clients und leitet Authentifizierung an C2-Server weiter | Hoch |
| Cheats und Trainer | Fordern Administratorrechte | DPAPI-Masterschlüssel von Windows | Entschlüsselt alle im Browser gespeicherten Zugangsdaten und Autofill-Daten | Fatal |
Warum 2FA vor Session-Hijacking nicht schützt
Viele Spieler wiegen sich durch Steam Guard oder Authenticator-Apps in falscher Sicherheit:
- Wer "Angemeldet bleiben" auswählt, erhält vom Server ein verschlüsseltes Session-Cookie (Token), das lokal gespeichert wird.
- Der Info-Stealer ruft Windows-DPAPI-Funktionen auf und entschlüsselt diese Datenbanken im Handumdrehen.
- Der Angreifer importiert die Cookies in seinen eigenen Browser. Aus Sicht des Servers handelt es sich um eine bereits verifizierte Sitzung – eine erneute 2FA-Abfrage auf dem Smartphone bleibt komplett aus.
Notfallplan bei Infektionsverdacht
Schritt 1: Physische Netztrennung und globale Sitzungsbeendigung
- Zieh sofort das LAN-Kabel ab bzw. trenne das WLAN, um weiteren Datenabfluss zu stoppen.
- Verwende ein sauberes Smartphone (über Mobilfunk, nicht Heim-WLAN):
- In Steam: Kontodetails -> Steam Guard verwalten -> Alle anderen Geräte deautorisieren.
- Bei Google, Discord und E-Mail-Providern: Von allen aktiven Sitzungen abmelden und Passwörter sofort ändern.
Schritt 2: Steam Web-API-Schlüssel widerrufen
- Öffne
https://steamcommunity.com/dev/apikey. - Falls dort ein unbefugter Domänenname eingetragen ist, klicke unverzüglich auf Meinen Steam-Web-API-Schlüssel widerrufen, um automatisierte Trade-Scams abzuwenden.
Schritt 3: Offline-Bereinigung durchführen
- Scanne das System mit einem bootfähigen Antivirus-Rettungsmedium (z. B. Kaspersky Rescue Disk), um tief im System verankerte Persistenzen vor dem Windows-Start zu vernichten.