Forschungsexperte fĂŒr Cybersicherheit Mohan Pedhapati erzĂ€hlte, wie er mit Hilfe des KI-Modells Anthropic Claude Opus 4.6 eine vollstĂ€ndige Kette von Exploits zum Hacken der JavaScript V8-Engine im Browser Google Chrome 138 schrieb, auf dem der aktuelle Discord-Client lĂ€uft.
Der Prozess zur Erstellung der Exploit-Kette dauerte eine Woche, berichtete der Forscher â dabei wurden 2,3 Milliarden Token und 2283 $ fĂŒr den Zugang zum KI-Modell ĂŒber die API ausgegeben; auĂerdem investierte er 20 Stunden in die Lösung von Sackgassensituationen. Die Kosten fĂŒr die Erstellung des Hack-Schemas erscheinen als bedeutend fĂŒr einen EinzelkĂ€mpfer, rĂ€umte Mohan Pedhapati ein; andererseits hĂ€tte eine Person ohne externe Hilfe mehrere Wochen an einem Ă€hnlichen Projekt arbeiten mĂŒssen. Das Projekt war auch aus wirtschaftlicher Sicht rentabel â die Belohnung von Google und Discord fĂŒr die Meldung eines solchen Exploits könnte etwa 15.000 $ betragen. Und das ist nur der legale Markt â fĂŒr die Zero-Day-Schwachstelle könnten Cyberkriminelle andere BetrĂ€ge zahlen.
Viele Dienste veröffentlichen ihre Anwendungen auf dem Electron-Framework, das wiederum auf Chrome basiert â das gilt nicht nur fĂŒr Discord, sondern auch zum Beispiel fĂŒr Slack. Allerdings ist der aktuelle Code des Frameworks eine Version hinter dem Browser zurĂŒck, und die Entwickler der Anwendungen aktualisieren ihre AbhĂ€ngigkeiten nicht immer zeitnah, auch die Benutzer installieren nicht immer die neuesten Versionen der Anwendungen. Der Discord-Client wĂ€hlte dieser Experte, weil er auf Chrome 138 lĂ€uft, also neun Hauptversionen hinter der aktuellen Version des Browsers zurĂŒckliegt.
Jeder angehende Programmierer kann, so Mohan Pedhapati, mit ausreichend Geduld und einem API-SchlĂŒssel fĂŒr den Zugriff auf das KI-Modell veraltete Software knacken â âdas ist eine Frage der Zeit und nicht der Wahrscheinlichkeitâ. DarĂŒber hinaus ist âjeder Patch im Grunde genommen ein Hinweis fĂŒr einen Exploitâ, da Open-Source-Projekte transparent entwickelt werden, was bedeutet, dass Fehlerbehebungen oft im Quellcode veröffentlicht werden, noch bevor eine aktualisierte Version des Programms insgesamt herauskommt. Um Anwendungen vor solchen Angriffen zu schĂŒtzen, empfiehlt der Experte, die AbhĂ€ngigkeiten genauer zu ĂŒberwachen und schnell Ănderungen vorzunehmen, sowie Sicherheits-Patches automatisch bereitzustellen, damit die Benutzersoftware nicht verwundbar bleibt, falls das Update einfach vergessen wird. SchlieĂlich sollten Open-Source-Projekte vorsichtig sein, wenn sie detaillierte Informationen ĂŒber Schwachstellen veröffentlichen.
Quelle:
Quelle: 3dnews.ru
