Mitarbeitern der Firma Neophasis haben herausgefunden, dass mit relativ einfachen Mitteln Passwörter und andere Nutzerdaten per JavaScript-Modifikationen aus Web-Browsern abgegriffen werden können.

Dass der Diebstahl über eine oft genutzte Tastenkombination funktioniert, macht die Schwachstelle gefährlich. Ist auch mein Passwort dabei? Nutzer sind schnell versucht mit Strg+F nach ihren Daten zu suchen.

Man stelle sich vor: Im Internet taucht eine Liste zu Passwörtern oder Kreditkartennummern auf, die nach Angriffen veröffentlicht wurden. Um zu testen, ob auch das eigene Passwort geknackt wurde, versucht der Nutzer schnell über die Tastenkombination Strg+F die eigenen Daten in der langen Liste zu finden. Die Suchbox die erscheint, ist allerdings nicht die Suchbox, die der Web-Browser normalerweise zur Verfügung stellt. Sie sieht etwas anders aus, aber das fällt zum Beispiel im Chrome-Browser kaum auf. Der Nutzer gibt sein Passwort oder andere sensible Daten in die scheinbar lokale Suchbox ein, um festzustellen, ob er betroffen ist – und mit dieser Eingabe sind die Daten dann auch schon geklaut. Über die Fake-Suchboxen, die via JavaScript eingebettet wurden, wurden die Daten weitergereicht.

ganzer Bericht bei Heise http://www.heise.de/newsticker/meldung/Blogger-demonstrieren-gewieften-Passwortklau-1761237.html

es gibt immer wieder neue Ideen, wie Gaunereien durchgeführt werden ...