RetroTimes wurde über einen Zwischenfall im Live-Hotel informiert. Am Dienstag Abend gegen 22:35 Uhr wurde das Live-Hotel Opfer eines Angriffs. Einem bisher unbekannten Nutzer ist der Zugriff auf einen Mitarbeiteraccount des Hotels gelungen. Der Zwischenfall hielt ungefähr zwei Minuten an. Dabei wurden Taler in Massen sowieso Raumalerts an Live-User in den vollsten Hotelräumen verschickt. Diese Alerts sahen wie folgt aus und kritisierten das Hotel im Allgemeinen.

Der Angreifer findet deutlich scharfe und kritische Worte, die insgeheim das gesamte System des Live-Hotels in Frage stellen. Es liegt mithin nahe, dass es sich um einen Nutzer handeln muss, der in Vergangenheit Probleme mit dem Hotel hatte oder möglicherweise sogar ein Hotelverbot erhalten hat. Es kann sich auch um ein Problem mit der Hotelmanagerin horngry persönlich handeln. Jedenfalls scheint die Aktion auch auf eine Racheaktion hinzudeuten: „Wer seine Freunde wie Scheiße behandelt, macht sich Feinde“, lässt der Angreifer horngry grüßen. Live-Hotel wird darüber hinaus als “dünngeschissener Schein” betitelt und gleichzeitig verweist der Angreifer auf ein anderes Retro Hotel, nämlich das HuBBa Hotel. Inwiefern der Angriff in Verbindung mit HuBBa steht, muss jedoch noch geklärt werden. Das HuBBa Hotel weist jegliche Anschuldigungen entschieden zurück und möchte damit nichts zutun gehabt haben. HuBBa Hotelmanager Pazo zeigte sich schockiert über den Vorfall.

Genaueres zur Sicherheitslücke

Angesichts dessen, dass Taler vergeben wurden, müsste es sich bei dem betroffenen Account um einen Mitarbeiter aus dem Community Management oder höher gehandelt haben, dessen Account entwendet wurde. Ein User behauptet sogar konkret, dass der Account von Imagician betroffen gewesen sei: Man konnte beobachten wie die Alerts verschickt wurden, als Imagician den Raum betreten hat und wie er beim Befehl zur Vergabe von Talern (:masscredits) einen Tippfehler machte, sodass der Befehl im Raum zu sehen war. Diese Beobachtungen konnten jedoch nicht verifiziert werden und stellen sich daher als Gerücht dar.

Der Account konnte offenbar durch eine Sicherheitslücke in der Crossdomain-Datei des Hotels entwendet werden, wie Techniker des Live-Hotels Steve mitteilte. Die Datei crossdomain.xml ist eine domänenübergreifende Richtliniendatei. Sie gewährt dem Flash Player die Berechtigung, mit anderen Servern als dem zu kommunizieren, auf dem er gehostet ist. Viele Retro Hotels haben jedoch eine veraltete, nicht mehr zeitgemäße oder schlichtweg falsch eingestellte crossdomain.xml – diese kann zum Verhängnis werden. Die obige crossdomain.xml, wie sie zum Beispiel bei Live-Hotel hätte aussehen können, gewährt Zugriff auf einen Cross-Site-Request auf den Live-Hotel Server von jeder beliebig anderen Domain. Offenbar liegt genau darin die Schwachstelle: Ein Live-Mitarbeiter wurde auf eine manipulierte Domain geführt und dadurch konnten anscheinend Daten ausgelesen werden. Für das Ausnutzen dieser Sicherheitslücke ist jedoch durchaus fortgeschrittenes Wissen erforderlich, es ist davon auszugehen, dass der Angreifer sein Handwerk zu verstehen wusste: Es wird sich wahrscheinlich nicht um ein Script-Kiddie handeln, sondern um einen professionellen Angreifer.

Ausmaße sind überschaubar

Weniger professionell ist der Angriff an sich gelungen: Das Live-Hotel war lediglich eine viertel Stunde im Wartungsmodus ehe es wieder – ohne weitere Konsequenzen für die User – online kam. Zum Vorfall selbst schweigt das Live-Hotel bis jetzt offiziell. Auch zu den vom Angreifer gemachten Vorwürfen der Vetternwirtschaft, den unschuldig gebannten Usern sowie dem Vorwurf der Korruption gibt es bis dato kein Statement. Die Live-Hotel User zeigten sich eher über den Vorfall amüsiert, andere „feierten“ ihn. Obgleich Live-Hotel damit nach langer Zeit wieder gehackt wurde, erwies sich der Angriff als vergleichsweise harmlos, da lediglich Alerts und Taler verschickt wurden. Sie zeigen jedoch: Als Retrobesitzer muss man wachsam bleiben, insbesondere als nicht überall gern-gesehenes Hotel.