Gefährliche PDFs unterwegs - Adobe-Patch am 12. Januar

Ausgeklügelte Angriffe gegen CVE-2009-4324

Im neuen Jahr sind der Adobe Reader und Adobe Acrobat weiterhin anfällig für Angriffe. Ein besonders raffinierter Angriff nutzt die als CVE-2009-4324 bekannte Lücke aus. Weder auf Anti-Viren-Software noch auf Adobe sollten sich Anwender derzeit verlassen.

Derzeit sollen besonders ausgefeilte Angriffe mit PDF-Dateien im Umlauf sein, berichtet das Internet Storm Center. Die PDF-Dateien nutzen eine bekannte Sicherheitslücke in Adobes PDF-Produkten Reader und Acrobat aus. Diese Angriffe kommen zusätzlich zu den ohnehin schon im Umlauf befindlichen schädlichen PDF-Dateien.

Der Angriff, der anscheinend rund um den Jahreswechsel in Umlauf gebracht wurde, soll verschiedene Stufen haben. Auf den ersten Blick sah der vom ISC analysierte Shellcode der ersten Stufe so aus, als sei er harmlos. Von der ersten Stufe aus wird die zweite Stufe gezündet. Diese öffnet die PDF-Datei direkt. In der PDF-Datei befinden sich gleich zwei schädliche Dateien.

Die erste Datei, suchost.exe, ist die eigentliche Schadsoftware. Die zweite Datei, temp.exe, hinterlässt auf dem Rechner eine harmlose PDF-Datei namens baby.pdf, um den Angriff nicht zu offensichtlich erscheinen zu lassen. Wenn der Angreifer nämlich die Angriffs-PDF-Datei öffnet, stürzt die PDF-Software ab und das Opfer könnte misstrauisch werden. Um das zu verhindern, öffnet temp.exe die harmlose Datei mit dem Namen baby.pdf - eine einfache leere Tabelle, die von einem Excel-Dokument erstellt wurde.

Das ist ein enormer Aufwand, um einen Rechner anzugreifen. Offensichtlich sind Angreifer auch bereit, die PDF-Angriffe den Opfern entsprechend anzupassen. Nutzer von Adobe Software sollten zumindest Javascript im Reader und bei Acrobat deaktivieren. Laut ISC nimmt die Anzahl der Angriffsvarianten derzeit zu, die die PDF-Sicherheitslücke ausnutzen.

Anti-Virus-Software und Adobe müssen hilflos zusehen

Eigenen Bekundungen zufolge will Adobe am 12. Januar 2010 das PDF-Sicherheitsproblem beheben. In der Zwischenzeit empfiehlt es sich, bei unerwarteten PDF-Dateien besonders vorsichtig zu sein. Laut dem ISC erkannten zum Jahreswechsel gerade einmal sechs von 40 Virenscannern den Angriff.

Der Rest würde ein PDF dieser Machart zunächst durchlassen. Die suchost.exe erkannte immerhin die Hälfte aller Virenscanner. Möglicherweise hat sich die Erkennungsrate in den letzten Tagen verbessert. Prinzipiell besteht aber auch die Möglichkeit, dass die Angriffslast in der PDF-Datei durch andere Lasten ausgetauscht wird. Letztendlich fungiert die PDF-Datei hier nur als sehr ausgefeilter Träger des eigentlichen Angriffs.

Wer ein verdächtiges PDF-Dokument öffnen oder grundsätzlich auf Nummer sicher gehen möchte, sollte auf einen alternativen PDF-Reader wechseln. Unter Windows gibt es mit Sumatra-PDF ein besonders schlankes PDF-Anzeigeprogramm, das allerdings nur Grundfunktionen bietet. Weitere Alternativen sind der PDF X-Change Reader und der Foxit Reader.