Anzeige
Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten.
Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten. (Bild: Cylance)

Redirect to SMB: Uralte Sicherheitslücke in allen Windows-Versionen

Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten.
Über Redirect to SMB können Angreifer ihre Opfer auf ihre SMB-Server umleiten und dort etwa Zugangsdaten erbeuten. (Bild: Cylance)

IT-Sicherheitsexperten haben die Schwachstelle Redirect to SMB wiederentdeckt, die sämtliche Windows-Versionen betrifft. Sie lässt sich auch über zahlreiche Anwendungen ausnutzen. Unter Umständen geben Nutzer ihre Zugangsdaten zum Windows-Netzwerk preis.

Anzeige

Die bereits seit mehr als 18 Jahren bekannte Schwachstelle Redirect to SMB betrifft weiterhin sämtliche Windows-Versionen. Sie kann nach Angaben von IT-Sicherheitsexperten mit moderner Hardware ausgenutzt werden, um die Zugangsdaten eines Opfers zum Windows-Netzwerk zu stehlen und Passwörter zu entschlüsseln. Auch viel Software ist von der Schwachstelle betroffen, darunter die Update-Funktionen einiger Antivirussoftware.

Die Schwachstelle Redirect to SMB wurde bereits 1997 von Aaron Spangler beschrieben und 2009 von Microsoft bestätigt. Mit in HTTP-Anfragen eingebetteten Datei-URLs können Windows-Rechner dazu gebracht werden, eine Verbindung mit einem fremden SMB-Server herzustellen. Bei dem Verbindungsaufbau werden Benutzernamen und verschlüsselte Passwörter auf dem SMB-Server gespeichert.

Verankert in APIs

In ihrem Experiment setzten die IT-Sicherheitsexperten bei Cylance zunächst einen einfachen Webserver auf, der HTTP- beziehungsweise HTTPS-Anfragen mit einer 302-Weiterleitung beantwortete. Statt auf einen weiteren Webserver zu verweisen, wurden Anfragen über die URL file:// an einen SMB-Server weitergeleitet. Dort versuchte sich der Rechner des Opfers automatisch zu verbinden.

Die Weiterleitung auf eine Datei-URL stellen zahlreiche APIs in der Windows-Bibliothek Urlmon.dll zur Verfügung. Nicht wenige Anwendungen greifen auf diese APIs zu, darunter die Aktualisierungsfunktionen in einigen Antivirenprogrammen oder in Apples Software Update. Selbst Microsofts Baseline Security Analyzer ist betroffen. Cylance hat die Schwachstelle in mindestens 31 Anwendungen entdeckt.

Umleitungen per Proxy

Um die Schwachstelle auszunutzen, müssen Angreifer Zugriff auf zumindest Teile des Netzwerkverkehrs eines Opfers haben. Die Experten bei Cylance gehen davon aus, dass speziell präparierte Werbung einen möglichen Angriffspunkt darstellt. Auch in offenen WLANs lässt sich Redirect to SMB leicht ausnutzen. Cylance greift in ihren Beispielen auf frei erhältliche Werkzeuge wie Zarp oder MITMProxy zu, um etwa per ARP oder DNS Cache Poisoning den Datenverkehr eines Opfers auf einen präparierten SMB-Server umzuleiten.

Das bei SMB-Servern gängige Authentifizierungsverfahren NTLMv2 (NT LAN Manager) verschlüsselt die übertragenen Passwörter. NTLMv2 wurde bereits 1998 entwickelt. Mit aktueller Hardware könnten so verschlüsselte Passwörter aber inzwischen recht schnell entschlüsselt werden, schreiben die Cylance-Forscher in ihrer Analyse. Ausgehend von den bei Oclhashcat veröffentlichten Benchmarks reichen GPUs im Wert von 3.000 US-Dollar, um achtstellige alphanumerische Passwörter bei Brute-Force in etwa 9,5 Stunden zu knacken.

Cylance hat die betroffenen Hersteller bereits informiert. Bis die Schwachstellen behoben werden, raten die Experten die von SMB genutzten Ports TCP 139 und 445 in Firewalls zu blockieren, um ausgehende Verbindungen zu verhindern. In seiner Warnung rät das Cert zudem, die Gruppenrichtlinien für NTLMv2 anzupassen oder ganz darauf zu verzichten und stattdessen das sicherere Kerberos für die Authentifizierung zu verwenden.


eye home zur Startseite
ratzeputz113 15. Apr 2015

Ich würde jetzt mal ganz mutig und locker-flockig sagen: Ja, ist mir bewusst.* Worauf...

whitbread 14. Apr 2015

Also wer smb Authentifizierung als sicher erachtet hatte ist selber schuld imho; ebenso...

pythoneer 14. Apr 2015

Das ist leider falsch. Wir haben 26 Klein- und 26 Großbuchstaben und 10 Ziffern von 0...

ratzeputz113 14. Apr 2015

Full Ack

bitshift 14. Apr 2015

Danke, das Paper ist interessant, gleich mal nach dem Vortrag suchen. Scheint aber auf...



Anzeige

Stellenmarkt
  1. iCD.GmbH & Co.KG, Frechen
  2. OXID eSales AG, Freiburg im Breisgau
  3. Robert Bosch GmbH, Leonberg
  4. Bosch Sensortec GmbH, Reutlingen


Anzeige
Top-Angebote
  1. ab 219,00€
  2. (u. a. Core i7-6700K, i5-6600K, i7-5820K)

Folgen Sie uns
       


  1. Google

    Nächste Android-Version heißt Nougat

  2. Pleurobot

    Bewegungen verstehen mit einem Robo-Salamander

  3. Überwachung

    Google sammelt Telefonprotokolle von Android-Geräten

  4. Fritzbox

    AVM veröffentlicht FAQ zur Routerfreiheit

  5. Wertschöpfungslücke

    Musiker beschweren sich bei EU-Kommission über Youtube

  6. Vodafone und Ericsson

    Prototyp eines 5G-Netzes in Deutschland

  7. Slim

    Hinweise auf schlanke Playstation 4

  8. Wasserwaagen-App

    Android-Trojaner im Play Store installiert ungewollt Apps

  9. Datenrate

    Telekom und M-Net gewinnen Connect-Festnetztest

  10. Star Wars Lego im Test

    Das Erwachen der Lustigkeit



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Bargeld nervt: Startups und Kryptowährungen mischen die Finanzbranche auf
Bargeld nervt
Startups und Kryptowährungen mischen die Finanzbranche auf
  1. Gehalt.de Was Frauen in IT-Jobs verdienen
  2. Darknet-Handel Nutzerdaten von Telekom-Kunden werden verkauft
  3. Homeland Security Frage nach Facebook-Konto bei Einreise in die USA geplant

Geforce GTX 1080/1070 im Test: Zotac kann Geforce besser als Nvidia
Geforce GTX 1080/1070 im Test
Zotac kann Geforce besser als Nvidia
  1. Die Woche im Video Superschnelle Rechner, smarte Zähler und sicherer Spam
  2. Geforce GTX 1080/1070 Asus und MSI schummeln mit Golden Samples
  3. Geforce GTX 1070 Nvidia nennt Spezifikationen der kleinen Pascal-Karte

IT und Energiewende: Fragen und Antworten zu intelligenten Stromzählern
IT und Energiewende
Fragen und Antworten zu intelligenten Stromzählern
  1. Smart Meter Bundestag verordnet allen Haushalten moderne Stromzähler
  2. Intelligente Stromzähler Besitzern von Solaranlagen droht ebenfalls Zwangsanschluss
  3. Smart-Meter-Gateway-Anhörung Stromsparen geht auch anders

  1. Re: Cool, aber die Zukunft sieht anders aus

    TrudleR | 19:22

  2. Re: Liest ein Roboter oder ein Mensch?

    keböb | 19:21

  3. Vorwahlen Funktion?

    Chakky | 19:20

  4. Re: Schade

    neocron | 19:15

  5. Re: britischer Premier-League-Club

    der_wahre_hannes | 19:11


  1. 19:06

  2. 18:38

  3. 17:19

  4. 16:19

  5. 16:04

  6. 15:58

  7. 15:21

  8. 14:18


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel