Anzeige
Flame-Verbreitung über Microsoft-Update
Flame-Verbreitung über Microsoft-Update (Bild: Symantec)

Spionage-Trojaner So konnte Flame Microsofts Updatefunktion missbrauchen

Flame konnte sich über Microsofts Updatefunktion verbreiten. Die Spezialisten von Symantec haben nun erklärt, wie die Angreifer vorgegangen sind, um das Updatesystem von Microsoft auszutricksen.

Anzeige

Symantec hat in einem Blogeintrag detailliert geschildert, wie der Spionage-Trojaner Flame vorgegangen ist, um sich über Microsofts Updatesystem zu verteilen. Die Flame-Macher haben sich dazu angeschaut, wie der Internet Explorer in lokalen Netzwerken nach Proxy-Servern sucht. Microsofts Browser tut dies beim Programmstart über das Web Proxy Auto-Discovery Protocol (WPAD).

Wenn der Browser dann eine Konfigurationsdatei für Proxy-Server (wpad.dat) findet, übernimmt er die Einstellungen. Diese müssen zum Domainnamen des Computers passen. Zur Ermittlung der IP-Adressen wird der DNS-Server befragt. Wenn dieser keine passenden Einträge hat, geht es weiter über Wins oder Netbios.

Snack gibt sich als WPAD-Server aus

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen. Snack beantwortet die Netbios-Anfrage und gaukelt dem Browser vor, es handele sich um einen WPAD-Server, indem es eine präparierte wpad.dat versendet. In dieser Datei ist als Proxy-Server ein Computer der Angreifer aufgeführt, über den dann der gesamte Datenverkehr abgewickelt wird. Eine solche Attacke über Netbios ist nicht so unüblich und als Angriffsmöglichkeit bekannt. Sie ist in vielen Hackertools enthalten.

  • Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)
Flame-Verbreitung über Microsoft-Update (Quelle: Symantec)

Über den zu Flame gehörenden Proxy-Server Munch laufen dann alle Internetzugriffe. Die meisten Abfragen leitet der Proxy-Server nur durch, damit der Attackierte von dem Angriff nichts bemerkt. Aber auch Abfragen zum Microsoft-Update laufen künftig über Munch, die dieser an die wiederum zu Flame gehörende Komponente Gadget umleitet. Diese wiederum täuscht gegenüber dem System vor, es gebe ein Update für die Gadget-Funktion in Windows, um das Opfer so dazu zu bringen, die Flame-Komponente Tumbler eigenhändig zu installieren.

Tumbler tarnt sich als Windows-Update

Tumbler wird als vertrauenswürdiges Update erkannt, weil es mit einem Microsoft-Zertifikat markiert ist. Auf diese gefälschten Zertifikate hat Microsoft erst kürzlich hingewiesen.

Selbst nach der Installation von Tumbler ist das System noch immer nicht mit Flame infiziert. Tumbler lädt Flame später vom Munch-Server herunter und installiert die Schadsoftware, ohne dass der Anwender davon etwas bemerkt. Vorher überprüft Tumbler noch, ob auf dem System Sicherheitsanwendungen installiert sind.

Nach dem Sicherheitsupdate von dieser Woche wegen der gefälschten Zertifikate will Microsoft auch die eigene Updateroutine besser absichern. Details dazu will Microsoft aber erst später verraten.


enteon 07. Jun 2012

Auf dem infizierten System wartet die Schadkomponente Snack auf solche Anfragen.

__destruct() 07. Jun 2012

kwT.

Vorsteher 06. Jun 2012

stimme ich zu. morgen steigen wir auf dein oder ein besseres OS um. bis später

Kommentieren



Anzeige

  1. IT-Security-Berater im Kundenbereich (m/w)
    TÜV Informationstechnik GmbH, Essen
  2. Scrum Master Application Integration (m/w)
    Media-Saturn IT-Services GmbH, Ingolstadt
  3. Department Manager Applikationsentwicklung Emission (m/w)
    AVL List GmbH, Graz (Österreich)
  4. (Senior-) Berater (m/w) Core Insurance
    Capgemini Deutschland GmbH, Düsseldorf, Köln/Bonn, Hannover, München, Frankfurt am Main

Detailsuche


Hardware-Angebote
  1. Google Nexus 6P
    549,00€ statt 649,00€
  2. TV- oder Haushaltsgrossgerät kaufen und bis zu 100 Euro Media-Markt-Geschenkkarte erhalten
  3. NEU: 6 Monate Netflix in Ultra HD geschenkt
    beim Kauf eines UHD-TVs von LG

Weitere Angebote


Folgen Sie uns
       


  1. Escape Dynamics

    Firma für mikrowellenbetriebene Raumschiffe ist bankrott

  2. Deutsche Bahn

    Wlan für alle ICE-Fahrgäste möglicherweise erst 2017

  3. Die Woche im Video

    Raider heißt jetzt Twix ...

  4. Alpenföhn

    Der Olymp soll 340 Watt an Leistung abführen

  5. Eurocom X9E

    Monster-Notebook nutzt Diamant- und Flüssigmetallpaste

  6. Willkürliche Festsetzung

    Schwedische Regierung spottet über Assange

  7. IoT statt Smartphones

    Mozilla gibt Firefox OS schneller auf als erwartet

  8. Rise of the Tomb Raider

    Update schafft Klarheit

  9. Time Machine VR angespielt

    Wir tauchen mit den Monstern der Tiefe

  10. KEF

    Kommission empfiehlt Senkung des Rundfunkbeitrags



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xcom 2 im Test: Strategie wie vom anderen Stern
Xcom 2 im Test
Strategie wie vom anderen Stern
  1. Vorschau Spielejahr 2016 Cowboys und Cyberspace
  2. Xcom 2 angespielt Mit Strategie die Menschheit retten

Verschlüsselung: Nach Truecrypt kommt Veracrypt
Verschlüsselung
Nach Truecrypt kommt Veracrypt

Sèbastien Loeb Rally Evo im Test: Mit dem Weltmeister über Stock und Stein
Sèbastien Loeb Rally Evo im Test
Mit dem Weltmeister über Stock und Stein
  1. Dirt Rally im Test Motorsport für Fortgeschrittene
  2. Rockstar Games Jede Kugel zählt in GTA Online
  3. Microsoft Forza 6 bekommt Mikrotransaktionen

  1. Es ist halt technisch sehr anspruchsvoll...

    postb1 | 12:31

  2. Re: Ich wette, das Spiel wird nicht so wie der...

    lear | 12:28

  3. Re: Droht Windows Mobile das selbe Schicksal?

    Lapje | 12:26

  4. Na Endlich

    SteamKeys | 12:24

  5. ...sonst ändert sich nix

    Bujin | 12:21


  1. 11:52

  2. 11:28

  3. 09:01

  4. 21:49

  5. 16:04

  6. 15:45

  7. 15:18

  8. 15:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel